È destinato ad accadere. Un tesoriere aziendale di una società di medie dimensioni riceve un’e-mail riservata contrassegnata come “urgente” dal CEO con le istruzioni di trasferire $ 750.000 a un conto bancario estero come acconto su un’acquisizione in sospeso.
Sapendo che un tale accordo è in corso e non volendo mettere in discussione la direttiva di un leader senior, il tesoriere si adegua rapidamente e torna a casa per la giornata.
La mattina dopo, il tesoriere si sveglia a una telefonata furiosa da parte del CEO chiedendo di sapere perché una tale enorme somma di denaro è uscita dalla porta senza l'approvazione personale del CEO. Più tardi quel pomeriggio, quando diventa chiaro che la confusione è il risultato di una truffa di spear phishing e i fondi sono stati rubati, quel tesoriere viene licenziato.
I tesorieri di solito non ricevono molta attenzione nelle aziende. Sono in genere raggi invisibili nelle ruote finanziarie che elaborano gli esborsi interni ed esterni e mantengono la funzione finanziaria senza intoppi ed efficiente. Ma recentemente, mentre i sistemi di gestione del tesoro (TMS) sono andati online, le transazioni del tesoro sono diventate esposte al mondo e agli hacker.
Di conseguenza, molti tesorieri si ritrovano a indossare un nuovo cappello inaspettato: il combattente del crimine informatico.
“Il tesoro di dati personali e aziendali, la sua autorità di effettuare pagamenti e spostare grandi quantità di denaro e la sua struttura spesso complessa lo rendono una scelta attraente per i criminali informatici”, secondo un rapporto dell’Economist Intelligence Unit e Deutsche Bank.
Gli hack del tesoro aziendale stanno aspettando di accadere
Molti degli attacchi di alto profilo che coinvolgono tesorieri hanno preso di mira le agenzie governative. Ma questo non significa che i tesorieri aziendali siano immuni. Un sondaggio dell’Association for Financial Professionals (AFP) riporta che il 71% delle aziende è stato vittima di attacchi o tentativi di frode di pagamento nel 2021 e quasi il 70% è stato preso di mira attraverso la compromissione delle e-mail aziendali (BEC), con i dipartimenti di contabilità fornitori più sensibili.
“Ci sarà qualcuno, da qualche parte, che troverà un modo per entrare nel tuo sistema. I tesorieri devono pianificare ciò che faranno quando ciò accadrà”.Naresh Aggarwal, direttore associato di politica e tecnica, Associazione dei Tesorieri Aziendali
Naresh Aggarwal, direttore associato della politica e della tecnica per l’Associazione dei Tesorieri Aziendali (ACT) nel Regno Unito, afferma che mentre molti di questi attacchi spesso volano sotto il radar del pubblico, è solo una questione di tempo prima che i tesorieri aziendali trovino i loro dipartimenti cadere preda dei grandi hack che hanno afflitto i loro colleghi del settore pubblico.
"È un errore pensare che qualsiasi organizzazione possa essere immune agli attacchi", afferma Aggarwal. “In questo gioco di sicurezza per gatti e topi che giochiamo, ci sarà qualcuno, da qualche parte, che troverà un modo per entrare nel tuo sistema. I tesorieri devono pianificare ciò che faranno quando ciò accadrà”.
Aggarwal dice che i tesorieri, come guardiani del denaro, hanno una tendenza naturale ad essere gestori del rischio. Sfortunatamente, relativamente pochi hanno background tecnologici o di sicurezza.
I tesorieri stanno diventando cyber-consapevoli
Con la crescente sofisticazione degli attacchi informatici e la pressante necessità di impedire che i sistemi di gestione del tesoro diventino vie di accesso digitali alle casse aziendali, questo sta cambiando.
In effetti, i tesorieri in un 2022 ACT sondaggio globale (“Tesorieri ad alto livello di allerta”) hanno citato la sicurezza informatica come la loro preoccupazione principale, eclissando l’inflazione, il COVID-19, l’incertezza geopolitica e le sfide ambientali. L’80% dei tesorieri intervistati ha dichiarato che le loro organizzazioni stanno investendo in tecnologie di sicurezza informatica, rispetto al 72% di 2021.
I tesorieri in genere non determinano le soluzioni di sicurezza che le loro aziende acquistano, anche se molti sono coinvolti nelle decisioni di acquisto di assicurazioni informatiche. Rispetto alla situazione di circa un decennio fa, stanno collaborando sempre più con la finanza, le operazioni e la leadership della sicurezza su tali acquisti. Inoltre, condividono la responsabilità di ottenere l’approvazione per il finanziamento tecnologico da parte della C-suite e del consiglio di amministrazione.
Combattere i rischi e prendere nomi
Aggarwal afferma che i tesorieri aziendali più efficaci non solo si collegano regolarmente e comunicano con colleghi di livello senior sulla gestione del rischio, ma aiutano anche a pianificare e chiarire ruoli e responsabilità per ogni funzione in previsione di futuri attacchi informatici. Inoltre, mantengono la C-suite e il board informati sui controlli di sicurezza che hanno implementato e sui test di penetrazione che hanno condotto. In breve, sono collaborativi e comunicativi.
“La squadra del Tesoro non dovrebbe mai operare in un silo”, sottolinea Aggarwal. “È importante per loro condurre conversazioni in questo spazio di gestione del rischio finanziario. E questo significa che dovranno comprendere appieno i rischi informatici, anche se non capiscono tutti i dettagli tecnici dietro di loro.
Per aiutare le organizzazioni a evitare un attacco informatico e ridurre al minimo i danni nel caso in cui si verificasse, i tesorieri che parlano con Endpoint raccomandano i passaggi seguenti.
1. Contribuire a stabilire politiche di sicurezza globali. Secondo ACT, il tesoriere dovrebbe collaborare con i leader senior della sicurezza informatica per creare e Enforce politiche di sicurezza coerenti, in particolare quelle relative ai pagamenti. Le politiche dovrebbero includere una serie di controlli e saldi digitali per prevenire scenari di spear phishing, in cui i dipendenti vengono indotti a trasferire denaro su account di terze parti. Aggarwal afferma che le politiche potrebbero anche comportare la creazione di un "campione dei pagamenti" per esaminare grandi esborsi prima di finalizzare.
2. Assicurarsi che l’IT dia priorità alla funzione di tesoreria. I responsabili IT spesso dedicano la massima attenzione ai reparti che hanno il maggior numero di utenti che accedono ai propri sistemi. Ma Royston Da Costa, tesoriere del gruppo di assistenza a Ferguson, una società di impianti idraulici e di riscaldamento da 23 miliardi di dollari, afferma che i leader della sicurezza informatica dovrebbero essere altrettanto preoccupati di proteggere le risorse critiche come il tesoro di un’azienda quanto lo sono i suoi endpoint.
Quando è entrato a far parte della sua azienda 20 anni fa, Da Costa ha cercato un supporto di sicurezza premium per il suo reparto, che all'epoca aveva solo quattro dipendenti. Il team IT ha inizialmente respinto la richiesta. “Siamo stati relegati alla terra di nessuno”, ricorda. “Mi ci è voluto un bel po’ per cambiare idea”.
Alla fine, Da Costa è riuscita a convincere l’IT che il problema principale era il rischio che il tesoro gestisse, non quante persone utilizzassero i sistemi. “È stato un grande aprisguardi per loro”, dice. “In quei giorni, gestivamo circa 2,1 miliardi di dollari di fondi. Non appena l’hanno ottenuto, le campane sono scoppiate e ci hanno messo in cima alla loro lista di priorità”.
3. Stabilire un programma di sicurezza informatica specifico per il tesoro. Nel suo rapporto, Deutsche Bank ha osservato che se la sicurezza informatica è un obiettivo, la tesoreria dovrebbe avere una propria iniziativa di gestione della sicurezza informatica, idealmente allineata a una strategia aziendale e tale strategia dovrebbe estendersi a tutte le persone e i processi che potrebbero interagire con la tesoreria, compresi tutti i tesoreria aziendale, le banche che elaborano le transazioni di una società, gli uffici SWIFT che forniscono soluzioni di connettività bancaria, le camere di compensazione automatizzate che forniscono soluzioni di pagamento e i fornitori di elaborazione delle carte di credito.
4. Abbraccia le tecnologie attuali. I sistemi di gestione della tesoreria sono fondamentali per la gestione del flusso di cassa e del rischio di un’azienda. Ma i sistemi ingegnerizzati anni fa potrebbero non avere le funzionalità di sicurezza necessarie per respingere le moderne minacce informatiche. Anche se sono più recenti, i sistemi possono ancora essere vulnerabili se non vengono regolarmente aggiornati o patchati.
“Abbiamo gestito circa 2,1 miliardi di dollari di fondi. Non appena [il team IT] l’ha capito, le campane sono scoppiate e ci hanno messo in cima alla loro lista di priorità.Royston Da Costa, assistente tesoriere del gruppo, Ferguson
ACT consiglia ai dipartimenti di tesoreria di valutare regolarmente se stanno eseguendo le versioni TMS correnti e se dispongono di risorse IT interne sufficienti per gestire e proteggere il sistema. Se un dipartimento di tesoreria decide di progettare o implementare la propria tecnologia proprietaria, Da Costa raccomanda inoltre di confermare che il CISO dell'azienda ha firmato, per evitare potenziali problemi di compatibilità o supporto lungo la strada.
5. Treno, treno, treno. Anche con la tecnologia migliore e più attuale, tuttavia, le vulnerabilità si insinuano sempre. “La principale debolezza della sicurezza informatica è l’uomo e lo è sempre stata”, afferma Chris van Dijl, tesoriere internazionale, formatore e fondatore della società di consulenza per la gestione aziendale Cugavadi. “I furfanti stanno diventando molto più intelligenti nel trarre vantaggio dalle persone e possono superare qualsiasi dipartimento del tesoro che non sia adeguatamente preparato”.
[Leggi anche: Perché i lavoratori violano le politiche di sicurezza informatica]
I professionisti della sicurezza dicono che è vitale, soprattutto con molti dipendenti che lavorano da casa, istruire i lavoratori sui processi di pagamento sicuri, nonché sulle attuali minacce di phishing , ingegneria sociale e malware . Mentre il 69% dei dipendenti in un sondaggio di 2021 TalentLMS e Kenna Security ha dichiarato di aver completato la formazione sulla sicurezza informatica, il 61% non ha superato i quiz di follow-up.
Alla fine della giornata, i tesorieri aziendali devono svolgere un ruolo più attivo nella sicurezza informatica delle loro organizzazioni. Ciò significa intensificare, far sentire la loro presenza e dare l'esempio per garantire i soldi della loro azienda.
Perché se non lo fanno, non c’è alcuna garanzia che qualcun altro lo farà. Dopo tutto, il dollaro si ferma con loro.
