Hva er DORA-samsvar?

I bunn og grunn betyr DORA-samsvar å oppfylle standardfastsatt av Digital Operational Resilience Act (DORA). Dette er en EU-forordning som er utformet for å forbedre digital robusthet og cybersikkerhet for finansinstitusjoner og også deres teknologileverandører. Den ble håndhevet 17. januar 2025: DORA skaper klare og standard regler som hjelper organisasjoner med å håndtere risikoer knyttet til informasjons- og kommunikasjonsteknologien deres (IKT fra nå av). Ta en titt på DORA-samsvarssjekklisten nedenfor!

I motsetning til eldre forskrifter, som hovedsakelig fokuserte på finansielle risikoer, setter DORA IKT-sikkerhet i forgrunnen. Det gjelder også for et bredt spekter av virksomheter: fra banker og forsikringsselskaper til programvareselskaper, skytjenesteleverandører og IT-konsulentfirmaer som jobber med finanssektoren. Kort sagt, å oppnå DORA-samsvar betyr at du kan bevise at organisasjonen din er i stand til å oppdage digitale risikoer tidlig, reagere effektivt på cybertrusler og holde tjenestene i gang under forstyrrelser.

Kjernekrav for DORA-samsvar #

For å oppfylle DORA-kravene, må bedrifter fokusere på fem viktige områder:

1. IKT Risikostyring

Du trenger en tydelig prosess for:

• Identifisering og klassifisering av viktige teknologiske aktiva
• Kontinuerlig overvåking av systemene dine for å sjekke om det er sårbarheter
• Utarbeidelse av detaljerte respons- og gjenopprettingsplaner for hendelser som kan oppstå
• Regelmessige vurderinger av dine cybersikkerhetstiltak

2. IKT-relatert hendelsesrapportering

IKT-hendelser, spesielt de alvorlige, må rapporteres til regulatorer, med strenge tidsfrister. Dette fremmer åpenhet og gir myndighetene mulighet til å føre tilsyn med og veilede gjenopprettingsarbeidet.

3. Digital operasjonell robusthetstesting (DORT)

Organisasjonen din må regelmessig teste hvor godt systemene dine tåler cybertrusler. Dette inkluderer:

• Kjører sårbarhetsskanninger
• Gjennomføring av penetrasjonstester
• Utføre mer avanserte, simulerte angrep i den virkelige verden (TLPT)

4. Risikostyring for tredjeparter innen IKT

Siden mange tjenester er avhengige av eksterne leverandører, krever DORA streng overvåking av tredjepartsrisikoer. Dette betyr:

• Vurder leverandører nøye før du signerer kontrakter.
• Definere sikkerhetsforpliktelser i kontrakter.
• Kontinuerlig overvåking av leverandører for risikoer.
• Utarbeide exitplaner i tilfelle tjenester må erstattes raskt.

5. Ordninger for informasjonsdeling

DORA oppfordrer alltid til å dele informasjon om cybertrusler med kolleger for å bygge kollektiv motstandskraft i hele finanssektoren.

DORA-samsvarssjekkliste

#

Hvis du har en trinnvis sjekkliste for samsvar med DORA, kan det hjelpe deg med å forenkle prosessen. Her har du alt DORA-sjekklisten din bør inneholde:

Krisekommunikasjon og gjenoppretting: Du må ha en plan for hvordan du skal kommunisere og komme deg i gang ved mulige IKT-hendelser

Kartlegging av eiendeler og tjenester: Du må holde en oppdatert oversikt over kritiske IKT-systemer og -tjenester

Rammeverk for risikovurdering: Implementering av tydelige metoder for å vurdere og håndtere IKT-risikoer anbefales på det sterkeste.

Kontinuerlig overvåking: For å oppdage sårbarheter og hendelser kan du bruke sanntidsovervåking

Protokoller for hendelsesrapportering: Definer hvordan hendelser skal klassifiseres og rapporteres til myndighetene

Sikkerhetstesting: Planlegg periodiske sårbarhetsskanninger, penetrasjonstester og robusthetsvurderinger

Tredjeparts risikokontroller: Og sist, men ikke minst, bør du revidere leverandørene dine regelmessig og sette tydelige forventninger til nettsikkerhet

Sårbarhetsskanning og DORA-samsvar: Hva du trenger å vite

#

Sårbarhetsskanning spiller en sentral rolle i å oppfylle DORA-samsvar og krav. Som en del av testingen av din operative robusthet må du:

• Definer omfang: Sørg for at alle kritiske systemer og applikasjoner dekkes av skanninger.
• Automatiser skanninger: Automatiser så mye som mulig for å sikre konsistente og regelmessige vurderinger.
• Prioriter rettelser: Legg resultatene inn i sikkerhetsarbeidsflytene dine og prioriter feilrettinger basert på alvorlighetsgrad.
• Inkluder tredjepartssystemer: Skannesystemer som administreres av viktige leverandører også.
• Holde oversikt: Dokumenter skanningene, funnene og handlingene dine for revisjoner og samsvarsrapportering.

Å neglisjere dette området kan føre til manglende samsvar og gjøre organisasjonen din sårbar for angrep.

Hvorfor er samsvar viktig for sikkerhetsledere og DevSecOps-team? #

For sikkerhetsansvarlige tilbyr DORA mer enn et samsvarsrammeverk: den tilbyr en strukturert og strategisk tilnærming som kan hjelpe dem med å styrke sin motstandskraft innen cybersikkerhet.

Og for DevSecOps-team er DORA i tråd med moderne utviklingspraksiser som:

• Integrering av sikkerhetstesting tidlig (skift-venstre).
• Bruk av sikre programvareutviklingsprosesser (SDLC).
• Automatisering av sårbarhetsskanninger og arbeidsflyter for utbedring.
• Overvåking av infrastruktur og applikasjoner i sanntid.

Å ta i bruk DORA-prinsipper gjør utviklingen og driften din sikrere og mer effektiv. Ta en titt på vår ikke-kontrollerte SafeDev-samtale på DORA – Forstå hva som står på spill fra et cybersikkerhetsperspektiv for å lære mer fra cybersikkerhetseksperter!

Styrking av digital robusthet med DORA #

#

DORA Compliance er ment å bli et must for finansforetak og deres leverandører over hele Europa, ettersom det oppfordrer organisasjoner til å forbedre cybersikkerheten, håndtere tredjepartsrisikoer og bygge motstandskraft mot IKT-forstyrrelser. Hvis du vil forenkle compliance-arbeidet ditt, ta en rask titt på Xygeni, alt-i-ett AppSec-verktøyet som hjelper deg med å sikre programvareforsyningskjeden din, automatisere sårbarhetsskanning og effektivisere rapportering. Sikkerhetsteamet ditt vil alltid være oppdatert på trusler og regulatoriske krav! Ta en produktomvisning or Få en gratis prøveversjon!