Відповідність DORA
Відповідність DORA для фінансових установ та їхніх ІКТ-постачальників
Оцінка готовності за п’ятьма стовпами DORA, реєстр ІКТ-постачальників, програма тестування і звітування про інциденти з опорою на ваші контролі.
КОГО СТОСУЄТЬСЯ
ХТО ПІДПАДАЄ ПІД DORA
Регламент (ЄС) 2022/2554 про цифрову операційну стійкість (DORA) застосовується до фінансових установ ЄС з 17 січня 2025 року.
Він замінює клаптикову систему національних вимог у сфері ІКТ (інформаційно-комунікаційних технологій) єдиним обов’язковим регламентом і охоплює не лише банки: страховиків, інвестиційні компанії, платіжні та електронно-грошові установи, надавачів послуг з криптоактивів та ІКТ-постачальників, що їх обслуговують.
ЩО НАСПРАВДІ ВИМАГАЄ DORA?
На практиці це означає ось що: операційна стійкість перестала бути внутрішньою метою і стала обов’язком, який перевіряє регулятор і який треба підтверджувати доказами.
DORA спирається на п’ять стовпів. Більшість програм готовності провалюються, бо їх трактують як паперову роботу і закривають лише перший стовп.
УПРАВЛІННЯ ІКТ-РИЗИКАМИ
Система управління з відповідальністю на рівні керівного органу, а не делегованою ІТ-відділу. Ідентифікація бізнес-функцій, які підтримуються ІКТ, заходи захисту й запобігання, виявлення, реагування та відновлення, а також висновки з інцидентів.
УПРАВЛІННЯ ІКТ-ІНЦИДЕНТАМИ
Класифікація інцидентів за визначеними критеріями та звітування про суттєві інциденти компетентному органу у встановлені строки.
ТЕСТУВАННЯ ЦИФРОВОЇ ОПЕРАЦІЙНОЇ СТІЙКОСТІ
Програма тестування, пропорційна вашому розміру та профілю ризику, а для установ, визначених регуляторами, — розширене тестування у формі тестування на проникнення на основі розвідки загроз за статтею 26.
РИЗИКИ ІКТ-ПОСТАЧАЛЬНИКІВ
Реєстр інформації про всі договірні відносини з ІКТ-постачальниками, обов’язкові договірні положення, стратегії виходу та аналіз ризику концентрації. Саме тут більшість установ виявляють, як мало вони знають про субпідрядників своїх постачальників.
ОБМІН ІНФОРМАЦІЄЮ
Добровільні домовленості між фінансовими установами про обмін розвідданими про кіберзагрози.
Що ми робимо
Оцінка готовності
Аналіз прогалин за всіма п’ятьма стовпами, зіставлений з вашими наявними контролями ISO 27001 чи NIST, щоб ви не будували те, що вже маєте.
Реєстр ІКТ-постачальників
Побудова реєстру інформації, перевірка договорів на відповідність обов’язковим положенням, виявлення ризику концентрації та прогалин у стратегіях виходу.
Програма тестування
Розробка програми, пропорційної вашому профілю, і проведення самого тестування — від оцінки вразливостей і тестування на проникнення до тестування на основі розвідки загроз для установ у периметрі статті 26.
Класифікація інцидентів та звітування
Визначення критеріїв, порогових значень і процесу звітування, щоб відлік часу не залежав від суперечки про те, чи є інцидент суттєвим.
Пакет доказів
Усе структуровано так, щоб можна було передати наглядовому органу чи аудитору без додаткового доопрацювання.
Оцінка готовності зіставляє ваш поточний стан з усіма п’ятьма стовпами, відштовхуючись від контролів, які у вас уже працюють.
Чи стосується DORA нас, якщо ми не в ЄС?
Часто так, опосередковано, але невідворотно. Якщо ви надаєте ІКТ-послуги фінансовій установі з ЄС, DORA дістає до вас через договірні зобов’язання вашого клієнта. Українські та інші неєвропейські технологічні провайдери дедалі частіше стикаються з тим, що їхні європейські фінансові клієнти вимагають записів у реєстрі, договірних положень, стратегій виходу та доказів тестування як умови контракту. Ми працюємо з обома сторонами цих відносин: із фінансовими установами, які виконують власні зобов’язання, і з провайдерами, яким доводиться відповідати їхнім вимогам.
Коли DORA почала діяти?
Вона діє з 17 січня 2025 року. Перехідного періоду більше немає, тому увага регуляторів змістилася з готовності на докази.
Чи достатньо ISO 27001 для DORA?
Ні, але це суттєва фора. СУІБ (система управління інформаційною безпекою) за ISO 27001 покриває велику частину першого стовпа і частини другого та третього. Вона не покриває реєстр ІКТ-постачальників, обов’язкові договірні положення, режим класифікації та звітування про інциденти чи тестування за статтею 26. Ми зіставляємо те, що у вас уже є, перш ніж пропонувати щось нове.
Кому обов’язково проводити тестування на основі розвідки загроз?
Не всім. Розширене тестування за статтею 26 стосується установ, визначених компетентними органами на основі їхнього профілю ризику та системної важливості. Іншим установам усе одно потрібна пропорційна програма тестування — просто не TLPT.
Як зрозуміти, чи відповідаєте ви вимогам?
На це не можна відповісти, гортаючи теки з політиками. Питання наглядового органу не в тому, чи є у вас система, а в тому, чи можете ви показати докази, що вона працює. Оцінка готовності до DORA зіставляє ваш поточний стан з кожним стовпом і дає три результати: де ви вже відповідаєте вимогам і можете це довести, де контроль існує, але доказів немає, і де є реальна прогалина. Друга категорія зазвичай найбільша і найнебезпечніша, бо зсередини це виглядає як відповідність. Контроль, який працює, але не лишає сліду, для наглядового органу нічим не відрізняється від контролю, якого ніколи не було.
НАШІ СЕРТИФІКАТИ
ПОРТФОЛІО КОМАНДИ
З ЧОГО ПОЧАТИ?
Ви можете копіювати матеріали сайту, лише переконавшись у безпеці своїх сервісів.
Цей сайт захищено reCAPTCHA, на нього поширюються Політика конфіденційності та Умови використання Google.