Il G7 Cyber Expert Group (CEG) ha pubblicato una roadmap per supportare la transizione ordinata del settore finanziario verso soluzioni crittografiche post-quantistiche, al fine di assicurare la resilienza dei sistemi finanziari rispetto ai rischi posti dallo sviluppo dei futuri computer quantistici.
Si ricorda preliminarmente che il CEG fornisce consulenza ai ministri delle finanze e ai governatori delle banche centrali del G7, tra cui la BCE, il MEF, Consob, Banca d’Italia ed EBA, su questioni di sicurezza informatica rilevanti per la sicurezza e la resilienza del sistema finanziario.
Nel settembre 2024, il G7 CEG aveva rilasciato una dichiarazione che evidenzia i vantaggi e i rischi associati al quantum computing: si sottolinea infatti che, sebbene il quantum computing prometta nuove e significative capacità per i servizi finanziari, i computer quantistici sufficientemente avanzati saranno in grado di violare i protocolli crittografici ampiamente utilizzati che proteggono i sistemi e i dati.
Il modo migliore per affrontare questi rischi è che le entità passino a quella che è nota come crittografia post-quantistica e algoritmi crittografici resistenti al quantum.
Sulla base della dichiarazione del 2024, il G7 CEG ha sviluppato questa roadmap di alto livello per informare i dirigenti senior sui tipi di attività che possono aiutare gli enti del settore finanziario a passare a soluzioni crittografiche post-quantistiche in modo coordinato, tempestivo e orientato agli obiettivi, in anticipo rispetto ai rischi futuri.
La tabella presenta alcune considerazioni volte a promuovere l’armonizzazione e la cooperazione tra le giurisdizioni, preservando al contempo la flessibilità, e può servire come risorsa per guidare la pianificazione e la governance della transizione.
Inoltre, gli istituti finanziari di tutte le dimensioni sono spesso fortemente dipendenti e interconnessi con prodotti informatici, fornitori e altri fornitori terzi: la tabella di marcia può aiutare tali entità a comprendere meglio l’importanza della crittografia resistente alla crittografia quantistica per il settore finanziario e i potenziali vincoli temporali per la migrazione.
La roadmap presenta le seguenti caratteristiche, a livello metodologico:
- flessibilità: la roadmap va calibrata in base alle circostanze specifiche delle singole entità; prevede meccanismi di monitoraggio e ricalibrazione continui, in modo che i piani possano essere adattati tenendo conto dell’evoluzione dei rischi
- approccio basato sul rischio: non tutte le entità, i sistemi o le funzioni sono esposti allo stesso livello di rischio o hanno la stessa importanza sistemica; le entità possono decidere di applicare tempistiche più aggressive alle aree più critiche e tempistiche più lunghe alle aree a basso rischio
- approccio basato su standard: le organizzazioni possono prendere in considerazione l’uso di roadmap esistenti e standard di sicurezza IT (ad esempio, ISO 27001, ITIL) e stabilire metriche quantificabili per monitorare i progressi, dimostrare la responsabilità e consentire la ricalibrazione
- collaborazione e cooperazione: la collaborazione tra giurisdizioni e entità finanziarie di tutte le dimensioni e tipologie può consentire alle entità di imparare le une dalle altre e mitigare il rischio di approcci frammentati, migliorando così l’interoperabilità; inoltre, la collaborazione con terze parti può consentire una gestione attiva delle dipendenze da terze parti e affrontare la disponibilità di soluzioni di terze parti in anticipo rispetto alle tempistiche proposte, in particolare per le istituzioni più piccole con livelli più elevati di dipendenza dai fornitori.
Le attività chiave indicate nella roadmap, cronologicamente individuate, suggerite sono le seguenti:
- consapevolezza e preparazione
- scoperta e inventario
- valutazione dei rischi e pianificazione
- migrazione ed esecuzione
- test di migrazione
- convalida e monitoraggio
Parallelamente alle attività indicate nella tabella allegata il G7 consiglia inoltre di prendere in considerazione le seguenti attività:
- governance e gestione dei rischi: integrare la crittografia resistente alla tecnologia quantistica nei quadri esistenti di governance organizzativa e supervisione pubblica, compresi, se del caso, meccanismi di vigilanza e settoriali a sostegno dell’attuazione
- gestione delle dipendenze esterne: monitoraggio della maturità delle tecnologie quantistiche, degli standard, degli strumenti e delle minacce
- dialogo con le parti interessate: facilitazione di un impegno strutturato per identificare le questioni, condividere intuizioni e promuovere soluzioni condivise.
