Regulamento DORA para fintechs: risco de TIC e de terceiros

O que é

O DORA é um regulamento e, portanto, aplica-se diretamente em todos os Estados-Membros, complementado por normas técnicas. Ele se apoia em cinco pilares. A gestão de risco de TIC exige um framework documentado que abranja identificação, proteção, detecção, resposta e recuperação, aprendizado e comunicação, com o órgão de administração como responsável final. A gestão de incidentes relacionados com TIC exige a classificação dos incidentes e a notificação dos incidentes graves à autoridade competente dentro de prazos definidos. Os testes de resiliência operacional digital exigem um programa de testes proporcional à entidade; determinadas entidades designadas pelas autoridades também devem passar por testes de intrusão orientados por ameaças, segundo regras específicas. A gestão do risco de TIC de terceiros exige um registro de informações sobre todos os acordos de serviços de TIC, avaliação de riscos antes da contratação, cláusulas contratuais específicas e estratégias de saída. O compartilhamento de informações sobre ameaças é incentivado dentro de comunidades de confiança. A proporcionalidade se aplica em todos os pilares, e uma lista definida de entidades menores, como pequenas empresas de investimento não interligadas e determinadas instituições de pagamento e de moeda eletrônica isentas, pode aplicar o framework simplificado de gestão de risco de TIC previsto no Artigo 16.

Para Quem É

Este guia é destinado a:

• Fintechs de pagamento, moeda eletrônica, criptoativos, investimentos e outras fintechs licenciadas que se enquadram na lista de entidades financeiras do DORA
• Líderes de compliance, risco e tecnologia que estruturam ou revisam um programa DORA
• Provedores de TIC e fornecedores de software que atendem entidades financeiras e recebem requisitos contratuais do DORA
• Fundadores que precisam explicar as expectativas do DORA a investidores ou conselhos

O Que Isso Ajuda A Esclarecer

Analisar os pilares ajuda a esclarecer:

• Quais funções críticas ou importantes o seu negócio suporta e de quais sistemas de TIC elas dependem
• Se o seu registro de terceiros e os seus contratos contêm o que o DORA espera
• O que o seu programa de testes de resiliência deve incluir, considerando o seu porte e perfil de risco
• Onde faltam evidências técnicas para sustentar os documentos de governança

O que está incluído

• Governança: confirme a aprovação e a supervisão do framework de risco de TIC pelo órgão de administração e documente os papéis
• Mapeamento de ativos e funções: identifique as funções críticas ou importantes e os sistemas, dados e provedores por trás delas
• Proteção e detecção: revise o controle de acesso, a MFA, o registro em logs e o monitoramento desses sistemas
• Gestão de incidentes: defina critérios de classificação, responsáveis pela decisão e o fluxo de notificação de incidentes graves
• Continuidade: teste backup, restauração e objetivos de recuperação das funções críticas
• Programa de testes: planeje avaliações de vulnerabilidades, testes de cenários e testes de intrusão proporcionais ao risco
• Registro de terceiros: liste todos os acordos de TIC com detalhes de função, dados, localização e subcontratação
• Contratos: verifique as cláusulas exigidas, como descrição dos serviços, localização dos dados, direitos de auditoria e de acesso, suporte em incidentes e condições de saída
• Estratégias de saída: documente como você deixaria de usar um provedor crítico
• Risco de concentração: registre onde várias funções críticas dependem de um único provedor

O que não está incluído

• Aconselhamento jurídico ou interpretação regulatória para a sua licença específica
• Testes de intrusão orientados por ameaças em um framework designado pelo regulador
• Envio de notificações de incidentes ou de registros às autoridades
• Certificação ou aprovação de conformidade

Quando Escolher

Use este guia ao preparar ou revisar o seu programa DORA, antes de renovar contratos com os principais provedores de TIC e antes de definir o seu plano anual de testes. Se a sua autoridade competente tiver emitido orientações ou solicitações específicas, siga-as primeiro. Fornecedores que atendem entidades financeiras devem usar a seção sobre terceiros para antecipar solicitações contratuais e de auditoria. Este artigo contém informações gerais e não constitui aconselhamento jurídico.

Nossa abordagem

A maioria das fintechs descobre que a documentação existe, mas as evidências técnicas são escassas. Comece mapeando as funções críticas para os sistemas e provedores; esse único exercício orienta o registro, o escopo dos testes e o planejamento de continuidade. Em seguida, reúna evidências de como os principais controles funcionam na prática. Nosso serviço Security Baseline Review pode oferecer uma visão escrita, classificada por severidade, dos ativos acordados, o que ajuda a mostrar a situação da configuração e dos controles de acesso. Para testes de aplicações e APIs dentro do programa de testes de resiliência, nosso serviço Penetration Testing trabalha a partir de escopo e autorização por escrito e entrega achados classificados por severidade, com reteste dos achados acordados, quando incluído. Ambos complementam os testes orientados por ameaças designados pelo regulador, o aconselhamento jurídico e a aprovação de conformidade, que seguem seus próprios processos. Mantenha cada evidência datada e vinculada à função que ela suporta, para que as revisões da gestão e as perguntas da supervisão possam ser respondidas com base em registros, e não na memória.

Security Baseline Review

Perguntas Frequentes

Artigos relacionados