Прескокни до содржината
Закажете консултација
МКEN

Усогласеност со DORA

Усогласеност со DORA за финансиски групации од ЕУ и нивните ИКТ даватели

Актот за дигитална оперативна отпорност (DORA), Регулатива (ЕУ) 2022/2554, се применува на финансиските субјекти во ЕУ од 17 јануари 2025 година. Во Македонија не се применува директно, но е важен за локалните подружници на банкарски и осигурителни групации од ЕУ и за ИКТ давателите што работат за финансиски субјекти од ЕУ. Ви помагаме да го исполните она што го очекуваат вашата групација или вашите клиенти: добро управување со ИКТ ризици, процеси за инциденти, тестирање на отпорноста и надзор над трети страни.

Закажете консултацијаКако функционира
  1. 01Управување со ИКТ ризици
  2. 02Инциденти: класификација и известување
  3. 03Тестирање на дигиталната отпорност
  4. 04Ризик од ИКТ трети страни
  5. 05Споделување информации
Петте области на DORA, како што најчесто се групираат

Усогласеност со DORA

Што добивате

01

Јасна позиција

Знаете кои барања од DORA стигнуваат до вас преку групацијата или клиентите од ЕУ и како се вклопуваат со вашите домашни обврски.

02

План по приоритет

Анализата на празнини низ областите што ги опфаќа DORA ви дава план што групацијата, клиентите и раководството можат да го следат.

03

Тестирано, не претпоставено

Програмата за тестирање покажува како вашите критични системи издржуваат реални сценарија на напад и каде треба да се подобрат.

04

Трети страни под контрола

ИКТ давателите се попишани, проценети и документирани на начин што го поддржува регистарот на информации.

Што е вклучено

  • Преглед на применливоста според субјектот, структурата на групацијата и клиентите од ЕУ
  • Анализа на празнини за управување со ИКТ ризици, известување за инциденти, тестирање на отпорноста, ризик од трети страни и споделување информации
  • Рамка, политики и процедури за управување со ИКТ ризици, усогласени со барањата на групацијата
  • Процес за управување со ИКТ инциденти и нивна класификација, со јасни линии на известување до групацијата или клиентите од ЕУ
  • Програма за тестирање на отпорноста, од проценка на ранливости и сценариски вежби до пенетрациско тестирање
  • Процес за ризик од ИКТ трети страни: проверка, договорни барања, излезни планови и поддршка за регистарот на информации
  • Насоки за аранжмани за споделување информации за сајбер закани
  • За ИКТ даватели: јасни докази за проверките што ги прават вашите финансиски клиенти од ЕУ според DORA

Како работиме

  1. 01

    Применливост и опфат

    Утврдуваме како DORA стигнува до вас, преку матичната групација од ЕУ, преку договори со финансиски клиенти од ЕУ или на двата начина, и договараме кои услуги и системи се во опфатот.

  2. 02

    Анализа на празнини

    Ги споредуваме вашите практики со областите во кои вообичаено се групираат барањата на DORA и со барањата на групацијата или клиентите, а празнините ги рангираме според ризик и напор.

  3. 03

    Политики и процеси

    Ги пишуваме или ажурираме процесите за ИКТ ризици, инциденти и трети страни, за да се вклопат во рамката на групацијата и да го поддржат нејзиното известување.

  4. 04

    Програма за тестирање

    Со нашиот тим за пенетрациско тестирање планираме и спроведуваме тестови на отпорноста, од проценка на ранливости до тестови засновани на сценарија, и го следиме секој наод до затворање.

  5. 05

    Докази и преглед

    Ги средуваме доказите што ги бараат групацијата, клиентите или ревизорите и ја прегледуваме програмата кога се менуваат вашите услуги, давателите или правилата.

За кого е

  • Локални подружници на банкарски и осигурителни групации од ЕУ
  • ИКТ и софтверски даватели што работат за банки, осигурители и други финансиски субјекти од ЕУ
  • Домашни финансиски институции што ја користат DORA како репер покрај законот усогласен со NIS2

Рамки и стандарди

  • Регулатива (ЕУ) 2022/2554 (DORA)
  • ISO/IEC 27001:2022
  • NIST SP 800-61 Rev. 3
  • NIST SP 800-115

Често поставувани прашања

Дали DORA се применува во Македонија?
Не директно. DORA е регулатива на ЕУ, а Македонија не е членка на ЕУ, па таа не ги обврзува субјектите што работат само тука. Важна е во два случаи: ако сте подружница на банкарска или осигурителна групација од ЕУ или ако давате ИКТ услуги на финансиски субјекти од ЕУ. Во двата случаи барањата обично стигнуваат до вас преку политиките на групацијата или договорите со клиентите.
Кои области ги опфаќа DORA?
Барањата вообичаено се групираат во пет области: управување со ИКТ ризици; управување, класификација и известување за ИКТ инциденти; тестирање на дигиталната оперативна отпорност; ризик од ИКТ трети страни, вклучително регистарот на информации; и споделување информации. Оваа поделба е практично резиме на поглавјата од регулативата, а не законска формулација.
Ние сме ИКТ давател. Што ќе бараат од нас финансиските клиенти од ЕУ?
Очекувајте прашања за безбедносните контроли, известувањето за инциденти, континуитетот на работењето, подизведувачите, правата на ревизија и пристап и поддршката ако договорот заврши. Финансиските субјекти мора да управуваат со ризикот од ИКТ трети страни и да водат регистар на информации за своите ИКТ договори, па им требаат точни податоци од вас. Ви помагаме да подготвите јасни одговори и докази зад нив.
Каква е врската меѓу DORA, законот усогласен со NIS2 и ISO 27001?
Тие се преклопуваат. Во ЕУ, DORA поставува посебни правила за дигитална оперативна отпорност на финансиските субјекти. Во Македонија, банкарството и финансискиот пазар се меѓу секторите што законот усогласен со NIS2 веќе ги опфаќа, а ISO/IEC 27001 дава систем за управување што ги поддржува двете рамки. Ги мапираме преклопувањата, за еден сет контроли и докази да служи за повеќе барања.
Дали самите ги спроведувате тестовите на отпорноста?
Да, за проценки на ранливости, пенетрациски тестови и тестови засновани на сценарија: ги спроведува нашиот тим за пенетрациско тестирање и red teaming, а ние ви помагаме да ја осмислите пошироката програма: што да се тестира, колку често и како наодите се поправаат и известуваат. Кога групацијата или нејзиниот супервизор поставуваат посебни правила за тестирање, работиме според нив. Пенетрациското тестирање водено од закани (TLPT) според членовите 26 и 27 има посебни барања за тестерите, и однапред потврдуваме дали ги исполнуваме.

Поврзани услуги

Пенетрациско тестирање и red teamingРачно тестирање на мрежи, апликации, облак и луѓе, со наоди оценети по CVSS, јасни извештаи и повторен тест на поправките.Дознајте повеќеОдговор на инциденти и форензикаПланови, процедури и вежби пред инцидентот, а кога ќе се случи: задржување, форензика и поддршка при известувањето.Дознајте повеќеИмплементација на ISO 27001Систем за управување со безбедност на информации според ISO/IEC 27001:2022, изграден околу вашите ризици, од опфат до сертификација.Дознајте повеќе

Да разговараме за вашата безбедност

Кажете ни што ви треба: мониторинг 24/7, тестирање или подготовка за законот усогласен со NIS2. Во краток разговор ќе ги договориме опфатот и следните чекори.

Закажете консултација+389 75 340 034

Пон–Пет 09:00–17:00 · SOC 24/7 · info@diverto.mk