È inevitabile che accada. Il responsabile della tesoreria di un’azienda di medie dimensioni riceve un’e-mail riservata contrassegnata come “urgente” dall’ CEO , contenente istruzioni per effettuare un bonifico di 750.000 dollari su un conto bancario estero a titolo di acconto per un’acquisizione in corso.
Sapendo che tale accordo è in corso e non volendo mettere in discussione le direttive di un alto dirigente, il tesoriere si adegua prontamente e torna a casa per concludere la giornata.
La mattina seguente, il tesoriere viene svegliato da una telefonata furiosa da parte dell’ CEO , che esige di sapere perché una somma di denaro così ingente sia stata erogata senza l’approvazione personale dell’ CEO. Più tardi, nel corso del pomeriggio, quando diventa chiaro che la confusione è il risultato di una truffa di spear phishing e che i fondi sono stati sottratti, il tesoriere in questione viene licenziato.
Di norma, i direttori finanziari non ricevono molta attenzione all’interno delle società. Si tratta in genere di figure invisibili all’interno dell’apparato finanziario che gestiscono i pagamenti interni ed esterni e garantiscono il funzionamento regolare ed efficiente della funzione finanziaria. Tuttavia, di recente, con la migrazione online dei sistemi di gestione della tesoreria (TMS), le operazioni di tesoreria sono diventate accessibili a tutti — e agli hacker.
Di conseguenza, molti responsabili della tesoreria si ritrovano a ricoprire un nuovo ruolo inaspettato: quello di combattenti contro la criminalità informatica.
“Il patrimonio di dati personali e aziendali di cui dispone un dipartimento del tesoro, la sua autorità di effettuare pagamenti e movimentare ingenti somme di denaro, nonché la sua struttura spesso complessa, lo rendono una scelta allettante per i criminali informatici”, secondo un rapporto intitolato “ ” ( ) redatto dall’Economist Intelligence Unit e dalla Deutsche Bank.
Gli attacchi informatici ai sistemi di tesoreria aziendale sono solo una questione di tempo
Molti degli attacchi di maggiore risonanza che hanno coinvolto i tesorieri hanno preso di mira le agenzie governative. Ma ciò non significa che i responsabili della tesoreria aziendale ne siano immuni. Un sondaggio condotto dall’Association for Financial Professionals (AFP) rivela che nel 2021 il 71% delle aziende è stato vittima di attacchi o tentativi di frode nei pagamenti e che quasi il 70% è stato preso di mira tramite attacchi di tipo “business email compromise” (BEC), con i reparti della contabilità fornitori che risultano i più vulnerabili.
«: Ci sarà sempre qualcuno, da qualche parte, che troverà un modo per introdursi nel vostro sistema.» I tesorieri devono pianificare come agire quando ciò accadrà.”Naresh Aggarwal, vicedirettore per le politiche e gli aspetti tecnici dell’Association of Corporate Treasurers
Naresh Aggarwal, vicedirettore per le politiche e gli aspetti tecnici dell’Association of Corporate Treasurers (ACT) nel Regno Unito, afferma che, sebbene molti di questi attacchi passino spesso inosservati all’opinione pubblica, è solo questione di tempo prima che i responsabili della tesoreria aziendale vedano i propri dipartimenti cadere vittime degli attacchi informatici su larga scala che hanno afflitto i loro colleghi del settore pubblico.
«È un errore pensare che un’organizzazione possa rendersi immune agli attacchi», afferma Aggarwal. «In questo gioco al gatto e al topo che conduciamo in materia di sicurezza, ci sarà sempre qualcuno, da qualche parte, che troverà un modo per introdursi nel vostro sistema.» I tesorieri devono pianificare cosa faranno quando ciò accadrà.”
Aggarwal afferma che i tesorieri, in quanto custodi del denaro, hanno effettivamente una naturale propensione a ricoprire il ruolo di gestori del rischio. Purtroppo, sono relativamente pochi quelli che hanno un background nel settore tecnologico o della sicurezza.
I responsabili finanziari stanno acquisendo maggiore consapevolezza in materia di sicurezza informatica
Con la crescente sofisticazione degli attacchi informatici e l’urgente necessità di impedire che i sistemi di gestione della tesoreria diventino delle vere e proprie autostrade digitali verso le casse aziendali, la situazione sta cambiando.
Infatti, i responsabili della tesoreria intervistati nell’ambito di un’indagine globale condotta da 2022 ACT (“Treasurers on High Alert”) hanno indicato la sicurezza informatica come la loro principale preoccupazione, davanti all’inflazione, al COVID-19, all’incertezza geopolitica e alle sfide ambientali. L’ottanta per cento dei responsabili finanziari intervistati ha dichiarato che le proprie organizzazioni stanno investendo in tecnologie per la sicurezza informatica, in aumento rispetto al 72% registrato nel 2021.
I responsabili finanziari non sono solitamente incaricati di scegliere le soluzioni di sicurezza che le loro aziende acquistano, sebbene molti di loro siano coinvolti nelle decisioni relative all’acquisto di assicurazioni contro i rischi informatici. Rispetto alla situazione di circa un decennio fa, stanno collaborando sempre più spesso con i responsabili dei settori finanziario, operativo e della sicurezza in merito a tali acquisti. Inoltre, condividono la responsabilità di ottenere l’approvazione dei finanziamenti destinati al settore tecnologico da parte dei vertici aziendali e del consiglio di amministrazione dell’ .
Combattere il rischio e prendere nota dei nomi
Aggarwal afferma che i responsabili della tesoreria aziendale più efficaci non solo mantengono contatti regolari e comunicano con i colleghi di alto livello in merito alla gestione dei rischi legati all’ e, ma contribuiscono anche a pianificare e chiarire i ruoli e le responsabilità di ciascuna funzione in previsione di futuri attacchi informatici. Inoltre, tengono informati i vertici aziendali e il consiglio di amministrazione in merito alle misure di sicurezza che hanno implementato e ai test di penetrazione che hanno condotto. In breve, sono collaborativi e comunicativi.
«Il team della tesoreria non dovrebbe mai operare in modo isolato», sottolinea Aggarwal. «È importante che siano loro a guidare il dibattito in questo ambito della gestione dei rischi finanziari. «Ciò significa che dovranno comprendere appieno i rischi informatici, anche se non ne comprendono tutti i dettagli tecnici».
Per aiutare le organizzazioni a prevenire un attacco informatico e a ridurre al minimo i danni qualora dovesse verificarsi, i responsabili finanziari intervistati da Endpoint raccomandano di adottare le seguenti misure.
1. Contribuire alla definizione delle politiche di sicurezza a livello globale. Secondo l’ACT, il tesoriere dovrebbe collaborare con i responsabili di alto livello della sicurezza informatica per elaborare e Enforce applicare politiche di sicurezza coerenti, in particolare quelle relative ai pagamenti. Le politiche dovrebbero prevedere una serie di controlli e contrappesi digitali volti a prevenire casi di spear phishing, in cui i dipendenti vengono indotti con l’inganno a trasferire denaro su conti di terzi. Aggarwal afferma che le politiche potrebbero anche prevedere la creazione di un “responsabile dei pagamenti” incaricato di esaminare attentamente gli esborsi di importo elevato prima della loro finalizzazione.
2. Si assicuri che il reparto IT attribuisca la massima priorità alla funzione di tesoreria. I responsabili IT dedicano spesso la massima attenzione ai reparti che contano il maggior numero di utenti che accedono ai propri sistemi. Tuttavia, Royston Da Costa, vice tesoriere del gruppo presso Ferguson, un’azienda operante nel settore idraulico e del riscaldamento con un fatturato di 23 miliardi di dollari, sostiene che i responsabili della sicurezza informatica dovrebbero prestare la stessa attenzione alla protezione delle risorse critiche , quali la tesoreria aziendale, che prestano agli endpoint.
Quando entrò a far parte della sua azienda 20 anni fa, Da Costa cercò un servizio di sicurezza di alto livello per il suo reparto, che all’epoca contava solo quattro dipendenti. Il team IT aveva inizialmente respinto la richiesta. «Siamo stati relegati nella terra di nessuno», ricorda. «Mi ci è voluto un bel po’ di tempo per far loro cambiare idea.»
Alla fine, Da Costa è riuscito a convincere il reparto IT che il problema principale era il rischio gestito dalla tesoreria, e non il numero di persone che utilizzavano i sistemi. «Quella esperienza è stata per loro una vera rivelazione», afferma. «A quei tempi, gestivamo fondi per un valore di circa 2,1 miliardi di dollari. «Non appena l’hanno capito, è scattato l’allarme e ci hanno messo in cima alla loro lista di priorità».
3. Istituire un programma di sicurezza informatica specifico per il dipartimento del Tesoro. Nella propria relazione, la Deutsche Bank ha osservato che, se la sicurezza informatica costituisce un obiettivo, la funzione di tesoreria dovrebbe disporre di una propria iniziativa di gestione della sicurezza informatica, idealmente allineata alla strategia aziendale; tale strategia dovrebbe estendersi a tutte le persone e a tutti i processi che potrebbero interagire con la tesoreria, compresi tutti i membri della tesoreria aziendale, le banche che elaborano le transazioni dell’azienda, gli uffici SWIFT che forniscono soluzioni di connettività bancaria, le camere di compensazione automatizzate che forniscono soluzioni di pagamento e i fornitori di servizi di elaborazione delle carte di credito.
4. Adottino le tecnologie attuali. I sistemi di gestione della tesoreria sono fondamentali per la gestione del flusso di cassa e del rischio di un’azienda. Tuttavia, i sistemi progettati anni fa potrebbero non disporre delle funzionalità di sicurezza necessarie per contrastare le moderne minacce informatiche. Anche se sono più recenti, i sistemi possono comunque risultare vulnerabili se non vengono aggiornati o corretti regolarmente .
«Abbiamo gestito fondi per un valore di circa 2,1 miliardi di dollari. Non appena [il team IT] ne è venuto a conoscenza, è scattato l’allarme e ci hanno inseriti in cima alla loro lista di priorità.”Royston Da Costa, vicedirettore finanziario del gruppo, Ferguson
L’ACT raccomanda ai dipartimenti di tesoreria di verificare regolarmente se stiano utilizzando le versioni più recenti di TMS e se dispongano di risorse IT interne sufficienti per gestire e garantire la sicurezza del sistema. Qualora un dipartimento di tesoreria decida di progettare o implementare una propria tecnologia proprietaria, Da Costa raccomanda inoltre di accertarsi che il CISO dell’azienda abbia dato la propria approvazione, al fine di evitare potenziali problemi di compatibilità o di assistenza in futuro.
5. Allenarsi, allenarsi, allenarsi. Tuttavia, anche con la tecnologia migliore e più avanzata, le vulnerabilità finiscono sempre per insinuarsi. «Il principale punto debole della sicurezza informatica è rappresentato dalle persone, e lo è sempre stato», afferma Chris van Dijl, tesoriere internazionale, formatore e fondatore della società di consulenza gestionale Cugavadi. «I truffatori stanno diventando sempre più abili nell’approfittare delle persone e sono in grado di avere la meglio su qualsiasi dipartimento di tesoreria che non sia adeguatamente preparato».
[Leggi anche: Perché i lavoratori violano le politiche di sicurezza informatica]
Gli esperti di sicurezza sostengono che sia fondamentale — soprattutto ora che molti dipendenti lavorano da casa — istruire i lavoratori sulle procedure di pagamento sicure, nonché sulle minacce attuali legate al phishing , all’ingegneria sociale, , al social engineering e al malware . While 69% of employees in a 2021 TalentLMS and Kenna Security survey said they had completed cybersecurity training, 61% failed follow-up quizzes.
In definitiva, i responsabili della tesoreria aziendale devono assumere un ruolo più attivo nella sicurezza informatica delle proprie organizzazioni. Ciò significa farsi avanti, far sentire la propria presenza e dare l’esempio per salvaguardare il patrimonio della propria azienda.
Perché, se non lo fanno loro, non c’è alcuna garanzia che lo faccia qualcun altro. Dopotutto, la responsabilità ricade su di loro.
