金融科技業的 DORA：ICT 與第三方風險

服務簡介

DORA 是一項規則，因此在各會員國直接適用，並輔以技術標準。它建立在五大支柱之上。ICT 風險管理要求建立書面框架，涵蓋識別、保護、偵測、應變與復原、經驗學習以及溝通，並由管理機構承擔最終責任。ICT 相關事件管理要求對事件進行分類，並在規定時限內向主管機關通報重大事件。數位營運韌性測試要求制定與實體相稱的測試計畫；由主管機關指定的特定實體還必須依專門規則接受威脅導向的滲透測試。ICT 第三方風險管理要求建立涵蓋所有 ICT 服務安排的資訊登記冊、在簽約前進行風險評估、訂立特定合約條款並制定退出策略。鼓勵在可信社群內分享威脅資訊。相稱性原則貫穿始終，且一份明確列出的較小實體名單（例如小型且非關聯的投資公司，以及某些獲豁免的支付機構與電子貨幣機構）可適用第 16 條規定的簡化 ICT 風險管理框架。

適用對象

本指南適用於：

• 屬於 DORA 金融實體名單的支付、電子貨幣、加密資產、投資及其他持牌金融科技業者
• 正在建立或審查 DORA 計畫的法遵、風險與技術負責人
• 為金融實體提供服務並收到 DORA 合約要求的 ICT 服務供應商與軟體廠商
• 需要向投資人或董事會說明 DORA 要求的創辦人

有助釐清的問題

檢視各大支柱，有助於釐清：

• 您的業務支援哪些關鍵或重要職能，以及這些職能仰賴哪些 ICT 系統
• 您的第三方登記冊與合約是否包含 DORA 所要求的內容
• 依您的規模與風險概況，韌性測試計畫應包括哪些內容
• 哪些方面缺少支持治理文件的技術證據

包含內容

• 治理：確認管理機構對 ICT 風險框架的核准與監督，並記錄相關角色
• 資產與職能對應：識別關鍵或重要職能，以及其背後的系統、資料與服務供應商
• 保護與偵測：審查這些系統的存取控制、多重要素驗證、日誌記錄與監控
• 事件管理：明確重大事件的分類標準、決策人員與通報流程
• 持續性：測試關鍵職能的備份、還原以及復原目標
• 測試計畫：規劃與風險相稱的漏洞評估、情境測試與滲透測試
• 第三方登記冊：列出所有 ICT 安排，包括職能、資料、所在地與轉包細節
• 合約：檢查是否包含必要條款，例如服務描述、資料存放地點、稽核與存取權利、事件支援與退出條款
• 退出策略：記錄您將如何脫離某一關鍵服務供應商
• 集中度風險：記錄多個關鍵職能仰賴同一服務供應商的情況

不包含內容

• 針對您特定執照的法律建議或監管解釋
• 依監管機關指定框架進行的威脅導向滲透測試
• 向主管機關提交事件報告或登記冊
• 認證或合規核准

適用時機

在準備或審查 DORA 計畫時、在與關鍵 ICT 服務供應商續約之前，以及在確定年度測試計畫之前，使用本指南。如果您的主管機關已發布具體指引或提出要求，請優先遵循。為金融實體提供服務的供應商應參考第三方部分，以預先因應合約與稽核方面的要求。本文僅為一般資訊，不構成法律建議。

我們的方法

大多數金融科技業者會發現，文件已經具備，但技術證據薄弱。首先將關鍵職能對應到系統與服務供應商；這一項工作就能帶動登記冊、測試範圍與持續性規劃。接著蒐集關鍵控制措施實際運作情況的證據。我們的 Security Baseline Review 可以對約定資產提供依嚴重程度分級的書面評估，協助說明設定與存取控制的現況。對於韌性測試計畫中的應用程式與 API 測試，我們的 Penetration Testing 服務依書面範圍與授權進行，提供依嚴重程度分級的發現項目，並在包含的情況下對約定發現項目進行複測。兩者皆可與監管機關指定的威脅導向測試、法律建議及合規核准相互補充，這些事項各自依循其流程。請為每一項證據標註日期並將其與所支援的職能相連結，以便依據紀錄而非記憶來回應管理階層審查與監理詢問。

Security Baseline Review

常見問題

相關文章