Il Digital Operational Resilience Act (DORA) fa parte del Digital Finance Package dell'UE e impone alle entità finanziarie di operare con una solida infrastruttura di sicurezza informatica. Il DORA richiede alle istituzioni finanziarie di garantire di poter resistere, adattarsi e riprendersi da interruzioni legate all'IT che potrebbero influire sulle loro operazioni o sul sistema finanziario più ampio. Questo regolamento mira a migliorare la gestione del rischio, garantire la responsabilità e semplificare gli standard di sicurezza informatica tra le entità finanziarie dell'UE, i fornitori terzi e le infrastrutture finanziarie critiche.

Obiettivi principali di DORA #

1. Rafforzare la sicurezza informatica: Applicare elevati standard di sicurezza informatica all'interno delle entità finanziarie per proteggerle dalle nuove minacce informatiche.
2. Standardizzare le misure di resilienza: Armonizzare i requisiti di resilienza IT nei servizi finanziari, consentendo coerenza e coesione.
3. Aumentare la supervisione normativa: Porre maggiore enfasi sul monitoraggio dei fornitori di servizi terzi, in particolare quelli critici per le operazioni IT.

Chi deve rispettare la DORA? #

Il DORA si applica a una serie di entità nel settore dei servizi finanziari all'interno dell'UE, tra cui, a titolo esemplificativo ma non esaustivo:

• Banche, istituti di credito e compagnie assicurative
• Istituti di pagamento e di moneta elettronica
• Società di investimento, gestori di fondi e fornitori di servizi di criptovalute
• Fornitori di infrastrutture del mercato finanziario, come i depositari centrali di titoli
• Fornitori di tecnologie dell'informazione e della comunicazione (TIC) che servono queste entità

Requisiti tecnici di DORA #

Quadro di gestione del rischio ICT #

Obiettivo : Definire e mantenere un quadro di riferimento per l'identificazione, la valutazione e la mitigazione dei rischi ICT in tutta l'organizzazione.

Requisiti :

• Sviluppare e implementare politiche di gestione del rischio ICT allineate alla strategia complessiva di gestione del rischio dell'ente.
• Stabilire controlli per la sicurezza dei dati, la gestione degli accessi e la gestione delle modifiche.
• Garantire la disponibilità, l'autenticità, l'integrità e la riservatezza dei dati.

Segnalazione e gestione degli incidenti ICT #

Obiettivo : Fornire un processo strutturato per il monitoraggio e la gestione degli incidenti relativi alle tecnologie dell'informazione e della comunicazione (TIC).

Requisiti :

• Implementare un sistema di monitoraggio in tempo reale per rilevare e segnalare incidenti correlati alle ICT.
• Stabilire una scala di classificazione degli incidenti per garantire che gli incidenti vengano affrontati in base alla loro gravità e al loro impatto.
• Sviluppare piani di risposta e ripristino per ridurre al minimo le interruzioni durante gli incidenti ICT.
• Segnalare gli incidenti più gravi alle autorità di regolamentazione entro un lasso di tempo definito.

Test di resilienza operativa digitale (DORT) #

Obiettivo : Valutare e convalidare regolarmente l'efficacia dei sistemi e dei protocolli ICT.

Requisiti :

• Eseguire stress test, penetration test e valutazioni della vulnerabilità per identificare e mitigare potenziali debolezze nei sistemi ICT.
• Eseguire test di penetrazione basati sulle minacce (TLPT), che comportano la simulazione di scenari di attacco reali per valutare la resilienza del sistema.
• Stabilire e implementare un programma di test per garantire una valutazione coerente della resilienza del sistema.

Gestione del rischio di terze parti #

Obiettivo : Implementare procedure solide per il monitoraggio e la gestione dei fornitori di servizi terzi nel settore ICT.

Requisiti :

• Assicurarsi che gli accordi contrattuali con i fornitori di ICT includano disposizioni sulla protezione dei dati, misure di sicurezza informatica e gestione degli incidenti.
• Eseguire regolarmente la due diligence sui fornitori terzi per valutarne la resilienza operativa e le pratiche di sicurezza informatica.
• Implementare un quadro di valutazione del rischio che valuti le dipendenze di terze parti e il loro impatto sulla continuità aziendale.

Resilienza e pianificazione della continuità #

Obiettivo : Sviluppare piani completi per garantire la continuità operativa in caso di interruzioni dei sistemi ICT.

Requisiti :

• Stabilire e mantenere un piano di continuità aziendale (BCP) che affronti le interruzioni legate all'ICT.
• Sviluppare e implementare un piano di disaster recovery (DRP) con protocolli per il recupero dei dati e il ripristino del sistema.
• Eseguire regolarmente esercitazioni di simulazione per garantire l'efficacia dei piani di continuità.

Reporting e Comunicazione #

Obiettivo : Garantire una comunicazione chiara e tempestiva delle informazioni relative alla resilienza con le parti interessate.

Requisiti :

• Implementare meccanismi per la segnalazione interna dei rischi e degli incidenti ICT alla direzione e ai dipartimenti competenti.
• Facilitare la segnalazione esterna agli enti regolatori e ad altre autorità, in particolare per incidenti che potrebbero avere ripercussioni sulla stabilità del mercato.
• Mantenere una documentazione chiara delle misure di resilienza ICT, dei risultati dei test e dei report sugli incidenti ai fini della revisione normativa.

Sfide e considerazioni sull'implementazione di DORA #

Aderire ai severi requisiti tecnici di DORA può presentare delle sfide per gli istituti finanziari, in particolare nella gestione dei costi, nell'assicurarsi personale qualificato e nell'instaurare un'efficace collaborazione interfunzionale. Di seguito sono riportate le considerazioni chiave per un'efficace implementazione di DORA:

• Assegnazione delle risorse: Le istituzioni devono garantire che siano stanziate risorse finanziarie e tecniche adeguate per i test di resilienza, la supervisione di terze parti e la gestione degli incidenti.
• Formazione del personale: Una formazione regolare è essenziale per mantenere il personale aggiornato sui protocolli di resilienza, sulle migliori pratiche di sicurezza informatica e sugli aspetti tecnici della segnalazione e gestione degli incidenti.
• Coordinamento con i fornitori ICT:Dato che DORA estende il controllo normativo ai fornitori terzi di ICT, le istituzioni dovrebbero collaborare strettamente con i propri fornitori per mantenere la conformità e garantire la continuità del servizio.
• Miglioramento continuo: La conformità DORA non è un compito una tantum. Le istituzioni devono aggiornare regolarmente le misure di resilienza, adattarsi alle minacce emergenti e migliorare la propria infrastruttura ICT in base al feedback dei test e alle nuove intuizioni normative.

Conformità DORA con RELIANOID Load Balancer #

Nel contesto del Digital Operational Resilience Act (DORA), che si concentra sulla sicurezza informatica e sulla resilienza nei servizi finanziari e critici, i bilanciatori di carico come RELIANOID può svolgere un ruolo cruciale nel garantire la conformità fornendo funzionalità chiave che migliorano la resilienza della rete, la disponibilità e la gestione sicura dei dati.

Ecco come funziona un bilanciatore di carico come RELIANOID può aiutare ad allinearsi ai principi DORA:

1. Resilienza e ridondanza: RELIANOID i bilanciatori di carico distribuiscono il traffico su più server, assicurando che nessun singolo punto di errore interrompa il servizio. Questa ridondanza migliora l'affidabilità dei servizi, un componente fondamentale dei requisiti di resilienza operativa di DORA.

2. Protocolli di sicurezza: Con funzionalità di sicurezza integrate come la terminazione SSL, la mitigazione DDoS e i moduli WAF (Web Application Firewall), RELIANOID aiuta a proteggere dalle minacce informatiche, in linea con i mandati di sicurezza informatica di DORA. Inoltre, questi livelli di sicurezza impediscono l'accesso non autorizzato, rilevano le intrusioni e proteggono l'integrità dei dati durante il transito.

3. Monitoraggio e reportistica in tempo reale: RELIANOID fornisce monitoraggio e avvisi in tempo reale, aiutando nella gestione proattiva del traffico di rete e nel rilevamento delle minacce. In DORA, il monitoraggio continuo è essenziale per gestire i rischi in modo efficace. RELIANOID può registrare modelli di traffico dettagliati, avvisando gli amministratori di anomalie e potenziali incidenti di sicurezza e facilitando risposte rapide.

4. Risposta agli incidenti e recupero: Supportando il failover automatizzato e il reindirizzamento del traffico, RELIANOID aiuta a garantire la continuità durante le interruzioni, il che è in linea con l'enfasi di DORA sul ripristino dagli incidenti. Semplifica inoltre l'orchestrazione dei processi di ripristino in caso di disastro reindirizzando il traffico e mantenendo online i servizi essenziali in caso di interruzioni parziali.

5. Conformità e governance dei dati: RELIANOID favorisce la conformità con gli aspetti di governance dei dati di DORA consentendo il traffico di dati crittografato tra client e server, preservando l'integrità e la riservatezza dei dati.

Affrontando la resilienza, la sicurezza e il monitoraggio della conformità, RELIANOID I bilanciatori di carico contribuiscono direttamente alla capacità di un'organizzazione di soddisfare gli standard DORA, in particolare nei settori finanziari e critici in cui resilienza e sicurezza sono fondamentali.

Conclusione #

Il Digital Operational Resilience Act (DORA) segna un significativo progresso nell'impegno dell'UE nel rafforzare la sicurezza informatica e la resilienza operativa nel settore finanziario. Definendo rigorosi requisiti tecnici per la gestione del rischio ICT, la segnalazione degli incidenti, i test di resilienza, il monitoraggio di terze parti e la pianificazione della continuità, DORA mira a creare un panorama digitale più sicuro e resiliente per i servizi finanziari. La conformità con DORA non è solo una necessità normativa, ma un passo fondamentale per promuovere fiducia, stabilità e sicurezza all'interno dell'ecosistema finanziario.

Con l'avvicinarsi delle scadenze per la conformità al DORA, gli istituti finanziari dell'UE dovrebbero dare priorità alla creazione di un solido quadro di resilienza operativa per soddisfare questi requisiti e adattarsi a un mondo finanziario sempre più digitale e interconnesso.