Zgodność z przepisami DORA

Zbuduj prawdziwą cyfrową odporność operacyjną

evoila pomaga podmiotom finansowym i ich dostawcom usług ICT spełnić wymogi DORA, zarządzać ryzykiem ICT, zgłaszać incydenty oraz przeprowadzać testy oparte na zagrożeniach, które wytrzymają nawet najdokładniejszą weryfikację.

Sprawdź, czy Twoja organizacja jest gotowa na wdrożenie DORA

Rozporządzenie DORA weszło w życie. Oto, czego faktycznie wymaga

DORA wprowadza cyfrową odporność operacyjną jako wiążący wymóg dla podmiotów finansowych i kluczowych dostawców usług ICT w całej UE. Nie jest to jednorazowe działanie mające na celu zapewnienie zgodności z przepisami. Wymaga to ciągłego zarządzania ryzykiem związanym z ICT, ustrukturyzowanego zgłaszania incydentów, testowania odporności oraz nadzoru nad ryzykiem związanym z podmiotami zewnętrznymi. evoila pomaga przekształcić te wymagania w funkcjonalne ramy działania, charakteryzujące się jasnym podziałem odpowiedzialności, przejrzystymi mechanizmami kontroli oraz dokumentacją, która wytrzyma weryfikację.

  • Dokładna analiza luk w odniesieniu do wszystkich pięciu filarów DORA
  • Zarządzanie ryzykiem w zakresie technologii informacyjno-komunikacyjnych oraz zgłaszanie incydentów zgodnie z oczekiwaniami organów nadzorczych
  • Droga do testów penetracyjnych opartych na zagrożeniach (TLPT) dla podmiotów objętych zakresem

Kontrole organów regulacyjnych nie stanowią już powodu do obaw w przyszłości

Jeśli nie jesteś w stanie udokumentować swojego systemu zapewnienia odporności, narażasz się nie tylko na ewentualne ustalenia, ale także na sam proces kontroli.

Wyzwanie

Trzeba nieustannie wykazywać się odpornością

DORA zastępuje mozaikę przepisów krajowych jednolitym, rygorystycznym standardem unijnym dla sektora finansowego i wymaga dowodów, a nie jedynie deklaracji. Podmioty muszą wykazać się solidnym zarządzaniem ryzykiem związanym z technologiami informacyjno-komunikacyjnymi (ICT), klasyfikować i zgłaszać incydenty w ściśle określonych terminach, testować swoją odporność operacyjną (w tym za pomocą zaawansowanych testów opartych na scenariuszach zagrożeń) oraz aktywnie zarządzać ryzykiem związanym z ICT stron trzecich. Wiele instytucji wdrożyło już niektóre z tych elementów, ale nie w formie zintegrowanych, podlegających nadzorowi ram. W proces ten włączeni są również dostawcy usług ICT dla tego sektora. Konsekwencje niespełnienia wymagań:

Rozdrobnione mechanizmy kontroli ryzyka w zakresie technologii informacyjno-komunikacyjnych

Większość organizacji posiada wytyczne. Niewiele z nich dysponuje jednak strukturą zarządzania, która w sposób jednoznaczny odzwierciedla pięć filarów DORA. Luki te stają się widoczne właśnie wtedy, gdy są najbardziej kosztowne: podczas kontroli nadzorczej.

Zgłaszanie zdarzeń w sytuacjach stresowych

Klasyfikacja incydentów oraz terminy zgłaszania w systemie DORA są ściśle określone. Bez spójnego procesu obejmującego wszystkie etapy – od wykrycia do zgłoszenia – czas mija, zanim dane będą gotowe.

Testy, które muszą iść o krok dalej

Skanowanie podatności nie wystarczy. Istotne podmioty muszą przeprowadzać testy penetracyjne ukierunkowane na zagrożenia (TLPT) zgodnie z normą TIBER-EU. Przygotowanie i przeprowadzenie testów TLPT wymaga dogłębnej wiedzy z zakresu bezpieczeństwa ofensywnego, której większość zespołów ds. zgodności nie posiada we własnym zakresie.

Ryzyko związane z podmiotami zewnętrznymi, którego nie można zignorować

Twoja odporność jest tak silna, jak silni są twoi kluczowi dostawcy usług ICT. DORA wymaga prowadzenia rejestru informacji, wdrożenia procesów nadzorczych oraz mechanizmów kontroli umownej. Ryzyko koncentracji stanowi szczególny przedmiot zainteresowania organów nadzorczych.

Dobra wiadomość: pięć filarów DORA’s idealnie wpisuje się w ustrukturyzowaną ścieżkę wdrażania

Jeśli posiadacie już certyfikat ISO 27001, znaczna część wymaganych ram organizacyjnych jest już w zasięgu ręki.

Nasze rozwiązanie

Praktyczne ramy obejmujące wszystkie pięć filarów DORA


Firma evoila opiera działania w ramach DORA na pięciu filarach, dzięki czemu nic nie umknie uwadze, a wszystko jest odpowiednio udokumentowane. Oceniamy aktualny stan Państwa organizacji, tworzymy brakujące elementy struktury oraz weryfikujemy odporność poprzez testy, łącząc specjalistyczną wiedzę z zakresu GRC z praktyczną inżynierią bezpieczeństwa. Nie jesteśmy przywiązani do konkretnych narzędzi i opieramy się na uznanej normie ISO 27001. W ramach filaru zaawansowanych testów korzystamy bezpośrednio z naszego działu zajmującego się bezpieczeństwem ofensywnym. Nasze usługi w zakresie DORA obejmują:

Ramy zarządzania ryzykiem w zakresie technologii informacyjno-komunikacyjnych

Zarządzanie, zasady i mechanizmy kontroli dostosowane do wymogów DORA

Zarządzanie incydentami i zgłaszanie incydentów

procesy klasyfikacji i raportowania dostosowane do terminów określonych w DORA, powiązane z wykrywaniem

Cyfrowe testy odporności operacyjnej

od ocen podatności po testy penetracyjne ukierunkowane na zagrożenia (TLPT)

Ryzyko związane z podmiotami zewnętrznymi w obszarze ICT

rejestr informacji, procesów umownych i nadzorczych dotyczących kluczowych dostawców

Ocena luk i plan działania

aktualny stan w odniesieniu do wszystkich pięciu filarów, uszeregowany według priorytetów pod kątem gotowości nadzorczej

Dogłębna analiza technologii

Filary DORA jako praktyczne ramy działania

DORA jest szczegółowa i ma charakter techniczny. Prawdziwa praca polega na przekształceniu wymagań w strukturę, która funkcjonuje na co dzień i dostarcza dowodów w razie potrzeby.

Zarządzanie ryzykiem w zakresie technologii informacyjno-komunikacyjnych

Dopasowujemy wymagania DORA do środków kontroli określonych w normie ISO 27001, dzięki czemu system zarządzania bezpieczeństwem informacji (ISMS) staje się operacyjnym rdzeniem, który stanowi dowód na sprawowanie nadzoru, zarządzanie aktywami oraz stosowanie środków ochronnych.

Zobacz także: Norma ISO 27001 i rozwiązanie w zakresie systemu zarządzania bezpieczeństwem informacji (ISMS)

Klasyfikacja i zgłaszanie zdarzeń

Wprowadzamy kryteria klasyfikacji incydentów związanych z technologiami informacyjno-komunikacyjnymi oraz procedurę zgłaszania dostosowaną do harmonogramu DORA, powiązaną z monitorowaniem i wykrywaniem, tak aby dane były dostępne w momencie rozpoczęcia odliczania czasu.

Badania odporności

DORA nakłada obowiązek wdrożenia programu testów; podmioty o istotnym znaczeniu muszą przeprowadzać testy penetracyjne oparte na zagrożeniach w ramach takich standardów jak TIBER-EU. Firma evoila oferuje pełen zakres usług testowych – od oceny podatności po symulacje ataków typu „red teaming” oparte na zagrożeniach, zgodne z modelem MITRE ATT&CK.

Ryzyko związane z technologiami informacyjno-komunikacyjnymi stron trzecich

Pomagamy w tworzeniu rejestru informacji, ocenie ryzyka koncentracji oraz opracowywaniu mechanizmów kontroli umownych i monitorujących wymaganych przez DORA w odniesieniu do kluczowych dostawców.

Dla dostawców usług ICT

Jeśli prowadzisz działalność w sektorze finansowym, pomożemy Ci wykazać Twoją odporność, aby Twoi klienci mogli na Ciebie polegać w ramach DORA.

Zalety techniczne

Co zyskujesz w ramach wszystkich pięciu filarów

1. Ramy zarządzania ryzykiem w zakresie technologii informacyjno-komunikacyjnych

zarządzanie, zasady i mechanizmy kontroli zgodne z wymogami DORA

2. Gotowy do raportowania proces obsługi incydentów

System klasyfikacji i raportowania dostosowany do terminów określonych w DORA, zintegrowany z mechanizmem wykrywania od samego początku.

3. Możliwości TLPT

Testy odporności zgodne ze standardami TIBER-EU i MITRE ATT&CK, przeprowadzane przez nasz zespół ds. bezpieczeństwa ofensywnego.

4. Ryzyko związane z podmiotami zewnętrznymi pod kontrolą

Rejestr informacji, procesów nadzorczych oraz oceny ryzyka koncentracji, opracowany zgodnie ze standardami nadzorczymi.

5. Podstawa normy ISO 27001

Jeden rdzeń operacyjny obsługujący zarówno system DORA, jak i normę. Efektywne rozwiązanie dla organizacji, które uzyskały już certyfikat.

6. Ocena luk i plan działania

Aktualny stan w odniesieniu do wszystkich pięciu filarów, uszeregowany według priorytetów pod kątem gotowości nadzorczej

Twój idealny partner

GRC i Offensive Security. Jeden zespół, a nie dwaj dostawcy.

DORA obejmuje zarówno kwestie związane z zarządzaniem, jak i szczegółowe testy techniczne. Niewielu partnerów zajmuje się obiema tymi dziedzinami.

evoila łączy konsultantów ds. GRC z zespołami zajmującymi się bezpieczeństwem ofensywnym oraz SOC/MDR, dzięki czemu tworzymy dla Państwa strukturę zarządzania ryzykiem ICT i przeprowadzamy testy odporności wymagane przez DORA, w tym ścieżkę prowadzącą do certyfikatu TLPT. Nie jesteśmy przywiązani do konkretnych narzędzi, opieramy się na uznanych standardach ISO 27001 (sama firma evoila posiada certyfikat ISO 27001) oraz łączymy zgłaszanie incydentów z rzeczywistym wykrywaniem zagrożeń. Dostawcom usług ICT dla tego sektora pomagamy stać się niezawodnym ogniwem w łańcuchu DORA ich klientów.

Działalność posiadająca certyfikat ISO 27001

Spełniamy te same standardy operacyjne, które pomagamy wdrażać naszym klientom.

Wiedza techniczna w całej grupie evoila

Specjaliści ds. bezpieczeństwa, chmury obliczeniowej oraz GRC współpracują ze sobą, gdy w ramach programu DORA konieczne jest zarówno zapewnienie odpowiedniego zarządzania, jak i wdrożenie techniczne.

Ćwiczenia z zakresu bezpieczeństwa ofensywnego w ramach realizacji programu TLPT

Usługi typu „red teaming” i zapewnienie zgodności z przepisami w ramach jednej firmy, bez angażowania podwykonawców.

Niezależność od narzędzi, brak uzależnienia od dostawcy

Tworzymy rozwiązania dostosowane do Twojego środowiska, a nie do naszego portfolio partnerów.


Usługi i oferty dla początkujących

Zacznij w sposób, który najbardziej Ci odpowiada

1 | Ocena luk w systemie DORA

Szczegółowa ocena zarządzania ryzykiem w obszarze ICT, mechanizmów zapewniających odporność, systemu sprawozdawczości oraz ryzyka związanego z podmiotami zewnętrznymi. Otrzymasz jasny obraz istniejących luk oraz plan działania z ustalonymi priorytetami, umożliwiający osiągnięcie gotowości do wdrożenia DORA.

2 | Wdrożenie i testowanie systemu DORA

Program realizowany etapami, mający na celu wdrożenie najważniejszych mechanizmów kontroli przewidzianych w dyrektywie DORA, zgromadzenie dokumentacji gotowej do kontroli oraz przygotowanie Państwa organizacji do testów odporności i kontroli nadzorczej.

Twoja odporność wymaga dowodów, a nie samych dobrych chęci.

DORA jest monitorowana. Nadchodzi czas egzaminu. Upewnij się, że Twoja struktura jest gotowa, zanim to nastąpi.

Sprawdź, czy Twoja organizacja jest gotowa na wdrożenie DORA

Sprawmy, by DORA nie wydawała się tak przytłaczająca. Porozmawiajmy.

Od wstępnych ocen po zaawansowane testy – pomożemy Ci sprostać wymaganiom bez zbędnych komplikacji.

Patrick Cosic

Patrick Cosic

Business Unit Lead Security

Najczęściej zadawane pytania

Najczęściej zadawane pytania dotyczące zgodności z DORA

Rozporządzenie DORA ma zastosowanie do szerokiego grona podmiotów finansowych (banków, ubezpieczycieli, firm inwestycyjnych i podmiotów świadczących usługi płatnicze) oraz do kluczowych dostawców usług informatycznych obsługujących te podmioty. Jeśli nie masz pewności, przeprowadzimy krótką ocenę zakresu, aby potwierdzić Twój status i obowiązki.

Testy penetracyjne oparte na scenariuszach zagrożeń symulują działania rzeczywistych przeciwników w rzeczywistym środowisku. DORA wymaga od znaczących podmiotów przeprowadzania zaawansowanych testów opartych na scenariuszach zagrożeń, zazwyczaj w ramach systemu TIBER-EU. evoila pomaga w przygotowaniu się do nich i ich realizacji.

Norma ISO 27001 ma charakter dobrowolny; NIS2 i DORA to wiążące przepisy UE. Rozporządzenie DORA dotyczy konkretnie sektora finansowego i zawiera bardziej szczegółowe wymagania w zakresie odporności operacyjnej, testowania oraz ryzyka związanego z podmiotami zewnętrznymi. System zarządzania bezpieczeństwem informacji (ISMS) zgodny z normą ISO 27001 stanowi skuteczną podstawę do spełnienia tych wymagań.

Tak, potencjalnie. DORA rozszerza zakres nadzoru na kluczowych zewnętrznych dostawców usług ICT. Twoi klienci z sektora finansowego będą wymagać dowodów potwierdzających Twoją odporność. Pomagamy Ci ją zbudować i wykazać, abyś pozostał wiarygodnym dostawcą.

Ocena luk zajmuje kilka tygodni; opracowanie pełnego szkieletu i programu testów trwa kilka miesięcy, w zależności od stopnia dojrzałości. Ustalamy priorytety na podstawie ryzyka nadzorczego, tak aby w pierwszej kolejności zająć się obszarami najbardziej narażonymi.