Requisiti di sicurezza per i servizi di pagamento in Svizzera

Verificare i requisiti di sicurezza dei servizi di pagamento

È necessario chiarire innanzitutto quali dati vengono elaborati da un servizio di pagamento. I dati dei titolari di carta attivano gli standard PCI DSS, i dati personali il Legge federale sulla protezione dei dati (LPD) e, nel caso di istituti autorizzati, si applicano anche le norme della Autorità federale di vigilanza sui mercati finanziari (FINMA). Le normative coesistono e la loro conformità deve essere dimostrata separatamente.

Il Payment Card Industry Data Security Standard (PCI DSS) è lo standard di sicurezza valido a livello mondiale delle principali società internazionali di carte di credito. Si applica a tutte le aziende che memorizzano, elaborano o trasmettono dati dei titolari di carta, inclusi commercianti, processori di pagamenti, istituti finanziari e fornitori di servizi.

Lo standard comprende dodici requisiti: firewall, cambio delle password dopo la consegna di un software, protezione dei dati delle carte memorizzati, trasmissione cifrata, protezione antivirus, sistemi e applicazioni sicuri, accessi ai dati limitati, identificativi utente individuali, accesso fisico limitato, registrazione dei log, verifiche di tutti i sistemi e processi di sicurezza nonché politiche di sicurezza delle informazioni.

Chiedete al fornitore quali sistemi elaborano i dati dei titolari di carta, chi può accedervi e quali prove fornisce per la conformità al PCI DSS. Fatevi spiegare il perimetro del sistema e i sistemi collegati, anche se questi non elaborano direttamente dati dei titolari di carta.

Dal 1° settembre 2023 sono in vigore la Legge federale sulla protezione dei dati (LPD) rivista, l’Ordinanza sulla protezione dei dati (OPD) e l’Ordinanza sulle certificazioni in materia di protezione dei dati (OCPD). La LPD protegge i dati personali delle persone fisiche, non di quelle giuridiche, e include anche il profilazione. Chiarite dove il fornitore elabora i dati personali e come adempie ai suoi obblighi di informazione.

Le vulnerabilità di sicurezza dovrebbero essere rilevate, valutate e corrette secondo una procedura regolamentata. Chiedete come il fornitore identifica le vulnerabilità, prioritizza le correzioni e ne dimostra l'attuazione; le responsabilità e le vie di escalation devono essere descritte in modo comprensibile.

Vigilanza e requisiti di sicurezza: verificare le prove

La Legge sugli istituti finanziari (LIFin, RS 954.1) regola dal 1° gennaio 2020 i presupposti per l'autorizzazione e i requisiti organizzativi per gli istituti finanziari. L’Ordinanza sugli istituti finanziari (OIFin) li concretizza; l’Ordinanza sull’organizzazione della vigilanza (OOV) è entrata in vigore insieme alla LIFin e all’OIFin il 1° gennaio 2020. Le banche rimangono soggette alla Legge sulle banche (LBanc).

Per gli intermediari finanziari si aggiunge l'ambito della Legge sul riciclaggio di denaro (LRD): i gestori patrimoniali indipendenti erano soggetti all'autoregolamentazione tramite organizzazioni di settore (SRO), mentre i trustee non erano regolamentati al di fuori dell'ambito della LRD. Chiarite a quale regime è soggetto il fornitore e chi verifica la sua conformità.

I rischi informatici rientrano tra i più significativi rischi operativi degli istituti finanziari; la FINMA ha intensificato la sua vigilanza. Nel rapporto annuale 2024 tratta i rischi informatici e l'esternalizzazione congiuntamente.

La Circolare della FINMA 2023/1 «Rischi operativi e resilienza – Banche» è in vigore dal 1° gennaio 2024 e concretizza la prassi di vigilanza sui rischi operativi, in particolare sui rischi TIC, sui dati critici e sui rischi informatici. Per gli istituti finanziari, la LIFin regola i presupposti per l'autorizzazione e i requisiti organizzativi; per i servizi di pagamento vanno verificati i rispettivi requisiti di autorizzazione e organizzativi applicabili.

Per la circolare vale il principio di proporzionalità: i requisiti devono essere attuati in base alle dimensioni, alla complessità, alla struttura e al profilo di rischio dell'istituto. Banche e case di titoli delle categorie FINMA 4 e 5, nonché istituti sottoposti al regime delle piccole banche, possono beneficiare di agevolazioni.

In linea di principio, ogni azienda è obbligata a effettuare un'autovalutazione secondo le direttive dell'emittente della carta di credito. A seconda del volume d'affari e del tipo di utilizzo dei dati dei titolari di carta, è necessario compilare questionari e adottare misure come scansioni delle vulnerabilità o un rapporto di audit da parte di un'azienda abilitata.

Oltre 6 milioni di transazioni con carta di credito all'anno, dopo un attacco subito, dopo la classificazione come Livello 1 da parte di un'azienda di carte o dopo una compromissione dei dati delle carte, si applicano requisiti più severi. La conformità può essere dimostrata, tra l'altro, mediante scansioni delle vulnerabilità o un rapporto di audit da parte di un'azienda abilitata.

Distinguete tra una generica dichiarazione di sicurezza e una prova specifica per i requisiti PCI DSS. Fatevi spiegare quale servizio è stato verificato, quali sistemi sono inclusi e quali prove sono rilevanti per il vostro utilizzo. La mera menzione di uno standard non è sufficiente.

Valutare gli incidenti e le vie di segnalazione presso i fornitori

Prima della conclusione del contratto, concordate come il fornitore rileva gli incidenti di sicurezza, li segnala alla vostra organizzazione e vi supporta nella gestione. Stabilite chi è responsabile da entrambe le parti e quali informazioni vi servono in caso di evento.

Dal settembre 2020 la Comunicazione di vigilanza 05/2020 precisa l'obbligo di segnalazione informatica. Fino al 2021 sono stati segnalati complessivamente 95 attacchi informatici di importanza significativa per i soggetti vigilati interessati. Il Monitoraggio dei rischi 2024 mostra un aumento del 30 percento rispetto all'anno precedente delle segnalazioni pervenute alla FINMA riguardanti attacchi informatici riusciti o parzialmente riusciti.

Un incidente non deve essere completamente riuscito per diventare rilevante. Verificate se le vie di segnalazione funzionano anche in caso di attacco parzialmente riuscito e se il fornitore descrive in modo comprensibile le ripercussioni sui vostri dati e servizi.

La classificazione richiede criteri definiti, una competenza stabilita e una procedura che funzioni anche quando il sistema interessato non è disponibile. I criteri per gli incidenti significativi, gli enti che attivano la segnalazione e i termini dovrebbero essere fissati per iscritto prima di un incidente ed essere noti alle parti coinvolte.

Chiedete al fornitore qual è la sua procedura per le segnalazioni di sicurezza e come i clienti vengono informati su un incidente rilevante. Il contratto e i canali di contatto dovrebbero indicare chiaramente le responsabilità e le informazioni necessarie per la vostra organizzazione.

Sviluppo delle segnalazioni di attacchi informatici alla FINMA (2020–2024)

Testare il dispositivo di sicurezza e il ripristino

Un concetto di sicurezza documentato è significativo solo se le procedure operative sono tracciabili. Chiedete come il fornitore verifica le sue procedure di reazione agli incidenti e di ripristino e come tiene traccia delle lacune identificate.

Non viene testata solo la difesa tecnica, ma l'interazione in caso di emergenza: chi decide, chi informa, attraverso quali canali si effettua l'escalation, chi fornisce informazioni a chi e come viene gestito il ripristino. Se queste procedure esistono solo sulla carta, solo un'esercitazione mostrerà se i contatti sono aggiornati, se la comunicazione di riserva funziona al di fuori dei sistemi compromessi e se le responsabilità in caso di assenza sono regolamentate.

Chiedete indicazioni tracciabili su quali vulnerabilità un'esercitazione ha rivelato e come ne derivano le correzioni. Un fornitore dovrebbe essere in grado di spiegare chi è responsabile delle misure e come ne viene verificata l'attuazione.

Il PCI DSS richiede routine per le verifiche di tutti i sistemi e processi di sicurezza. Chiedete come il fornitore esegue le scansioni delle vulnerabilità e come fa attestare le verifiche da aziende abilitate.

Valutare i fornitori di servizi e le alternative

I servizi di pagamento possono dipendere da sistemi esterni e fornitori di servizi. Durante il processo di selezione, accertate quali parti della prestazione sono esternalizzate, quali dati vi vengono elaborati e come un'interruzione potrebbe influire sulla vostra attività.

I servizi di pagamento devono conoscere i loro fornitori di servizi critici e i relativi accessi. Per le prestazioni esternalizzate sorgono le stesse domande come all'interno della propria azienda: chi ha accesso a quali dati e sistemi, e come vengono concessi e revocati gli accessi? Come segnala il fornitore di servizi gli incidenti al proprio istituto e quanto rapidamente una prestazione può essere erogata nuovamente in autonomia o presso un altro fornitore in caso di emergenza? Le risposte a queste domande devono figurare nell'accordo.

Per la propria gestione si raccomanda un registro delle dipendenze critiche con i relativi punti contrattuali: diritti di istruzione, diritti di verifica, obblighi di segnalazione in caso di incidenti e disposizioni in caso di cessazione del contratto. In questo modo, in caso di crisi, è chiaro quali leve esistono nei confronti di quale fornitore.

Il PCI DSS si applica anche ai fornitori di servizi che memorizzano, elaborano o trasmettono dati dei titolari di carta. Esigete dai fornitori di servizi esternalizzati lo stesso ambito di prove richiesto internamente e fate fissare contrattualmente il perimetro del sistema.

Chi conosce le proprie dipendenze critiche può fornire informazioni più rapide e documentate in caso di analisi di scenario o di un incidente reale. Senza questa conoscenza, le vie di segnalazione e i test rimangono incompleti.

Classificare i requisiti di sicurezza per i servizi di pagamento in Svizzera

Per la scelta di un servizio di pagamento due domande sono centrali: quali dati elabora il fornitore e quali prove fornisce per i requisiti di sicurezza ad essi collegati? Per i dati delle carte lo standard di riferimento è il PCI DSS, per i dati personali la LPD, per l'autorizzazione la LIFin e per le banche la LBanc; la Circolare della FINMA 2023/1 concretizza la prassi di vigilanza sui rischi operativi.

Chiarite innanzitutto quali dati e sistemi sono toccati dalla prestazione offerta. Chiedete quali requisiti di sicurezza il fornitore applica a questi ambiti e come ne dimostra l'attuazione. Prima della selezione, stabilite quali informazioni vi servono in caso di incidente di sicurezza e attraverso quali vie il fornitore vi raggiunge.

Per i dati delle carte, il perimetro del sistema è un punto di controllo concreto. Chiedete quali parti della prestazione sono state incluse nella valutazione PCI DSS e quali prove esistono a riguardo. Includete i sistemi collegati, anche se non elaborano direttamente dati dei titolari di carta.

Non fidatevi esclusivamente di dichiarazioni generali o denominazioni di certificati. Richiedete prove che corrispondano alla prestazione concreta, ai dati elaborati e ai sistemi interessati. Per i dati delle carte, il fornitore dovrebbe dimostrare quali requisiti PCI DSS sono stati valutati.

In caso di offerta transfrontaliera, registrate separatamente la prestazione, i fornitori coinvolti e le prove di sicurezza presentate rispettivamente. Per i fornitori nel Principato del Liechtenstein si applica la Legge sui servizi di pagamento (LSP) del 6 giugno 2019, che riguarda la fornitura professionale di servizi di pagamento. In questo modo resta tracciabile a quali servizi e sistemi si riferiscono le singole affermazioni.

Per la scelta del fornitore emergono punti di controllo pratici: ambito dell'elaborazione dei dati delle carte, sistemi collegati, prove relative a PCI DSS, LPD, LIFin e Circolare della FINMA 2023/1, nonché procedure regolamentate per gli incidenti e il ripristino. Annotate le domande aperte e chiaritele prima della conclusione del contratto.