لائحة DORA لشركات التقنية المالية: مخاطر ICT والأطراف الثالثة

ما هو

DORA لائحة، ولذا فهي تُطبَّق مباشرة في جميع الدول الأعضاء، وتدعمها معايير فنية. وهي تقوم على خمس ركائز. تتطلب إدارة مخاطر تقنية المعلومات والاتصالات (ICT) إطارًا موثقًا يغطي التحديد والحماية والاكتشاف والاستجابة والتعافي والتعلّم والتواصل، مع تحمّل الهيئة الإدارية المسؤولية النهائية. وتتطلب إدارة الحوادث المتعلقة بـ ICT تصنيف الحوادث والإبلاغ عن الحوادث الكبرى إلى السلطة المختصة ضمن مُهل محددة. ويتطلب اختبار المرونة التشغيلية الرقمية برنامج اختبار متناسبًا مع الكيان؛ كما يجب على كيانات معيّنة تحددها السلطات أن تخضع لاختبار اختراق قائم على التهديدات وفق قواعد محددة. وتتطلب إدارة مخاطر الأطراف الثالثة في ICT سجلًا للمعلومات عن جميع ترتيبات خدمات ICT، وتقييمًا للمخاطر قبل التعاقد، وأحكامًا تعاقدية محددة، واستراتيجيات للخروج. ويُشجَّع تبادل المعلومات حول التهديدات ضمن مجتمعات موثوقة. ويسري مبدأ التناسب في جميع الجوانب، ويمكن لقائمة محددة من الكيانات الأصغر، مثل شركات الاستثمار الصغيرة وغير المترابطة وبعض مؤسسات الدفع والنقود الإلكترونية المعفاة، تطبيق الإطار المبسّط لإدارة مخاطر ICT الوارد في المادة 16.

لمن هذا؟

هذا الدليل موجّه إلى:

• شركات التقنية المالية المرخّصة في مجالات الدفع والنقود الإلكترونية والأصول المشفرة والاستثمار وغيرها، التي تندرج ضمن قائمة الكيانات المالية في DORA
• مسؤولي الامتثال والمخاطر والتقنية الذين يبنون برنامج DORA أو يراجعونه
• مزوّدي خدمات ICT وموردي البرمجيات الذين يخدمون الكيانات المالية ويتلقون متطلبات تعاقدية بموجب DORA
• المؤسسين الذين يحتاجون إلى شرح توقعات DORA للمستثمرين أو مجالس الإدارة

ما يساعد على توضيح

تساعد مراجعة الركائز على توضيح:

• الوظائف الحرجة أو المهمة التي يدعمها نشاطك، وأنظمة ICT التي تعتمد عليها
• ما إذا كان سجل الأطراف الثالثة وعقودك يتضمنان ما تتوقعه DORA
• ما ينبغي أن يتضمنه برنامج اختبار الصمود لديك بالنظر إلى حجمك وملف مخاطرك
• المواضع التي تفتقر فيها وثائق الحوكمة إلى أدلة تقنية داعمة

ما هو متضمن

• الحوكمة: التأكد من اعتماد الهيئة الإدارية لإطار مخاطر ICT وإشرافها عليه، وتوثيق الأدوار
• رسم خريطة الأصول والوظائف: تحديد الوظائف الحرجة أو المهمة والأنظمة والبيانات والمزوّدين الذين تقوم عليهم
• الحماية والاكتشاف: مراجعة التحكم في الوصول والمصادقة متعددة العوامل (MFA) والتسجيل والمراقبة لتلك الأنظمة
• إدارة الحوادث: تحديد معايير التصنيف وصانعي القرار وسير عمل الإبلاغ عن الحوادث الكبرى
• الاستمرارية: اختبار النسخ الاحتياطي والاستعادة وأهداف التعافي للوظائف الحرجة
• برنامج الاختبار: التخطيط لتقييمات الثغرات واختبارات السيناريوهات واختبارات الاختراق بما يتناسب مع المخاطر
• سجل الأطراف الثالثة: إدراج جميع ترتيبات ICT مع تفاصيل الوظيفة والبيانات والموقع والتعاقد من الباطن
• العقود: التحقق من الأحكام المطلوبة مثل أوصاف الخدمات، وموقع البيانات، وحقوق التدقيق والوصول، والدعم عند الحوادث، وشروط الخروج
• استراتيجيات الخروج: توثيق كيفية الانتقال بعيدًا عن مزوّد حرج
• مخاطر التركّز: تدوين المواضع التي تعتمد فيها عدة وظائف حرجة على مزوّد واحد

ما لا يشتمل عليه

• استشارة قانونية أو تفسير تنظيمي لترخيصك المحدد
• اختبار الاختراق القائم على التهديدات وفق إطار تحدده الجهة الرقابية
• تقديم تقارير الحوادث أو السجلات إلى السلطات
• شهادة أو اعتماد امتثال

متى تختارها

استخدم هذا الدليل عند إعداد برنامج DORA أو مراجعته، وقبل تجديد العقود مع مزوّدي ICT الرئيسيين، وقبل تحديد خطة الاختبار السنوية. وإذا أصدرت السلطة المختصة لديك توجيهات أو طلبات محددة، فاتبعها أولًا. وينبغي للموردين الذين يخدمون الكيانات المالية استخدام القسم الخاص بالأطراف الثالثة لاستباق طلبات العقود والتدقيق. هذه المقالة معلومات عامة وليست استشارة قانونية.

نهجنا

تجد معظم شركات التقنية المالية أن الوثائق موجودة لكن الأدلة التقنية شحيحة. ابدأ بربط الوظائف الحرجة بالأنظمة والمزوّدين؛ فهذا التمرين وحده يوجّه السجل ونطاق الاختبار وتخطيط الاستمرارية. ثم اجمع الأدلة على كيفية عمل الضوابط الرئيسية فعليًا. يمكن لخدمتنا «Security Baseline Review» تقديم رؤية مكتوبة مصنّفة حسب درجة الخطورة للأصول المتفق عليها، مما يساعد على إظهار وضع الإعدادات وضوابط الوصول. ولاختبار التطبيقات وواجهات API ضمن برنامج اختبار الصمود، تعمل خدمتنا «Penetration Testing» انطلاقًا من نطاق وتفويض مكتوبين، وتقدّم نتائج مصنّفة حسب درجة الخطورة، مع إعادة اختبار النتائج المتفق عليها حيثما كان ذلك مشمولًا. وتُكمّل كلتاهما الاختبار القائم على التهديدات الذي تحدده الجهة الرقابية، والاستشارة القانونية، واعتماد الامتثال، التي تسير وفق إجراءاتها الخاصة. احرص على تأريخ كل دليل وربطه بالوظيفة التي يدعمها، حتى يمكن الإجابة عن مراجعات الإدارة وأسئلة الجهات الرقابية من السجلات لا من الذاكرة.

Security Baseline Review

الأسئلة المتكررة

مقالات ذات صلة