Societe Generale: scarsa sensibilità alla sicurezza e controlli inefficaci

Davvero l'affaire Societe Generale sta assurgendo a parabola su come vengono spesso gestiti i controlli e la sicurezza all'interno delle banche.
Ebbene, come ben spiega il blog Duo&Co nei suoi articoli scritti da un ex-SG (il primo e il secondo) tutto cominciò quando Jérôme Kerviel venne assunto in Societe Generale nel 2000 all'interno del middle- e del back-office della banca.
Fino al 2005 si occupa di controllo dei rischi e dell’autorizzazione delle operazioni, guadagnandosi la fiducia dei colleghi.
Passa poi a occuparsi di arbitraggio sui derivati, ovvero, quell’attività che prevede di prendere posizioni sui mercati contemporaneamente sia puntando a un rialzo, sia a un ribasso, e cercando di guadagnare sul margine tra le due posizioni.
Ma Kerviel è fermamente convinto che i mercati saliranno, e quindi, al riparo del suo angolino, acquisisce posizioni al rialzo sugli indici Eurosoxx, Dax e Ftse, posizioni, quindi, unicamente in un senso, e non in due, come invece richiede la prassi.
Parallelemente però, allo scopo di salvaguardare la sua posizione - a tutti gli effetti speculativa - è necessario costruire una posizione inversa – e quindi fittizia – nei sistemi della banca, mostrando così che le operazioni del trader non sono a rischio.
E qui gli viene in aiuto la sua esperienza passata nel middle-office.
In ogni azienda ci sono settori dove, per ragioni di tempestività nelle operazioni, un dipendente lasci ai colleghi di fiducia l’accesso a un suo account con determinati privilegi, ad esempio, con la possibilità di autorizzare determinate operazioni (in realtà questo accade un po' in tutti gli ambiti di tutte le aziende, purtroppo...)
Normalmente, quando il collega effettua determinate operazioni in vece del titolare dell’account, lo informa dell’attività.
Il sistema interno del dipartimento che si occupa del trading dei derivati in Societe Generale si chiama Eliot: si tratta di un sistema estremamente sensibile e controllato da diverse entità di back- e middle-office.
Purtroppo, però, l'accesso è regolamentato solo da username e password: nessun criterio di autenticazione a due fattori (implementando, ad esempio, smartcard, token USB, impronta digitale, suono della voce, visura retinale, odore del testosterone, ecc).
Jerome Kerviel è cresciuto là dentro, per cui, grazie ai precedenti rapporti con i colleghi, ha accessi con privilegi che gli consentono di scavalcare il perimetro tra le aree definito da quell'approccio chiamato separazione dei ruoli (o in inglese, la segregation of duties), uno dei pilastri fondamentali di ogni metodologia di gestione del rischio.
La segregation of duties è una caratteristica delle organizzazioni che conducono attività con un rischio annesso e, in parole povere, prevede che chi esegue un'attività rischiosa sia un’entità diversa da chi la autorizza.
Nel nostro caso specifico, chi esegue l’attività, indipendentemente da quale essa sia, è il trader Kerviel. Chi la autorizza, dovrebbe essere il collega dei middle-office, che, ricevuta la segnalazione dell’attività - ovvero di una transazione in un solo senso, anziché di due transazioni di senso diverso - intraprende le opportune azioni di verifica.
In realtà, era lo stesso Kerviel che, con user e password del collega, autorizzava ogni movimento non caratterizzato da un movimento di copertura dei rischi.
SG acquista quindi dei contratti forward – simile al contratto future, ma trattato tra banche, anziché sui mercati - su Eurostoxx, Dax e Ftse
Arriva quindi la settimana critica in cui, dal 15 al 18 gennaio, i mercati finanziari subiscono ribassi pesantissimi, per cui le posizioni lunghe, cioè che puntano al rialzo, assunte da Kerviel gli provocano ingenti perdite.
Il 18 gennaio, un nuovo sistema di controllo, individua un movimento sospetto nei confronti di una controparte tedesca.
Il resto è storia recente...

Societe Generale, la banca che negli ultimi anni ha decretato la propria leadership proprio nel mercato dei derivati, si rivela ora un gigante dai piedi d’argilla.
Come può essere successo che un solo uomo potesse costituire una tale concentrazione di privilegi?
Contrariamente a quanto affermato nella prima ora, Kerviel non ha straordinarie capacità informatiche, ma piuttosto conosce molto bene il sistema autorizzativo delle transazioni e, terribile a dirsi, conosce le password di accesso a tale sistema.

Cosa manca quindi in SG?
Pochi, semplici elementi.
Innanzitutto manca una cultura della sicurezza, che, introdotta a tutti i livelli, conduca i dipendenti a comprendere che dare la propria password a un collega comporta dei rischi per l’azienda e per sé, e conduca gli amministratori dei sistemi informativi a costringere i dipendenti a cambiare password periodicamente, in modo che se malauguratamente capitasse che un dipendente dia una sua password a un collega, dopo un certo periodo tale password possa essere resa inutilizzabile.
Secondo elemento: l'implementazione delle prassi di sicurezza in specifiche procedure interne. Questo elemento è il più semplice da attuare e di certo sarà già presente in Societe Generale. Ma purtroppo emanare leggi senza avere un controllo efficiente non serve a nulla.
E quindi arriviamo al terzo elemento (peraltro, forse già introdotto recentemente e grazie al quale si è avuta segnalazione delle speculazioni selvagge di Kerviel): un sistema di segnalazione di posizioni non adeguate alle policy aziendali, ovvero non compliant, che non invii segnalazioni soltanto al personale di middle-office, ma che collezioni i dati per darli in pasto a controlli incrociati, sia automatizzati, sia presentabili al back-office, sia a un’entità di controllo.
Infine l'elemento più tecnologico: un'autenticazione a due fattori, che permetta cioè di determinare l'identità di un'utente che accede al sistema non solo tramite la conoscenza di nome utente e password, ma anche con il possesso di strumenti come smartcard o token usb con certificati, o mediante una scansione dell'impronta digitale.
Costano poco, aiutano molto.

Frode Société Générale: la debacle dei sistemi di controllo interno

I quotidiani francesi di stamane riportano alcuni dettagli di quella che è stata definita la più grande frode della storia della finanza internazionale.
Lo "straordinario talento" dietro a questa manova si chiama Jérôme Kerviel, 31 anni, diplomato all'università di Lione, titolare di un master in finanza dei mercati.
Nel corso del 2007, quello che sembrava a tutti gli effetti una persona senza doti particolari, aveva installato un sistema parallelo non individuabile nella sala mercati, che gli permetteva di mascherare le sue prese di rischio e di non far figurare le rischiose operazioni che spesso producevano perdite e richiedevano coperture.
Secondo Daniel Bouton, l'Amministratore Delegato della banca, Kerviel conosceva tutte le procedure di controllo interno alla banca, grazie alla sua precedente esperienza di 5 anni nelle funzioni di supporto di back-office e middle-office.

Secondo notizie de Le Parisien, l'autore della frode aveva in qualche modo elaborato una doppia contabilità che gli permetteva di svicolare tutti i controlli.
La sua attività consisteva nella vendita di prodotti finanziari e, all'occorrenza, di effettuare coperture su contratti a termine sugli indici borsistici europei, strumenti finanziari di cui Societe Generale è leader mondiale.
Naturalmente l'operatività su questi strumenti ad alto potere di leva finanziaria richiede severissimi criteri di controllo: ed è da lunedì che la commissione bancaria francese si trova presso gli uffici di SG per verificare il sistema dei controlli interni e per suggerire rimedi alle sue debolezze.

Come ci si è accorti della frode?
Venerdì sera, il superiore diretto di Kerviel è stato allertato che il trader aveva superato il limite di rischio regolamentare su un intermediario tedesco.

Ad ogni buon conto, sembra effettivamente incredibile che un buco del genere possa essere stato coperto per un anno intero, anche se il trader conosceva perfettamente il sistema dei controlli interno: quando le perdite raggiungono un certo livello, è necessario coprire la posizione: ma di norma si possono raggiungere eccezionalmente perdite di 200 milioni di euro, non di ben 5 miliardi!
Se questo risulterà vero, va da sé pensare che le procedure di controllo interno della banca sono gravemente insufficienti, e che non esistono opportuni strumenti software per il contenimento del rischio. Incredibilmente grave per una banca che, negli ultimi anni, si è costruita una solida immagine nella gestione degli strumenti finanziari a elevato livello di rischio.

Pare invece poco sensata la tesi per cui la banca stia utilizzando questo episodio per giustificare perdite ingenti dovute ad altre ragioni, come ad esempio l'esposizione sui mutui subprime: se così fosse, sarebbero i vertici bancari gli autori stessi della frode, e l'inevitabile esposizione ai successivi controlli della Commissione Bancaria lo dimostrerebbe.

E' invece tutto più semplice perché ascrivibile al talento del singolo e al fallimento degli eventuali sistemi di controllo posti in essere.
Conclusione: non siate mai soddisfatti dei vostri sistemi di controllo. Per quanto abbiate lavorato sodo, il rischio esisterà sempre.
Ma fate in modo che sia un rischio correttamente valutato e sostenibile.

Dispositivi sul lavoro? I diritti dell'azienda

Riprendo integralmente da i-dome un articolo sull'utilizzo privato di mezzi messi a disposizione dal datore di lavoro. L'articolo è di Valentina Frediani (Consulentelegaleinformatico.it - Consulentelegaleprivacy.it).

Ha sollevato scalpore la recente notizia del dipendente licenziato per un uso illegittimo del cellulare, peraltro non avendone abusato direttamente ma avendo omesso di sorvegliare il telefonino che veniva utilizzato dal figlio per un massiccio invio di SMS. C'è chi ha ritenuto eccessiva la posizione della Cassazione, e chi invece ha sostenuto la giustezza della pronuncia alla luce degli indebiti vantaggi conseguiti dal dipendente, peraltro a totale discapito economico del datore di lavoro.

Questa vicenda non fa che confermare la diffusione di una consuetudine che si è radicata nella nostra realtà lavorativa, e che coinvolge particolarmente i dipendenti nel loro rapporto con i telefonini, la posta elettronica, le connessioni ed i pc messi a disposizione dal datore di lavoro per scopi lavorativi.

Questi beni in uso abitualmente nelle strutture lavorative, vengono utilizzati dai dipendenti in gran parte dei casi, come beni quasi "propri", assumendo il datore di lavoro un ruolo marginale rispetto alla loro gestione.
Questa idea si è diffusa anche grazie al rapporto pressoché diretto e autonomo che il lavoratore ha con i beni stessi: il telefonino in genere va in uso ad un solo dipendente, il quale ovviamente ne diffonde il numero e con il quale si rende talvolta reperibile anche privatamente; stesso principio per la posta elettronica, sulla quale spesso non si applica alcuna differenza tra uso privato ed uso aziendale; il pc essendo in genere utilizzato solo da un utente, ospita anche documenti o immagini personali (chi non ha le foto dei figli o del cane sul pc aziendale????), così come le connessioni talvolta durante l'orario di lavoro si direzionano verso siti di attualità, passatempi ecc.

Nel tempo si sono succedute tante di quelle sentenze, spesso contrastanti, che hanno rafforzato i dubbi anziché dissiparli, arrivando così nel 2007 a dover vedere la Cassazione giudicare addirittura un licenziamento che trae origine da degli SMS.

Il punto è che non si attribuisce alcun disvalore all'utilizzo di certe risorse fuori dai limiti dell'uso aziendale. Probabilmente della sentenza non se ne sarebbe parlato se l'utilizzo indebito avesse riguardato un altro bene (avrebbe fatto notizia un licenziamento imputabile ad un utilizzo privato dell'auto aziendale?).

Proprio per ovviare a queste spiacevoli vicende (probabilmente il licenziato è ancora lì a chiedersi perché tanto accanimento...) recentemente è addirittura intervenuta l'Autorità Garante per la privacy. Che c'entra? C'entra perché finalmente in un provvedimento formale si è implicitamente denunciata l'assenza di una linea chiarificatrice in merito alla destinazione aziendale di risorse informatiche/telematiche. Difatti, nel provvedimento datato marzo 2007, è la prima volta che si parla chiaramente della necessità, da parte del datore di lavoro, di chiarire con precisione, l'obbligo di destinazione delle risorse tecnologiche impiegate nell'azienda, in cui certamente non rientrano solo posta elettronica o connessioni, ma anche i mezzi di comunicazione come i telefonini.

Il datore di lavoro può accedere ai dati
Se da una parte il Garante ha giustificato il provvedimento alla luce della necessità di bilanciare gli interessi del datore di lavoro rispetto al diritto alla privacy del lavoratore, dall'altra il medesimo provvedimento costituisce certamente uno stimolo per prendere atto che, ad oggi, certe presunzioni inerenti un utilizzo vincolato degli strumenti sul posto di lavoro, non sussistono.

E proprio l'uso dei telefonini ne è l'espressione piena. Si crede che sussistendo la privacy il datore di lavoro non abbia diritto di andare a verificare nel dettaglio l'uso che viene fatto dell'apparecchio; cosa assolutamente non vera, visto e considerato che proprio nel Codice privacy (decreto legislativo n. 196/2003) il legislatore ha sancito all'art. 124 (denominato Fatturazione dettagliata) che l'abbonato ha diritto di ricevere in dettaglio, a richiesta e senza alcun aggravio di spesa, la dimostrazione degli elementi che compongono la fattura, relativi, in particolare, alla data e all'ora di inizio della conversazione, al numero selezionato, al tipo di numerazione, alla località, alla durata e al numero di scatti addebitati per ciascuna conversazione (tale diritto è ovviamente valido anche per gli SMS!). È palese dunque che coincidendo l'abbonato con la figura del datore di lavoro, quest'ultimo possa accedere ai dettagli - diritto riconosciuto anche alla luce del fatto che i costi sono a suo carico - non violando, ma semplicemente superando la privacy che non può essere riconosciuta al dipendente il quale abbia in gestione un bene aziendale.

Lo stesso identico concetto è applicabile alla posta elettronica come alle connessioni ad internet, come al pc se forniti dal datore di lavoro. Tutto quanto sopra detto, è per concludere - come tante volte ormai la sottoscritta ha concluso - che il datore di lavoro per evitare tanti problemi dovrebbe predisporre un buon regolamento o idonei verbali di consegna degli strumenti che mette a disposizione del dipendente e che potrebbero - per la loro natura - essere "fraintesi" come beni quasi personali.

Il grave inadempimento che ha posto in essere il dipendente licenziato è stato sostanzialmente attribuito alla condotta assunta dallo stesso che si è comportato contrariamente alla comune etica o al comune vivere civile. Gli stessi principi che potrebbero essere invocati in casi di utilizzo per scopi personali della posta elettronica aziendale, come delle connessioni, e via dicendo. L'impressione è che se non si impara a "civilizzarsi" su questi aspetti, la sentenza della Cassazione non sarà l'ultima in materia.

Come sottrarre i dati di 2 milioni di clienti e vivere felici (o quasi...)

C'è stato bisogno dei servizi segreti (sic!) per scoprire cosa è stato sottratto e come dalla Certegy Check Services, una società statunitense di gestione pagamenti.
Cosa? I dati di 2,3 milioni clienti.
Come? Con una semplice query verso un database
Da chi? Da un amministratore di database.
Leggete l'articolo completo su SecurityFocus.

Legge 196/03: il governo italiano vuole esonerare le PMI

Leggo dal blog di Gigi tagliapietra, presidente del Clusit, che nella seduta 164 del 5/6/2007, la Camera dei Deputati ha votato, a larghissima maggioranza, un progetto di legge che prevede l'esonero per le imprese fino a 15 addetti dall'osservanza delle misure minime di sicurezza per il trattamento dei dati previsti negli art. 33-35 della legge 196/03.
Il Clusit chiede la sospensione del progetto di Legge e l'introduzione di iniziative mirate a facilitare e supportare le PMI in questo compito.
Leggi il comunicato stampa.
Notoriamente il sistema produttivo italiano è caratterizzato dalla prevalenza di micro e piccole imprese: sono oltre 4 milioni quelle con meno di 10 addetti. Esse rappresentano il 95 per cento del totale ed occupano il 47 per cento degli addetti. (ISTAT, "Struttura e dimensione delle imprese", Ottobre 2006).
Pensate alle imprese che si occupano di e-commerce, o che gestiscono dati sensibili in genere: forse che la dimensione dell'azienda abbia qualche influenza sull'importanza delle informazioni che gestisce?
La risultante è uno svilimento della figura della piccola impresa, che si può comportare in modo diverso dalle sorelle maggiori.
Sono sconcertato che il governo pensi che la salvaguardia delle attività di quello che è la componente principale del tessuto produttivo italiano abbia un'importanza relativa.
Si ricade sempre nella sensazione diffusa (ed errata!) che tutto quanto attiene alla protezione delle informazioni sia da considerarsi un mero costo, anziche' una garanzia per il futuro dell'impresa.