DORA Compliance คืออะไร?

โดยพื้นฐานแล้ว การปฏิบัติตามข้อกำหนด DORA หมายถึงการปฏิบัติตามกฎระเบียบ standardกำหนดโดยพระราชบัญญัติความยืดหยุ่นในการดำเนินงานด้านดิจิทัล (Digital Operational Resilience Act หรือ DORA) ซึ่งเป็นระเบียบข้อบังคับของสหภาพยุโรปที่ออกแบบมาเพื่อเสริมสร้างความยืดหยุ่นด้านดิจิทัลและความปลอดภัยทางไซเบอร์ของสถาบันการเงินและผู้ให้บริการเทคโนโลยี มีผลบังคับใช้เมื่อวันที่ 17 มกราคม 2025: DORA สร้างขอบเขตที่ชัดเจนและ standard กฎระเบียบที่ช่วยให้องค์กรบริหารจัดการความเสี่ยงที่เกี่ยวข้องกับเทคโนโลยีสารสนเทศและการสื่อสาร (ต่อไปนี้จะเรียกว่า ICT) ลองดูรายการตรวจสอบการปฏิบัติตามกฎ DORA ด้านล่าง!

แตกต่างจากกฎระเบียบเดิมที่เน้นความเสี่ยงทางการเงินเป็นหลัก DORA ให้ความสำคัญกับความปลอดภัยด้านไอซีทีเป็นอย่างมาก และยังครอบคลุมธุรกิจหลากหลายประเภท ตั้งแต่ธนาคารและบริษัทประกันภัย ไปจนถึงบริษัทซอฟต์แวร์ ผู้ให้บริการคลาวด์ และบริษัทที่ปรึกษาด้านไอทีที่ทำงานร่วมกับภาคการเงิน กล่าวโดยสรุป การปฏิบัติตามข้อกำหนด DORA หมายความว่าคุณสามารถพิสูจน์ได้ว่าองค์กรของคุณสามารถตรวจจับความเสี่ยงทางดิจิทัลได้ตั้งแต่เนิ่นๆ ตอบสนองต่อภัยคุกคามทางไซเบอร์ได้อย่างมีประสิทธิภาพ และรักษาการให้บริการให้ดำเนินต่อไปได้แม้ในระหว่างที่เกิดปัญหา

ข้อกำหนดหลักของการปฏิบัติตามกฎ DORA #

เพื่อให้เป็นไปตามข้อกำหนดของ DORA บริษัทต่างๆ จำเป็นต้องให้ความสำคัญกับ 5 ด้านหลักดังนี้:

1. การจัดการความเสี่ยงด้านไอซีที

คุณจะต้องมีกระบวนการที่ชัดเจนสำหรับ:

• การระบุและการจำแนกประเภทสินทรัพย์เทคโนโลยีที่สำคัญ
• การตรวจสอบระบบของคุณอย่างต่อเนื่องเพื่อตรวจหาช่องโหว่
• การจัดทำแผนรับมือและฟื้นฟูอย่างละเอียดสำหรับเหตุการณ์ที่อาจเกิดขึ้น
• การประเมินมาตรการรักษาความปลอดภัยทางไซเบอร์ของคุณอย่างสม่ำเสมอ

2. การรายงานเหตุการณ์ที่เกี่ยวข้องกับเทคโนโลยีสารสนเทศและการสื่อสาร (ICT)

เหตุการณ์ที่เกี่ยวข้องกับเทคโนโลยีสารสนเทศและการสื่อสาร (ICT) โดยเฉพาะเหตุการณ์ร้ายแรง ต้องรายงานต่อหน่วยงานกำกับดูแล โดยคำนึงถึงกำหนดเวลาที่เข้มงวด การทำเช่นนี้จะช่วยส่งเสริมความโปร่งใสและช่วยให้หน่วยงานที่เกี่ยวข้องสามารถกำกับดูแลและชี้นำความพยายามในการแก้ไขปัญหาได้

3. การทดสอบความยืดหยุ่นในการปฏิบัติงานดิจิทัล (Digital Operational Resilience Testing - DORT)

องค์กรของคุณต้องทดสอบความสามารถของระบบในการรับมือกับภัยคุกคามทางไซเบอร์อย่างสม่ำเสมอ ซึ่งรวมถึง:

• กำลังดำเนินการสแกนหาช่องโหว่
• ดำเนินการทดสอบการเจาะระบบ
• ดำเนินการโจมตีจำลองสถานการณ์จริงขั้นสูง (TLPT)

4. การจัดการความเสี่ยงของบุคคลที่สามในด้านไอซีที

เนื่องจากบริการหลายอย่างขึ้นอยู่กับผู้ให้บริการภายนอก DORA จึงกำหนดให้มีการกำกับดูแลความเสี่ยงจากบุคคลภายนอกอย่างเข้มงวด ซึ่งหมายความว่า:

• ประเมินผู้ให้บริการอย่างรอบคอบก่อนลงนามในสัญญา
• การกำหนดข้อผูกพันด้านความปลอดภัยในสัญญา
• ตรวจสอบผู้ให้บริการอย่างต่อเนื่องเพื่อประเมินความเสี่ยง
• เตรียมแผนการถอนตัวในกรณีที่จำเป็นต้องจัดหาบริการทดแทนอย่างรวดเร็ว

5. ข้อตกลงเกี่ยวกับการแบ่งปันข้อมูล

DORA สนับสนุนให้มีการแบ่งปันข้อมูลภัยคุกคามทางไซเบอร์กับผู้ร่วมงานเสมอ เพื่อสร้างความยืดหยุ่นร่วมกันทั่วทั้งภาคการเงิน

รายการตรวจสอบการปฏิบัติตามข้อกำหนด DORA

#

หากคุณมีรายการตรวจสอบการปฏิบัติตามข้อกำหนด DORA แบบทีละขั้นตอน จะช่วยให้กระบวนการง่ายขึ้น ต่อไปนี้คือทุกสิ่งที่รายการตรวจสอบการปฏิบัติตามข้อกำหนด DORA ของคุณควรมี:

การสื่อสารและการฟื้นฟูในภาวะวิกฤต: คุณต้องมีแผนการสื่อสารและการแก้ไขปัญหาที่อาจเกิดขึ้นระหว่างเหตุการณ์ด้านไอที

การจัดทำแผนที่สินทรัพย์และบริการ: คุณต้องจัดทำบัญชีรายการระบบและบริการด้านไอซีทีที่สำคัญให้เป็นปัจจุบันอยู่เสมอ

กรอบการประเมินความเสี่ยง: ขอแนะนำอย่างยิ่งให้มีการนำวิธีการที่ชัดเจนในการประเมินและจัดการความเสี่ยงด้านเทคโนโลยีสารสนเทศและการสื่อสารมาใช้

การตรวจสอบอย่างต่อเนื่อง: คุณสามารถใช้การตรวจสอบแบบเรียลไทม์เพื่อตรวจจับช่องโหว่และเหตุการณ์ต่างๆ ได้

ระเบียบปฏิบัติในการรายงานเหตุการณ์: กำหนดวิธีการจำแนกประเภทเหตุการณ์และรายงานเหตุการณ์เหล่านั้นต่อหน่วยงานกำกับดูแล

การทดสอบความปลอดภัย: วางแผนการตรวจสอบช่องโหว่ การทดสอบการเจาะระบบ และการประเมินความยืดหยุ่นของระบบเป็นระยะ

การตรวจสอบความเสี่ยงจากบุคคลภายนอก: สุดท้ายแต่ไม่ท้ายสุด ตรวจสอบผู้ให้บริการของคุณอย่างสม่ำเสมอและกำหนดความคาดหวังด้านความปลอดภัยทางไซเบอร์ที่ชัดเจน

การสแกนช่องโหว่และการปฏิบัติตามข้อกำหนด DORA: สิ่งที่คุณควรรู้

#

การสแกนช่องโหว่ มีบทบาทสำคัญในการปฏิบัติตามข้อกำหนดและเงื่อนไขของ DORA ในส่วนของการทดสอบความยืดหยุ่นในการดำเนินงาน คุณจำเป็นต้องดำเนินการดังต่อไปนี้:

• กำหนดขอบเขต: ตรวจสอบให้แน่ใจว่าระบบและแอปพลิเคชันที่สำคัญทั้งหมดได้รับการสแกนแล้ว
• การสแกนอัตโนมัติ: ควรใช้ระบบอัตโนมัติให้มากที่สุดเท่าที่จะเป็นไปได้ เพื่อให้มั่นใจได้ว่าการประเมินผลมีความสม่ำเสมอและเป็นประจำ
• กำหนดลำดับความสำคัญของการแก้ไข: นำผลลัพธ์เข้าสู่เวิร์กโฟลว์ด้านความปลอดภัยของคุณและจัดลำดับความสำคัญของการแก้ไขตามระดับความรุนแรง
• รวมระบบของบุคคลที่สาม: รวมถึงระบบสแกนที่จัดการโดยผู้จำหน่ายหลักด้วย
• บันทึก: บันทึกรายละเอียดการสแกน ผลการตรวจสอบ และการดำเนินการต่างๆ เพื่อใช้ในการตรวจสอบและรายงานการปฏิบัติตามข้อกำหนด

การละเลยในส่วนนี้อาจนำไปสู่ความล้มเหลวในการปฏิบัติตามกฎระเบียบ และทำให้องค์กรของคุณเสี่ยงต่อการถูกโจมตี

เหตุใดการปฏิบัติตามกฎระเบียบจึงมีความสำคัญต่อผู้จัดการด้านความปลอดภัยและทีม DevSecOps? #

สำหรับผู้จัดการด้านความปลอดภัย DORA นำเสนอสิ่งต่อไปนี้ มากกว่าแค่กรอบการปฏิบัติตามกฎระเบียบ: มันเป็นแนวทางที่มีโครงสร้างและเป็นเชิงกลยุทธ์ ซึ่งสามารถช่วยเสริมสร้างความยืดหยุ่นด้านความปลอดภัยทางไซเบอร์ของพวกเขาได้

และสำหรับทีม DevSecOps นั้น DORA สอดคล้องกับแนวทางการพัฒนาสมัยใหม่ เช่น:

• การฝังการทดสอบความปลอดภัยตั้งแต่เนิ่นๆ (shift-left)
• การใช้กระบวนการพัฒนาซอฟต์แวร์ที่ปลอดภัย (SDLC).
• การทำให้กระบวนการสแกนช่องโหว่และการแก้ไขปัญหาเป็นไปโดยอัตโนมัติ
• ตรวจสอบโครงสร้างพื้นฐานและแอปพลิเคชันแบบเรียลไทม์

การนำหลักการ DORA มาใช้จะทำให้การพัฒนาและการดำเนินงานของคุณปลอดภัยและมีประสิทธิภาพมากขึ้น ดูรายละเอียดเพิ่มเติมได้ใน SafeDev Talk ที่เปิดให้เข้าชมฟรี โดรา – ทำความเข้าใจถึงสิ่งที่เสี่ยงในมุมมองด้านความปลอดภัยทางไซเบอร์ เพื่อเรียนรู้เพิ่มเติมจากผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์!

เสริมสร้างความยืดหยุ่นทางดิจิทัลด้วย DORA #

#

DORA Compliance มีเป้าหมายที่จะกลายเป็นสิ่งจำเป็นสำหรับบริษัททางการเงินและผู้ให้บริการทั่วทั้งยุโรป เนื่องจากผลักดันให้องค์กรต่างๆ ปรับปรุงความปลอดภัยทางไซเบอร์ จัดการความเสี่ยงจากบุคคลภายนอก และสร้างความยืดหยุ่นต่อการหยุดชะงักของ ICT หากคุณต้องการลดความซับซ้อนของความพยายามในการปฏิบัติตามกฎระเบียบ ลองดูรายละเอียดเพิ่มเติมได้ที่ ไซเกนีเครื่องมือ AppSec แบบครบวงจรที่จะช่วยคุณรักษาความปลอดภัยของห่วงโซ่อุปทานซอฟต์แวร์ สแกนหาช่องโหว่โดยอัตโนมัติ และปรับปรุงการรายงานให้มีประสิทธิภาพยิ่งขึ้น ทีมรักษาความปลอดภัยของคุณจะพร้อมรับมือกับภัยคุกคามและข้อกำหนดด้านกฎระเบียบอยู่เสมอ! ชมการสาธิตผลิตภัณฑ์ or ทดลองใช้ฟรี!