Poiché le minacce informatiche diventano sempre più sofisticate e dirompenti, contrastarle richiede una leadership coordinata e una comunicazione chiara, secondo il Chief Risk Officer di GCash, Ingrid Rose Ann Beroña.

GCash, gestita da Globe Fintech Innovations Inc. (Mynt), è la più grande piattaforma di portafoglio mobile delle Filippine, che elabora miliardi di transazioni all'anno e serve decine di milioni di utenti. Con l'accelelazione dell'adozione dei pagamenti digitali in tutto il Paese — favorita in parte dalla spinta della Bangko Sentral ng Pilipinas a digitalizzare la maggior parte delle transazioni al dettaglio — la sicurezza di piattaforme come GCash è diventata sempre più critica per il più ampio sistema finanziario.

Parlando durante il secondo panel del summit, la signora Beroña ha illustrato in dettaglio come le organizzazioni possono prepararsi e rispondere alle crisi informatiche. Nel suo ruolo attuale, sovrintende all'intero quadro di governance del rischio aziendale di GCash, che comprende la gestione dell'assurance aziendale, la business continuity e la resilienza organizzativa.

Un quadro di cybersecurity a tre pilastri

La signora Beroña ha delineato tre pilastri chiave su cui GCash fonda la propria strategia di cybersecurity: investire nella tecnologia per prevenire le frodi, educare i clienti a fungere da prima linea di difesa contro le truffe e promuovere partnership che attraversano i settori pubblico e privato.

Il primo pilastro consiste nello sfruttare la tecnologia per rafforzare i controlli di sicurezza e contrastare proattivamente le minacce informatiche in continua evoluzione. "Abbiamo implementato numerosi controlli di sicurezza per garantire che i nostri consumatori siano al sicuro nell'app, perché la nostra priorità numero uno è la fiducia e la sicurezza", ha dichiarato.

Tra questi controlli figura GCash DoubleSafe, una funzione di sicurezza che utilizza la scansione selfie per proteggere gli account degli utenti da accessi non autorizzati. Le salvaguardie biometriche come questa sono diventate sempre più diffuse tra le piattaforme fintech del Sud-est asiatico, dato che gli attacchi di ingegneria sociale contro gli utenti di portafogli mobili continuano ad aumentare. Tuttavia, la signora Beroña ha sottolineato che nemmeno le tecnologie più avanzate possono proteggere pienamente gli utenti quando i criminali informatici riescono a sfruttare il comportamento umano.

"Non importa quante serrature inseriamo nei nostri sistemi, nella nostra tecnologia o nella nostra app: se consegni le chiavi di quelle serrature, i truffatori possono comunque entrare. Questo fa parte del motivo per cui GCash e altre istituzioni finanziarie non chiedono mai il tuo MPIN o OTP", ha affermato.

Il terzo pilastro sottolinea la collaborazione tra imprese, regolatori, agenzie di applicazione della legge e partner tecnologici. La signora Beroña ha citato l'operazione congiunta di GCash con il Cybercrime Investigation and Coordinating Center di inizio anno per contrastare il gioco d'azzardo illegale, un'operazione che ha portato alla chiusura di 3.200 esercenti coinvolti nell'attività.

"Siamo tutti in questa insieme. Dobbiamo assicurare che il settore privato, il governo e persino i partner esterni collaborino per combattere le frodi e gli attacchi informatici, garantendo al contempo che tutti siano al sicuro in questo spazio digitale", ha sostenuto.

Risposta alle crisi: sii rapido, sii chiaro, sii conciso

Oltre alla prevenzione delle minacce, la signora Beroña ha condiviso tre principi guida per le organizzazioni che rispondono a qualsiasi crisi, compresi gli incidenti informatici: essere rapidi, essere chiari ed essere concisi. Questi principi sono in linea con i quadri di risposta agli incidenti di cybersecurity ampiamente riconosciuti che danno priorità al contenimento rapido e alla comunicazione trasparente con gli stakeholder.

"Essere rapidi non significa necessariamente risolvere il problema immediatamente. Significa essere rapidi nel riconoscere che c'è un incidente, perché l'identificazione e il riconoscimento sono i pulsanti per attivare un crisis command center o un programma di crisis management", ha spiegato.

Il suo secondo principio si concentra sulla comunicazione chiara, distinguendo i fatti verificati dalle informazioni ancora in fase di accertamento. "Le persone devono capire quali sono i fatti e saper separare ciò che è accertato da ciò che è ancora in fase di indagine", ha detto, noting che la trasparenza consente alle organizzazioni di comunicare in modo responsabile con clienti, regolatori, media e altri stakeholder.

"Il mio terzo principio è essere concisi e orientarsi all'azione. Le persone devono capire cosa devono fare, come dovrebbero eseguire le loro responsabilità e come inoltrare adeguatamente i problemi mentre stanno accadendo", ha continuato la signora Beroña.

Il ruolo del crisis commander

In GCash, il ruolo di crisis commander è costruito attorno a questi stessi tre valori. Secondo la signora Beroña, questa persona ha il compito di coordinare la risposta complessiva dell'organizzazione anziché guidare direttamente l'indagine tecnica. Questa separazione tra coordinamento e indagine tecnica riflette pratiche consolidate di risposta agli incidenti che distinguono tra mitigazione operativa e processo decisionale strategico.

"Il vostro crisis commander dovrebbe essere un dirigente che possieda, in primo luogo, capacità di decisione agile; in secondo luogo, ottime competenze comunicative; e in terzo luogo, ottime capacità di coordinamento", ha dichiarato.

Il crisis commander sovrintende al coordinamento tra i team di risposta agli incidenti, i dirigenti e le comunicazioni aziendali, garantendo che i decisori ricevano informazioni accurate e che le procedure di risposta consolidate siano seguite, ha aggiunto.

La signora Beroña ha inoltre sottolineato l'importanza di riconoscere gli incidenti prima che le speculazioni e le voci prendano il sopravvento sulla comunicazione ufficiale. "È molto importante riconoscere un incidente, e il tempismo è altrettanto importante", ha affermato. "Se i vostri consumatori stanno già subendo l'impatto del problema e circolano voci, significa che siete in ritardo nel riconoscerlo."

Le organizzazioni, ha sostenuto, non dovrebbero attendere il completamento delle indagini prima di comunicare al pubblico. "Quando comunicate all'esterno, sia ai consumatori che ad altri stakeholder, non è necessario avere la storia o la narrazione completa. Non c'è nulla di male nel dire: 'Abbiamo un problema, ma non dovete preoccuparvi perché ci stiamo già lavorando e stiamo facendo qualcosa al riguardo'", ha dichiarato la signora Beroña.

— Jomarc Angelo M. Corpuz