DORA fintech-yrityksille: ICT-riskit ja kolmannet osapuolet

Mikä se on?

DORA on asetus, joten sitä sovelletaan suoraan kaikissa jäsenvaltioissa, ja sitä täydentävät tekniset standardit. Se rakentuu viidelle pilarille. ICT-riskienhallinta edellyttää dokumentoitua viitekehystä, joka kattaa tunnistamisen, suojaamisen, havaitsemisen, reagoinnin ja palautumisen, oppimisen sekä viestinnän, ja lopullinen vastuu on hallintoelimellä. ICT:hen liittyvien poikkeamien hallinta edellyttää poikkeamien luokittelua ja merkittävistä poikkeamista ilmoittamista toimivaltaiselle viranomaiselle asetetuissa määräajoissa. Digitaalisen operatiivisen häiriönsietokyvyn testaus edellyttää yhteisön kokoon suhteutettua testausohjelmaa; tiettyjen viranomaisten nimeämien yhteisöjen on lisäksi läpikäytävä uhkaperusteinen penetraatiotestaus erityisten sääntöjen mukaisesti. ICT-alan kolmansien osapuolten riskienhallinta edellyttää tietorekisteriä kaikista ICT-palvelujärjestelyistä, riskinarviointia ennen sopimuksen tekemistä, erityisiä sopimusehtoja ja irtautumisstrategioita. Uhkia koskevaa tiedonvaihtoa luotettujen yhteisöjen sisällä kannustetaan. Suhteellisuusperiaate pätee kauttaaltaan, ja määritelty joukko pienempiä yhteisöjä, kuten pienet ja ei-kytkeytyneet sijoituspalveluyritykset sekä tietyt vapautetut maksu- ja sähkörahalaitokset, voi soveltaa 16 artiklan yksinkertaistettua ICT-riskienhallintakehystä.

Kenelle se on tarkoitettu

Tämä opas on tarkoitettu:

• Maksu-, sähköraha-, kryptoomaisuus-, sijoitus- ja muille toimiluvan saaneille fintech-yrityksille, jotka kuuluvat DORA:n finanssialan yhteisöjen luetteloon
• Compliance-, riski- ja teknologiavastaaville, jotka rakentavat tai arvioivat DORA-ohjelmaa
• ICT-palveluntarjoajille ja ohjelmistotoimittajille, jotka palvelevat finanssialan yhteisöjä ja saavat DORA-sopimusvaatimuksia
• Perustajille, joiden on selitettävä DORA:n odotukset sijoittajille tai hallituksille

Mitä se auttaa selkiyttämään

Pilarien läpikäynti auttaa selventämään:

• Mitä kriittisiä tai tärkeitä toimintoja liiketoimintanne tukee ja mistä ICT-järjestelmistä ne riippuvat
• Sisältävätkö kolmansien osapuolten rekisterinne ja sopimuksenne sen, mitä DORA edellyttää
• Mitä kestävyystestausohjelmanne tulisi sisältää kokonne ja riskiprofiilinne huomioiden
• Missä hallintoasiakirjojen tueksi tarvittava tekninen näyttö puuttuu

Mitä sisältyy

• Hallinto: varmista hallintoelimen hyväksyntä ja valvonta ICT-riskikehykselle ja dokumentoi roolit
• Omaisuus- ja toimintokartoitus: tunnista kriittiset tai tärkeät toiminnot sekä niiden taustalla olevat järjestelmät, data ja palveluntarjoajat
• Suojaus ja havaitseminen: käy läpi näiden järjestelmien pääsynhallinta, MFA, lokitus ja valvonta
• Poikkeamien hallinta: määritä merkittävien poikkeamien luokittelukriteerit, päätöksentekijät ja ilmoitusprosessi
• Jatkuvuus: testaa kriittisten toimintojen varmuuskopiointi, palautus ja palautumistavoitteet
• Testausohjelma: suunnittele riskiin suhteutetut haavoittuvuusarvioinnit, skenaariotestit ja penetraatiotestit
• Kolmansien osapuolten rekisteri: listaa kaikki ICT-järjestelyt toimintoineen, datoineen, sijainteineen ja alihankintatietoineen
• Sopimukset: tarkista vaaditut ehdot, kuten palvelukuvaukset, datan sijainti, auditointi- ja pääsyoikeudet, tuki poikkeamissa ja irtautumisehdot
• Irtautumisstrategiat: dokumentoi, miten siirtyisitte pois kriittiseltä palveluntarjoajalta
• Keskittymäriski: kirjaa, missä useat kriittiset toiminnot nojaavat yhteen palveluntarjoajaan

Se, mitä ei ole mukana

• Oikeudellinen neuvonta tai sääntelyn tulkinta juuri teidän toimilupaanne varten
• Uhkaperusteinen penetraatiotestaus valvojan nimeämän viitekehyksen mukaisesti
• Poikkeamailmoitusten tai rekisterien toimittaminen viranomaisille
• Sertifiointi tai vaatimustenmukaisuuden hyväksyntä

Milloin valita se

Käyttäkää tätä opasta, kun valmistelette tai arvioitte DORA-ohjelmaanne, ennen keskeisten ICT-palveluntarjoajien sopimusten uusimista ja ennen vuosittaisen testaussuunnitelman vahvistamista. Jos toimivaltainen viranomaisenne on antanut erityisohjeita tai -pyyntöjä, noudattakaa niitä ensin. Finanssialan yhteisöjä palvelevien toimittajien kannattaa käyttää kolmansia osapuolia koskevaa osiota sopimus- ja auditointipyyntöjen ennakointiin. Tämä artikkeli on yleistä tietoa eikä oikeudellista neuvontaa.

Lähestymistapamme

Useimmat fintech-yritykset huomaavat, että dokumentaatiota on olemassa, mutta tekninen näyttö on ohutta. Aloittakaa kartoittamalla kriittiset toiminnot järjestelmiin ja palveluntarjoajiin; tämä yksittäinen harjoitus ohjaa rekisteriä, testauksen laajuutta ja jatkuvuussuunnittelua. Kerätkää sitten näyttöä siitä, miten keskeiset hallintakeinot todella toimivat. Security Baseline Review -palvelumme voi tarjota kirjallisen, vakavuusluokitellun näkymän sovituista kohteista, mikä auttaa osoittamaan, missä tilassa määritykset ja pääsynhallinta ovat. Kestävyystestausohjelmaan kuuluvaa sovellus- ja API-testausta varten Penetration Testing -palvelumme toimii kirjallisen laajuuden ja valtuutuksen pohjalta ja toimittaa vakavuusluokitellut havainnot sekä sovittujen havaintojen uudelleentestauksen, jos se sisältyy laajuuteen. Molemmat täydentävät valvojan nimeämää uhkaperusteista testausta, oikeudellista neuvontaa ja vaatimustenmukaisuuden hyväksyntää, jotka etenevät omien prosessiensa mukaan. Päivätkää jokainen näyttö ja liittäkää se tukemaansa toimintoon, jotta johdon katselmointeihin ja valvojan kysymyksiin voidaan vastata asiakirjojen eikä muistin perusteella.

Security Baseline Review

Usein kysyttyjä kysymyksiä

Aiheeseen liittyvät artikkelit