Affrontare la sicurezza informatica attraverso la lente delle cartolarizzazioni

Costi in aumento e crescita degli attacchi informatici

Negli ultimi anni gli attacchi alla sicurezza informatica sono diventati frequenti, con un aumento dei costi derivanti da tali violazioni. IBM ha segnalato che il costo medio globale di una violazione dei dati è aumentato del 10% nel 2024 rispetto al 2023, il balzo più grande dall'inizio della pandemia; si è osservato anche che le violazioni con cicli di vita più lunghi comportano costi più elevati. Secondo una ricerca di Cyber Rescue UK, numerose sono le conseguenze per le aziende colpite da violazioni dei dati.

Figura 1 e 2: Conseguenze di vasta portata delle violazioni dei dati

Fonte: Cyber Rescue UK, Blancco, giugno 2025. Sondaggio condotto su 2.000 leader nei settori IT e sostenibilità.

Mentre stiamo scrivendo, Microsoft si trova nel bel mezzo di una grave violazione della sicurezza informatica e ha rilasciato aggiornamenti software per i server Sharepoint locali e autogestiti. Altri incidenti di alto profilo hanno colpito il Servizio Sanitario Nazionale (NHS) del Regno Unito, la Disney e la compagnia assicurativa UnitedHealth. I metodi di attacco più comuni sembrano essere il phishing (ingannare le persone per carpire dati sensibili) e il furto di credenziali.

Le grandi istituzioni fanno notizia, ma anche il mondo della cartolarizzazione non fa eccezione. Le aziende più piccole sono particolarmente colpite dagli attacchi, solitamente tramite feed di dati di terze parti. Spesso le aziende sono costrette a spegnere tutti i propri sistemi e a disconnettersi dalla rete finché non trovano una soluzione.

L'Australia è stata particolarmente presa di mira a causa della sua avanzata infrastruttura digitale e del ruolo chiave nella finanza globale, nel commercio e nei settori industriali critici, il che la rende un bersaglio interessante per i criminali informatici. Siamo a conoscenza di almeno due istituti di credito non bancari australiani, entrambi operanti nei mercati delle cartolarizzazioni, che recentemente hanno subito attacchi informatici importanti. Le aziende hanno avuto delle ripercussioni, tra cui una temporanea interruzione delle attività di erogazione dei crediti e un picco nei dati sugli arretrati, dovuto all'interruzione dell'attività di riscossione. Ciò evidenzia che, oltre al rischio di governance, tali violazioni comportano un rischio di credito fondamentale, visti i disagi operativi, i costi che ne derivano e il danno reputazionale. Questo è rilevante per noi in quanto investitori in titoli cartolarizzati, data la nostra esposizione diretta ai prestiti sottostanti.

Valutare il rischio per la sicurezza informatica

Inizialmente, abbiamo interagito con gli emittenti per cercare di comprendere i sistemi e la governance, ma le risposte sono state limitate e spesso incomprensibili. Ci siamo resi conto che, per comprendere il panorama complesso e in rapida evoluzione delle infrastrutture di sicurezza informatica, sono necessari degli esperti. Abbiamo quindi incaricato il nostro team Information Security interno di apprenderne il processo di due diligence e abbiamo collaborato con loro per oltre un anno per elaborare il nostro quadro di valutazione della sicurezza informatica.

Individuazione del focus del coinvolgimento

Sebbene l'implementazione di questo quadro sia ancora in fase iniziale, le risposte sono state positive: gli emittenti hanno mostrato un forte interesse e la volontà di partecipare al sondaggio. Di seguito è riportato il ventaglio di risposte ricevute:

Figura 3 e 4: Risposta in materia di sicurezza informatica al sondaggio JHI per tipologia di azienda e Paese

Fonte: Janus Henderson, al 23 luglio 2025.

Molti emittenti hanno sottolineato che siamo il primo investitore a impegnarci in modo proattivo nel campo della sicurezza informatica, evidenziando l'unicità e la rilevanza del nostro approccio. Il nostro processo prevede un'analisi dettagliata delle risposte ai sondaggi e dei report tecnici, seguita da un coinvolgimento costante. Successivamente, poniamo domande mirate di follow-up laddove individuiamo vulnerabilità o lacune nella governance. Per garantire approfondimento e accuratezza, continuiamo a collaborare strettamente con il nostro team Information Security interno, sfruttandone le competenze tecniche per orientare la nostra attenzione e interpretare risultati complessi.

Alla luce della crescente frequenza e dei costi degli attacchi informatici, avere solide pratiche di sicurezza informatica non è più una scelta facoltativa, ma è indispensabile. Ciò vale non solo per gli emittenti ma anche per gli investitori, che devono comprendere e gestire il rischio informatico come parte del loro dovere fiduciario. Riteniamo che lo sviluppo di questo quadro di valutazione della sicurezza informatica rappresenti un significativo passo in avanti. Integrando la valutazione del rischio informatico nella nostra governance e nell'analisi del credito, stiamo migliorando la due diligence, creando un precedente per le migliori pratiche del settore e contribuendo a un panorama degli investimenti più resiliente.