Banche e Assicurazioni: migliorare la web experience dei clienti

“Negli ultimi anni, quasi tutte le realtà finanziarie, alcune anche già in modalità mobile attraverso delle app, hanno reso disponibili per i propri clienti una serie di servizi digitali. Questo ha aperto la strada a problematiche e considerazioni nuove, legate sia ad aspetti tecnologici sia strategici: il fine ultimo è trovare un equilibrio tra fruibilità e sicurezza, tenendo conto che quest’ultima sappiamo essere per il mondo Finance un tema particolarmente critico”, così Nicoletta Boldrini, giornalista di ZeroUno, ha aperto la Tavola Rotonda di Redazione, organizzata in collaborazione con Akamai, dedicata al capitolo security all’interno del mondo Banche e Assicurazioni, e in particolare alle problematiche che emergono quando le aziende si pongono l’obiettivo di migliorare la web experience dei propri clienti.

Nicoletta Boldrini, giornalista di ZeroUno

Cosa vuole l’utente?

Rispetto ad altri settori, quello del Finance si trova spesso, in nome della security, a dover chiedere al cliente che decide di usufruire di un servizio digitale, di affrontare operazioni piuttosto complesse (si pensi per esempio al genere di autenticazione multipla, che prevede Pin o Otp-One-Time Password, richiesta per l’esecuzione dei bonifici).

Alessandro Livrea, Major Account Executive di Akamai

Evitare questa complessità potrebbe avere impatti molto positivi sul piano del business: i consumatori risultano infatti sempre più sensibili al tema della web experience: “Pretendono, quando si tratta di web, servizi veloci e di semplice utilizzo – dice Alessandro Livrea, Major Account Executive di Akamai, che quindi punta il dito ai mancati guadagni che un sistema lento può generare – Sono diverse le ricerche che evidenziano che nel contesto dell’e-commerce, dopo due secondi di attesa si perde il 6% delle vendite per ogni ulteriore secondo che passa”.

Gianluca Ambrogi, Application Manager di Deutsche Bank

Certo, come è stato ricordato da alcuni ospiti, il Finance sfugge in parte a queste regole: l’utente bancario è più paziente e determinato quando si propone di effettuare non un acquisto ma, per esempio, un bonifico; è però anche vero, come ha ricordato Gianluca Ambrogi, Application Manager di Deutsche Bank, che sempre più utenti hanno oggi più banche di riferimento: “È un trend che sta nascendo; per questi clienti diventa semplice abbandonare la transazione per gestirla con un altro operatore”; senza contare che, come è stato fatto notare, se a causa di un disservizio, per esempio causato da un attacco Ddos, la moltitudine dei clienti di una data banca non riesce a usufruire del servizio web, nella migliore delle ipotesi verrà sovraccaricato di chiamate il call center; quest’ultimo non solo può avere difficoltà a gestire il picco anomalo di richieste, ma rappresenta esso stesso un canale, sotto il profilo finanziario, certamente meno efficace (basti pensare al costo del personale che gestisce le chiamate).

Riccardo Zanchi, Partner di NetConsulting

Siamo allora di fronte a un utente potenzialmente disposto ad accettare il rischio di avere livelli di sicurezza inferiori in nome dell’usabilità? Non è così. Al contrario, come ricorda Boldrini, si sta alzando il grado di allerta rispetto al tema cybercrime anche tra gli utenti: “Iniziamo tutti ad avere una nostra ‘cultura di sicurezza’, e al minimo dubbio sull’affidabilità di un servizio, tendiamo immediatamente a ritrarci”. Una presa di coscienza del problema che, come è stato fatto notare dagli ospiti, ha agevolato la progressiva accettazione di sistemi per l’autenticazione potenzialmente “scomodi”, o perlomeno di una certa complessità (per esempio autenticazione multipla e device per la generazione di Otp). Si tratta dunque di procedere cercando sistemi che migliorino la web experience, ma con intransigenza rispetto al capitolo gestione del rischio: “È giusto provare a migliorare l’usabilità, ma il compromesso va cercato sul terreno della web experience, non su quello della security, che resta la priorità”, commenta Riccardo Zanchi, Partner di NetConsulting.

App e Mobility: lo scenario si complica

L’avvento della mobilità ha reso la sfida anche più complessa: quando l’utente sfrutta smartphone e tablet, e ha dunque bisogno di una maggiore agilità non essendo “comodamente seduto” alla propria scrivania, le pretese in termini di rapidità e semplicità aumentano. “Il nostro problema maggiore in ambito mobility è quello della complessità legata all’autenticazione del pagamento. Pensare di dover inserire una password per accedere a una App, e poi un Pin e una Otp per autenticare la transazione, diventa complicato da accettare per il cliente che usa il device mobile” dice Luca Bertoglio, Head of Ict Security dell’Icbpi-Istituto Centrale Banche Popolari Italiane, che sottolinea come a questa ricerca di un difficile compromesso usabilità-sicurezza, si sommi la difficoltà di un confronto interno con il marketing , non sempre “comprensivo” rispetto ai limiti imposti dall’esigenza di rendere le operazioni sicure.

Luca Fioletti, Responsabile Area Canali di Banca popolare di Sondrio

In altri casi il problema è, quando si introduce un nuovo servizio, evitare di fare passi indietro: come ha detto Luca Fioletti, Responsabile Area Canali di Banca popolare di Sondrio, fornire per esempio la Otp non tramite device dedicato, ma attraverso una app telefonica, è certamente vantaggioso se si pensa al fatto che lo smartphone è sempre a portata di mano; ma se il prezzo da pagare è una applicazione più complicata o non sempre funzionante, immediatamente il rischio è di offrire un disservizio invece che un’agevolazione (fermo restando che il fatto di evitare al cliente l’obbligo di avere un Token dedicato sembra essere una linea evolutiva necessaria).

“Aiuterebbe essere coinvolti [come team di security, ndr] nel momento in cui l’applicazione viene disegnata per far sì che le soluzioni necessarie per rispettare sicurezza e compliance siano il più possibile trasparenti all’utente”, spiega Bertoglio, che a questo proposito, per chiarire, porta come esempio un sistema capace di generare la OTP in modo trasparente, e quindi di autenticare la transazione senza che il cliente debba fisicamente gestire l’inserimento della password temporanea. Si tratta, in sostanza, non di abbassare i livelli di sicurezza, ma di mantenere la complessità necessaria nascondendola il più possibile al cliente. Un altro aspetto che rende il lavoro dell’It più complesso quando si tratta di mobility, è la gestione degli aggiornamenti: “Possono volerci anche due settimane per aggiornare una app su Ios: se quindi ho fatto un errore e devo correggere l’applicazione, con tempi di questo tipo sono esposto al rischio di fortissime discontinuità di servizio”, ha detto Fioletti.

Gianluca Storia, Responsabile Ricerca e Sviluppo It di Creditech

Esempio per eccellenza d’azienda capace di costruire servizi mobili attorno alle esigenze dell’utente è Apple: il sistema che consente di effettuare pagamenti velocemente, tramite il riconoscimento dell’impronta digitale, ne è la prova. Soluzione che non è immune da possibili tentativi di frode: “Se qualcuno riesce ad accedere fisicamente al device e a depositare le propria impronta digitale al posto di quella del legittimo proprietario, diventa padrone del sistema”, fa notare Gianluca Storia, Responsabile Ricerca e Sviluppo It di Creditech che sottolinea come ancora non si sappia quale livello di maturità potrà raggiungere (ovvero che gamma e che tipologie di servizi potranno essere coperti e fino a che punto i clienti saranno disposti a fidarsi di questo sistema per pagamenti importanti). Nondimeno si deve prendere atto che, come ha ricordato Livrea, “quello di Apple non è un sistema di sicurezza, ma un sistema di pagamento veloce che sta permettendo al marketplace del colosso americano una crescita a doppia cifra, tutta da imputare proprio allo sforzo di garantire una web experience ottimale che riguarda l’intero ciclo di vendita del prodotto, dalla sua presentazione on line e alle attività in store”

Cosa può aiutare?

Il dibattito tra i partecipanti ha fatto emergere alcune utili indicazioni su cosa può essere utile per trovare e mantenere il difficile equilibrio tra usabilità e sicurezza, considerando imprescindibile quest’ultima e un territorio con margini di miglioramento la prima:

• Stratificare il rischio. Come ha detto Bertoglio, è necessario studiare sistemi di accreditamento e di sicurezza che siano adeguati in base alla tipologia d’azione che l’utente compie e al rischio che si corre: “Se una transazione è bassa, e dunque lo è il rischio a esso legato, posso evitare sistemi di autenticazione più complessi, necessari se invece si trattano cifre e operazioni più impegnative sul piano economico”;
• Muoversi in modo mirato. “Si tratta di capire bene quello che vuole il cliente, qual è la sua esigenza di business e lavorare in modo mirato solo su quella”, ha detto Fioletti, che ha quindi sottolineato come questa focalizzazione sia poi utile anche per quantificare l’efficienza dei servizi offerti ed eventualmente calcolare i danni causati dal loro mancato funzionamento, sia sul piano economico che della brand image;
• Non sottovalutare i danni alla Brand Image. Come confermano i dati della survey realizzata da ZeroUno “Sicurezza nelle Banche e nelle Assicurazioni” presentati in apertura all’evento (e i cui risultati completi verranno pubblicati a breve sul nostro sito), il numero di aziende che sottovaluta i danni che la mancata erogazione di un servizio può comportare è ancora alto: complice forse la difficoltà nel fare calcoli precisi a riguardo, sono pochi quelli che hanno investito in sistemi di sicurezza adeguati;
• Sfruttare il cloud e unire le forze. Esistono tipologie di attacchi violenti e sofisticati, perpetrati da un’industria del crimine informatico sempre più organizzata e, come ha detto Storia, molto abile e ricca di inventiva quando si tratta di studiare nuovi modi per aggirare i sistemi di sicurezza: le soluzioni on premise spesso non sono in grado di fermare queste minacce. Diversamente, la nuvola permette di mettere a fattor comune l’esperienza del singolo e di condividere le patch immediatamente, perché siano a disposizione di tutti. Una filosofia abbracciata dallo stesso Obama impegnato su questo fronte per divulgare la consapevolezza che né la singola azienda né il governo stesso possono attrezzarsi autonomamente per combattere la minaccia che rappresenta oggi il crimine informatico (vedi Obama: “Everybody’s online and everybody’s vulnerable”). “Unire le forze” e creare una community per riuscire a farlo è ormai un passo obbligato.