Quy định DORA cho fintech: Rủi ro ICT và bên thứ ba

Đây là gì

DORA là một quy định, vì vậy được áp dụng trực tiếp tại các quốc gia thành viên, với sự hỗ trợ của các tiêu chuẩn kỹ thuật. Quy định được xây dựng trên năm trụ cột. Quản lý rủi ro ICT đòi hỏi một khung được lập thành tài liệu bao gồm nhận diện, bảo vệ, phát hiện, ứng phó và khôi phục, rút kinh nghiệm và truyền thông, trong đó cơ quan quản lý của tổ chức chịu trách nhiệm cuối cùng. Quản lý sự cố liên quan đến ICT đòi hỏi phân loại sự cố và báo cáo các sự cố lớn cho cơ quan có thẩm quyền trong các khung thời gian quy định. Kiểm thử khả năng chống chịu hoạt động số đòi hỏi một chương trình kiểm thử tương xứng với tổ chức; một số tổ chức được cơ quan có thẩm quyền chỉ định còn phải thực hiện kiểm thử xâm nhập dựa trên mối đe dọa (threat-led penetration testing) theo các quy tắc cụ thể. Quản lý rủi ro ICT từ bên thứ ba đòi hỏi một sổ đăng ký thông tin về mọi thỏa thuận dịch vụ ICT, đánh giá rủi ro trước khi ký hợp đồng, các điều khoản hợp đồng cụ thể và chiến lược rút lui. Việc chia sẻ thông tin về mối đe dọa được khuyến khích trong các cộng đồng tin cậy. Nguyên tắc tương xứng được áp dụng xuyên suốt, và một danh sách xác định các tổ chức nhỏ hơn, như công ty đầu tư nhỏ và không có tính liên kết hệ thống và một số tổ chức thanh toán và tổ chức tiền điện tử được miễn trừ, có thể áp dụng khung quản lý rủi ro ICT đơn giản hóa tại Điều 16.

Dành cho ai

Hướng dẫn này hướng đến:

• Các fintech được cấp phép trong lĩnh vực thanh toán, tiền điện tử, tài sản mã hóa, đầu tư và các lĩnh vực khác thuộc danh sách tổ chức tài chính của DORA
• Trưởng bộ phận tuân thủ, rủi ro và công nghệ đang xây dựng hoặc rà soát chương trình DORA
• Nhà cung cấp ICT và nhà cung cấp phần mềm phục vụ các tổ chức tài chính và nhận các yêu cầu hợp đồng theo DORA
• Nhà sáng lập cần giải thích các kỳ vọng của DORA cho nhà đầu tư hoặc hội đồng quản trị

Giúp làm rõ điều gì

Xem xét các trụ cột giúp làm rõ:

• Doanh nghiệp hỗ trợ những chức năng trọng yếu hoặc quan trọng nào và các chức năng đó phụ thuộc vào những hệ thống ICT nào
• Sổ đăng ký bên thứ ba và hợp đồng có chứa những gì DORA kỳ vọng hay không
• Chương trình kiểm thử khả năng chống chịu nên bao gồm những gì với quy mô và hồ sơ rủi ro của doanh nghiệp
• Đâu là chỗ còn thiếu bằng chứng kỹ thuật để hỗ trợ các tài liệu quản trị

Những gì được bao gồm

• Quản trị: xác nhận sự phê duyệt và giám sát của cơ quan quản lý đối với khung rủi ro ICT, và lập hồ sơ các vai trò
• Lập bản đồ tài sản và chức năng: xác định các chức năng trọng yếu hoặc quan trọng cùng các hệ thống, dữ liệu và nhà cung cấp đằng sau chúng
• Bảo vệ và phát hiện: rà soát kiểm soát truy cập, MFA, ghi nhật ký và giám sát cho các hệ thống đó
• Quản lý sự cố: xác định tiêu chí phân loại, người ra quyết định và quy trình báo cáo đối với các sự cố lớn
• Duy trì hoạt động liên tục: kiểm thử sao lưu, khôi phục và các mục tiêu phục hồi cho các chức năng trọng yếu
• Chương trình kiểm thử: lên kế hoạch đánh giá lỗ hổng, kiểm thử theo kịch bản và kiểm thử xâm nhập (penetration test) tương xứng với rủi ro
• Sổ đăng ký bên thứ ba: liệt kê mọi thỏa thuận ICT kèm chi tiết về chức năng, dữ liệu, địa điểm và thầu phụ
• Hợp đồng: kiểm tra các điều khoản bắt buộc như mô tả dịch vụ, địa điểm lưu trữ dữ liệu, quyền kiểm toán và truy cập, hỗ trợ khi có sự cố và điều khoản rút lui
• Chiến lược rút lui: lập hồ sơ cách chuyển khỏi một nhà cung cấp trọng yếu
• Rủi ro tập trung: ghi nhận những trường hợp nhiều chức năng trọng yếu phụ thuộc vào một nhà cung cấp

Những gì không được bao gồm

• Tư vấn pháp lý hoặc diễn giải quy định cho giấy phép cụ thể của doanh nghiệp
• Kiểm thử xâm nhập dựa trên mối đe dọa theo khung do cơ quan quản lý chỉ định
• Nộp báo cáo sự cố hoặc sổ đăng ký cho cơ quan có thẩm quyền
• Chứng nhận hoặc phê duyệt tuân thủ

Khi nào nên chọn

Hãy dùng hướng dẫn này khi chuẩn bị hoặc rà soát chương trình DORA, trước khi gia hạn hợp đồng với các nhà cung cấp ICT chủ chốt và trước khi chốt kế hoạch kiểm thử hằng năm. Nếu cơ quan có thẩm quyền đã ban hành hướng dẫn hoặc yêu cầu cụ thể, hãy tuân theo những hướng dẫn đó trước. Các nhà cung cấp phục vụ tổ chức tài chính nên dùng phần về bên thứ ba để dự liệu các yêu cầu về hợp đồng và kiểm toán. Bài viết này là thông tin chung và không phải là tư vấn pháp lý.

Phương pháp của chúng tôi

Phần lớn fintech nhận thấy tài liệu đã có nhưng bằng chứng kỹ thuật còn mỏng. Hãy bắt đầu bằng việc lập bản đồ các chức năng trọng yếu với hệ thống và nhà cung cấp; riêng bài tập này đã định hướng cho sổ đăng ký, phạm vi kiểm thử và kế hoạch duy trì hoạt động liên tục. Sau đó thu thập bằng chứng về cách các biện pháp kiểm soát chính thực sự vận hành. Dịch vụ Security Baseline Review của chúng tôi có thể cung cấp góc nhìn bằng văn bản, được xếp theo mức độ nghiêm trọng, về các tài sản đã thống nhất, giúp cho thấy tình trạng của cấu hình và kiểm soát truy cập. Đối với kiểm thử ứng dụng và API trong chương trình kiểm thử khả năng chống chịu, dịch vụ Penetration Testing của chúng tôi làm việc dựa trên phạm vi và ủy quyền bằng văn bản và bàn giao các phát hiện được xếp theo mức độ nghiêm trọng, kèm kiểm thử lại các phát hiện đã thống nhất nếu có trong phạm vi. Cả hai dịch vụ bổ trợ cho kiểm thử dựa trên mối đe dọa do cơ quan quản lý chỉ định, tư vấn pháp lý và phê duyệt tuân thủ, vốn được thực hiện theo quy trình riêng. Hãy ghi ngày cho từng bằng chứng và liên kết với chức năng mà bằng chứng đó hỗ trợ, để có thể trả lời các đợt rà soát của ban lãnh đạo và câu hỏi giám sát dựa trên hồ sơ thay vì trí nhớ.

Security Baseline Review

Câu hỏi thường gặp

Bài viết liên quan