DORA Compliance

Costruisci una vera resilienza operativa digitale

evoila aiuta gli istituti finanziari e i loro fornitori ICT a soddisfare i requisiti DORA, la gestione dei rischi ICT, la segnalazione degli incidenti e i test basati sulle minacce, in modo da reggere a un esame approfondito.

Valuta il tuo livello di preparazione al DORA

La legge DORA è in vigore. Ecco cosa prevede effettivamente

DORA rende la resilienza operativa digitale un requisito vincolante per gli enti finanziari e i fornitori di servizi ICT critici in tutta l’UE. Non si tratta di un semplice esercizio di conformità una tantum. Richiede una gestione continua dei rischi ICT, una segnalazione strutturata degli incidenti, test di resilienza e il monitoraggio dei rischi legati a terze parti. evoila ti aiuta a trasformare questi requisiti in un quadro operativo con responsabilità ben definite, controlli chiari e prove che reggano a un’eventuale verifica.

  • Un’analisi chiara delle lacune rispetto a tutti e cinque i pilastri del DORA
  • Gestione dei rischi ICT e segnalazione degli incidenti in linea con le aspettative delle autorità di vigilanza
  • Un percorso verso i test di penetrazione basati sulle minacce (TLPT) per le entità interessate

Le verifiche normative non sono più una preoccupazione per il futuro

Se non riesci a dimostrare il tuo quadro di riferimento sulla resilienza, non sei solo esposto alle conclusioni. Sei esposto all’esame stesso.

La sfida

Devi dimostrare continuamente di avere resilienza

DORA sostituisce un mosaico di norme nazionali con un unico e rigoroso standard UE per il settore finanziario e richiede prove concrete, non semplici intenzioni. Le entità devono dimostrare una solida gestione dei rischi ICT, classificare e segnalare gli incidenti entro scadenze strette, testare la propria resilienza operativa (compresi test avanzati basati sulle minacce) e gestire attivamente i rischi ICT legati a terze parti. Molte istituzioni hanno già messo in atto alcuni di questi elementi, ma non come un quadro integrato e soggetta a vigilanza. Anche i fornitori di servizi ICT del settore sono coinvolti. Ecco cosa succede se non si rispettano i requisiti:

Controlli frammentati dei rischi ICT

La maggior parte delle organizzazioni ha delle politiche. Poche, però, hanno una struttura di governance che rispecchi chiaramente i cinque pilastri del DORA. Le lacune si notano proprio quando costano di più: durante un’ispezione di vigilanza.

Segnalazione degli incidenti sotto pressione

Le tempistiche di classificazione e segnalazione degli incidenti previste da DORA sono rigide. Senza un flusso di lavoro integrato che vada dal rilevamento alla segnalazione, il tempo stringe prima ancora che i dati siano pronti.

Test che devono andare oltre

Le scansioni di vulnerabilità non bastano. Le entità di rilievo devono eseguire test di penetrazione basati sulle minacce (TLPT) secondo lo standard TIBER-EU. Prepararsi e svolgere i TLPT richiede competenze approfondite in materia di sicurezza offensiva che la maggior parte dei team di conformità non possiede al proprio interno.

I rischi legati a terze parti che non puoi ignorare

La tua resilienza dipende dalla solidità dei tuoi principali fornitori di ICT. La normativa DORA richiede un registro delle informazioni, processi di supervisione e controlli contrattuali. Il rischio di concentrazione è un aspetto specifico su cui si concentra l’attenzione delle autorità di vigilanza.

La buona notizia: i cinque pilastri di DORA si allineano perfettamente a un percorso di implementazione strutturato

Se hai già implementato la norma ISO 27001, una parte consistente del quadro di riferimento richiesto è già a tua disposizione.

La nostra soluzione

Un quadro operativo che abbraccia tutti e cinque i pilastri del DORA


evoila struttura il lavoro DORA attorno ai suoi cinque pilastri, così non ti sfugge nulla e tutto è ben documentato. Valutiamo la tua situazione attuale, realizziamo i componenti mancanti del framework e dimostriamo la resilienza attraverso i test, combinando le competenze in materia di GRC con l’ingegneria della sicurezza sul campo. Non siamo vincolati a strumenti specifici e ci basiamo su una struttura riconosciuta conforme alla norma ISO 27001. Per il pilastro dei test avanzati, ci colleghiamo direttamente alla nostra pratica di sicurezza offensiva. I nostri servizi DORA includono:

Quadro di riferimento per la gestione dei rischi nel settore delle TIC

Governance, politiche e controlli in linea con i requisiti DORA

Gestione e segnalazione degli incidenti

processi di classificazione e segnalazione pensati per rispettare le scadenze del DORA, integrati con il sistema di rilevamento

Test di resilienza operativa digitale

dalle valutazioni delle vulnerabilità ai test di penetrazione basati sulle minacce (TLPT)

Rischi legati a terze parti nel settore ICT

registro delle informazioni, dei processi contrattuali e di controllo per i fornitori critici

Analisi delle lacune e piano d’azione

situazione attuale rispetto a tutti e cinque i pilastri, in ordine di priorità per la preparazione alla vigilanza

Tech-Deep-Dive

I pilastri di DORA come quadro operativo

DORA è un documento dettagliato e tecnico. Il vero lavoro consiste nel trasformare i requisiti in un quadro di riferimento che funzioni nella pratica quotidiana e fornisca prove quando serve.

Gestione dei rischi informatici

Mappiamo i requisiti DORA sui controlli previsti dalla norma ISO 27001, così che un SGSI diventi il fulcro operativo che attesta la governance, la gestione delle risorse e le misure di protezione.

Vedi anche ISO 27001 e la soluzione ISMS

Classificazione e segnalazione degli incidenti

Applichiamo dei criteri per classificare gli incidenti legati alle TIC e un flusso di lavoro per la segnalazione in linea con le tempistiche di DORA, collegato al monitoraggio e al rilevamento, in modo che i dati siano già disponibili quando scatta il conto alla rovescia.

Test di resilienza

DORA impone un programma di test; le entità di rilievo devono eseguire test di penetrazione basati sulle minacce secondo standard come TIBER-EU. evoila offre una gamma completa di test, dalla valutazione delle vulnerabilità alle simulazioni di attacchi (red teaming) basate sulle minacce, in linea con il modello MITRE ATT&CK.

Rischi legati alle TIC di terze parti

Ti aiutiamo a creare il registro delle informazioni, a valutare il rischio di concentrazione e a definire i controlli contrattuali e di monitoraggio richiesti dalla DORA per i fornitori critici.

Per i fornitori di servizi ICT

Se operi nel settore finanziario, ti aiutiamo a dimostrare la tua resilienza, così i tuoi clienti potranno fare affidamento su di te ai sensi del DORA.

Vantaggi tecnici

Ecco cosa ottieni in tutti e cinque i pilastri

1. Quadro di riferimento per la gestione dei rischi ICT

governance, politiche e controlli conformi ai requisiti del DORA

2. Pipeline degli incidenti pronta per la creazione di report

Classificazione e rendicontazione pensate per rispettare le scadenze del DORA, integrate con il sistema di rilevamento fin dal primo giorno.

3. Funzionalità TLPT

Test di resilienza in linea con TIBER-EU e MITRE ATT&CK, realizzati dal nostro team di sicurezza offensiva.

4. Rischi legati a terze parti sotto controllo

Registro delle informazioni, dei processi di controllo e della valutazione del rischio di concentrazione, redatto secondo gli standard di vigilanza.

5. Struttura di base della norma ISO 27001

Un unico nucleo operativo a supporto di DORA e dello standard. Efficiente per le organizzazioni già certificate.

6. Valutazione delle lacune e piano d’azione

Situazione attuale rispetto a tutti e cinque i pilastri, in ordine di priorità per la preparazione alla vigilanza

Il tuo partner ideale

GRC e Offensive Security. Una sola squadra, non due fornitori.

DORA abbraccia sia gli aspetti di governance che quelli di test tecnici approfonditi. Sono pochi i partner che coprono entrambi questi ambiti.

evoila mette in contatto consulenti GRC con team di sicurezza offensiva e SOC/MDR, così costruiamo il tuo quadro di riferimento dei rischi ICT e ti forniamo i test di resilienza richiesti dalla normativa DORA, compreso un percorso verso la certificazione TLPT. Non siamo vincolati a strumenti specifici, ci basiamo su un fondamento riconosciuto dalla norma ISO 27001 (evoila stessa è certificata ISO 27001) e colleghiamo la segnalazione degli incidenti al rilevamento effettivo. Per i fornitori ICT del settore, ti aiutiamo a diventare l’anello affidabile nella catena DORA dei tuoi clienti.

Attività certificate secondo la norma ISO 27001

Rispettiamo gli stessi standard operativi che aiutiamo i clienti a mettere in pratica.

Competenze tecniche in tutto il gruppo evoila

Gli specialisti di sicurezza, cloud e GRC collaborano quando DORA richiede sia la governance che l’implementazione tecnica.

Esercitazione di sicurezza offensiva per l’erogazione del TLPT

Red teaming e conformità sotto lo stesso tetto, senza subappalti.

Indipendente dallo strumento, senza vincoli con un unico fornitore

Realizziamo soluzioni su misura per il tuo ambiente, non per il nostro portafoglio di partner.


Servizi e offerte per principianti

Inizia nel modo che preferisci

1 | Valutazione delle lacune DORA

Una valutazione mirata della tua gestione dei rischi ICT, dei controlli di resilienza, dei processi di rendicontazione e dei rischi legati a terze parti. Riceverai una chiara panoramica delle lacune e una roadmap con le priorità per prepararti al DORA.

2 | Implementazione e test di DORA

Un programma graduale per implementare i controlli DORA più importanti, raccogliere prove valide ai fini dell’audit e preparare la tua organizzazione ai test di resilienza e al controllo delle autorità di vigilanza.

La tua resilienza ha bisogno di prove concrete, non di semplici intenzioni.

DORA è sotto controllo. L’esame è alle porte. Assicurati che il tuo framework sia pronto prima che arrivi.

Valuta il tuo livello di preparazione al DORA

Cerchiamo di rendere DORA meno intimidatorio. Parliamone.

Dalle prime valutazioni ai test più avanzati, ti aiuteremo a districarti tra i requisiti senza inutili complicazioni.

Patrick Cosic

Patrick Cosic

Business Unit Lead Security

FAQs

Domande frequenti sulla conformità DORA

Il regolamento DORA si applica a un’ampia gamma di soggetti finanziari (banche, assicurazioni, società di investimento e di pagamento) e ai fornitori di servizi ICT critici che li supportano. Se hai dei dubbi, possiamo effettuare una breve valutazione preliminare per confermare la tua situazione e i tuoi obblighi.

I test di penetrazione basati sulle minacce simulano attacchi reali nel tuo ambiente operativo. DORA richiede alle entità di rilievo di eseguire test avanzati basati sulle minacce, in genere secondo il quadro di riferimento TIBER-EU. evoila ti aiuta a prepararti e a realizzarli.

La norma ISO 27001 è una norma volontaria; NIS2 e DORA sono regolamenti UE vincolanti. La DORA riguarda specificamente il settore finanziario e va oltre in materia di resilienza operativa, test e rischi legati a terze parti. Un SGSI conforme alla norma ISO 27001 è la base ideale per rispettarla.

Sì, potenzialmente. Il DORA estende la supervisione ai fornitori terzi di servizi ICT di importanza critica. I tuoi clienti del settore finanziario ti chiederanno di dimostrare la tua resilienza. Ti aiutiamo a svilupparla e a dimostrarla, così potrai continuare a essere un fornitore affidabile.

Una valutazione delle lacune richiede settimane; la creazione del quadro completo e del programma di test richiede diversi mesi, a seconda del livello di maturità. Stabiliamo le priorità in base al rischio di vigilanza, in modo da affrontare per prime le aree più esposte.