Sat otkucava finansijskim institucijama širom EU kako se bliži 17. januar 2025., rok za usvajanje Zakona o digitalnoj operativnoj otpornosti (DORA).
Ova regulacija će preoblikovati način na koji organizacije u finansijskom sektoru pristupaju cyber sigurnosti i operativnoj otpornosti. Zahtijeva više od puke tehničke nadogradnje – zahtijeva stratešku promjenu u načinu razmišljanja i praksi.
Cyber napadi usmjereni na finansijske organizacije postali su sofisticiraniji. Prošlomjesečni proboj Finastre , vodećeg fintech provajdera koji služi vodeće svjetske banke, oštar je podsjetnik na ranjivosti koja ostaje čak iu najnaprednijim sistemima. Kako finansijski sistemi postaju sve povezaniji, DORA postavlja standard za osiguravanje da institucije mogu izdržati, oporaviti se i prilagoditi izazovima promjenjivih cyber rizika.
Sada je vrijeme da finansijske organizacije osiguraju da u potpunosti razumiju kako ispuniti osnovne zahtjeve DORA-e. To će im omogućiti da implementiraju proaktivne strategije za otpornost i pripreme se za regulatorne revizije koje će oblikovati budućnost operativne otpornosti u finansijskom sektoru EU.
Razumijevanje osnovnih zahtjeva DORA-e
DORA predstavlja značajnu inicijativu u naporima EU da osigura finansijski sektor. Za razliku od tradicionalnih propisa koji se fokusiraju isključivo na izvještavanje o incidentima ili pojedinačne sigurnosne mjere, DORA ima holistički pristup operativnoj otpornosti. Priznaje sve veću složenost modernih finansijskih sistema i oslanjanje sektora na dobavljače trećih strana, što povećava rizik od poremećaja.
Da bi ispunile DORA-ine standarde, organizacije moraju ojačati svoje poslovanje u pet kritičnih oblasti: upravljanje rizikom ICT-a, izvještavanje o incidentima, testiranje otpornosti, upravljanje rizikom trećih strana i razmjena informacija. Svaki od ovih zahtjeva služi kao gradivni blok za stvaranje sigurnog i agilnog finansijskog ekosistema sposobnog da se prilagodi dinamičkom okruženju prijetnji.
Proaktivne strategije poput kontinuiranog testiranja, poboljšanog nadzora treće strane i robusnog izvještavanja o incidentima su ključne za osiguravanje usklađenosti sa DORA-om, a istovremeno jačaju sigurnosni položaj organizacije i jačaju njihovu ukupnu operativnu otpornost.
Kontinuirano testiranje i simulacija prijetnji
Jednokratne sigurnosne procjene više nisu dovoljne. Kontinuirano testiranje omogućava finansijskim institucijama da ostanu ispred protivnika simulirajući napade u stvarnom svijetu i identifikujući praznine u njihovoj odbrani. Ovaj pristup omogućava organizacijama da se prilagode novim taktikama, tehnikama i procedurama (TTP) koje koriste cyber kriminalci.
Da bi bile usklađene sa DORA , institucije moraju osigurati da njihovo testiranje bude sveobuhvatno, uključujući interne sisteme, integracije trećih strana i najnovije podatke o prijetnjama.
Jačanje protokola za reagovanje na incidente
U eri u kojoj brzina odgovora može odrediti utjecaj cyber incidenta, robusni protokoli za odgovor na incident su neophodni. DORA-in 72-satni okvir za izvještavanje ostavlja malo prostora za kašnjenja, čineći pripremu neophodnom.
Izgradnja efikasnih mehanizama odgovora uključuje više od kreiranja kontrolne liste. Organizacije moraju jasno definisati uloge, odgovornosti i tokove rada kako bi pojednostavile napore reagovanja. Koristeći alate za automatizaciju za praćenje incidenata u realnom vremenu i osiguravajući da su timovi dobro obučeni, finansijske institucije mogu ispuniti stroge zahtjeve regulative, a minimiziraju operativne poremećaje.
Poboljšanje upravljanja rizikom treće strane
Međusobno povezana priroda današnjeg finansijskog sektora znači da su pružaoci usluga treće strane neizbježan — i značajan — faktor rizika. Od usluga u cloud-u do fintech rješenja, sigurnost ovih partnera direktno utiče na usklađenost i otpornost organizacije.
DORA naglašava važnost robusnog upravljanja rizikom treće strane , pozivajući na kontinuirano praćenje i temeljitu procjenu sigurnosnih praksi dobavljača. Održavanje centralizovanog registra rizika i njegovo redovno ažuriranje osigurava da finansijske institucije mogu da budu u toku sa ranjivostima u nastajanju i donose informisane odluke o svom ekosistemu dobavljača.
Priprema za regulatorne preglede
Usklađenost zahtijeva stalnu marljivost i sposobnost da se pokazuje napredak tokom regulatornih pregleda. Za finansijske institucije, ovo znači integraciju usklađenosti u svakodnevne operacije i stvaranje sistema za praćenje i izvještavanje o ključnim pokazateljima.
Centralizovana platforma za izveštavanje može pojednostaviti ovaj proces, konsolidujući podatke iz testova otpornosti, izveštaja o incidentima i procena trećih strana.
Informisanje rukovodstva i dokumentovanje svakog koraka na putu usaglašavanja osigurava da organizacije ne budu zatečene tokom revizija. Davanjem prioriteta transparentnosti i temeljnoj dokumentaciji, finansijske institucije mogu se pozicionirati kao lideri u operativnoj otpornosti.
Izvor:help Net Security
