金融科技企业的 DORA：ICT 与第三方风险

服务简介

DORA 是一项条例，因此在各成员国直接适用，并辅以技术标准。它建立在五大支柱之上。ICT 风险管理要求建立书面框架，涵盖识别、保护、检测、响应与恢复、经验总结以及沟通，并由管理机构承担最终责任。ICT 相关事件管理要求对事件进行分类，并在规定时限内向主管机关报告重大事件。数字运营韧性测试要求制定与实体相称的测试计划；由主管机关指定的特定实体还必须按照专门规则接受威胁导向的渗透测试。ICT 第三方风险管理要求建立涵盖所有 ICT 服务安排的信息登记册、在签约前进行风险评估、订立特定合同条款并制定退出策略。鼓励在可信社群内共享威胁信息。相称性原则贯穿始终，且一份明确列出的较小实体名单（例如小型且非关联的投资公司，以及某些获豁免的支付机构和电子货币机构）可以适用第 16 条规定的简化 ICT 风险管理框架。

适用对象

本指南面向：

• 属于 DORA 金融实体名单的支付、电子货币、加密资产、投资及其他持牌金融科技企业
• 正在建立或审查 DORA 计划的合规、风险和技术负责人
• 为金融实体提供服务并收到 DORA 合同要求的 ICT 服务提供商和软件供应商
• 需要向投资者或董事会解释 DORA 要求的创始人

帮助厘清的问题

审视各大支柱，有助于厘清：

• 您的业务支撑哪些关键或重要职能，以及这些职能依赖哪些 ICT 系统
• 您的第三方登记册和合同是否包含 DORA 所要求的内容
• 结合您的规模和风险状况，韧性测试计划应包括哪些内容
• 哪些方面缺少支撑治理文件的技术证据

包含内容

• 治理：确认管理机构对 ICT 风险框架的批准和监督，并记录相关角色
• 资产与职能映射：识别关键或重要职能，以及其背后的系统、数据和服务提供商
• 保护与检测：审查这些系统的访问控制、多因素身份验证、日志记录和监控
• 事件管理：明确重大事件的分类标准、决策人员和报告流程
• 连续性：测试关键职能的备份、恢复以及恢复目标
• 测试计划：规划与风险相称的漏洞评估、场景测试和渗透测试
• 第三方登记册：列出所有 ICT 安排，包括职能、数据、所在地和分包详情
• 合同：检查是否包含必要条款，例如服务描述、数据存放地点、审计与访问权利、事件支持和退出条款
• 退出策略：记录您将如何脱离某一关键服务提供商
• 集中度风险：记录多个关键职能依赖同一服务提供商的情况

不包含内容

• 针对您特定牌照的法律建议或监管解释
• 依据监管机构指定框架进行的威胁导向渗透测试
• 向主管机关提交事件报告或登记册
• 认证或合规批准

适用时机

在准备或审查 DORA 计划时、在与关键 ICT 服务提供商续签合同之前，以及在确定年度测试计划之前，使用本指南。如果您的主管机关已发布具体指南或提出要求，请优先遵循。为金融实体提供服务的供应商应参考第三方部分，以提前应对合同和审计方面的要求。本文仅为一般性信息，不构成法律建议。

我们的方法

大多数金融科技企业会发现，文档已经具备，但技术证据单薄。首先将关键职能映射到系统和服务提供商；这一项工作就能带动登记册、测试范围和连续性规划。然后收集关键控制措施实际运作情况的证据。我们的 Security Baseline Review 可以对约定资产提供按严重程度分级的书面评估，帮助说明配置和访问控制的现状。对于韧性测试计划中的应用程序和 API 测试，我们的 Penetration Testing 服务依据书面范围和授权开展工作，提供按严重程度分级的发现项，并在包含的情况下对约定发现项进行复测。两者均可与监管机构指定的威胁导向测试、法律建议和合规批准相互补充，这些事项各自遵循其流程。请为每一项证据标注日期并将其与所支撑的职能相关联，以便依据记录而非记忆来应对管理层审查和监管问询。

Security Baseline Review

常见问题

相关文章