DORA, la resilienza operativa digitale
Il regolamento europeo per il settore finanziario, che arriva fino a chi gli fornisce servizi informatici. Governo del rischio, incidenti, test e fornitori in moduli che si alimentano fra loro.
Finanza e fornitori ICT
Il Digital Operational Resilience Act (Regolamento UE 2022/2554) si applica dal 17 gennaio 2025 alle entità finanziarie europee: banche, assicurazioni, imprese di investimento, istituti di pagamento e di moneta elettronica, gestori di fondi e molti altri intermediari.
Il motivo per cui riguarda anche aziende non finanziarie sono i fornitori terzi di servizi ICT. Le entità finanziarie devono governare il rischio che deriva da chi fornisce loro software, cloud, assistenza e infrastruttura, e lo fanno attraverso i contratti: requisiti di sicurezza, diritti di audit, notifica degli incidenti, strategie di uscita.
Molte software house e molti gestori di infrastruttura scoprono così di dover dimostrare, al cliente bancario o assicurativo, controlli che prima nessuno chiedeva.
I cinque pilastri del regolamento DORA
- Quadro di gestione del rischio ICT, con la responsabilità dell'organo di amministrazione
- Inventario delle funzioni, degli asset e delle dipendenze ICT
- Gestione, classificazione e segnalazione degli incidenti ICT gravi
- Test di resilienza operativa digitale, proporzionati all'entità
- Gestione del rischio derivante dai fornitori terzi di servizi ICT
- Registro delle informazioni sugli accordi con i fornitori ICT
- Clausole contrattuali minime con i fornitori
- Continuità operativa, backup e ripristino
- Condivisione delle informazioni sulle minacce informatiche
- Formazione sulla resilienza digitale, anche per il vertice
Un modulo per ogni pilastro di DORA
L'autovalutazione DORA dice dove sei. Poi governo del rischio, incidenti, test e fornitori non diventano quattro progetti separati, ma moduli che condividono dati e responsabili.
| Requisito DORA | Come lo copre Dottor Box |
|---|---|
| Misura del divario | Gap analysis sui requisiti del regolamento, con simulazione dei servizi da attivare |
| Governo del rischio ICT | Risk Assessment con piano di trattamento, rischio residuo e un responsabile per ogni rischio |
| Inventario ICT | Asset Management e Superficie di Attacco con la criticità di ogni asset |
| Incidenti ICT | Incident Response e Data Breach: CSIRT, fasi dell'incidente assegnate e report in PDF |
| Test di resilienza | Vulnerability Assessment su rete interna, esterna e web application, con storico |
| Continuità e backup | Continuità operativa: BIA, piano di continuità e verifica dei backup |
| Fornitori terzi ICT | Supply Chain: questionari di qualifica, risposte ed evidenze dei fornitori |
| Informazioni sulle minacce | Threat Intelligence: le notizie che riguardano i tuoi fornitori e le tue tecnologie |
Quando il questionario DORA arriva da un cliente
Risposte documentate
Vulnerability assessment, procedure, analisi dei rischi e gestione degli incidenti: le evidenze da allegare sono già prodotte dalla piattaforma.
Continuità dimostrabile
Lo storico delle scansioni e i report archiviati provano che i controlli girano da tempo, non da ieri.
Un fornitore certificato
Dottor Marc è certificata ISO/IEC 27001 e ISO 9001: vale anche come evidenza nella tua catena di fornitura.
Il capitolo più oneroso di DORA è il controllo dei fornitori. Che tu sia la banca che qualifica o il fornitore che risponde, il lavoro è lo stesso: evidenze ordinate e aggiornate.
DORA: domande frequenti
Sono un fornitore ICT di una banca: DORA si applica a me?
Gli obblighi del regolamento ricadono sull'entità finanziaria, ma ti arrivano attraverso il contratto: requisiti di sicurezza, notifica degli incidenti, diritti di audit, collaborazione ai test. In pratica devi poter dimostrare i tuoi controlli. I fornitori designati come critici a livello europeo sono inoltre soggetti a una sorveglianza diretta delle autorità.
Che differenza c'è fra DORA e NIS2?
DORA è un regolamento specifico per il settore finanziario e, per quei soggetti, prevale sulla NIS2 come norma di settore per la gestione del rischio ICT. Molti requisiti sono simili: analisi dei rischi, incidenti, fornitori, continuità.
Il vulnerability assessment è un test di resilienza?
È una delle componenti dei test previsti dal regolamento, insieme ad altre verifiche proporzionate all'entità. Per i soggetti più rilevanti DORA prevede anche test di penetrazione guidati dalla minaccia, che sono un'attività specialistica distinta.
I moduli che lavorano per DORA
Risk Assessment
Analisi dei rischi impostata su ISO/IEC 27005, con piano di trattamento e rischio residuo.
Scopri di più GovernareIncident Response e Data Breach
CSIRT, fasi di gestione dell'incidente e registro delle violazioni con i tempi di notifica.
Scopri di più GovernareSupply Chain
La qualifica dei fornitori con questionari compilati da un link, senza creare account.
Scopri di più VedereVulnerability Assessment
Sei controlli dall'interno e dall'esterno, con severità CVSS, storico e avvisi sulle novità.
Scopri di più GovernareContinuità operativa
Business Impact Analysis, piano di continuità e verifica dei backup, guidati da questionari.
Scopri di più VedereThreat Intelligence
Le notizie e le minacce che riguardano il tuo settore e i tuoi fornitori, raccolte in un digest.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.