Financiële dienstverleners: DORA-eisen technisch invullen

De vijf pijlers van DORA

• ICT-risicobeheer: ICT-assets identificeren en beschermen, incidenten detecteren, reageren en herstellen.
• Behandeling en melding van ICT-incidenten: classificeren en ernstige incidenten melden aan de toezichthouder.
• Testen van digitale operationele weerbaarheid: regelmatige tests en, voor geselecteerde entiteiten, dreigingsgestuurde penetratietests (TLPT).
• Risico van ICT-derde partijen: dienstverleners beheersen en een informatieregister bijhouden.
• Informatie-uitwisseling over cyberdreigingen.

ICT-assets kennen en beoordelen

DORA eist dat alle ICT-assets en hun afhankelijkheden worden geïdentificeerd en geclassificeerd – doorlopend, niet eenmaal per jaar. XMfortress Surface houdt de inventaris actueel; Exposure laat zien via welke routes kritieke functies bereikbaar zouden zijn.

Weerbaarheid testen en aantonen

XMfortress Validate controleert regelmatig en gecontroleerd of beveiligingsmaatregelen echte aanvalstechnieken detecteren en stoppen. Dat vervangt geen verplichte TLPT, maar levert wel het doorlopende bewijs tussen de verplichte tests (zie pentest vs. validatie).

Incidenten detecteren en melden

Voor het classificeren en tijdig melden van ernstige ICT-incidenten is een heldere tijdlijn nodig: wat is wanneer gebeurd, welke systemen waren getroffen, wat is er ondernomen? XMfortress Detect reconstrueert deze keten en exporteert die voor de melding.

XMfortress ondersteunt de technische uitvoering en levert bewijs. De verantwoordelijkheid voor naleving van DORA blijft bij de financiële entiteit.