Bàsicament, el compliment de DORA significa complir amb standardestablerts per la Llei de resiliència operativa digital (DORA). Es tracta d'un reglament de la Unió Europea dissenyat per millorar la resiliència digital i la ciberseguretat de les institucions financeres i també dels seus proveïdors de tecnologia. Va entrar en vigor el 17 de gener de 2025: DORA crea clares i standard normes per ajudar les organitzacions a gestionar els riscos relacionats amb les seves tecnologies de la informació i la comunicació (TIC a partir d'ara). Doneu un cop d'ull a la llista de comprovació de compliment de DORA a continuació!
A diferència de les regulacions més antigues, centrades principalment en els riscos financers, DORA posa la seguretat de les TIC en primer pla. També s'aplica a una àmplia gamma d'empreses: des de bancs i companyies d'assegurances fins a empreses de programari, proveïdors de serveis al núvol i consultories de TI que treballen amb el sector financer. En resum, aconseguir el compliment de DORA significa que podeu demostrar que la vostra organització és capaç de detectar els riscos digitals de manera precoç, respondre a les amenaces cibernètiques de manera eficaç i mantenir els serveis en funcionament durant les interrupcions.
Requisits bàsics del compliment de DORA #
Per tal de complir amb la normativa DORA, les empreses s'han de centrar en cinc àrees essencials:
Necessitareu un procés clar per a:
- Identificació i classificació d'actius tecnològics clau
- Monitorització contínua dels vostres sistemes per detectar vulnerabilitats
- La creació de plans detallats de resposta i recuperació per a incidents que puguin ocórrer
- Avaluacions periòdiques de les vostres mesures de ciberseguretat
2. Notificació d'incidents relacionats amb les TIC
Els incidents TIC, especialment els greus, s'han de notificar als reguladors, tenint en compte terminis estrictes. Això promou la transparència i permet a les autoritats supervisar i orientar els esforços de recuperació.
3. Proves de resiliència operativa digital (DORT)
La vostra organització ha de comprovar regularment com de bé poden resistir els vostres sistemes les amenaces cibernètiques. Això inclou:
- Execució d'escanejos de vulnerabilitats
- Realització de proves de penetració
- Realització d'atacs simulats més avançats i del món real (TLPT)
4. Gestió de riscos TIC de tercers
Com que molts serveis depenen de proveïdors externs, DORA exigeix una supervisió rigorosa dels riscos de tercers. Això significa:
- Avaluar acuradament els proveïdors abans de signar contractes.
- Definició de les obligacions de seguretat en els contractes.
- Monitorització contínua dels proveïdors per detectar riscos.
- Preparació de plans de sortida en cas que calgui substituir els serveis ràpidament.
5. Acords per compartir informació
DORA sempre fomenta l'intercanvi d'informació sobre amenaces cibernètiques amb els seus iguals per tal de construir resiliència col·lectiva en tot el sector financer.
Llista de verificació de compliment de DORA #
Si teniu una llista de comprovació de compliment de DORA pas a pas, us pot ajudar a simplificar el procés. Aquí teniu tot el que hauria d'incloure la vostra llista de comprovació de compliment de DORA:
Comunicació de crisi i recuperació: Heu de tenir un pla sobre com comunicar-vos i recuperar-vos durant possibles incidents TIC.
Mapatge d'actius i serveis: Heu de mantenir un inventari actualitzat dels sistemes i serveis TIC crítics.
Marc d'avaluació de riscos: Es recomana fermament la implementació de mètodes clars per avaluar i gestionar els riscos TIC.
Seguiment continu: Per detectar vulnerabilitats i incidents, podeu utilitzar la monitorització en temps real
Protocols de notificació d'incidents: Definir com classificar els incidents i informar-ne als reguladors
Proves de seguretat: Programar escanejos de vulnerabilitats periòdics, proves de penetració i avaluacions de resiliència
Comprovació de riscos de tercers: I per últim, però no menys important, auditeu els vostres proveïdors regularment i establiu expectatives clares de ciberseguretat.
Escaneig de vulnerabilitats i compliment de DORA: què cal saber #
Escaneig de vulnerabilitats juga un paper central en el compliment dels requisits i la conformitat de DORA. Com a part de les proves de resiliència operativa, cal que:
- Definiu l'abast: Assegureu-vos que tots els sistemes i aplicacions crítics estiguin coberts per les exploracions.
- Automatitzar escanejos: Automatitzeu al màxim per garantir avaluacions consistents i regulars.
- Prioritzar les correccions: Incorpora els resultats als teus fluxos de treball de seguretat i prioritza les correccions en funció de la gravetat.
- Inclou sistemes de tercers: Sistemes d'escaneig gestionats també pels principals proveïdors.
- Mantenir registres: Documenteu els vostres escanejos, troballes i accions per a auditories i informes de compliment.
Descuidar aquesta àrea podria provocar fallades de compliment normatiu i deixar la vostra organització vulnerable a atacs.
Per què el compliment normatiu és important per als gestors de seguretat i els equips de DevSecOps? #
Per als gestors de seguretat, DORA ofereix més que un marc de compliment: proporciona un enfocament estructurat i estratègic que els pot ajudar a enfortir la seva resiliència en matèria de ciberseguretat.
I per als equips de DevSecOps, DORA s'alinea amb pràctiques de desenvolupament modernes com ara:
- Incorporació anticipada de proves de seguretat (majúscules esquerra).
- Ús de processos de desenvolupament de programari segurs (SDLC).
- Automatització d'escanejos de vulnerabilitats i fluxos de treball de remediació.
- Monitorització de la infraestructura i les aplicacions en temps real.
L'adopció dels principis de DORA fa que el vostre desenvolupament i les vostres operacions siguin més segurs i eficients. Doneu un cop d'ull a la nostra xerrada SafeDev sense restriccions a DORA – Entendre què hi ha en joc des del punt de vista de la ciberseguretat per aprendre més d'experts en ciberseguretat!
Enfortint la resiliència digital amb DORA #
#
DORA Compliance està pensat per convertir-se en un element imprescindible per a les empreses financeres i els seus proveïdors a tota Europa, ja que impulsa les organitzacions a millorar la ciberseguretat, gestionar els riscos de tercers i crear resiliència contra les disrupcions de les TIC. Si voleu simplificar els vostres esforços de compliment normatiu, feu una ullada ràpida a Xígeni, l'eina AppSec tot en un que us ajudarà a assegurar la vostra cadena de subministrament de programari, automatitzar l'escaneig de vulnerabilitats i optimitzar els informes. El vostre equip de seguretat sempre estarà al corrent de les amenaces i els requisits normatius! Feu una visita guiada del producte or Obtingueu una prova gratuïta!
Compliment dels requisits DORA de la UE per a la gestió de riscos TIC, la notificació d'incidents, la realització de proves de seguretat i la supervisió de proveïdors externs.
Entitats financeres com bancs i asseguradores, així com proveïdors de TIC que els donen suport.
És una llista pràctica que cobreix avaluacions de riscos, inventaris d'actius, monitorització contínua, anàlisi de vulnerabilitats i més.
Sí. Es requereix explícitament que es facin anàlisis de vulnerabilitats periòdiques.
Integrant controls de seguretat i monitorització en el lliurament de programari pipelines i gestió d'infraestructures.
