Servizi finanziari: attuare i requisiti DORA sul piano tecnico

I cinque pilastri di DORA

• Gestione dei rischi ICT: identificare e proteggere gli asset ICT, rilevare gli incidenti, rispondere, ripristinare.
• Gestione e notifica degli incidenti ICT: classificarli e segnalare all'autorità di vigilanza quelli gravi.
• Test di resilienza operativa digitale: test periodici e, per entità selezionate, penetration test basati sulle minacce (TLPT).
• Rischio ICT derivante da terzi: governare i fornitori, tenere il registro delle informazioni.
• Condivisione delle informazioni sulle minacce informatiche.

Conoscere e valutare gli asset ICT

DORA richiede di identificare e classificare tutti gli asset ICT e le loro dipendenze, in modo continuo e non una volta l'anno. XMfortress Surface mantiene aggiornato l'inventario; Exposure mostra attraverso quali percorsi le funzioni critiche sarebbero raggiungibili.

Testare e documentare la resilienza

XMfortress Validate verifica in modo regolare e controllato se le misure di protezione rilevano e bloccano tecniche di attacco reali. Non sostituisce i TLPT obbligatori, ma fornisce le evidenze continue tra un test obbligatorio e l'altro (vedi Penetration test e validazione a confronto).

Rilevare e notificare gli incidenti

Per classificare e notificare nei tempi previsti gli incidenti ICT gravi serve una cronologia precisa: che cosa è successo e quando, quali sistemi sono stati coinvolti, quali azioni sono state intraprese? XMfortress Detect ricostruisce questa catena e la esporta per la notifica.

XMfortress supporta l'attuazione tecnica e fornisce le evidenze. La responsabilità della conformità a DORA resta in capo all'entità finanziaria.