Dojrzałość DORA · Operacyjna odporność cyfrowa sektora finansowego
Odporność operacyjna cyfrowa Państwa organizacji, zmierzona artykuł po artykule i przełożona na policzony plan działania.
10 obszarów tematycznych, 108 pytań, skala 5 poziomów. I działanie, które pozwala przejść z jednego poziomu na kolejny.
10 obszarów tematycznych modelu referencyjnego, już opracowanych od N1 do N5. Jedna firma, jedna jednostka biznesowa, albo 300 naraz.
Dojrzałość DORA · Operacyjna odporność cyfrowa sektora finansowego
10 obszarów tematycznych, 108 pytań, skala 5 poziomów.
Nordhavn Industries
53 / 100
Oni mierzą swoją dojrzałość z Datamensio
Przykład
Ta sytuacja mogłaby być Państwa sytuacją.
Weźmy przykład firmy: trzy oddziały, trzy arkusze kalkulacyjne, żadnej wspólnej odpowiedzi.
Nikt nie potrafi tego skonsolidować.
Nordhavn Industries, 2400 osób w Hamburgu, Lyonie i Porto. Zamawiający pyta, na jakim etapie jest grupa. Każdy oddział odpowiada we własnym arkuszu, z własnymi skalami.
Trzy tygodnie, jedna wspólna baza.
Diagnoza Rozporządzenie (UE) 2022/2554 (DORA), obowiązujące od 17 stycznia 2025 roku uruchomiona jednocześnie na trzech oddziałach, na podstawie notatek ze spotkań z osobami odpowiedzialnymi. Model referencyjny był już gotowy, podobnie jak 10 obszarów tematycznych i poziomy od N1 do N5.
Dwa wydatki uniknięte, zanim zostały poniesione.
Wynik 53 na 100, luka skoncentrowana na trzech obszarach tematycznych. Asystent IA wykrył, że dwa działania planu pokrywają się z działaniami z innego audytu. Prezentacja wyników dla komitetu powstała w jedno zdanie.
Czego dzięki temu uniknięto
- 3oddziały zmierzone na tej samej podstawie, zamiast trzech kwestionariuszy do przetworzenia
- 2zdublowane działania wykryte przed poniesieniem wydatku
- 1prezentacja wyników dla komitetu, bez ręcznego opracowania
Te liczby pochodzą z przykładu. Mogłyby być Państwa liczbami.
Norma narzuca procesy. Datamensio mówi, na jakim etapie Państwo są.
01
Model referencyjny jest już gotowy
Obszary tematyczne, pytania i poziomy od N1 do N5 opracowane. Nie zaczynają Państwo od pustego arkusza.
02
Wynik jest gotowy tego samego dnia
Online, przez link do samooceny albo podczas spotkania. Obszar po obszarze, porównywalny w czasie.
03
Luka staje się wycenionym planem
Każde przejście na kolejny poziom niesie ze sobą działanie. IA priorytetyzuje według oczekiwanego efektu, nie według kolejności z normy.
04
Postęp da się wykazać
Kampania po kampanii, względem Państwa celu i względem Państwa przeszłości. Tego właśnie oczekuje Państwa zarząd.
Skala dojrzałości
Jeden poziom, kolejny i działanie, które je łączy.
To właśnie ten mechanizm, czyli poziom, poziom wyższy i działanie łączące oba, zamienia stwierdzenie faktu w trajektorię rozwoju.
Czy strategie wyjścia od dostawców ICT wspierających funkcje krytyczne lub istotne są określone i testowane?
- N1
Żadna strategia wyjścia nie jest sformalizowana. Pytanie pojawiłoby się dopiero w momencie, gdy dostawca zakończyłby świadczenie usługi.
- N2
W niektórych umowach znajdują się klauzule odwracalności, bez powiązanego planu wyjścia ani zidentyfikowanego scenariusza przejścia.
- N3
Strategia wyjścia jest udokumentowana dla każdego dostawcy wspierającego funkcję krytyczną: rozwiązanie zastępcze, dane do odzyskania, szacowany czas przejścia.
- N4
Strategie wyjścia są przeglądane przy każdym odnowieniu umowy i powiązane z rejestrem informacji. Terminy przejścia są weryfikowane z odpowiednim obszarem biznesowym.
- N5
Scenariusze wyjścia są sprawdzane podczas ćwiczeń, w tym w przypadkach nieplanowanego rozwiązania umowy, a wnioski zasilają rewizję umów i ram zarządzania ryzykiem ICT.
Działanie, aby przejść z poziomu 2 na poziom 3
Dla każdego dostawcy ICT wspierającego funkcję krytyczną lub istotną zidentyfikowaną w rejestrze informacji należy sporządzić kartę wyjścia określającą rozwiązanie zastępcze, dane i formaty do odzyskania oraz szacowany czas przejścia, a następnie przedstawić ją do zatwierdzenia przez właściwy obszar biznesowy podczas kwartalnego komitetu ds. ryzyka ICT.
« Dzięki Datamensio realizujemy nasze cele ze znacznie większą skutecznością. Służby inspekcyjne EFRR oraz naszego ministerstwa nadzorującego szczególnie doceniły to podejście, które dostarcza im wiarygodnych danych. »
Dyrektorka CCI 94CCI Île-de-France
« Uważamy, że to rozwiązanie najlepiej odpowiada potrzebie skalowania naszego projektu transformacji i mierzenia jego wpływu zgodnie z naszymi wymaganiami. »
Maja SucekChief Operating Officer, Interreg Danube
Rzadko sam
Model referencyjny da się łączyć z innymi. Niech Państwo połączą kilka, by objąć całą działalność, albo pozwolą IA napisać własny.
Wykonajcie swój pierwszy pomiarna DORA.
O czym jest ten model referencyjny
DORA, rozporządzenie (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego, obowiązuje od 17 stycznia 2025 roku. Obejmuje szeroki zakres podmiotów: instytucje kredytowe, firmy inwestycyjne, zakłady ubezpieczeń, podmioty zarządzające aktywami, dostawców usług w zakresie kryptoaktywów, infrastruktury rynkowe oraz zewnętrznych dostawców usług ICT uznanych za kluczowych. Tekst opiera się na pięciu filarach: ramach zarządzania ryzykiem związanym z ICT podlegających odpowiedzialności organu zarządzającego, zarządzaniu i zgłaszaniu poważnych incydentów, testowaniu odporności cyfrowej, zarządzaniu ryzykiem związanym z dostawcami zewnętrznymi oraz wymianie informacji o cyberzagrożeniach.
Trudność nie polega na zrozumieniu tekstu, lecz na rzetelnej ocenie rzeczywistego stanu. Czy rejestr informacji dotyczący umów z dostawcami jest aktualizowany na bieżąco wraz z aneksami, czy odtwarzany raz w roku na potrzeby terminu przekazania? Czy terminy zgłaszania poważnego incydentu są realne w piątkowy wieczór, z osobami rzeczywiście pełniącymi dyżur? Czy strategie wyjścia od dostawców kluczowych są udokumentowane i testowane, czy istnieją jedynie w postaci klauzuli umownej? Na te pytania nie da się odpowiedzieć poprzez binarny stan zgodności.
Często pojawia się nieporozumienie: DORA jest rozporządzeniem, nie dyrektywą, i nie podlega certyfikacji. Nie istnieje żaden znak jakości DORA. Nadzór sprawują właściwe organy krajowe i europejskie, poprzez przekazywanie rejestru informacji, zgłaszanie incydentów oraz, dla wyznaczonych podmiotów, testy penetracyjne oparte na zagrożeniach typu TLPT. Warto też doprecyzować: DORA ma pierwszeństwo przed Dyrektywą (UE) 2022/2555 w odniesieniu do objętych nią podmiotów finansowych, ale leżące u ich podstaw mechanizmy zarządzania i oceny ryzyka pozostają w dużej mierze wspólne.
Audyt zgodności kończy się stwierdzeniem luki lub zgodności wobec danego wymogu. Diagnoza dojrzałości odpowiada na inne pytanie: na jakim poziomie opanowania znajduje się dana praktyka i jakie konkretne działanie pozwala przejść na poziom wyższy. W przypadku DORA to rozróżnienie ma kluczowe znaczenie, ponieważ większość organizacji dysponuje oczekiwanymi dokumentami, nie mając jednak powtarzalności, identyfikowalności i nadzoru, które regulator oceni podczas kontroli lub po rzeczywistym incydencie.
W Datamensio model referencyjny DORA jest gotowy do użycia i w pełni dostosowywalny. Sztuczna inteligencja dopasowuje obszary tematyczne, pytania i poziomy do Państwa statusu regulacyjnego i wielkości organizacji, stosując zasadę proporcjonalności przewidzianą w tekście rozporządzenia, lub tworzy wersję opartą na Państwa własnych dokumentach: polityce zarządzania ryzykiem ICT, rejestrze informacji, planach ciągłości działania.
Norma referencyjna: Rozporządzenie (UE) 2022/2554 (DORA), obowiązujące od 17 stycznia 2025 roku
Oceniane obszary tematyczne
Ład organizacyjny i odpowiedzialność organu zarządzającego
Zatwierdzanie i przegląd ram zarządzania ryzykiem ICT, role i obowiązki, alokacja budżetu, szkolenie kadry zarządzającej, powiązanie z funkcjami kontroli.
Ramy zarządzania ryzykiem związanym z ICT
Udokumentowane polityki i procedury, tolerancja na ryzyko zakłóceń cyfrowych, coroczny przegląd, uwzględnianie wniosków z incydentów i testów.
Mapowanie zasobów i funkcji krytycznych
Inwentaryzacja zasobów ICT, identyfikacja funkcji krytycznych lub istotnych, zależności wewnętrzne i zewnętrzne, klasyfikacja informacji, bieżąca aktualizacja.
Ochrona i zapobieganie
Zarządzanie tożsamością i dostępem, szyfrowanie, bezpieczeństwo sieci, zarządzanie zmianami i poprawkami, zabezpieczanie prac rozwojowych.
Wykrywanie i monitorowanie
Mechanizmy wykrywania nietypowych działań, progi alarmowe, zakres monitorowania, przydzielone zasoby, przegląd skuteczności stosowanych rozwiązań.
Ciągłość działania, odzyskiwanie i kopie zapasowe
Polityka ciągłości działania ICT, cele czasu i punktu odtworzenia, ośrodki zapasowe, polityka tworzenia i odtwarzania kopii zapasowych, udokumentowane ćwiczenia.
Zarządzanie incydentami i ich zgłaszanie
Procesy wykrywania i klasyfikacji, kryteria uznania za poważny, terminy zgłoszenia wstępnego, pośredniego i końcowego, kanały komunikacji z właściwym organem, informowanie klientów.
Testowanie operacyjnej odporności cyfrowej
Coroczny program testów, analizy podatności, testy kompatybilności i wydajności, testy oparte na zagrożeniach typu TLPT, postępowanie z ustaleniami.
Zarządzanie ryzykiem związanym z dostawcami zewnętrznymi
Polityka dotycząca dostawców ICT, analiza wstępna, obowiązkowe klauzule umowne, koncentracja, podwykonawstwo łańcuchowe, prawa audytu i dostępu.
Rejestr informacji i przekazywanie danych organom
Kompletność rejestru umów, jakość danych, proces aktualizacji, przygotowanie do przekazywania danych i żądań organów nadzoru.
Krótsza wersja modelu referencyjnego, licząca 40 pytań, jest dostępna do samooceny online. Pełna wersja obejmuje 10 obszarów tematycznych i 108 pytań.
Najczęściej zadawane pytania
Czy można uzyskać certyfikację DORA?
Nie. DORA jest rozporządzeniem europejskim o bezpośrednim zastosowaniu, nie istnieje żadna powiązana z nim certyfikacja. Nadzór należy do właściwych organów, poprzez rejestr informacji, zgłaszanie incydentów oraz, dla wybranych podmiotów, testy oparte na zagrożeniach. Diagnoza dojrzałości ocenia Państwa praktyki i przygotowuje do tych etapów, nie wydaje żadnego zaświadczenia.
Jaka jest różnica między tą oceną a audytem zgodności DORA?
Audyt sprawdza obecność danego wymogu i kończy się stwierdzeniem luki lub zgodności. Diagnoza umiejscawia każdą praktykę na pięciostopniowej skali dojrzałości i wskazuje działanie pozwalające przejść na wyższy poziom. Oba podejścia się uzupełniają: diagnoza buduje trajektorię, audyt potwierdza osiągnięty stan.
Ile czasu zajmuje ocena?
Wersja skrócona wypełniana jest w 20 do 30 minut. Pełna wersja, w trybie zespołowym, angażuje kilku współpracowników: bezpieczeństwo, zakupy, ciągłość działania, zgodność. Większość czasu poświęca się na zbieranie danych od tych zespołów, a nie na wprowadzanie odpowiedzi.
Czy model referencyjny można dostosować do naszego statusu i wielkości?
Tak. DORA stosuje zasadę proporcjonalności, a model referencyjny podąża za tą samą logiką: Państwo modyfikują pytania, poziomy i obszary tematyczne, lub pozwalają sztucznej inteligencji opracować wersję dostosowaną do Państwa statusu regulacyjnego na podstawie Państwa dokumentów. Kontrola nad modelem referencyjnym pozostaje w Państwa rękach.
Jak połączyć DORA z Dyrektywą (UE) 2022/2555 i normą ISO 27001?
DORA ma pierwszeństwo przed Dyrektywą (UE) 2022/2555 w odniesieniu do objętych nią podmiotów finansowych, jednak wymogi dotyczące ładu organizacyjnego, zarządzania ryzykiem i obsługi incydentów opierają się na zasadach zbieżnych z normami ISO 27001 i ISO 27005. Przekrojowe mapy drogowe Datamensio konsolidują kilka diagnoz i grupują wspólne działania zamiast je powielać.
Czy diagnoza obejmuje naszych dostawców informatycznych?
Filar poświęcony podmiotom zewnętrznym ocenia Państwa praktyki: analizę wstępną, klauzule umowne, monitorowanie koncentracji, strategie wyjścia, prowadzenie rejestru informacji. Mogą Państwo również udostępnić model referencyjny swoim dostawcom do oceny indywidualnej lub zbiorowej i porównać ich wyniki na wspólnej podstawie.
Jak przejść od diagnozy do planu działania?
Luka między uzyskanym wynikiem a wyznaczonym celem automatycznie generuje odpowiednie działania. Sztuczna inteligencja grupuje je w mapę drogową z ustalonymi priorytetami, a katalog usług przedstawia rozwiązanie dla każdego elementu, wraz z kosztem, terminem i oczekiwanym wpływem na wynik.
Gdzie przechowywane są dane?
We Francji, u dostawcy OVH, z kopią zapasową u dostawcy Scaleway. Żadnych transferów poza Unię Europejską. Wykorzystywane modele sztucznej inteligencji mogą być wybierane, w tym spośród rozwiązań europejskich.