Regolamento DORA per le fintech: rischio ICT e terze parti

Che cos'è

Il DORA è un regolamento, quindi si applica direttamente in tutti gli Stati membri, con il supporto di norme tecniche. Si basa su cinque pilastri. La gestione dei rischi ICT richiede un quadro documentato che copra identificazione, protezione, rilevamento, risposta e ripristino, apprendimento e comunicazione, con l'organo di gestione in ultima istanza responsabile. La gestione degli incidenti connessi alle TIC richiede la classificazione degli incidenti e la segnalazione dei gravi incidenti all'autorità competente entro tempi stabiliti. I test di resilienza operativa digitale richiedono un programma di test proporzionato all'entità; determinate entità designate dalle autorità devono inoltre sottoporsi a test di penetrazione basati sulla minaccia secondo regole specifiche. La gestione dei rischi ICT derivanti da terzi richiede un registro delle informazioni su tutti gli accordi per servizi ICT, una valutazione dei rischi prima della stipula, specifiche disposizioni contrattuali e strategie di uscita. La condivisione di informazioni sulle minacce è incoraggiata all'interno di comunità fidate. La proporzionalità si applica in tutto il regolamento e un elenco definito di entità più piccole, come le imprese di investimento piccole e non interconnesse e alcuni istituti di pagamento e di moneta elettronica esentati, può applicare il quadro semplificato per la gestione dei rischi ICT previsto dall'articolo 16.

Per Chi È

Questa guida è rivolta a:

• Fintech autorizzate nei pagamenti, nella moneta elettronica, nelle cripto-attività, negli investimenti e in altri ambiti che rientrano nell'elenco delle entità finanziarie del DORA
• Responsabili compliance, rischio e tecnologia che costruiscono o riesaminano un programma DORA
• Fornitori ICT e vendor di software che servono entità finanziarie e ricevono requisiti contrattuali DORA
• Fondatori che devono spiegare le aspettative del DORA a investitori o consigli di amministrazione

Cosa Aiuta A Chiarire

Esaminare i pilastri aiuta a chiarire:

• Quali funzioni essenziali o importanti supporta la Sua attività e da quali sistemi ICT dipendono
• Se il Suo registro delle terze parti e i Suoi contratti contengono quanto richiesto dal DORA
• Che cosa deve includere il Suo programma di test di resilienza in base alle Sue dimensioni e al Suo profilo di rischio
• Dove mancano evidenze tecniche a supporto dei documenti di governance

Cosa è incluso

• Governance: confermare l'approvazione e la supervisione del quadro di gestione dei rischi ICT da parte dell'organo di gestione e documentare i ruoli
• Mappatura di asset e funzioni: individuare le funzioni essenziali o importanti e i sistemi, i dati e i fornitori che le supportano
• Protezione e rilevamento: esaminare controllo degli accessi, MFA, logging e monitoraggio di tali sistemi
• Gestione degli incidenti: definire criteri di classificazione, decisori e flusso di segnalazione per i gravi incidenti
• Continuità: testare backup, ripristino e obiettivi di recupero per le funzioni essenziali
• Programma di test: pianificare vulnerability assessment, test basati su scenari e penetration test proporzionati al rischio
• Registro delle terze parti: elencare tutti gli accordi ICT con funzione, dati, ubicazione e dettagli sui subappalti
• Contratti: verificare la presenza delle disposizioni richieste, come descrizione dei servizi, ubicazione dei dati, diritti di audit e di accesso, supporto in caso di incidente e condizioni di uscita
• Strategie di uscita: documentare come si sostituirebbe un fornitore critico
• Rischio di concentrazione: annotare dove più funzioni essenziali dipendono da un unico fornitore

Cosa non è incluso

• Consulenza legale o interpretazione normativa per la Sua specifica autorizzazione
• Test di penetrazione basati sulla minaccia nell'ambito di un quadro designato dall'autorità di vigilanza
• L'invio di segnalazioni di incidenti o registri alle autorità
• Certificazione o approvazione di conformità

Quando sceglierlo

Utilizzi questa guida quando prepara o riesamina il Suo programma DORA, prima di rinnovare i contratti con i principali fornitori ICT e prima di definire il piano annuale dei test. Se la Sua autorità competente ha emanato indicazioni o richieste specifiche, segua prima quelle. I vendor che servono entità finanziarie dovrebbero utilizzare la sezione sulle terze parti per anticipare le richieste contrattuali e di audit. Questo articolo fornisce informazioni generali e non costituisce consulenza legale.

Il nostro approccio

La maggior parte delle fintech constata che la documentazione esiste, ma le evidenze tecniche sono scarse. Inizi mappando le funzioni essenziali sui sistemi e sui fornitori; questo singolo esercizio orienta il registro, il perimetro dei test e la pianificazione della continuità. Poi raccolga evidenze su come funzionano effettivamente i controlli chiave. Il nostro servizio Security Baseline Review può fornire una valutazione scritta, classificata per gravità, degli asset concordati, che aiuta a mostrare lo stato della configurazione e dei controlli di accesso. Per il test di applicazioni e API nell'ambito del programma di test di resilienza, il nostro servizio Penetration Testing opera sulla base di un perimetro e di un'autorizzazione scritti e fornisce rilievi classificati per gravità, con retest dei rilievi concordati ove previsto. Entrambi integrano i test basati sulla minaccia designati dall'autorità di vigilanza, la consulenza legale e l'approvazione di conformità, che seguono i propri processi. Conservi ogni evidenza con la relativa data e collegata alla funzione che supporta, così che i riesami della direzione e le domande delle autorità di vigilanza possano trovare risposta nei documenti anziché nella memoria.

servizio Security Baseline Review

Domande frequenti

Articoli correlati