DORA. Cos’è e perchè è importante per le aziende.
DORA. Cos’è e perchè è importante per le aziende.
Il Digital Operational Resilience Act (DORA) è un campanello d’allarme in materia di sicurezza specificamente rivolto alle istituzioni finanziarie. Banche, società di investimento, aziende che operano con criptovalute e terze parti che forniscono servizi di tecnologie dell’informazione e della comunicazione (TIC) alle entità finanziarie.
Chi lo ha introdotto?
È stato introdotto dall’Unione Europea (UE) per gestire e mitigare i rischi legati alle TIC, come vulnerabilità della catena di approvvigionamento, violazioni dei dati e minacce alla sicurezza informatica. Il DORA si concentra sulle tre R: resilienza, risposta e ripristino contro gli incident di sicurezza informatica. Il DORA è in vigore dal 17 gennaio 2025 e le aziende che non lo rispettano sono soggette a sanzioni (2% del fatturato annuo totale mondiale o fino a 1 milione di euro).
Perchè?
Ci si potrebbe chiedere perché venga resa obbligatoria una nuova regolamentazione, dato che esistono già normative interne per gli istituti finanziari. La risposta a questa domanda è la coerenza. DORA mira a stabilire normative universali applicabili a tutti gli istituti finanziari dell’UE, eliminando qualsiasi discrepanza nelle regole seguite dai singoli istituti. DORA non è semplicemente un’altra regolamentazione. È semplificata per proteggere la vostra azienda dai crescenti attacchi alla sicurezza informatica offrendo resilienza a lungo termine.
I 5 pilastri di DORA.
I pilastri di DORA costituiscono uno scudo contro i rischi per la sicurezza informatica, favorendo una gestione proattiva del rischio. Ecco i cinque pilastri.
ICT risk management.
DORA impone alle aziende finanziarie di monitorare le tendenze relative ai rischi per la sicurezza e di elaborare strategie per mitigarli. Per salvaguardare il business, le aziende finanziarie devono proteggere i propri sistemi IT (server, database, cloud storage, ecc.) implementando solide misure di sicurezza, come IAM, SIEM e gestione delle patch.
Segnalazione degli incident.
Le entità sono tenute a stabilire un modus operandi per il rilevamento, la registrazione e la segnalazione degli incidenti relativi alle tecnologie ICT. Dovranno inoltre produrre tre report: un report iniziale per informare le parti interessate dell’incidente, un report intermedio per fornire aggiornamenti sulle misure di mitigazione e un report finale che descriva dettagliatamente le cause e le azioni correttive.
Test di resilienza operativa digitale.
Questo serve a garantire che le entità finanziarie siano in grado di resistere e riprendersi dagli attacchi informatici. Conducendo più test ad hoc e test di penetrazione basati sulle minacce, un’azienda può valutare strategicamente i propri punti di forza e identificare le vulnerabilità contro potenziali minacce informatiche.
Gestione dei rischi di terze parti.
DORA estende la propria supervisione normativa ai fornitori di ICT che collaborano con enti finanziari per garantire che l’outsourcing non comprometta la sicurezza.
Condivisione delle informazioni.
La collaborazione in ambito di sicurezza informatica è fortemente incoraggiata, poiché questo approccio consente alle aziende di discutere delle minacce informatiche che le altre devono affrontare. Ciò favorisce un ambiente resiliente e contribuisce a rafforzare le difese contro le minacce informatiche.
IT horrors. Come Travelex, un’azienda di cambio valuta, ha perso milioni.
Nel 2019 e all’inizio del 2020, Travelex, una nota società di cambio valuta, ha affrontato il suo peggior incubo. Un attacco ransomware che ha paralizzato i suoi sistemi. L’azienda ha dovuto bloccare tutti i suoi siti web in 30 paesi. Gli hacker hanno chiesto un riscatto sfruttando vulnerabilità note e non corrette, impedendo all’azienda di accedere ai propri sistemi. Ciò ha comportato una perdita di 4,6 milioni di sterline e ha costretto l’organizzazione a utilizzare carta e penna per l’amministrazione. Questo incidente evidenzia la necessità di conformarsi al DORA. Analizziamo come il DORA avrebbe potuto cambiare la storia.
Gestione del rischio.
DORA impone una strategia completa di gestione del rischio, che avrebbe portato Travelex a correggere la vulnerabilità ad alto rischio che ha causato l’attacco.
Test di resilienza operativa digitale.
DORA applica test di penetrazione coerenti, ad hoc e basati sulle minacce, che probabilmente avrebbero esposto le vulnerabilità nell’infrastruttura di Travelex. L’azienda avrebbe quindi potuto correggere la debolezza, riducendo la probabilità dell’attacco.
Fornitori ICT terzi.
La vulnerabilità non corretta è stata sfruttata in modo improprio in un software di terze parti noto come Pulse Secure VPN. I rigorosi requisiti di DORA per la supervisione e la definizione di protocolli di sicurezza per i fornitori ICT terzi avrebbero garantito una rapida correzione delle vulnerabilità.
Travelex Ransomware.
L’attacco ransomware Travelex è un esempio ammonitore che ricorda alle aziende la necessità di dare priorità alla resilienza operativa digitale. Allineandosi alle linee guida DORA, gli istituti finanziari possono proteggersi da minacce informatiche, perdite finanziarie e interruzioni operative.
ManageEngine Log360.
Ora che hai compreso l’importanza di DORA, è il momento di rimettere la tua attività sulla strada giusta. Oltre a proteggere la tua organizzazione da malintenzionati e minacce informatiche, DORA contribuisce a consolidare la tua reputazione tra i clienti. Inizia oggi stesso il tuo percorso verso la conformità! Per una conformità impeccabile, scopri come l’estensione di conformità DORA di Log360 può aiutarti a monitorare, verificare e rimanere allineato ai requisiti normativi senza sforzo. Nel frattempo, scopri altri obblighi normativi supportati da Log360 per ottenere informazioni sui diversi standard di conformità.
Prova subito la versione demo: https://www.manageengine.com/it/log-management/ e contattaci per maggiori informazioni. Chiama lo 0643230077 o invia una e-mail a sales@bludis.it