Migliorare la continuità operativa grazie al Digital Operational Resilience Act (DORA)
Sebbene la digitalizzazione abbia portato numerosi vantaggi, ha anche accresciuto la dipendenza del settore finanziario dalle tecnologie dell’informazione e della comunicazione (TIC), determinando un aumento dei rischi digitali quali attacchi informatici, interruzioni dei servizi TIC, danneggiamento e perdita dei dati. Per affrontare le minacce alla sicurezza e migliorare la resilienza operativa nel settore finanziario, l’Unione Europea ha ratificato il DORA, il Digital Operational Resilience Act.
Questo blog esplora come la nuova normativa UE possa aiutare gli enti finanziari a migliorare la gestione dei rischi ICT per un ecosistema finanziario più sicuro. Illustra inoltre come NAKIVO possa assistere gli istituti finanziari nel raggiungimento della conformità al DORA.
Che cos’è il Digital Operational Resilience Act (DORA)?
Panoramica e finalità del DORA
La legge sulla resilienza operativa digitale (DORA) Si tratta del regolamento europeo 2022/2554, ratificato formalmente dal Parlamento europeo e dal Consiglio dell’Unione europea nel novembre 2022. La prima bozza del DORA è stata proposta nel 2020 nell’ambito del Pacchetto sulla finanza digitale (DFP), che definiva la strategia dell’UE, le raccomandazioni e la proposta legislativa in materia di cripto-asset, blockchain e resilienza digitale per il settore finanziario.
Il regolamento mira a istituire un quadro giuridico standardizzato per gli istituti finanziari dell’UE e i loro fornitori IT di terze parti, al fine di rafforzare la resilienza operativa e la sicurezza dei sistemi ICT. In altre parole, uno degli obiettivi principali del DORA è mitigare le minacce informatiche, le violazioni ICT e le interruzioni nel settore finanziario.
Gli istituti finanziari e i loro fornitori ICT di terze parti dovranno attuare il quadro normativo e gli standard tecnici del DORA entro il 17 gennaio 2025.
Autorità di vigilanza preposte all’applicazione del DORA
Sebbene l’UE abbia adottato ufficialmente il DORA nel 2022, le Autorità di vigilanza dell’UE (ESA) stanno ancora elaborando gli standard tecnici di regolamentazione (RTS) previsti dal regolamento. Tre ESA – l’Autorità bancaria europea (EBA), l’Autorità europea delle assicurazioni e delle pensioni aziendali e professionali (EIOPA) e l’Autorità europea degli strumenti finanziari e dei mercati (ESMA) – hanno pubblicato la prima bozza nel gennaio 2024 e dovrebbero finalizzare gli RTS entro la fine dell’anno. Dopo che le ESA avranno presentato gli RTS definitivi alla Commissione europea, gli standard saranno ratificati dal Parlamento e dal Consiglio.
L’applicazione delle RTS e la supervisione della conformità spettano alle rispettive autorità nazionali competenti, che devono ancora essere designate. L’applicazione avrà inizio una volta designate le autorità e trascorsa la scadenza di gennaio 2025.
Requisiti chiave del regolamento DORA
Il regolamento DORA stabilisce i requisiti di sicurezza per la rete e i sistemi ICT degli istituti finanziari e dei loro fornitori terzi. Tali requisiti coprono quattro aspetti principali della sicurezza ICT:
- Gestione dei rischi ICT (Capitolo II). Enfatizza la responsabilità della gestione in caso di interruzioni dei servizi ICT e stabilisce un quadro comune per il rilevamento, l’identificazione, la gestione e la mitigazione delle minacce ICT.
- Gestione, classificazione e segnalazione degli incidenti ICT (Capitolo III). Standardizzazione degli obblighi di segnalazione degli incidenti ICT e ampliamento dell’ambito degli incidenti da segnalare alle autorità.
- Test di resilienza operativa digitale (Capitolo IV). Obbligo di effettuare test di resilienza basati sul rischio dei sistemi ICT critici, con test di penetrazione avanzati basati sulle minacce (TLPT), da eseguire almeno ogni 3 anni.
- Gestione dei rischi di terze parti nel settore ICT (Capitolo V). Obbligo per gli istituti finanziari di stabilire regole di monitoraggio dei rischi per i propri fornitori terzi, incluse clausole relative ai rischi nei loro contratti, e di imporre sanzioni in caso di inadempienza.
- Condivisione delle informazioni (Capitolo VI). Introduzione di accordi di condivisione delle informazioni che consentano agli enti finanziari di scambiarsi informazioni e intelligence sulle minacce informatiche per aumentare la consapevolezza sulle nuove minacce e condividere strategie di mitigazione delle minacce.
Chi deve conformarsi al Digital Operational Resilience Act?
Organizzazioni soggette al DORA
Gli istituti finanziari e gli enti le cui attività sono critiche per l’infrastruttura del settore finanziario rientrano nell’ambito di applicazione del DORA:
- Istituti di credito e di pagamento
- Istituti di moneta elettronica
- Fornitori di servizi relativi alle cripto-attività
- Imprese di investimento e gestori di fondi di investimento alternativi
- Compagnie di assicurazione e riassicurazione e intermediari
- Sedi di negoziazione e repositories di dati sulle negoziazioni
- Fondi pensione
- Depositi centrali di titoli, controparti centrali e repositories di cartolarizzazione
- Fornitori di servizi, inclusi servizi quali informazioni sui conti, segnalazione dei dati, gestione, crowdfunding
- Agenzie di rating del credito
- Amministratori di indici di riferimento critici
- Fornitori terzi di servizi ICT, compresi i provider cloud
Rischi di non conformità al DORA
Il DORA autorizza gli Stati membri a decidere in merito a sanzioni amministrative o misure correttive in caso di non conformità. La legge consente inoltre agli Stati membri di applicare sanzioni penali per le violazioni soggette al diritto penale nazionale.
Pertanto, la DORA stabilisce le misure minime che gli Stati membri possono adottare per garantire l’efficace attuazione delle linee guida della DORA, tra cui la pubblicazione di avvisi pubblici e, in alcuni casi, la richiesta di cessare, temporaneamente o definitivamente, qualsiasi attività non conforme. Il regolamento DORA conferisce inoltre alle autorità di vigilanza europee (ESA) il potere di designare i fornitori di servizi ITC di terze parti ritenuti critici per il settore finanziario e di nominare un responsabile della vigilanza per ciascun fornitore critico. I responsabili della vigilanza godono degli stessi poteri delle autorità competenti e possono richiedere misure correttive e sanzioni ai fornitori di servizi ITC non conformi. Il regolamento DORA autorizza i responsabili della vigilanza a infliggere ammende fino all’1% del fatturato medio giornaliero mondiale del fornitore di servizi ITC registrato nell’anno precedente. Tale ammenda può essere imposta quotidianamente per un periodo massimo di 6 mesi o fino al raggiungimento della conformità.
L’impatto del DORA sugli enti finanziari e sui fornitori terzi
Sebbene gli standard effettivi debbano ancora essere definiti, il DORA delinea requisiti generali e raccomandazioni su come il settore finanziario dovrebbe standardizzare le proprie pratiche di gestione delle TIC e le misure di sicurezza.
Se siete un fornitore di servizi ICT di terze parti, come ad esempio un vendor cloud, il primo passo da compiere è determinare se siete considerati critici ai sensi dell’articolo 31 (Sezione II). I fornitori critici rientrano nella regolamentazione del DORA proprio come gli altri soggetti finanziari.
Il DORA richiede agli istituti finanziari di valutare il rischio dei fornitori terzi e di stabilire le modalità di gestione degli incidenti nei contratti di servizio. Pertanto, in qualità di fornitore non critico che collabora con organizzazioni finanziarie, sarà obbligatorio per voi mitigare i rischi che potrebbero avere un impatto sull’organizzazione finanziaria.
Adeguamenti operativi obbligatori dal DORA
Il DORA sottolinea la responsabilità della gestione in caso di interruzioni dei sistemi ICT e richiede agli istituti finanziari di sviluppare e mantenere un quadro completo per la mitigazione dei rischi ICT. Il quadro dovrebbe includere quanto segue:
- Ruoli e responsabilità definiti per la gestione e il personale coinvolto
- Valutazione periodica dei rischi ICT per identificare e effettuare il monitoraggio dei rischi nei sistemi ICT, processi e risorse
- Monitoraggio continuo dei sistemi ICT per individuare potenziali minacce
- Procedure strutturate e dettagliate per prevenire, gestire e rispondere agli incidenti ICT, compresi i piani di risposta agli incidenti e di continuità operativa
- Aggiornamento e miglioramento continui delle pratiche e delle misure sulla base dell’analisi degli incidenti
- Protocolli di comunicazione degli incidenti destinati ai clienti e ad altre parti interessate, sia esterne che interne, per garantire trasparenza e fiducia durante le interruzioni dei servizi ICT
- Protocolli chiari per la segnalazione degli incidenti agli organismi di regolamentazione e ad altre entità competenti in base alla gravità di L’incidente
Pratiche rafforzate di gestione dei rischi
Oltre al monitoraggio continuo dei rischi ICT, la DORA impone di effettuare test periodici sui sistemi e sulle risorse per valutare l’esposizione ai rischi ICT. Gli istituti finanziari diventano responsabili dei rischi associati ai fornitori di servizi ICT di terze parti e della gestione dei fornitori non conformi. In particolare, la DORA richiede agli enti finanziari di includere clausole per la gestione dei rischi ICT nei contratti stipulati con i fornitori con cui collaborano.
La legge sottolinea l’importanza delle strategie di prevenzione, che includono i test delle misure di resilienza e sicurezza esistenti per identificare le vulnerabilità dei sistemi e dei protocolli, nonché l’analisi e la segnalazione post-incidente. La DORA incoraggia inoltre l’apprendimento a livello di settore e l’organizzazione di eventi in cui gli istituti finanziari possano condividere le proprie esperienze e conoscenze.
Standard rafforzati in materia di sicurezza informatica e protezione dei dati
La DORA riconosce la sicurezza informatica e la protezione dei dati come i principali fattori che influenzano la resilienza operativa di un’organizzazione e richiede agli enti finanziari di:
- attuino misure di sicurezza quali controlli di accesso e crittografia
- sviluppino piani di continuità operativa e di ripristino di emergenza
- utilizzino strumenti per il monitoraggio continuo delle minacce ICT e il rilevamento in tempo reale del malware
- garantiscano aggiornamenti tempestivi di software e hardware per mitigare le vulnerabilità
- effettuino valutazioni periodiche delle vulnerabilità che includano test di penetrazione e test basati su scenari
Per gli ambienti critici e le aree ad alto rischio, gli enti sono tenuti a eseguire test avanzati periodici, come i test del «red team», e possono essere addirittura obbligati a partecipare a esercitazioni di test a livello di settore.
- segnalare tempestivamente gli incidenti alle parti interessate e alle autorità per garantire la trasparenza durante gli incidenti e consentire ad altre organizzazioni di trarne insegnamento
Opinioni degli esperti sul Digital Operational Resilience Act
Approfondimenti dei professionisti della sicurezza informatica
«Il DORA rende obbligatorio per le istituzioni finanziarie lo sviluppo di un’adeguata politica di sicurezza dei dati e di una rete robusta basata su un approccio orientato al rischio. Le pratiche specificate dal DORA sono una novità per il settore? No, esistono già da decenni. Tuttavia, nonostante il rischio sempre crescente di attacchi informatici come il ransomware, alcune organizzazioni non hanno ancora implementato, o lo hanno fatto solo parzialmente, le misure di sicurezza più elementari», afferma Sergei Serdyuk, Vicepresidente presso NAKIVO.
Previsioni sul futuro di DORA
“DORA sta aprendo la strada a una maggiore sicurezza informatica nel settore finanziario. E, si spera, col tempo questa normativa si estenderà anche ad altri settori. Con la digitalizzazione globale e i progressi nell’intelligenza artificiale, sempre più settori e organizzazioni sono diventati soggetti a rischi di sicurezza informatica. In molti casi, ciò non comporta una perdita individuale per un’organizzazione, sia essa finanziaria o reputazionale, ma un aumento del rischio di interruzioni a livello settoriale e intersettoriale dovute alle interdipendenze tra le organizzazioni.” —Sergei Serdyuk, Vicepresidente di NAKIVO.
Misure per garantire la conformità al DORA con NAKIVO
Il DORA dedica particolare attenzione alle procedure di backup e replica (articoli 11-12), poiché incidono direttamente sulla disponibilità dei servizi, sulla continuità operativa e sulla sicurezza dei dati dell’azienda. Il DORA impone ai soggetti interessati di garantire la sicurezza del trasferimento dei dati e di ridurre al minimo il rischio di danneggiamento e perdita dei dati, nonché di pratiche di gestione dei dati inadeguate ed errori umani.
NAKIVO Backup & Replication è una soluzione completa per la protezione dei dati che consente di eseguire il backup, la replica, la configurazione e l’automazione dei flussi di lavoro di ripristino di emergenza, nonché il monitoraggio dei carichi di lavoro da un’unica interfaccia web.
La soluzione supporta ambienti virtuali, cloud, fisici, NAS, SaaS e ibridi, il che la rende particolarmente adatta ad aiutare gli enti finanziari di diverse dimensioni a garantire una protezione dei dati di altissimo livello. La soluzione si integra perfettamente con vari tipi di storage, inclusi appliance di deduplicazione e dispositivi NAS, cloud pubblici, piattaforme cloud compatibili con S3 e nastri, per garantire il livello di flessibilità obbligatorio per le diverse esigenze aziendali e di conformità.
Esecuzione di una valutazione iniziale della conformità
Eseguire l’analisi delle lacune per identificare le aree in cui potrebbero essere necessari miglioramenti per conformarsi al regolamento DORA. Concentrarsi sulle 4 aree chiave menzionate in precedenza:
- Gestione dei rischi ICT
- Gestione, classificazione e segnalazione degli incidenti ICT
- Test di resilienza operativa digitale
- Gestione dei rischi ICT legati a terze parti
Sviluppo di una strategia di conformità DORA
Nello sviluppo di una strategia di conformità DORA, è necessario definire una roadmap annuale con passaggi, obiettivi e priorità ben definiti. La strategia varierà a seconda della complessità dell’infrastruttura IT dell’organizzazione e del suo attuale livello di resilienza nei confronti delle minacce digitali. Il regolamento DORA impone alle organizzazioni finanziarie di disporre di adeguati piani di continuità operativa, piani di risposta e ripristino delle TIC e di effettuare una valutazione dell’impatto sulle attività aziendali (BIA) della propria esposizione a gravi interruzioni.
Il regolamento DORA richiede inoltre alle organizzazioni di disporre di almeno un sito secondario remoto (un sito di ripristino di emergenza) per garantire la continuità delle operazioni aziendali critiche in caso di inattività del sito primario. Per ridurre al minimo i tempi di inattività e limitare le interruzioni o le perdite, un’organizzazione dovrebbe sviluppare una piano di ripristino di emergenza che includa quanto segue:
- L’ambito del backup e del ripristino di emergenza in base all’importanza dei componenti software e hardware e dei dati archiviati;
- Le dipendenze tra i componenti IT e l’ordine di ripristino delle VM;
- Obiettivi di ripristino (tempo di ripristino e punto di ripristino) per ciascuna funzione a seconda della sua importanza e dell’impatto complessivo sulle operazioni aziendali (ciò significa anche che è necessario disporre di uno schema di rotazione dei punti di ripristino basato sulla frequenza degli aggiornamenti dei dati e sulla loro importanza);
- Ruoli e responsabilità assegnati al personale;
- Requisiti hardware definiti per un sito di DR secondario, al fine di garantire CPU, memoria, capacità disco e larghezza di banda di rete sufficienti per una transizione senza intoppi.
Come gestire la conformità al DORA con NAKIVO
Le funzionalità avanzate della soluzione NAKIVO possono aiutarvi a ridurre al minimo gli sforzi di conformità al DORA e ad automatizzare la maggior parte dei processi relativi alla sicurezza informatica. Per aiutarvi a orientarvi meglio tra tutti i casi d’uso, illustriamo qui di seguito come è possibile soddisfare specifici requisiti di sicurezza del DORA utilizzando la soluzione NAKIVO:
- Resilienza dei dati (Articolo 9). La soluzione NAKIVO consente di soddisfare facilmente la regola di backup 3-2-1 per una migliore resilienza dei dati. Secondo questa regola, è necessario archiviare almeno 3 copie dei dati di backup in 3 ubicazioni diverse; 2 copie devono trovarsi offsite e 1 nel cloud.
- Integrità dei dati (Articolo 12). Grazie ai backup coerenti con le applicazioni e alle repliche, potete stare certi che i dati delle applicazioni siano coerenti anche quando il backup viene eseguito mentre l’applicazione è in esecuzione. La soluzione supporta inoltre i backup di database Oracle, applicazioni Microsoft come Active Directory ed Exchange Server, nonché le app e i servizi di Microsoft 365 (Teams, Exchange Online, SharePoint Online, OneDrive for Business).
- Resilienza contro il ransomware e altre minacce informatiche (Articolo 9). La soluzione di NAKIVO consente di creare backup immutabili in locale, nel cloud o su dispositivi HYDRAstor per garantire che nessuno possa alterare o cancellare i dati. È inoltre possibile avvalersi della protezione ” separazione fisica ” inviando le copie di backup su nastro o su qualsiasi altro supporto di archiviazione rimovibile a cui i criminali informatici non possano accedere tramite la rete. La soluzione consente inoltre di eseguire la scansione dei backup alla ricerca di malware prima del ripristino, in modo da avere la certezza che i dati di backup non siano infetti.
- Crittografia end-to-end (Articolo 9). Con la soluzione di NAKIVO, è possibile crittografare i dati di backup prima che lascino il computer di origine e crittografare la rete e i repository di backup per garantire che i dati siano protetti sia in transito che inattivi.
- Prevenzione degli accessi non autorizzati e meccanismi di autenticazione forte (Articolo 9). È possibile proteggere tutti i backup e i flussi di lavoro di protezione dei dati tramite il Controllo degli accessi basato sui ruoli (RBAC) e l’autenticazione a più fattori.
- Monitoraggio delle minacce in tempo reale (Articolo 10). Il modo migliore per garantire il rilevamento in tempo reale delle anomalie è utilizzare un software anti-malware completo. Tuttavia, la soluzione di NAKIVO dispone di funzioni che possono aiutare a migliorare il monitoraggio delle minacce. Ad esempio, con il Funzione di monitoraggio IT per VMware, è possibile rilevare problemi e attività sospette prima che diventino un problema più grave. Questa funzione consente il monitoraggio in tempo reale di tutti gli indicatori di prestazione, inclusi l’utilizzo di CPU, RAM e disco, in modo da poter individuare rapidamente qualsiasi consumo anomalo.
- Resilienza operativa contro i rischi ICT e tempi di inattività minimi in caso di interruzioni (Articoli 11-12). L’avanzata funzionalità di ripristino dell’ambiente di NAKIVO consente di automatizzare e testare i flussi di lavoro relativi al ripristino dell’ambiente. È possibile configurare sequenze automatizzate e attivarle con un solo clic in caso di disastri per passare istantaneamente alle repliche situate in un sito secondario.
- Test regolari dei flussi di lavoro e dei protocolli di DR (Articolo 12). Per garantire che il ripristino avvenga senza intoppi e che gli obiettivi vengano raggiunti in caso di emergenza, è possibile pianificare test regolari dei flussi di lavoro di failover e failback in una modalità di prova che non interferisca con le attività di produzione. I test consentono di verificare la sequenza delle azioni e la connettività di rete.
Riepilogo
Il Digital Operational Resilience Act rappresenta un passo avanti strategico verso un settore finanziario più resiliente e operazioni finanziarie più sicure. Garantendo l’adozione delle procedure consigliate in materia di sicurezza informatica e promuovendo la formazione e la sensibilizzazione, la legge aiuta gli istituti finanziari ad affrontare le minacce attuali e le sfide future, fungendo al contempo da punto di riferimento per altri settori.
. Fai di NAKIVO un alleato nel tuo percorso verso un sistema ICT più resiliente.
