DORA – Ενίσχυση και Εναρμόνιση της Επιχειρησιακής Ανθεκτικότητας σε όλη την ΕΕ. 

Δείτε το πλήρες άρθρο στη διεύθυνση https://cjcit.com/insight/dora-navigating-the-eus-operational-resilience-landscape/

Η DORA της ΕΕ είναι αναπόφευκτη και θα έχει κυματιστικές επιπτώσεις πέρα ​​από την Ένωση. Αντικαθιστά προηγούμενες κατευθυντήριες γραμμές επιχειρησιακής ανθεκτικότητας ειδικά για τον κλάδο και ξεπερνά τις εθνικές ανισότητες, εναρμονίζοντας τις κατευθυντήριες γραμμές για βασικούς τομείς εστίασης σε ολόκληρο το χρηματοοικονομικό
αλυσίδα αξίας του κλάδου για τη δημιουργία ενός κοινού πλαισίου σε ολόκληρη την Ένωση. Αυτή η εικόνα διερευνά τις μακροοικονομικές επιπτώσεις της DORA, συνοψίζοντας βασικές ενότητες του πλήρους κειμένου της DORA για να ορίσει:

1. Τι είναι το DORA και οι 5 περιοχές εστίασής του;
2. Γιατί είναι σημαντική η DORA;
3. Σε ποιους απευθύνεται η DORA;
4. DORA Συμμόρφωση εναντίον Μη Συμμόρφωσης.

Οι ψηφιακές τεχνολογίες είναι ζωτικής σημασίας για τις παγκόσμιες εταιρείες χρηματοοικονομικής και κεφαλαιαγοράς για την υποστήριξη πολύπλοκων συστημάτων, είναι κρίσιμης σημασίας για την παροχή τυπικών επιχειρηματικών λειτουργιών και δραστηριοτήτων που παράγουν έσοδα. Ψηφιοποίηση και η επακόλουθη διασυνδεσιμότητα
να επιτρέψουν μεγαλύτερη αποτελεσματικότητα και εξοικονόμηση κόστους, αλλά και να ενισχύσουν τους κινδύνους της τεχνολογίας πληροφοριών και επικοινωνιών (ΤΠΕ) και να αυξήσουν την ευπάθεια του χρηματοπιστωτικού συστήματος σε απειλές ή διακοπές στον κυβερνοχώρο.

Παρά τις στοχευμένες πολιτικές και νομοθετικές πρωτοβουλίες σε εθνικό επίπεδο, η Ευρωπαϊκή Ένωση (ΕΕ) αναγνωρίζει την κρίσιμη ανάγκη για εναρμόνιση και ενίσχυση της επιχειρησιακής ανθεκτικότητας στα κράτη μέλη της για την προστασία της ακεραιότητας και της αποτελεσματικότητας του εσωτερικού
αγορά, ιδίως λαμβάνοντας υπόψη την κλιμάκωση των απειλών στον κυβερνοχώρο1 και αναστάτωση
περιστατικά2. Μια άποψη που απηχήθηκε πρόσφατα από το Liquidnet3:

«Ο κλάδος είναι τόσο ισχυρός όσο ο πιο αδύναμος κρίκος του […] Το 2024 όχι μόνο θα αντιπροσωπεύει μεγαλύτερο ρυθμιστικό έλεγχο συμμόρφωσης, κινδύνων και ελέγχων καθώς και τεχνολογική διαλειτουργικότητα, αλλά και ατομική ευθύνη για τη βέλτιστη λειτουργία του οικοσυστήματος».

Αντιμετωπίζοντας τις συνεχιζόμενες προκλήσεις ανθεκτικότητας, η ΕΕ εισήγαγε τον Νόμο για την Ψηφιακή Επιχειρησιακή Ανθεκτικότητα (DORA) για να ενισχύσει την ασφάλεια των ΤΠΕ και τη λειτουργική ευρωστία για τις χρηματοοικονομικές οντότητες.

Τι είναι το DORA και οι 5 περιοχές εστίασής του;

Το DORA εγκρίθηκε από το Ευρωπαϊκό Κοινοβούλιο και το Συμβούλιο στις 14 Δεκεμβρίου 2022, με συμμόρφωση που απαιτείται έως τις 17 Ιανουαρίου 2025. Ο κανονισμός στοχεύει στην εδραίωση και ενίσχυση της ψηφιακής επιχειρησιακής ανθεκτικότητας σε όλο το χρηματοοικονομικό τοπίο που
μέχρι αυτό το σημείο, αντιμετωπίζονται χωριστά σε διάφορες νομικές πράξεις της Ένωσης μέσω ενός κοινού πλαισίου4 για την ψηφιακή επιχειρησιακή ανθεκτικότητα
των οικονομικών οντοτήτων για να αντέχουν καλύτερα και να ανακάμπτουν από παραβιάσεις και περιστατικά ΤΠΕ.

Οι 5 τομείς εστίασης της DORA:

1. Διαχείριση Κινδύνων ΤΠΕ.
2. Διαχείριση, ταξινόμηση και αναφορά συμβάντων που σχετίζονται με τις ΤΠΕ.
3. Ψηφιακή Λειτουργική Δοκιμή Ανθεκτικότητας.
4. Διαχείριση Κινδύνων Τρίτων ΤΠΕ.
5. Ρυθμίσεις ανταλλαγής πληροφοριών.

Γιατί είναι σημαντική η DORA;

Η DORA βασίζεται και αντικαθιστά προηγούμενες κατευθυντήριες γραμμές για τον κλάδο για να ξεπεραστούν οι ανισότητες και ενοποιεί με συνέπεια κατευθυντήριες γραμμές για βασικούς τομείς σε ολόκληρη την αλυσίδα αξίας. Είναι μοναδικό γιατί εισάγει ένα κοινό πλαίσιο εποπτείας σε επίπεδο συνδικάτων
κρίσιμοι τρίτοι πάροχοι ΤΠΕ, όπως ορίζονται από τις Ευρωπαϊκές Εποπτικές Αρχές (ESA)5.

Με τον χρηματοπιστωτικό τομέα να βασίζεται στα ψηφιακά συστήματα ΤΠΕ και καθώς αυξάνεται η διασύνδεση, οι κίνδυνοι και τα τρωτά σημεία των ΤΠΕ θα έχουν ολοένα και πιο ενοχλητικό διασυνοριακό αντίκτυπο σε ολόκληρη την Ένωση, γεγονός που ενισχύει την επίδραση των λειτουργικών διαταραχών και του κυβερνοχώρου
απειλές σε χρηματοπιστωτικές εταιρείες. Η DORA αναγνωρίζει ότι η ψηφιοποίηση πλέον περιλαμβάνει κρίσιμες οικονομικές λειτουργίες6 Μου αρέσει
πληρωμές, εκκαθάριση τίτλων, αλγοριθμικές συναλλαγές και λειτουργίες back-office. Στοχεύει στην ενίσχυση της επιχειρησιακής ανθεκτικότητας αυτών των λειτουργιών για τη διατήρηση της συνολικής χρηματοπιστωτικής σταθερότητας και την προστασία της εμπιστοσύνης των καταναλωτών στις εσωτερικές αγορές. Η DORA στοχεύει στη διατήρηση
εμπιστοσύνη της αγοράς διασφαλίζοντας την απρόσκοπτη παροχή χρηματοοικονομικών υπηρεσιών ακόμη και σε δύσκολα σενάρια.

Σε ποιους απευθύνεται η DORA;

Η DORA απευθύνεται σε όλα τα χρηματοπιστωτικά ιδρύματα στην ΕΕ και στους τρίτους παρόχους υπηρεσιών ΤΠΕ που παρέχουν υπηρεσίες για την υποστήριξή τους. Μια πρόσφατη εικόνα10 απευθύνεται
Αυτό. Ο κανονισμός DORA της ΕΕ εισάγει ειδικές και κανονιστικές απαιτήσεις για όλους τους συμμετέχοντες στις χρηματοπιστωτικές αγορές.

DORA – Χρηματοοικονομικές οντότητες

Για να συμμορφωθούν με την DORA, οι χρηματοπιστωτικές οντότητες πρέπει να ενισχύσουν τις πρακτικές διαχείρισης κινδύνου που σχετίζονται με τις ΤΠΕ, οι οποίες περιλαμβάνουν τον εντοπισμό, την αξιολόγηση και τον μετριασμό των κινδύνων που σχετίζονται με τις ψηφιακές λειτουργίες. Η DORA εισάγει επίσης υποχρεώσεις έγκαιρης αναφοράς περιστατικών ΤΠΕ προς τους
αρμόδιες αρχές για κρίσιμες διακοπές λειτουργίας. Επίσης, τα ιδρύματα πρέπει να προσομοιώνουν τακτικά διάφορες διακοπές για να δοκιμάσουν την επιχειρησιακή ανθεκτικότητα και τις δυνατότητες ανάκτησης.

Συγκεκριμένα, η DORA τονίζει ότι οι χρηματοοικονομικές οντότητες πρέπει να αξιολογούν και να διαχειρίζονται τον κίνδυνο ΤΠΕ τρίτων των παρόχων υπηρεσιών τους και να διασφαλίζουν ότι οι συμβατικές ρυθμίσεις αντιμετωπίζουν τη λειτουργική ανθεκτικότητα. Αυτό σχετίζεται με τη συγκέντρωση του κινδύνου (DORA άρθρο 2911)
και ακολουθεί περιστατικά όπως η διακοπή της OPRA12, και το έγκλημα στον κυβερνοχώρο που στοχεύει σημαντικούς προμηθευτές
στην αλυσίδα χρηματοοικονομικού εφοδιασμού, όπως το hack του Ion Group πέρυσι13 or
προμηθευτές υπολογιστικού νέφους14, όπου ένας
ένα μεμονωμένο περιστατικό δυνητικά επηρεάζει πολλαπλές οικονομικές οντότητες.

Θα πρέπει να σημειωθεί ότι ο αντίκτυπος των διακοπών δεν περιορίζεται σε επιχειρήσεις και τελικούς χρήστες, με τις επιπτώσεις που ενδέχεται να υπερχειλίσουν στα προσωπικά οικονομικά, όπως καταδεικνύεται από την τράπεζα DBS15 νωρίτερα
κατά το τρέχον έτος.

DORA – Εξαρτήσεις Τρίτων και Επιχειρησιακή Ανθεκτικότητα

Οι χρηματοοικονομικές οντότητες βασίζονται ολοένα και περισσότερο σε τρίτους παρόχους για την παροχή κρίσιμων τμημάτων των λειτουργιών και των υπηρεσιών τους, και στη συνέχεια, η DORA επηρεάζει επίσης σημαντικά τις εξαρτήσεις τρίτων. Αυτά τα τρίτα μέρη περιλαμβάνουν παρόχους υπηρεσιών cloud,
προμηθευτές δεδομένων, προγραμματιστές λογισμικού και άλλους τεχνολογικούς συνεργάτες. Η εξωτερική ανάθεση ορισμένων λειτουργιών μπορεί να βελτιώσει την αποτελεσματικότητα και να μειώσει το κόστος, αλλά όπως είδαμε με το Ion, εισάγει επίσης νέους κινδύνους. Οι αρχές πρέπει τώρα να κοιτάξουν πέρα ​​από την ανθεκτικότητα των μεμονωμένων ρυθμιζόμενων
επιχειρήσεις και να αξιολογήσουν την ευρύτερη επιχειρησιακή ανθεκτικότητα του κλάδου.

Η DORA υπογραμμίζει τη σημασία των ισχυρών πρακτικών διαχείρισης κινδύνου για εξαρτήσεις τρίτων, με στόχο την ενίσχυση της συνολικής ανθεκτικότητας του χρηματοπιστωτικού τομέα στην ψηφιακή εποχή. Αυτά περιλαμβάνουν:

1. Ευρύ εύρος κινδύνου τρίτων μερών ΤΠΕ – Για να ενισχυθεί η επιχειρησιακή ανθεκτικότητα στον τομέα των χρηματοπιστωτικών υπηρεσιών, η DORA προσφέρει ένα ευρύ δίχτυ για να ορίσει τον κίνδυνο τρίτων στις ΤΠΕ. Για παράδειγμα, άρθρο 3 (18) της DORA16 ορίζει
   Κίνδυνος τρίτου μέρους ΤΠΕ ως οποιοσδήποτε κίνδυνος ΤΠΕ – Άρθρο 3 παράγραφος 517 – που μπορεί να προκύψει για μια οικονομική οντότητα που προέρχεται από τη χρήση παρεχόμενων υπηρεσιών ΤΠΕ
   από τρίτο πάροχο υπηρεσιών, υπεργολάβους ή ρυθμίσεις εξωτερικής ανάθεσης.
2. Πρακτικές διαχείρισης κινδύνου για τρίτους προμηθευτές – Η DORA επιβάλλει κατάλληλες πρακτικές διαχείρισης κινδύνου για τρίτους προμηθευτές για τη μείωση των λειτουργικών κινδύνων που σχετίζονται με τις σχέσεις τρίτων και τη διασφάλιση της ανθεκτικότητας. Στοχεύει επίσης στην εφαρμογή ενός εναρμονισμένου
   κανονιστικό πλαίσιο για τη διαχείριση κινδύνου πωλητών τρίτων σε ολόκληρη την ΕΕ (άρθρο 1518).
3. Κρίσιμοι πάροχοι ICT Τρίτοι - Η DORA αναγνωρίζει τον κρίσιμο ρόλο των παρόχων υπηρεσιών ΤΠΕ στις χρηματοοικονομικές υπηρεσίες. Εάν ένα τρίτο μέρος κριθεί κρίσιμο, όπως η CJC σε ορισμένες περιπτώσεις, πρέπει να συμμορφωθεί με τις απαιτήσεις της DORA. Συγκεκριμένα, κρίσιμα τρίτα μέρη
   εκτός ΕΕ απαιτείται να ιδρύσουν θυγατρική εντός της ΕΕ – Άρθρο 31 παράγραφος 1219 – αν και προοίμιο (82)20 σημειώσεις
   η απαίτηση «δεν πρέπει να εμποδίζει τον κρίσιμο τρίτο πάροχο υπηρεσιών ΤΠΕ να παρέχει υπηρεσίες ΤΠΕ και σχετική τεχνική υποστήριξη από εγκαταστάσεις και υποδομές που βρίσκονται εκτός της Ένωσης».

Μιλώντας για την επιχειρησιακή ανθεκτικότητα και τη συμμόρφωση με το DORA, η Gina Wee, Chief Information Officer στην CJC είπε: «Από την εφαρμογή ισχυρής κρυπτογράφησης και αυστηρού ελέγχου πρόσβασης έως τη διενέργεια τακτικών ελέγχων, η CJC υποστηρίζει υψηλά επίπεδα συμμόρφωσης για να διασφαλίσει τα δεδομένα
ασφάλεια. Σε συνδυασμό με τον προληπτικό σχεδιασμό, τις προσαρμοστικές διαδικασίες και την κουλτούρα συνεχούς βελτίωσης, διασφαλίζουμε αδιάλειπτες υπηρεσίες στους πελάτες μας. Ελπίζουμε η δέσμευσή μας για ασφάλεια πληροφοριών, λειτουργική ανθεκτικότητα και υπευθυνότητα να μας προσφέρει
ηρεμία των πελατών και εμπιστοσύνη στις υπηρεσίες που διαχειριζόμαστε."

DORA Συμμόρφωση εναντίον Μη Συμμόρφωσης

Ο κίνδυνος μη συμμόρφωσης

Η μη συμμόρφωση με το DORA μπορεί να οδηγήσει σε βλάβη της φήμης, οικονομικές απώλειες και ρυθμιστικές κυρώσεις. Οι εταιρείες που δεν συμμορφώνονται με τις απαιτήσεις της DORA κινδυνεύουν με λειτουργικές διακοπές, δυσαρέσκεια πελατών και πιθανές νομικές συνέπειες.

Συμμόρφωση DORA – 3 Θεωρήσεις & Βέλτιστες Πρακτικές

Για να συμμορφωθούν με το DORA, τα χρηματοπιστωτικά ιδρύματα πρέπει να χαρτογραφήσουν εκτενώς τις υπάρχουσες εξαρτήσεις τρίτων και να κατανοήσουν τις υπηρεσίες των λειτουργιών που ανατίθενται σε εξωτερικούς συνεργάτες για τον εντοπισμό κρίσιμων εξαρτήσεων. Το βήμα 2 αξιολογεί την ανθεκτικότητα των χαρτογραφημένων εξαρτήσεων
να αξιολογήσουν τις επιχειρησιακές δυνατότητες του παρόχου υπηρεσιών τους, τα μέτρα ασφαλείας και τα σχέδια αποκατάστασης καταστροφών. Τέλος, οι συμβατικές συμφωνίες με τρίτα μέρη θα πρέπει να καλύπτουν ειδικά τις απαιτήσεις επιχειρησιακής ανθεκτικότητας. Αυτό περιλαμβάνει διατάξεις για περιστατικά
στόχοι υποβολής εκθέσεων, επιχειρησιακής συνέχειας και χρόνου ανάκαμψης.

Για να παραμείνουν συμβατοί, τα χρηματοπιστωτικά ιδρύματα μπορούν να λάβουν πολλά βήματα για την εφαρμογή βέλτιστων πρακτικών για να εξασφαλίσουν τη συνεχή συμμόρφωση με την DORA. Αυτά περιλαμβάνουν:

1. Δέουσα επιμέλεια – Κατά την επιλογή τρίτων παρόχων, διεξάγετε διεξοδική δέουσα επιμέλεια λαμβάνοντας υπόψη το ιστορικό επιτευγμάτων, τη χρηματοοικονομική σταθερότητα και την επιχειρησιακή ανθεκτικότητά τους.
2. Δοκιμή σεναρίων – Προσομοιώστε διάφορα σενάρια με τρίτα μέρη για να ελέγξετε την αποτελεσματικότητα των σχεδίων ανάκαμψης. Αυτό θα πρέπει να περιλαμβάνει κυβερνοεπιθέσεις, αστοχίες συστήματος και φυσικές καταστροφές.
3. Συνεχής Παρακολούθηση – Παρακολουθήστε τακτικά την απόδοση και τη συμμόρφωση τρίτων, προετοιμαστείτε να προσαρμοστείτε εάν αλλάξουν οι στάσεις ανθεκτικότητας.

Τελικές λέξεις:

Η DORA δεν είναι απλώς ένας κανονισμός. είναι μια στρατηγική ευκαιρία για να ενισχύσετε την επιχειρησιακή σας ανθεκτικότητα και να χτίσετε εμπιστοσύνη στην ψηφιακή εποχή. Ως η κορυφαία εταιρεία παροχής συμβουλών τεχνολογίας δεδομένων στην αγορά και πάροχος υπηρεσιών για τις παγκόσμιες χρηματοπιστωτικές αγορές, η CJC αντιμετωπίζει τη θέση της
ως κρίσιμος τρίτος προμηθευτής υπηρεσιών διαχείρισης δεδομένων αγοράς στην κοινότητα της κεφαλαιαγοράς σοβαρά. Ανεξάρτητα από το επίπεδο εξυπηρέτησης, τα πρότυπα και η διαφάνεια που συμμορφώνονται με την DORA είναι ασυνήθιστα από την CJC, η οποία παρέχει πολυβραβευμένες συμβουλές,
διαχειριζόμενες υπηρεσίες, λύσεις cloud, παρατηρησιμότητα και επαγγελματικές υπηρεσίες εμπορικής διαχείρισης για συστήματα δεδομένων αγοράς κρίσιμων για την αποστολή. Η CJC είναι ουδέτερη ως προς τον προμηθευτή και είναι πιστοποιημένη κατά ISO 27001, δίνοντας στους συνεργάτες της CJC την ελευθερία να επικεντρωθούν στη βασική τους δραστηριότητα.

• SEO Powered Content & PR Distribution. Ενισχύστε σήμερα.
• PlatoData.Network Vertical Generative Ai. Ενδυναμώστε τον εαυτό σας. Πρόσβαση εδώ.
• PlatoAiStream. Web3 Intelligence. Ενισχύθηκε η γνώση. Πρόσβαση εδώ.
• PlatoESG. Ανθρακας, Cleantech, Ενέργεια, Περιβάλλον, Ηλιακός, Διαχείριση των αποβλήτων. Πρόσβαση εδώ.
• PlatoHealth. Ευφυΐα βιοτεχνολογίας και κλινικών δοκιμών. Πρόσβαση εδώ.
• πηγή: https://www.finextra.com/blogposting/26024/dora–navigating-the-eus-operational-resilience-landscape?utm_medium=rssfinextra&utm_source=finextrablogs