DORA chi? Il Regolamento D.O.R.A.

I sei pilastri di DORA

1. Di fondamentale importanza in questo processo di adeguamento è il ruolo del Consiglio di Amministrazione, che non solo ha il compito di definire una strategia di gestione dei rischi relativi alle TIC, ma dovrà anche mantenere un ruolo attivo nell’amministrazione di questi ultimi, anche sulla base del reporting che riceverà (almeno su base annuale) da parte del responsabile IT in merito agli esiti ed alle evidenze dei test di resilienza effettuati. È inoltre previsto l’obbligo di formazione per tutta la popolazione aziendale (dipendenti, dirigenti e amministratori) in merito alla Cyber-security.
2. Per garantire una adeguata gestione dei rischi il legislatore introduce alcuni adempimenti specifici per le entità finanziarie, con impatto sia sulle infrastrutture (es: dotarsi di strumenti e sistemi TIC resilienti e garantire misure di protezione adeguate, effettuare continui rilevamenti di minacce alla sicurezza informatica, …) sia sulle policy e procedure aziendali (es: business continuity, disaster recovery, back up e ripristino, resilienza operativa e digitale)
3. Per quanto riguarda i servizi TIC forniti da terze parti è necessario un continuo e completo monitoraggio dei rischi in tutte le fasi del rapporto, da quelle precontrattuali (es: due diligence sui potenziali fornitori) a quelle “business as usual” (es: audit periodici sugli outsourcer in ambito TIC, manutenzione di un registro di tutti gli accordi contrattuali in essere, assesment sui contratti, …). Sono inoltre previsti specifici elementi e clausole minime da prevedere in tutti i contratti di outsourcing. I fornitori terzi di servizi TIC classificati come critici sono soggetti a sorveglianza da parte dalle Autorità di Vigilanza, che può richiedere la trasmissione di tutte le informazioni ritenute necessarie (documenti aziendali od operativi, contratti, segnalazioni di incidenti, relazioni di audit, …) all’adempimento dei compiti di controllo.
4. Deve essere sviluppato un processo di monitoraggio, gestione e segnalazione degli incidenti che include la fase di identificazione degli incidenti (con il supporto di indicatori di allerta precoce) e la successiva classificazione di tali incidenti secondo i criteri descritti nel regolamento. È inoltre previsto l’obbligo di segnalazione alle Autorità di Vigilanza degli incidenti classificati come gravi e la comunicazione degli stessi a stakeholders interni ed esterni, coerentemente con i piani di comunicazione sviluppati ex-ante a cura di una specifica figura aziendale (la cui nomina fa parte degli adempimenti di DORA).
5. Una delle maggiori novità introdotte da DORA riguarda l’obbligo di pianificare ed effettuare periodicamente dei test di penetrazione basati su minacce volti ad individuare eventuali punti di debolezza per poter adottare misure correttive adeguate. Tali test si affiancano ai test di resilienza operativa e si rivolgono alle funzioni che sono considerate critiche o importanti; devono essere ripetuti almeno ogni tre anni, oltre che a seguito di eventuali incidenti gravi o modifiche significative dei sistemi.
6. Infine, viene introdotto un meccanismo europeo di scambio di informazioni riguardanti i dati delle minacce informatiche, con l’obiettivo di facilitare una collaborazione “sistemica” che possa ridurre la propagazione delle minacce nell’universo finanziario, rafforzando la capacità di difesa complessiva. L’adesione a tale meccanismo risulta discrezionale.