Maturitate DORA · Reziliența operațională digitală a serviciilor financiare
Reziliența dumneavoastră operațională digitală, măsurată articol cu articol și tradusă într-un plan de acțiune cuantificat.
10 domenii tematice, 108 întrebări, o scală cu 5 niveluri. Și acțiunea care face trecerea de la un nivel la următorul.
Cele 10 domenii tematice ale cadrului de referință, redactate deja de la N1 la N5. O companie, o unitate de afaceri, sau 300 deodată.
Maturitate DORA · Reziliența operațională digitală a serviciilor financiare
10 domenii tematice, 108 întrebări, scală cu 5 niveluri.
Nordhavn Industries
53 / 100
Își măsoară maturitatea cu Datamensio
Un exemplu
Această situație ar putea fi a dumneavoastră.
Să luăm exemplul unei companii: trei sedii, trei foi de calcul, niciun răspuns comun.
Nimeni nu știe cum să consolideze.
Nordhavn Industries, 2.400 de persoane la Hamburg, Lyon și Porto. Un client cere stadiul grupului. Fiecare sediu răspunde în propria foaie de calcul, cu propriile scale.
Trei săptămâni, o singură bază.
Un diagnostic Regulamentul (UE) 2022/2554 (DORA), aplicabil de la 17 ianuarie 2025 lansat în cele trei sedii în același timp, pornind de la notele de interviu ale responsabililor. Cadrul de referință era deja scris, la fel și cele 10 domenii tematice și nivelurile N1 până la N5.
Două cheltuieli evitate înainte de a fi angajate.
Un scor de 53 din 100, un decalaj concentrat pe trei domenii. Asistentul IA a depistat că două acțiuni din plan se suprapuneau cu cele dintr-un alt audit. Prezentarea rezultatelor în fața comitetului s-a cerut într-o singură frază.
Ce le-a evitat
- 3sedii măsurate pe aceeași bază, în loc de trei chestionare de reprelucrat
- 2acțiuni duplicate depistate înainte de cheltuială
- 1prezentare în fața comitetului, fără reluare manuală
Aceste cifre sunt ale unui exemplu. Ar putea fi ale dumneavoastră.
Standardul impune procese. Datamensio spune unde vă aflați.
01
Cadrul de referință este deja scris
Domenii tematice, întrebări și niveluri N1 până la N5 redactate. Nu porniți de la o foaie de calcul goală.
02
Scorul apare chiar în aceeași zi
Online, prin link de autoevaluare sau în interviu. Domeniu cu domeniu, comparabil în timp.
03
Decalajul devine un plan cuantificat
Fiecare trecere de nivel are acțiunea ei. IA prioritizează în funcție de efectul așteptat, nu de ordinea standardului.
04
Progresul se demonstrează
Campanie după campanie, față de ținta dumneavoastră și față de trecutul dumneavoastră. Asta cere COMEX-ul dumneavoastră.
Scala de maturitate
Un nivel, următorul, și acțiunea care leagă pe cele două.
Acest mecanism (un nivel, un nivel superior și acțiunea care le leagă) transformă o constatare într-o traiectorie.
Strategiile de ieșire pentru prestatorii TIC care susțin funcții critice sau importante sunt definite și testate ?
- N1
Nicio strategie de ieșire nu este formalizată. Întrebarea s-ar pune în momentul în care un prestator și-ar înceta serviciul.
- N2
Clauze de reversibilitate figurează în unele contracte, fără un plan de ieșire asociat sau un scenariu de tranziție identificat.
- N3
O strategie de ieșire este documentată pentru fiecare prestator care susține o funcție critică: soluție de înlocuire, date de recuperat, durata estimată de tranziție.
- N4
Strategiile de ieșire sunt revizuite la fiecare reînnoire contractuală și legate de registrul de informații. Termenele de tranziție sunt verificate împreună cu unitatea de afaceri vizată.
- N5
Scenariile de ieșire sunt testate în cadrul exercițiilor, inclusiv în cazurile de reziliere neplanificată, iar lecțiile învățate alimentează revizuirea contractelor și a cadrului de gestionare a riscului TIC.
Acțiune pentru trecerea de la N2 la N3
Întocmiți, pentru fiecare prestator TIC care susține o funcție critică sau importantă identificată în registrul de informații, o fișă de ieșire care precizează soluția de înlocuire, datele și formatele de recuperat și durata estimată de tranziție, apoi validați-o împreună cu unitatea de afaceri proprietară în cadrul comitetului de riscuri TIC din trimestrul respectiv.
« Datorită Datamensio, ne îndeplinim obiectivele cu mult mai multă eficiență. Serviciile de inspecție ale FEDER și ale ministerului nostru de tutelă au apreciat în mod deosebit această abordare, care le oferă date fiabile. »
Directoarea CCI 94CCI Île-de-France
« Credem că aceasta este soluția cea mai potrivită pentru a duce proiectul nostru de transformare la scară și pentru a măsura impactul conform nevoilor noastre. »
Maja SucekChief Operating Officer, Interreg Danube
Rareori singur
Un cadru de referință se combină. Asociați mai multe pentru a vă acoperi activitatea, sau lăsați IA să îl scrie pe al dumneavoastră.
Faceți prima dumneavoastră măsurătoarepe DORA.
Despre ce vorbește acest cadru de referință
DORA, Regulamentul (UE) 2022/2554 privind reziliența operațională digitală a sectorului financiar, se aplică de la 17 ianuarie 2025. Acoperă un domeniu de aplicare extins: instituții de credit, firme de investiții, asigurători, administratori de active, prestatori de servicii pentru criptoactive, infrastructuri de piață și prestatorii terți de servicii TIC desemnați ca fiind critici. Cinci piloni structurează textul: un cadru de gestionare a riscului TIC aflat în responsabilitatea organului de conducere, gestionarea și notificarea incidentelor majore, testarea rezilienței digitale, gestionarea riscului legat de prestatorii terți și schimbul de informații privind amenințările cibernetice.
Dificultatea nu constă în înțelegerea textului, ci în a ști unde se află cu adevărat organizația. Registrul de informații privind acordurile contractuale este actualizat pe măsura actelor adiționale, sau este reconstituit o dată pe an pentru termenul de raportare ? Termenele de notificare a unui incident major sunt realiste într-o seară de vineri, cu persoanele efectiv de gardă ? Strategiile de ieșire pentru prestatorii critici sunt documentate și testate, sau există doar sub formă de clauză contractuală ? Aceste întrebări nu se rezolvă printr-un statut de conformitate binar.
O confuzie revine adesea: DORA este un regulament, nu o directivă, și nu se certifică. Nu există o etichetă DORA. Controlul se realizează prin autoritățile competente naționale și europene, prin transmiterea registrului de informații, prin notificarea incidentelor și, pentru entitățile desemnate, prin testele de penetrare bazate pe amenințare de tip TLPT. Un alt aspect de clarificat: DORA prevalează asupra NIS 2 pentru entitățile financiare acoperite, dar dispozitivele de guvernanță și de gestionare a riscurilor subiacente rămân în mare parte comune.
Auditul de conformitate se încheie cu un decalaj sau o conformitate privind o cerință dată. Diagnosticul de maturitate răspunde la o altă întrebare: la ce nivel de control se situează practica și ce acțiune precisă permite trecerea la nivelul următor. Pe DORA, această nuanță este decisivă, deoarece majoritatea organizațiilor dispun de documentele așteptate fără a avea repetabilitatea, trasabilitatea și pilotajul pe care autoritatea de reglementare le va observa cu ocazia unui control sau după un incident real.
În Datamensio, cadrul de referință DORA este gata de utilizare și adaptabil. Inteligența artificială ajustează domeniile tematice, întrebările și nivelurile în funcție de statutul dumneavoastră de reglementare și de dimensiunea dumneavoastră, aplicând principiul proporționalității din text, sau construiește o variantă pornind de la propriile dumneavoastră documente: politica de gestionare a riscului TIC, registrul de informații, planurile de continuitate.
Standard de referință: Regulamentul (UE) 2022/2554 (DORA), aplicabil de la 17 ianuarie 2025
Domeniile tematice evaluate
Guvernanța și responsabilitatea organului de conducere
Aprobarea și revizuirea cadrului de gestionare a riscului TIC, roluri și responsabilități, alocarea bugetului, formarea conducerii, articularea cu funcțiile de control.
Cadrul de gestionare a riscului legat de TIC
Politici și proceduri documentate, toleranța la riscul de perturbare digitală, revizuire anuală, luarea în considerare a lecțiilor învățate din incidente și teste.
Cartografierea activelor și a funcțiilor critice
Inventarul activelor TIC, identificarea funcțiilor critice sau importante, dependențe interne și externe, clasificarea informațiilor, actualizare.
Protecție și prevenire
Gestionarea identităților și a accesurilor, criptare, securitatea rețelelor, gestionarea schimbărilor și a corecțiilor, securizarea dezvoltărilor.
Detectare și monitorizare
Mecanisme de detectare a activităților anormale, praguri de alertă, acoperirea monitorizării, resurse dedicate, revizuirea performanței dispozitivelor.
Continuitate, recuperare și copii de rezervă
Politica de continuitate a activităților TIC, obiective de timp și de punct de recuperare, situri de rezervă, politica de salvare și restaurare, exerciții documentate.
Gestionarea și notificarea incidentelor
Proces de detectare și clasificare, criterii de caracter major, termene de notificare inițială, intermediară și finală, canale către autoritatea competentă, informarea clienților.
Teste de reziliență operațională digitală
Program anual de testare, analize de vulnerabilitate, teste de compatibilitate și performanță, teste bazate pe amenințare de tip TLPT, tratarea constatărilor.
Gestionarea riscului legat de prestatorii terți
Politica privind prestatorii TIC, analiza prealabilă, clauze contractuale obligatorii, concentrare, subcontractare în lanț, drepturi de audit și de acces.
Registrul de informații și transmiterea către autorități
Completitudinea registrului acordurilor contractuale, calitatea datelor, procesul de actualizare, pregătirea transmiterilor și a solicitărilor autorităților.
O versiune scurtă a cadrului de referință, cu 40 întrebări, este disponibilă pentru autoevaluare online. Versiunea completă are 10 domenii tematice și 108 întrebări.
Întrebări frecvente
Se poate obține o certificare DORA ?
Nu. DORA este un regulament european cu aplicare directă, nu există o certificare asociată. Controlul revine autorităților competente, prin registrul de informații, notificările de incidente și, pentru entitățile vizate, testele bazate pe amenințare. Diagnosticul de maturitate măsoară practicile dumneavoastră și pregătește aceste termene, nu eliberează nicio atestare.
Care este diferența dintre acest diagnostic și un audit de conformitate DORA ?
Auditul verifică prezența unei cerințe și se încheie cu un decalaj sau o conformitate. Diagnosticul situează fiecare practică pe o scală de maturitate cu cinci niveluri și indică acțiunea care permite trecerea la nivelul următor. Cele două se completează: diagnosticul construiește traiectoria, auditul validează nivelul atins.
Cât durează evaluarea ?
Versiunea scurtă se completează în 20 până la 30 de minute. Versiunea completă, în mod colaborativ, mobilizează mai mulți contribuitori: securitate, achiziții, continuitate, conformitate. Cea mai mare parte a timpului este dedicată colectării informațiilor de la aceste echipe, nu completării propriu-zise.
Cadrul de referință este adaptabil la statutul și dimensiunea unităților dumneavoastră ?
Da. DORA aplică un principiu de proporționalitate, iar cadrul de referință urmează aceeași logică: modificați întrebările, nivelurile și domeniile tematice, sau lăsați inteligența artificială să producă o variantă adaptată statutului dumneavoastră de reglementare pornind de la documentele dumneavoastră. Controlul asupra cadrului de referință vă aparține.
Cum se articulează DORA cu NIS 2 și ISO 27001 ?
DORA prevalează asupra NIS 2 pentru entitățile financiare acoperite, dar cerințele de guvernanță, de gestionare a riscurilor și de tratare a incidentelor se bazează pe principii convergente cu ISO 27001 și ISO 27005. Foile de parcurs transversale Datamensio consolidează mai multe diagnostice și grupează acțiunile comune în loc să le dubleze.
Diagnosticul acoperă și prestatorii dumneavoastră informatici ?
Pilonul dedicat terților evaluează practicile dumneavoastră: analiza prealabilă, clauze contractuale, monitorizarea concentrării, strategii de ieșire, ținerea registrului de informații. Puteți de asemenea să distribuiți cadrul de referință prestatorilor dumneavoastră pentru o evaluare individuală sau industrială și să comparați rezultatele acestora pe o bază comună.
Cum se trece de la diagnostic la planul de acțiune ?
Decalajul dintre scorul obținut și ținta stabilită generează automat acțiunile corespunzătoare. Inteligența artificială le grupează într-o foaie de parcurs prioritizată, iar catalogul de prestații propune o soluție pentru fiecare element, cu costul, termenul și impactul așteptat asupra scorului.
Unde sunt găzduite datele ?
În Franța, la OVH, cu copie de rezervă la Scaleway. Niciun transfer în afara Uniunii Europene. Modelele de inteligență artificială utilizate pot fi selectate, inclusiv dintre soluții europene.