핀테크를 위한 DORA: ICT 및 제3자 리스크

무엇인가

DORA는 규정이므로 기술 표준의 뒷받침을 받아 회원국 전체에 직접 적용됩니다. DORA는 다섯 가지 축으로 구성됩니다. ICT 리스크 관리는 식별, 보호, 탐지, 대응 및 복구, 학습, 커뮤니케이션을 다루는 문서화된 프레임워크를 요구하며, 최종 책임은 경영진에게 있습니다. ICT 관련 인시던트 관리는 인시던트 분류와 중대 인시던트의 관할 당국 보고를 정해진 기간 내에 하도록 요구합니다. 디지털 운영 회복력 테스트는 기관에 비례하는 테스트 프로그램을 요구하며, 당국이 지정한 일부 기관은 특정 규칙에 따른 위협 기반 침투 테스트도 받아야 합니다. ICT 제3자 리스크 관리는 모든 ICT 서비스 계약에 관한 정보 등록부, 계약 전 리스크 평가, 특정 계약 조항, 출구 전략을 요구합니다. 위협에 관한 정보 공유는 신뢰할 수 있는 커뮤니티 내에서 권장됩니다. 전반에 걸쳐 비례성 원칙이 적용되며, 소규모이고 상호 연결되지 않은 투자회사나 면제 대상인 일부 결제 및 전자화폐 기관 등 정해진 소규모 기관은 제16조의 간소화된 ICT 리스크 관리 프레임워크를 적용할 수 있습니다.

누구를 위한 것인가?

이 가이드는 다음을 대상으로 합니다.

• DORA의 금융기관 목록에 해당하는 결제, 전자화폐, 가상자산, 투자 등 인가받은 핀테크
• DORA 프로그램을 구축하거나 검토하는 컴플라이언스, 리스크, 기술 책임자
• 금융기관에 서비스를 제공하며 DORA 계약 요구 사항을 받는 ICT 제공업체와 소프트웨어 공급업체
• 투자자나 이사회에 DORA 요구 사항을 설명해야 하는 창업자

무엇을 명확히 하는 데 도움이 되는지

각 축을 검토하면 다음이 명확해집니다.

• 귀사의 사업이 어떤 핵심 또는 중요 기능을 지원하며 이들이 어떤 ICT 시스템에 의존하는지
• 제3자 등록부와 계약에 DORA가 기대하는 내용이 담겨 있는지
• 규모와 리스크 프로필을 고려할 때 회복력 테스트 프로그램에 무엇을 포함해야 하는지
• 거버넌스 문서를 뒷받침할 기술적 증거가 어디에서 부족한지

포함된 내용

• 거버넌스: ICT 리스크 프레임워크에 대한 경영진의 승인과 감독을 확인하고 역할을 문서화
• 자산 및 기능 매핑: 핵심 또는 중요 기능과 그 뒤의 시스템, 데이터, 제공업체를 식별
• 보호 및 탐지: 해당 시스템의 접근 제어, MFA, 로깅, 모니터링을 검토
• 인시던트 관리: 중대 인시던트의 분류 기준, 의사결정자, 보고 워크플로를 정의
• 연속성: 핵심 기능의 백업, 복원, 복구 목표를 테스트
• 테스트 프로그램: 리스크에 비례하는 취약점 진단, 시나리오 테스트, 침투 테스트를 계획
• 제3자 등록부: 모든 ICT 계약을 기능, 데이터, 위치, 재위탁 세부 사항과 함께 목록화
• 계약: 서비스 설명, 데이터 위치, 감사 및 접근 권한, 인시던트 지원, 종료 조건 등 필수 조항이 있는지 확인
• 출구 전략: 핵심 제공업체에서 어떻게 이전할지 문서화
• 집중 리스크: 여러 핵심 기능이 하나의 제공업체에 의존하는 지점을 기록

포함되지 않은 것

• 귀사의 특정 인가에 대한 법률 자문 또는 규제 해석
• 규제 당국이 지정한 프레임워크에 따른 위협 기반 침투 테스트
• 당국에 대한 인시던트 보고서 또는 등록부 제출
• 인증 또는 컴플라이언스 승인

선택해야 할 때

DORA 프로그램을 준비하거나 검토할 때, 주요 ICT 제공업체와의 계약을 갱신하기 전, 그리고 연간 테스트 계획을 확정하기 전에 이 가이드를 사용하십시오. 관할 당국이 구체적인 지침이나 요청을 발행했다면 그것을 먼저 따르십시오. 금융기관에 서비스를 제공하는 공급업체는 제3자 섹션을 활용해 계약 및 감사 요청에 대비하십시오. 이 글은 일반 정보이며 법률 자문이 아닙니다.

우리의 접근 방식

대부분의 핀테크는 문서는 있지만 기술적 증거가 부족하다는 것을 알게 됩니다. 먼저 핵심 기능을 시스템과 제공업체에 매핑하십시오. 이 한 가지 작업이 등록부, 테스트 범위, 연속성 계획을 이끌어 갑니다. 그런 다음 주요 통제가 실제로 어떻게 작동하는지에 대한 증거를 수집하십시오. 당사의 Security Baseline Review는 합의된 자산에 대해 심각도별 서면 견해를 제공하여 설정과 접근 제어의 현황을 보여 주는 데 도움이 됩니다. 회복력 테스트 프로그램 내 애플리케이션 및 API 테스트의 경우, 당사의 Penetration Testing 서비스가 서면 범위와 승인을 바탕으로 작업하고 심각도별 발견 사항을 제공하며, 포함된 경우 합의된 발견 사항을 재테스트합니다. 두 서비스 모두 각자의 절차에 따라 진행되는 규제 당국 지정 위협 기반 테스트, 법률 자문, 컴플라이언스 승인을 보완합니다. 경영진 검토와 감독 당국의 질문에 기억이 아닌 기록으로 답할 수 있도록, 각 증거에 날짜를 붙이고 그것이 뒷받침하는 기능과 연결해 두십시오.

Security Baseline Review

자주 묻는 질문

관련 기사