Serviços financeiros: implementar os requisitos DORA na prática

Os cinco pilares do DORA

• Gestão de riscos de TIC: identificar e proteger ativos de TIC, detectar incidentes, responder e recuperar.
• Gestão e notificação de incidentes de TIC: classificar incidentes e notificar os graves à autoridade de supervisão.
• Testes de resiliência operacional digital: testes regulares e, para empresas selecionadas, testes de intrusão orientados por ameaças (TLPT).
• Risco de terceiros de TIC: gerir prestadores de serviços e manter um registro de informações.
• Compartilhamento de informações sobre ameaças cibernéticas.

Conhecer e avaliar os ativos de TIC

O DORA exige identificar e classificar todos os ativos de TIC e suas dependências – de forma contínua, e não uma vez por ano. O XMfortress Surface mantém o inventário atualizado; o Exposure mostra por quais caminhos funções críticas poderiam ser alcançadas.

Testar e comprovar a resiliência

O XMfortress Validate verifica de forma regular e controlada se as medidas de proteção detectam e bloqueiam técnicas de ataque reais. Isso não substitui os TLPT obrigatórios, mas fornece as evidências contínuas entre os testes exigidos (veja Pentest vs. validação de segurança).

Detectar e notificar incidentes

Para classificar e notificar dentro do prazo os incidentes graves de TIC, é preciso uma linha do tempo precisa: o que aconteceu e quando, quais sistemas foram afetados, o que foi feito? O XMfortress Detect reconstrói essa cadeia e a exporta para a notificação.

O XMfortress apoia a implementação técnica e fornece evidências. A responsabilidade pelo cumprimento do DORA continua sendo da entidade financeira.