L’intelligenza artificiale accelera anche il lavoro degli attaccanti informatici e riduce il tempo a disposizione delle imprese per reagire. È da questa constatazione che parte la comunicazione con cui IVASS invita le compagnie assicurative a rafforzare rapidamente la propria resilienza operativa e cibernetica, alla luce dei requisiti già previsti dal Digital Operational Resilience Act (DORA).
Secondo l’Istituto, i modelli di IA di ultima generazione sono in grado di individuare vulnerabilità nei sistemi software e di generare quasi simultaneamente le modalità per sfruttarle, anche senza competenze tecniche avanzate. Si restringe così l’intervallo tra la scoperta di una falla e il possibile attacco, aumentando l’asimmetria tra chi colpisce e chi deve proteggere infrastrutture, dati e continuità dei servizi.
Per il settore assicurativo, sottolinea IVASS, la resilienza digitale non può essere considerata soltanto un adempimento normativo. È una condizione essenziale per garantire la continuità aziendale e l’affidabilità dei servizi. Il richiamo riguarda le imprese di assicurazione e riassicurazione con sede in Italia e le rappresentanze italiane di operatori extra Spazio economico europeo.
Il primo fronte è la governance. I consigli di amministrazione dovranno aggiornare il quadro di propensione al rischio, incorporando le minacce legate alle tecnologie di frontiera nelle decisioni strategiche, negli investimenti ICT e nell’allocazione delle risorse. L’Istituto chiede responsabilità chiaramente attribuite, presidi per la sicurezza e la gestione dei dati, competenze tecnologiche adeguate e formazione continua anche sull’IA.
Particolare attenzione dovrà essere riservata ai fornitori esterni di servizi informatici. Le imprese dovranno prevedere requisiti contrattuali capaci di assicurare il monitoraggio della sicurezza, la gestione tempestiva degli aggiornamenti e criteri rigorosi di selezione. La concentrazione dei servizi tecnologici e la complessità delle catene di fornitura possono infatti amplificare una criticità circoscritta.
Sul piano operativo, IVASS richiama i principi della difesa su più livelli e dell’igiene informatica: autenticazioni rigorose, gestione granulare degli accessi, monitoraggio continuo e segmentazione delle reti. Le compagnie dovranno inoltre disporre di inventari aggiornati delle risorse ICT, classificandole in base alla criticità, all’esposizione su internet e all’impiego di infrastrutture cloud. Prioritario anche aggiornare o sostituire le tecnologie obsolete.
Un altro passaggio centrale riguarda la gestione delle vulnerabilità e delle patch. L’Istituto chiede di velocizzare le attività di scansione, anche attraverso strumenti di IA, e di applicare più rapidamente le misure correttive, dando precedenza ai sistemi critici. Sotto osservazione soprattutto i programmi open source, le applicazioni accessibili dall’esterno e le vulnerabilità zero-day, per le quali non è ancora disponibile una correzione.
Il documento invita poi a rafforzare il monitoraggio di applicazioni, accessi e traffico di rete, compresi i collegamenti con i fornitori, valutando strumenti intelligenti per analizzare grandi quantità di dati e rilevare anomalie in tempo reale. Dovranno essere potenziati anche i test di resilienza, risposta e recupero, attraverso scenari realistici e progressivamente più complessi, in linea con DORA.
Il percorso dovrà infine tradursi in impegni verificabili. Il consiglio di amministrazione, in seduta congiunta con il collegio sindacale, dovrà esaminare la comunicazione e avviare una relazione sul livello di esposizione al rischio, sull’adeguatezza dei presidi, sulle carenze e sulle priorità di intervento. Al documento andrà allegato un piano con azioni, tempi, investimenti e modalità di controllo. Ogni impresa dovrà inoltre indicare a IVASS uno specifico responsabile aziendale. Relazione e piano di lavoro dovranno essere trasmessi entro il 31 dicembre 2026.
