Finansnæringen: DORA-krav gjennomført i praksis

DORAs fem pilarer

• IKT-risikostyring: identifisere og beskytte IKT-eiendeler, oppdage hendelser, respondere og gjenopprette.
• Håndtering og rapportering av IKT-hendelser: klassifisere og rapportere alvorlige hendelser til tilsynet.
• Testing av digital operasjonell motstandsdyktighet: regelmessige tester, for utvalgte foretak trusselbaserte penetrasjonstester (TLPT).
• IKT-tredjepartsrisiko: styre leverandører og føre informasjonsregister.
• Informasjonsdeling om cybertrusler.

Kjenne og vurdere IKT-eiendelene

DORA krever at alle IKT-eiendeler og deres avhengigheter identifiseres og klassifiseres – fortløpende, ikke én gang i året. XMfortress Surface holder inventaret oppdatert; Exposure viser hvilke veier kritiske funksjoner kan nås gjennom.

Teste og dokumentere motstandsdyktighet

XMfortress Validate kontrollerer regelmessig og kontrollert om sikringstiltakene oppdager og stopper reelle angrepsteknikker. Det erstatter ikke pålagte TLPT, men gir den løpende dokumentasjonen mellom de obligatoriske testene (se penetrasjonstest vs. validering).

Oppdage og rapportere hendelser

For å klassifisere og rapportere alvorlige IKT-hendelser innen fristene trengs en ryddig tidslinje: Hva skjedde når, hvilke systemer var berørt, hva ble gjort? XMfortress Detect rekonstruerer denne kjeden og eksporterer den til rapporteringen.

XMfortress støtter den tekniske gjennomføringen og leverer dokumentasjon. Ansvaret for å etterleve DORA ligger fortsatt hos finansforetaket.