Questa è la newsletter della Community di Privacy Week. Ogni giovedì troverai punti di vista che fanno chiarezza e opinione su fatti di cronaca e novità che riguardano i temi più caldi della tecnologia: privacy, cybersecurity, fintech, intelligenza artificiale.
Ti ricordiamo che domani 12 giugno dalle ore 11:30 alle 12:30 ci sarà il webinar di formazione gratuita organizzato in collaborazione con Net Patrol Italia e Cyberating.
Sarà dedicato al tema della gestione del rischio cyber lungo la catena di fornitura, oggi sempre più centrale per la continuità operativa, la resilienza aziendale e la conformità a framework e normative come ISO/IEC 27001 e Direttiva NIS2.
Nel corso dell’incontro verrà inoltre presentata la soluzione Cyberating, piattaforma per il cyber risk rating e il monitoraggio continuativo della postura di sicurezza, utile anche per la valutazione del rischio cyber dei fornitori.
Riflessioni sulle frontiere cibernetiche del nostro mondo.
di Matteo Navacci, privacy & cybersecurity advisor, co-fondatore di Privacy Week
La notifica di un data breach è il punto in cui l’incidente tecnico diventa un fatto giuridico e organizzativo - oltre che reputazionale, se la notifica diventa pubblica.
È anche il momento in cui si vede la differenza tra chi ha davvero una governance della sicurezza e della privacy o chi invece pensa che le disgrazie capitino sempre agli altri.
Come saprete, tra le proposte del Digital Omnibus c’è quella di standardizzare e unificare i punti di notifica a livello europeo. Tra le varie attività, oltre a individuare l’ente competente (probabilmente ENISA), le varie autorità stanno adesso facendo lo sforzo di armonizzare i template di notifica di data breach.
E così, lo European Data Protection Board (EDPB) ieri ha aperto le consultazioni pubbliche per il nuovo modello europeo di notifica data breach.
Noi italiani siamo già abituati a un modello piuttosto strutturato, quello adottato dal Garante Privacy. Il nuovo template EDPB 2026 mostra però una significativa trasformazione verso un template ancora più analitico e orientato alla standardizzazione operativa che darà del filo da torcere a quelli delle “descrizioni generiche e in legalese”.
Il modello italiano del Garante ha il pregio della chiarezza. È un modello che attraverso gli elementi dell’articolo 33 GDPR racconta la storia del “cosa è successo”.
Il template EDPB, invece, prova a costruire una grammatica comune dell’incidente con una tassonomia che va a qualificare e tipizzare diversi elementi, come il settore di riferimento, le varie tipologie di perdita di riservatezza, integrità o disponibilità o le categorie di soggetti interessati. Qui ricorda molto l’approccio NIS2 adottato anche dalla nostra ACN.
Il modello italiano è più snello, con categorie ampie di violazione: confidenzialità, integrità, disponibilità; causa intenzionale o accidentale, interna o esterna; categorie di dati e interessati; stima della gravità. Il template EDPB riduce le interpretazioni e chiede, ad esempio, se i dati siano stati effettivamente esfiltrati o divulgati, se siano probabilmente esfiltrati senza evidenza certa, se vi siano ragionevoli evidenze del contrario o se non sia possibile valutare.
Con un modello del genere diventa importante saper distinguere tra cosa è possibile sapere e cosa invece no. Un template che nei suoi 126 elementi costringe il titolare a dichiarare il livello di incertezza e, implicitamente, a organizzare un flusso di aggiornamento che deve necessariamente partire da una certa competenza e organizzazione interna.
Altro elemento di forza del modello EDPB è l’attenzione ai sistemi, software, servizi e infrastrutture coinvolti, con indicazione anche della loro ubicazione. Elementi presenti anche nel modello italiano, ma nel template EDPB assumono più granularità.
Dal punto di vista di un DPO, questa è una delle aree più critiche. Molte aziende sanno descrivere un trattamento nel registro privacy, ma non sanno collegarlo rapidamente agli asset tecnici: database, CRM, ambienti cloud, tenant SaaS, sistemi legacy, storage condivisi, strumenti di ticketing, ambienti di test. E se ci mettiamo in mezzo fornitori SaaS… tanti auguri.
Sul piano della valutazione del rischio, il modello italiano elenca possibili effetti negativi come la perdita di controllo dei dati, limitazione dei diritti, discriminazione, furto d’identità, e così via. L’EDPB amplia la logica, inserendo anche danni fisici o mentali, danni materiali o immateriali e una valutazione della severità degli impatti.
Sempre sugli interessati, la sezione sulla notifica ai sensi dell’art. 34 è un altro punto di confronto rilevante. Il modello italiano chiede se la violazione sia stata comunicata ai soggetti interessati, se sarà comunicata, se sono in corso valutazioni oppure se non sarà comunicata per assenza di rischio elevato. Il template EDPB riprende la stessa architettura, ma in un contesto più integrato con la valutazione del rischio e con il ciclo della notifica. Per l’azienda questo significa che la decisione sulla comunicazione agli interessati non può essere lasciata alla fine come appendice, ma deve essere valutata fin dall’inizio.
Il teamplate EDPB è più lungo, più complesso, più esigente. A tratti intimidatorio e certamente molto più “data driven” di ciò a cui siamo abituati.
Insomma, è indubbio che le aziende dovranno revisionare le procedure di incident response e aggiornare il modo in cui raccolgono informazioni nelle prime ore dell’incidente. Entro le 72 ore sarà necessario disporre almeno di un nucleo informativo solido e organizzato — o rispondere ai numerosi elementi del template sarà un incubo.
Qui il link delle consultazioni pubbliche da cui è possibile scaricare il template.
Vuoi entrare a far parte del team di autori di Privacy Week e aprire la tua rubrica? Scrivici e parliamone!
Opinioni e approfondimenti sullo strano e velocissimo mondo del Fintech.
di Angelica Finatti, Blockchain Expert (bancario-assicurativo), TEDx Speaker
Mi verrebbe da dire: era ora. Poi però ci penso e realizzo che, in fondo, lo sapevamo tutti. Era uno di quei finali che intuisci già al secondo episodio della serie, ma continui comunque a guardare sperando in un colpo di scena e perché in fondo vuoi sapere se hai ragione.
Domenica 8 giugno, mentre il resto del Paese faceva cose normali — tipo prenotare le vacanze estive e fingere di sapere tutto sulle forniture di cherosene — Intesa Sanpaolo convocava un CdA d’emergenza e lanciava una mossa che ha fatto tremare il L.O.V.E. di Cattelan in Piazza Affari.
Un’OPAS su Monte dei Paschi di Siena da 30,6 miliardi di euro. La più grande operazione bancaria della storia recente italiana. Siamo sorpresi?
No.
Siamo affascinati? Maybe.
Il meccanismo è chirurgico: per ogni 10 azioni MPS consegnate, gli azionisti ricevono 16 nuove azioni Intesa più 10 euro cash. Ma attenzione: questa non è semplicemente un’acquisizione. È più simile a quando in Succession qualcuno dice “stiamo creando valore” e tu capisci che, nel giro di venti minuti, metà dell’azienda verrà smontata e rimontata da qualche altra parte.
Infatti, Intesa tiene per sé il pezzo più pregiato: Mediobanca e, con essa, il 13% di Generali. Le 635 filiali MPS? Destinazione Unipol-BPER. Risultato: nasce un nuovo terzo polo del credito italiano e, se tutto procederà secondo i piani entro dicembre 2026, Intesa Sanpaolo diventerà il secondo gruppo bancario europeo per capitalizzazione di borsa. Insomma, da banca italiana a protagonista europea.
La parte più piccante è che poche ore prima Banco BPM aveva fatto la sua proposta. Una fusione amichevole. Elegante. Quasi romantica. Sinergie superiori a 1,1 miliardi di euro, una capitalizzazione oltre i 50 miliardi e la possibilità di creare un campione nazionale in grado di rompere il duopolio Intesa-Unicredit. Sulla carta era tutto molto bello. Poi è arrivata Intesa.
E come in ogni commedia romantica che si rispetti, il protagonista timido che aveva scritto una lettera d’amore si è ritrovato nella iconica canzone di Masini. La sintesi l’ha fatta Carlo Cimbri, presidente di Unipol:
“Le possibilità di successo di un innamorato che pensa di concupire l’amata semplicemente recapitando una lettera sono scarse.” – Io però aggiungerei che dipende quanto l’amata ami l’innamorato in questione.
Tradotto in linguaggio non bancario: BPM aveva portato i fiori. Intesa si è presentata con la dote.
Qui arriva la mia provocazione. Nessun complotto internazionale o terrapiattismo finanziario, voglio specificarlo. Però qualche giorno fa stavo parlando con alcuni dirigenti di una delle mie banche preferite — non farò nomi, ma chi mi conosce probabilmente sa già quale sia — e uno di loro mi ha detto una frase che continua a ronzarmi in testa:
“Dobbiamo ammetterlo: l’ultima fusione che c’è stata ci ha fatto un favore.”
E lì mi si è accesa una lampadina. O forse una di quelle lavagnette piene di formule che comparivano in A Beautiful Mind. Perché da quel momento non ho smesso di chiedermi: E se tutto questo fondersi, acquisirsi, incorporarsi e fare OPA, OPS e OPAS non attirasse clienti... ma li spingesse altrove?
Vedete, le banche locali hanno mille limiti: non hanno i budget dei colossi, non hanno eserciti di consulenti in giacca e cravatta, non hanno divisioni che sembrano uscite da una multinazionale della Silicon Valley. Ma hanno una cosa che i grandi gruppi faticano a replicare: conoscono il territorio, conoscono le imprese e i clienti e perfino il commercialista del cugino del fratello del cliente.
Quando le fusioni diventano troppo grandi, troppo veloci e troppo efficienti, spesso succede qualcosa di curioso. La nicchia inizia a sentirsi trascurata. E quando una nicchia si sente trascurata, improvvisamente scopre che quella che considerava una “piccola banca” è diventata “la Sua banca”. È così che i piccoli diventano medi e i medi diventano grandi.
Intanto, mentre i grandi gruppi giocano a Risiko, il sistema bancario italiano sta investendo in tecnologia come mai prima. Secondo la quinta Indagine Fintech di Banca d’Italia, nel biennio 2023-2024 gli investimenti in innovazione hanno raggiunto il miliardo di euro. E la stessa cifra è prevista anche per il 2025-2026.
Dove stanno andando questi soldi? Semplice, in:
Intelligenza Artificiale Generativa. La moda del momento. Anche se, come sappiamo, non tutte le ciambelle escono col buco e non tutti i progetti AI riescono davvero a superare la fase PowerPoint.
Open Banking e Open Finance. Grazie al regolamento FIDA siamo entrati ufficialmente nell’era dell’Open Finance. Il dato è diventato portabile, i clienti anche.
Real-Time Payments. Nel 2026 il bonifico istantaneo non è più innovazione, ma il minimo sindacale. Come il Wi-Fi o come lamentarsi delle call che potevano essere una mail.
C’è però un nemico che nessuno riesce a battere. Non è una fintech. Non è una Big Tech e non è nemmeno la concorrenza. È la compliance, ovvero: DORA, PSD2, NIS2, GDPR. Sembra la line-up di un gruppo K-Pop; invece, è la quotidianità delle banche europee.
Il risultato? Aggiornare un ATM può richiedere oltre un anno, mentre un cybercriminale impiega pochi minuti per cambiare strategia. È il grande paradosso del banking moderno: non vince chi innova di più. Vince chi riesce a innovare senza farsi travolgere dalla regolamentazione.
Tra OPA ostili, fusioni amichevoli, startup fintech, nuovi poli bancari e strategie europee, il settore sta attraversando la sua trasformazione più importante degli ultimi vent’anni.
Il Risiko non è finito e questo lo sappiamo tutti forse, ma ho una convinzione: le banche che vinceranno non saranno necessariamente le più grandi. Saranno quelle capaci di fare una cosa difficilissima: restare vicine ai clienti come una banca di territorio e funzionare come una piattaforma tecnologica. Quasi un payoff pubblicitario insomma: Here. Now. Everywhere. Banking.
Tutto il resto è rumore di fondo.
Dal 28 al 30 settembre 2026 torna la sesta edizione di Privacy Week. Dalla conoscenza alla resilienza: infrastrutture fisiche, sistemi cibernetici e nuove tecnologie. Tre giorni di confronto, formazione e networking su privacy, cybersecurity, tecnologie emergenti dedicati a imprese, professionisti, scuole.
Main Sponsor: BSD Consulting
Sponsor: Sangfor Technologies Italia, Cyberating, Net Patro ltalia, Intercom Solutions,
Partner: Aruba.it, Spazio Lenovo
Cyber Hermetica — la newsletter per dare un senso all’Era Digitale. Filosofia, riflessioni cypherpunk e sopravvivenza tecnologica. Per i lettori di Privacy Week uno sconto esclusivo del 25% sull’abbonamento annuale. 👉 Clicca qui!
Segui anche i nostri social network e unisciti a un pubblico di più di 25.000 utenti!
Nessun post
Comments
Nothing yet. Say the first thing.
Sign in to join the conversation.