Pasirengimas DORA finansų įmonėms ir jų IRT tiekėjams

DORA (Reglamentas dėl finansų sektoriaus skaitmeninės veiklos atsparumo) taikomas nuo 2025 m. sausio 17 d. Finansų įmonėms pasirengimas dabar reiškia skaitmeninės veiklos atsparumo veiklos modelio palaikymą, o ne pasiruošimą būsimam terminui. Technologijų tiekėjams tai reiškia klientams tenkančių atsakomybių supratimą ir įvertinimą, ar jiems taikomas atskiras tiesioginės priežiūros režimas.

Vadovybės klausimas yra praktinis: ar organizacija gali paaiškinti, kurios finansinės paslaugos priklauso nuo kurių IRT sistemų, kaip bus tvarkomi sutrikimai ir kokie įrodymai pagrindžia jos atkūrimo prielaidas? Politikos svarbios, tačiau vien jos į šį klausimą atsakyti negali. Vadovybei reikia susieto atsakomybių, priklausomybių, sutarčių, testų, incidentų ir neišspręstų rizikų vaizdo.

Nustatykite savo vaidmenį prieš kurdami kontrolinį sąrašą

Pradėkite nuo dokumentuoto sprendimo dėl taikymo kiekvienam atitinkamam juridiniam asmeniui. DORA 2 straipsnis nustato aprėpiamas kategorijas ir išimtis. Įmonė, save apibūdinanti kaip finansinių technologijų įmonę, startuolį ar MVĮ, automatiškai nepatenka į taikymo sritį ir nėra nuo jos atleista.

Aprėpiamų finansų įmonių pavyzdžiai yra kredito įstaigos, mokėjimo įstaigos, investicinės įmonės ir draudimo įmonės, laikantis išsamių reglamento taikymo srities taisyklių. Užfiksuokite taikomą kategoriją, bet kokią išimtį ar atleidimą, atitinkamą kompetentingą instituciją ir savo išvados argumentus.

Tiekėjams atskirkite tris padėtis:

Tiekėjas, palaikantis ypatingos svarbos ar svarbią finansinę funkciją, vien dėl to netampa paskirtu ypatingos svarbos IRT trečiosios šalies paslaugų teikėju. Finansų įmonės vertina savo funkcijų ir priklausomybių svarbą; ypatingos svarbos paslaugų teikėjai paskiriami per priežiūros sistemą pagal 31 straipsnį.

Buvimo vieta tiekėjo klausimo neišsprendžia. JAV įsikūręs debesijos ar programinės įrangos teikėjas, aptarnaujantis ES finansų įmones, gali susidurti su klientų reikalavimais, susijusiais su DORA. Toks komercinis santykis automatiškai nepadaro jo atsakingu už kiekvieną finansų įmonei nustatytą pareigą.

Proporcingumui taip pat reikia pagrįsto vertinimo. 4 straipsnis atsižvelgia į veiksnius, įskaitant dydį, bendrą rizikos profilį ir paslaugų pobūdį, mastą bei sudėtingumą. 16 straipsnis numato supaprastintą IRT rizikos valdymo sistemą nurodytoms kategorijoms. Tai nėra tarpusavyje pakeičiamos sąvokos, o įprastas MVĮ statusas nėra universalus trumpasis kelias. Tinkamumo analizę laikykite kartu su sprendimu dėl taikymo srities.

Padarykite vadovybės atskaitomybę matomą

Pagal DORA 5 straipsnį valdymo organas yra galutinai atsakingas už finansų įmonės IRT rizikos valdymą. Įgyvendinimo delegavimas CISO, technologijų komandai ar išoriniam paslaugų teikėjui šios atskaitomybės neperkelia.

Vadovybė turėtų nustatyti, kas siūlo sprendimus, kas juos tvirtina ir kas tikrina, ar įgyvendinimas veikia. Veiklos modelis turėtų apimti veiklos tęstinumą, reagavimą į incidentus ir atkūrimą, trečiųjų šalių susitarimus, biudžetą ir žinias, reikalingas prasmingai priežiūrai.

Praktinė rekomendacija – teikti vadovybei į sprendimus orientuotą ataskaitų paketą, o ne įgyvendinimo procentų prietaisų skydelį. Įtraukite:

• Ypatingos svarbos ar svarbias funkcijas su neišbandytomis atkūrimo prielaidomis.
• Reikšmingus incidentus, poveikį klientams ir neužbaigtus taisomuosius veiksmus.
• Tiekėjų priklausomybes su neišsamiomis sutartimis ar silpnomis pasitraukimo galimybėmis.
• Reikšmingas kontrolės spragas, atskaitingus savininkus ir ištaisymo datas.
• Sprendimus, kuriems reikia finansavimo, tiekėjo pakeitimo ar aiškaus atsako į riziką.

Kiekvienoje spragoje reikėtų atskirti reguliavimo reikalavimą, dabartinį veiklos trūkumą ir siūlomą sprendimą. Trūkstamas patvirtinimo įrašas skiriasi nuo atsarginės kopijos, kurios neįmanoma atkurti. Abiem atvejais gali reikėti veiksmų, tačiau jiems reikia skirtingų savininkų ir prioritetų.

Vadovybės patvirtintas ištaisymo planas nėra leidimas neribotą laiką atidėti taikomų pareigų vykdymą. Kai spraga reikšminga, greta ilgalaikio sprendimo apsvarstykite neatidėliotinas apsaugos priemones, eskalavimą ir galimas pasekmes priežiūros požiūriu.

Programą kurkite aplink finansines funkcijas

Turto inventorius būtinas, tačiau atsparumo planavimas turėtų prasidėti nuo paslaugos, kuri turi tęstis. Nustatykite finansinę funkciją, jos verslo savininką, sutrikimo pasekmes ir ją palaikančias sistemas bei paslaugų teikėjus.

Mokėjimo paslaugai sudarykite tapatybių, debesijos infrastruktūros, operacijų apdorojimo, stebėsenos ir eskalavimo tiekėjams žemėlapį. Įtraukite mažiau matomas priklausomybes, tokias kaip DNS, ryšys, privilegijuota prieiga, šifravimo raktai ir pagalbos įrankiai. Alternatyvi gamybinė aplinka gali būti netinkama naudoti, jei ji priklauso nuo tos pačios sugedusios tapatybių paslaugos.

Gautas žemėlapis turėtų susieti kiekvieną funkciją su:

• Palaikančiomis programomis, infrastruktūra, informacijos turtu ir išorinėmis paslaugomis.
• Atitinkamomis sutartimis ir paslaugų savininkais.
• Atkūrimo tikslais ir juos pagrindžiančia poveikio verslui analize.
• Aptikimo, reagavimo, atkūrimo ir komunikacijos tvarka.
• Testais, radiniais ir neišspręstomis priklausomybių rizikomis.

Patvirtinkite žemėlapį kartu su veiklos ir verslo komandomis. Pirkimų įrašai rodo, kas buvo įsigyta; jie nebūtinai rodo, kaip paslauga veikia šiandien.

Naudokite šį modelį IRT rizikos valdymui, incidentų valdymui ir pranešimams, atsparumo testavimui ir IRT trečiųjų šalių rizikai organizuoti. DORA taip pat numato savanorišką keitimąsi informacija apie kibernetines grėsmes. Jei dalyvaujate, apibrėžkite narystės, konfidencialumo, leidžiamo naudojimo ir tvarkymo taisykles, o ne laikykite dalijimąsi neribotu keitimusi incidentų duomenimis.

IRT rizikos valdymą paverskite finansuojamu darbu

DORA IRT rizikos valdymo nuostatos apima nustatymą, apsaugą ir prevenciją, aptikimą, reagavimą ir atkūrimą, mokymąsi ir komunikaciją. Sistema turi susieti šias veiklas, o ne palikti jas atskirais politikų rinkiniais.

Spragų vertinimą pradėkite nuo susietų funkcijų. Paklauskite, ar prieigos kontrolė apsaugo jų sistemas, ar šalinami pažeidžiamumai, ar pakeitimai kontroliuojami, ar aptinkama įtartina veikla ir ar atkūrimo tvarka atspindi realistiškus gedimus. Atsižvelkite ne tik į piktavališkas atakas, bet ir į techninius gedimus bei veiklos klaidas.

Kiekvienam reikšmingam trūkumui sukurkite ištaisymo įrašą su savininku, poveikiu verslui, reikiamu veiksmu, užbaigimo kriterijais ir uždarymo įrodymais. Priklausomybės svarbios: norint patobulinti atkūrimo procedūras, prieš sėkmingą testą gali tekti pakeisti prieigą prie atsarginių kopijų, tiekėjų įsipareigojimus ir darbuotojų mokymą.

Atkūrimo tikslai turėtų kilti iš verslo poreikių ir poveikio analizės, o ne iš to, ką atsitiktinai siūlo tiekėjo standartinis paslaugų lygis. Kai techninės galimybės negali pasiekti tikslo, vadovybė turi nuspręsti, ar tobulinti architektūrą, keisti paslaugų tvarką, ar persvarstyti veiklos modelį. Tęstinumo plane įrašytas tikslas nėra atkuriamumo įrodymas.

Sprendimus dėl incidentų parenkite prieš sutrikimą

DORA reikalauja, kad finansų įmonės valdytų su IRT susijusius incidentus ir apie didelius incidentus praneštų atitinkamai kompetentingai institucijai. 17–23 straipsniai nustato sistemą; taikomi reguliavimo techniniai ir įgyvendinimo techniniai standartai pateikia išsamius klasifikavimo kriterijus, ribas, pranešimų turinį ir procedūras.

Išsamiam pranešimų tvarkaraščiui nesiremkite bendru incidentų kontroliniu sąrašu. Palaikykite aktualią pranešimų matricą, kurioje nurodyti taikomi standartai, institucijos nurodymai, pateikimo kanalas, pranešimų etapai ir terminų skaičiavimas. Paskirkite atsakingą asmenį, kad ji būtų nuolat atnaujinama.

Reagavimo procesas turėtų užtikrinti, kad keli sprendimai būtų įvykdomi esant spaudimui:

• Kas fiksuoja aptikimo, vertinimo ir klasifikavimo laiko žymas?
• Kas gauna informaciją apie poveikį iš veiklos padalinių ir tiekėjų?
• Kas sprendžia, ar atitinkami didelio incidento kriterijai?
• Kas tvirtina ir pateikia pranešimus, įskaitant ne įprastomis darbo valandomis?
• Kas tvarko komunikaciją su klientais ir kitus taikomus pranešimus?

Užfiksuokite klasifikavimo argumentus net tada, kai apie incidentą nepranešama kaip apie didelį. Neišsamus pradinis vaizdas turėtų inicijuoti pakartotinį vertinimą, kai atsiranda daugiau informacijos, o ne nuolatinę prielaidą, kad įvykis nereikšmingas.

Tiekėjų pranešimo įsipareigojimai turėtų palikti finansų įmonei pakankamai laiko įvertinti ir įvykdyti savo pareigas. Pranešimų užduotis galima perduoti išorės vykdytojams, kai tai leidžiama, tačiau atsakomybė lieka finansų įmonei.

Kai didelis su IRT susijęs incidentas paveikia klientų finansinius interesus, DORA reikalauja, kad finansų įmonės nepagrįstai nedelsdamos informuotų tuos klientus apie incidentą ir priemones, kurių imtasi jo neigiamam poveikiui sumažinti. Atskirai įvertinkite pareigas, susijusias su asmens duomenų saugumo pažeidimais, ir kitas taikomas taisykles. Vienas sutrikimas gali sukelti kelis pranešimo sprendimus su skirtingais gavėjais ir teisiniais kriterijais.

Išbandykite prielaidas, kuriomis remiasi vadovybė

Skaitmeninės veiklos atsparumo testavimo programa turėtų būti proporcinga ir grindžiama rizika. Pažeidžiamumų vertinimai, scenarijų pratybos, saugumo testavimas ir atkūrimo testai atsako į skirtingus klausimus; nė vienas iš jų neturėtų būti laikomas universaliu kitų pakaitalu.

Stalo pratybos gali parodyti, ar sprendimus priimantys asmenys supranta eskalavimą. Jos negali įrodyti, kad operacijų duomenis galima tiksliai atkurti. Įsiskverbimo testas gali atskleisti išnaudojamus trūkumus, bet neįrodo, kad alternatyvus tiekėjas gali perimti paslaugą.

Kiekvienam testui apibrėžkite funkciją, scenarijų, apimtį, sėkmės kriterijus, kai reikalaujama – nepriklausomumo tvarką, ir laukiamus įrodymus. Išsaugokite rezultatus, radinius, ištaisymo sprendimus ir pakartotinio testavimo rezultatus. Patikrinkite taikomus aprėpties ir dažnumo reikalavimus pagal DORA ir atitinkamus standartus, įskaitant bet kokias išimtis ar supaprastintos sistemos nuostatas.

Grėsmėmis grindžiamas įsiskverbimo testavimas yra atskiras priežiūros reikalavimas atrinktoms finansų įmonėms pagal 26 straipsnį. Tai nėra visuotinė pareiga kiekvienai finansų įmonei ar IRT tiekėjui.

Vadovybė turėtų peržiūrėti nepasitvirtinusias prielaidas, o ne tik tai, ar testai įvyko. Jei pratybos atskleidžia, kad atkūrimas priklauso nuo vieno nepasiekiamo administratoriaus, rezultatas yra veiklos rizika, kuriai reikia veiksmų, o ne užbaigtas testavimo etapas.

Trečiųjų šalių riziką vertinkite kaip paslaugų tęstinumo klausimą

Pagal DORA finansų įmonė, naudodamasi IRT tiekėjų paslaugomis, lieka atsakinga už savo pareigas. 28–30 straipsniai susieja trečiųjų šalių rizikos vertinimą, sutartinius susitarimus, stebėseną ir pasitraukimo planavimą.

Palaikykite registrą ir veiklos vaizdą

Finansų įmonės turi tvarkyti informacijos registrą apie IRT sutartinius susitarimus reikalaujamu individualiu, subkonsoliduotu ir konsoliduotu lygmenimis. Jo struktūrai naudokite taikomus įgyvendinimo techninius standartus. Pirkimų skaičiuoklė ar patvirtintų tiekėjų sąrašas automatiškai nėra pakankami.

Suderinkite registrą su sutartimis, paslaugų savininkais ir priklausomybių žemėlapiais. Išlaikykite reikalaujamus skirtumus paslaugoms, palaikančioms ypatingos svarbos ar svarbias funkcijas. Naujas subrangovas, paslaugos teikimo vieta ar išplėsta apimtis gali pakeisti rizikos vaizdą, net jei tiekėjo pavadinimas lieka tas pats.

Sutartis peržiūrėkite atsižvelgdami į faktinę paslaugą

Įvertinkite taikomus sutartinius reikalavimus, įskaitant paslaugų aprašymus, vietas, duomenų apsaugą, prieigą prie duomenų ir jų atkūrimą, pagalbą incidentų atveju, bendradarbiavimą, nutraukimo teises ir paslaugų lygius. Susitarimams, palaikantiems ypatingos svarbos ar svarbias funkcijas, reikia papildomų nuostatų, įskaitant atitinkamą ataskaitų teikimo, tęstinumo, prieigos, patikrinimų, audito ir pasitraukimo tvarką.

Teisės, pirkimų, technologijų ir verslo savininkai turėtų jas peržiūrėti kartu. Sutartinę audito teisę praktikoje gali būti sunku įgyvendinti; pažadėta atkūrimo tvarka gali neapimti visos kliento paslaugų grandinės. Šiuos apribojimus nustatykite prieš priimdami susitarimą.

Išnagrinėkite koncentraciją ir pasitraukimo galimybes

Koncentracijos rizika neapsiriboja kelių paslaugų pirkimu iš vienos įmonės. Skirtingi tiekėjai gali remtis ta pačia debesijos platforma, regionu, tinklu ar subrangovu. Įvertinkite pakeičiamumą, migracijos sudėtingumą ir bendro gedimo pasekmes.

Pasitraukimo plane turėtų būti aptarti duomenų formatai, išgavimas, prieiga, migracijos priklausomybės, pereinamojo laikotarpio pagalba, ištrynimas ir tęstinumas perkėlimo metu. Ypatingos svarbos ar svarbioms funkcijoms pasitraukimo testavimą ir peržiūrą laikykite esminiu darbu, o ne dokumentų rašymo pratimu.

Tiekėjai gali parengti nuoseklų užtikrinimo paketą su paslaugų apimtimi, atsakomybių ribomis, incidentų kontaktais, tęstinumo įrodymais, subrangos informacija ir pozicijomis dėl sutarčių. Konkrečių klientų reikalavimus vis tiek reikia peržiūrėti; sertifikatas jų nepakeičia.

Supraskite, kur susitinka DORA ir NIS2

DORA yra tiesiogiai taikomas ES reglamentas. NIS2 yra direktyva, įgyvendinama per nacionalinę teisę, o jos taikymas priklauso nuo sektoriaus, dydžio, paslaugos ir įtraukimo taisyklių. Jos perkėlimo į nacionalinę teisę terminas buvo 2024 m. spalio 17 d.; organizacijos turi išnagrinėti taikomą nacionalinį įgyvendinimą, o ne manyti, kad egzistuoja vienas vienodas veiklos režimas.

DORA 1 straipsnio 2 dalis kartu su NIS2 4 straipsniu nustato sektorinį santykį aprėpiamoms finansų įmonėms atitinkamose srityse. Neaiškinkite to kaip nurodymo dubliuoti lygiavertes rizikos valdymo ir pranešimų apie incidentus kontrolės priemones. Lygiai taip pat nemanykite, kad tai panaikina pareigas kiekvienai finansų grupės įmonei ar jos tiekimo grandinei.

Bankui paslaugas teikiančiam valdomų paslaugų teikėjui gali prireikti savo NIS2 vertinimo, kartu vykdant su DORA susijusius sutartinius įsipareigojimus. Pareigų matricoje kiekvienam subjektui atskirai turėtų būti užfiksuotas teisinis pagrindas, taikymo sritis, institucija, pranešimų kelias ir reikalaujami įrodymai.

Bendros kontrolės priemonės gali padėti vykdyti DORA, ISO 27001, privatumo pareigas ir klientų užtikrinimo reikalavimus, kai taikymo sritis ir įrodymai sutampa. Pakartotinai naudokite prieigos peržiūrą ar atkūrimo testą, kai jie iš tikrųjų pagrindžia kelis reikalavimus, išsaugodami finansų sektoriui būdingas detales. ISO 27001 sertifikatas neįrodo DORA atitikties.

Vykdymo užtikrinimas taip pat skiriasi. DORA priežiūros įgaliojimai ir sankcijos finansų įmonėms priklauso nuo jo nuostatų ir taikomų nacionalinių priemonių; paskirtiems ypatingos svarbos paslaugų teikėjams taikomas atskiras priežiūros režimas. Neplanuokite rizikos biudžeto remdamiesi tariama universalia DORA bauda. Įvertinkite atitinkamą teisinę riziką ir netinkamo atsparumo veiklos pasekmes.

Išnagrinėtas pavyzdys: mokėjimo paslaugos priklausomybių peržiūra

Panagrinėkime iliustracinę mokėjimo įstaigą, kuri naudoja debesijos platformą, tapatybių teikėją ir išorės stebėsenos paslaugą. Tarkime, įstaiga patenka į DORA taikymo sritį, o mokėjimų vykdymas klasifikuojamas kaip ypatingos svarbos ar svarbi funkcija.

Pirmoji peržiūra nustato tris trūkumus: gamybinė ir atkūrimo aplinkos turi tą pačią tapatybių priklausomybę; stebėsenos tiekėjo incidentų eskalavimo procesas neaiškus; o debesijos pasitraukimo plane nurodytas alternatyvus paslaugų teikėjas, bet neįrodytas duomenų išgavimas ir migracija.

Vadovybė užsako tris susietus darbų paketus:

Verslo savininkas patikrina, ar mokėjimų atkūrimo tikslai lieka pasiekiami. Atitikties funkcija patikrina, ar pranešimų procedūros ir registro įrašai atspindi susitarimus. Vadovybė patvirtina reikiamą finansavimą ir peržiūri likusius apribojimus.

Šis pavyzdys pats savaime neįrodo atitikties. Jis parodo, kaip viena funkcija gali atskleisti sprendimus, kurie liktų paslėpti atskiruose politikų, tiekėjų ir testavimo kontroliniuose sąrašuose.

Nustatykite įrodymais grindžiamą peržiūrų ritmą

DORA neturi universalaus sertifikavimo proceso, kuris pakeistų nuolatines pareigas. Nepriklausomas užtikrinimas gali suteikti informacijos vadovybei, tačiau pasirengimas turi būti įrodytas veikiančiomis kontrolės priemonėmis, įrašais ir, kai reikalaujama, bendradarbiavimu su priežiūros institucija.

Praktinis kitas žingsnis – pasirinkti vieną ypatingos svarbos ar svarbią funkciją ir surinkti jos sprendimą dėl taikymo srities, priklausomybių žemėlapį, rizikos vertinimą, sutartis, incidentų procedūras, testų rezultatus ir atvirus veiksmus. Peržiūrėkite, ar šie įrašai pasakoja nuoseklią istoriją.

Secani palaiko šią darbo eigą modeliuodamas sistemas ir paslaugas, susiedamas priklausomybes ir išlaikydamas reikalavimus, įrodymus, savininkus, užduotis bei peržiūros sprendimus kontekste. Įkelkite esamą medžiagą prie atitinkamų objektų, spragas paverskite priskirtu darbu ir išlaikykite aiškų žmogaus patvirtinimą DI padedamiems pasiūlymams ir išvadoms.

Plėskite nuo pirmosios funkcijos, kai atsakomybės ir įrodymų keliai taps aiškūs. Vadovybė turėtų matyti, kas įrodyta, kas lieka neaišku ir kokio sprendimo reikia toliau.