Il Regolamento Digital Operational Resilience
Il Digital Operational Resilience Act (DORA) è un quadro normativo a livello europeo che affronta il tema della resilienza operativa digitale per i servizi finanziari. Il DORA rappresenta l’iniziativa regolamentare più importante dell’UE sulla resilienza operativa e la sicurezza informatica nel settore dei servizi finanziari e va notevolmente oltre nel consolidare e aggiornare i requisiti che le imprese dovranno affrontare.
Il DORA richiede alle imprese finanziarie di adottare una visione aziendale più ampia della resilienza con responsabilità chiaramente stabilite a livello di alta dirigenza. Si applica alla stragrande maggioranza delle società finanziarie operanti nell’UE e stabilisce regole vincolanti per la gestione del rischio ICT, la segnalazione di incidenti, il test di resilienza e la gestione del rischio di terze parti.
L’importanza della Gestione dei Rischi ICT
Nel contesto moderno, le tecnologie digitali sono essenziali per il funzionamento quotidiano delle istituzioni finanziarie. Tuttavia, l’adozione di tali tecnologie comporta una serie di rischi, tra cui attacchi informatici, guasti tecnici e errori umani. La gestione dei rischi ICT è, quindi, fondamentale per prevenire, rilevare e mitigare queste minacce, garantendo la continuità operativa e la sicurezza dei dati.
Infatti all’interno del DORA il pilastro cardine di tutto l’impianto normativo è sicuramente quello relativo alla Gestione dei Rischi ICT.
Vediamo in dettaglio cosa prevede.
Le entità finanziarie devono predisporre un quadro di gestione e di controllo interno che garantisca una gestione efficace e prudente di tutti i rischi informatici al fine di acquisire un elevato livello di resilienza operativa digitale.
L’organo direttivo dell’entità finanziaria ne è responsabile in quanto definisce e approva l’attuazione di tutte le disposizioni concernenti il quadro per la gestione dei rischi informatici e deve vigilare su tale attuazione. È in pratica responsabile della definizione, approvazione e supervisione di tutte le politiche di gestione dei rischi ICT, politiche che devono mirare a mantenere alti standard di disponibilità, autenticità, integrità e riservatezza dei dati.
La direzione è inoltre incaricata di stabilire ruoli chiari per le funzioni relative alle TIC, approvare piani di continuità operativa e recupero, e allocare budget adeguati per la resilienza digitale. Inoltre, i membri dell’organo direttivo sono tenuti a rimanere informati e formati sui rischi TIC e sul loro potenziale impatto sulle operazioni dell’entità.
Occorre quindi sviluppare un framework di gestione del rischio ICT: il che vuol dire mappare i sistemi ICT, identificare e classificare i beni e le funzioni critiche, documentare le dipendenze tra beni, sistemi, processi e fornitori. Come pure condurre valutazioni continue dei rischi sui sistemi ICT, documentare e classificare le minacce informatiche e annotare i passaggi intrapresi per mitigare i rischi identificati.
Come parte del processo di valutazione del rischio, le entità finanziarie devono condurre analisi dell’impatto aziendale per valutare come scenari specifici e gravi interruzioni potrebbero influenzare l’attività e utilizzare i risultati di queste analisi per stabilire livelli di tolleranza al rischio. Dovranno inoltre stabilire piani di continuità aziendale e recupero di emergenza per vari scenari di rischio informatico, come guasti dei servizi ICT, disastri naturali e attacchi informatici. Questi piani devono includere misure di backup e recupero dei dati, processi di ripristino dei sistemi e piani per la comunicazione con i clienti, i partner e le autorità coinvolte.
Requisiti del DORA ACT per la Gestione dei Rischi ICT
Il regolamento DORA stabilisce una serie di requisiti che le organizzazioni finanziarie devono soddisfare per gestire efficacemente i rischi ICT.
Governance e Organizzazione
L’Articolo 5 del regolamento DORA (Digital Operational Resilience Act) stabilisce i requisiti di governance e organizzazione per le società finanziarie riguardo alla gestione dei rischi ICT.
L’organo di gestione delle entità finanziarie è responsabile della definizione, approvazione, supervisione e implementazione di tutte le disposizioni relative al framework di gestione dei rischi ICT.
Le organizzazioni finanziarie devono adottare una governance chiara e robusta per la gestione dei rischi ICT, definendo ruoli e responsabilità specifiche. Questo include la gestione complessiva dei rischi ICT e la manutenzione di standard elevati di disponibilità, autenticità, integrità e riservatezza dei dati.
Ruoli e Responsabilità
È essenziale definire chiaramente i ruoli e le responsabilità per tutte le funzioni correlate all’ICT e stabilire strutture di governance appropriate per garantire comunicazione, cooperazione e coordinamento efficaci e tempestivi.
Strategia di Resilienza Operativa Digitale
È responsabilità dell’organo di gestione stabilire e approvare la strategia di resilienza operativa digitale, incluso determinare il livello di tolleranza al rischio ICT dell’entità.
Continuità Operativa e Piani di Recupero
Devono essere approvati, supervisionati e periodicamente rivisti i piani di continuità operativa ICT e i piani di risposta e recupero ICT. Questi piani devono includere misure specifiche per garantire la continuità operativa e la resilienza in caso di incidenti ICT.
Audit e Formazione
È richiesto che le entità finanziarie approvino e rivedano periodicamente i piani di audit interno ICT, assicurino budget adeguati per le esigenze di resilienza operativa digitale e formino regolarmente il personale sui rischi ICT.
Gestione dei Fornitori di Servizi ICT
L’organo di gestione deve anche monitorare le disposizioni contrattuali con i fornitori di servizi ICT di terze parti e valutare l’impatto di eventuali cambiamenti significativi.
L’articolo enfatizza inoltre che i membri del organo di gestione devono mantenere attivamente aggiornate conoscenze e competenze sufficienti per comprendere e valutare i rischi ICT e il loro impatto sull’operatività dell’entità, partecipando a una formazione regolare commisurata ai rischi gestiti.
Quadro per la gestione dei rischi ICT
L’Articolo 6 del regolamento DORA (Digital Operational Resilience Act) stabilisce un quadro per la gestione dei rischi informatici che le entità finanziarie devono implementare come parte del loro sistema complessivo di gestione del rischio.
Punti Chiave:
Quadro Completo di Gestione dei Rischi ICT
Il framework per la gestione dei rischi informatici deve essere solido, esaustivo e adeguatamente documentato, che includa strategie, politiche, procedure e strumenti per proteggere le informazioni e le risorse ICT da accessi non autorizzati e danni e che consenta loro di affrontare i rischi informatici in maniera rapida, efficiente ed esaustiva, assicurando un elevato livello di resilienza operativa digitale. Questo quadro deve essere rivisto annualmente e dopo importanti incidenti informatici.
Assegnazione di Responsabilità
La gestione e sorveglianza dei rischi informatici devono essere affidate a una funzione di controllo indipendente per evitare conflitti di interesse. Questo include la separazione delle funzioni di gestione dei rischi informatici, controllo e audit interno.
Audit Interni e Revisione
Il quadro deve essere sottoposto a verifiche periodiche di audit interno da parte di personale qualificato e indipendente. Gli audit devono essere commisurati ai rischi ICT specifici e le entità devono avere un processo formale per affrontare le risultanze degli audit.
Strategia di Resilienza Operativa Digitale
Il quadro deve includere una strategia che definisca come affrontare i rischi informatici e raggiungere specifici obiettivi di sicurezza TIC. Questo include la definizione di livelli di tolleranza al rischio, obiettivi di sicurezza delle informazioni e l’implementazione di test di resilienza operativa digitale.
Coinvolgimento delle Autorità
Le entità finanziarie devono fornire alle autorità competenti informazioni complete e aggiornate sui rischi informatici e sul quadro di gestione, e devono reagire tempestivamente alle richieste e ai feedback delle autorità.
In sintesi, l’Articolo 6 del Regolamento DORA richiede alle entità finanziarie di adottare un approccio sistematico e documentato per gestire i rischi informatici, garantendo un elevato livello di resilienza operativa digitale attraverso controlli, audit e strategie ben definite.
Sistemi, protocolli e strumenti ICT
L’Articolo 7 del regolamento DORA (Digital Operational Resilience Act) obbliga le entità finanziarie di implementare sistemi e strumenti adeguati per la protezione ICT
Questi sistemi devono essere: idonei alle dimensioni delle operazioni, affidabili, tecnologicamente resilienti, capaci di elaborare dati in modo accurato.
Identificazione
DORA, con l’Articolo 8, del richiede che le organizzazioni finanziarie affrontino in modo sistematico i rischi informatici identificando e documentando tutte le funzioni aziendali, i ruoli e gli asset supportati da ICT, con una revisione di questa classificazione almeno una volta all’anno. È necessaria una valutazione continua del rischio, soprattutto in caso di modifiche significative alla rete e all’infrastruttura dei sistemi. Le entità devono anche mappare le informazioni e gli asset critici, incluse le dipendenze dai fornitori di servizi terzi. Gli inventari devono essere mantenuti e aggiornati regolarmente. Inoltre, è richiesta una valutazione specifica del rischio per i sistemi legacy almeno una volta all’anno, con l’eccezione delle microimprese.
Protezione e prevenzione
L’Articolo 9 del Digital Operational Resilience Act richiede di adottare solidi quadri per la gestione del rischio informatico. Tali quadri devono prevedere un monitoraggio costante dei sistemi e degli strumenti ITC al fine di ridurre al minimo i rischi.
Le entità finanziarie sono tenute a sviluppare e mettere in pratica politiche e protocolli di sicurezza volti a garantire la resilienza e la disponibilità dei sistemi informatici, specialmente quelli che sostengono funzioni critiche. Queste politiche devono comprendere la sicurezza nel trasferimento dei dati, la riduzione del rischio e la protezione contro la perdita di dati o accessi non autorizzati.
Inoltre devono disporre di politiche documentate per la sicurezza delle informazioni, la gestione delle reti, il controllo degli accessi, meccanismi di autenticazione robusti, la gestione dei cambiamenti hardware e gli aggiornamenti software. Questi provvedimenti sono finalizzati a salvaguardare l’integrità, la disponibilità e la confidenzialità dei dati e dei sistemi.
Individuazione
DORA, Articolo 10, richiede alle organizzazioni finanziarie di predisporre meccanismi per individuare rapidamente attività anomale, problemi di prestazione delle reti e incidenti correlati, oltre a identificare potenziali punti di vulnerabilità significativi.
Questi meccanismi devono essere periodicamente testati e devono includere vari livelli di controllo, soglie di allarme e criteri per l’attivazione di processi di risposta agli incidenti.
Le organizzazioni sono inoltre tenute a stanziare risorse adeguate per monitorare l’attività degli utenti e le anomalie informatiche, in particolare gli attacchi informatici.
Inoltre i fornitori di servizi di comunicazione dati devono controllare efficacemente le comunicazioni delle operazioni per verificarne la completezza, individuare errori e richiederne la ritrasmissione.
Risposta e ripristino
La continuità aziendale come parte del quadro complessivo di gestione del rischio, è un obbligo delineato nell’Articolo 10 del Digital Operational Resilience Act.
Le entità finanziarie devono sviluppare una politica di continuità operativa implementando accordi, piani, procedure e meccanismi mirati a: garantire la continuità delle funzioni essenziali, rispondere e risolvere rapidamente ed efficacemente gli incidenti informatici, attivare piani specifici per ogni tipo di incidente, stimare impatti, danni e perdite e stabilire comunicazioni e gestione delle crisi aggiornando sia il personale interno che le autorità competenti.
Le entità finanziarie devono testare e mantenere periodicamente i piani di continuità operativa, inclusi quelli per funzioni esternalizzate. Devono effettuare una Business Impact Analysis (BIA) per valutare l’impatto di gravi perturbazioni, considerando criticità delle funzioni, dipendenze da terzi e patrimoni informativi. Le risorse informatiche devono essere progettate per garantire la ridondanza delle componenti essenziali.
Devono testare almeno una volta all’anno i piani di continuità operativa e di risposta alle crisi, includendo scenari di attacchi informatici. Le politiche e i piani devono essere riesaminati periodicamente sulla base dei test e delle raccomandazioni degli audit.
Le entità, eccetto le microimprese, devono avere una funzione di gestione delle crisi e comunicare con chiarezza durante le crisi. Devono anche rendere accessibili le registrazioni delle attività pre e post perturbazioni e inviare copie dei risultati dei test alle autorità competenti.
Politiche e procedure di backup
L’Articolo 12 del DORA descrive le misure che le entità finanziarie devono adottare per garantire il ripristino rapido ed efficace dei loro sistemi ICT e dei dati in caso di incidenti, riducendo il periodo di inattività e minimizzando le perdite.
Le principali indicazioni includono:
Politiche e procedure di backup
- Definizione del perimetro e della frequenza minima dei backup in base alla criticità e riservatezza dei dati.
- Elaborazione di procedure e metodi per il ripristino e il recupero dei dati.
Sistemi di backup
- Implementazione di sistemi di backup conformi alle politiche e procedure stabilite, senza compromettere la sicurezza dei sistemi e la riservatezza dei dati.
- Test periodici delle procedure di backup e ripristino.
Segregazione dei sistemi ICT
- Utilizzo di sistemi TIC fisicamente e logicamente separati per il ripristino dei dati, protetti contro accessi non autorizzati e corruzioni, garantendo il ripristino tempestivo dei servizi.
I depositari centrali di titoli
- Questi soggetti mantengono mantengono almeno un sito secondario di trattamento dati dotato di risorse, capacità, funzioni e personale adeguati a soddisfare le esigenze commerciali e che sia ubicato geograficamente a distanza dal sito primario; in grado di garantire la continuità delle funzioni essenziali o importanti in maniera identica al sito primario; immediatamente accessibile al personale dell’entità finanziaria per garantire la continuità delle funzioni essenziali o importanti qualora il sito primario di trattamento dati divenga indisponibile.
Apprendimento ed evoluzione
L’Articolo 13 del Digital Operational Resilience Act richiede che le entità finanziarie siano attrezzate per raccogliere informazioni su minacce e vulnerabilità informatiche e valutarne l’impatto sulla resilienza operativa digitale.
Dopo un grave incidente informatico svolgono un riesame per identificare miglioramenti nelle operazioni informatiche e nelle politiche di continuità operativa, comunicando eventuali modifiche alle autorità competenti. Questo riesame valuta l’efficacia delle risposte agli incidenti, la rapidità dell’analisi forense, l’attivazione dei livelli di intervento e la comunicazione interna ed esterna.
Le entità finanziarie integrano costantemente nel processo di valutazione dei rischi informatici gli insegnamenti tratti da test di resilienza e incidenti reali, nonché le informazioni scambiate con le controparti. Monitorano l’efficacia della loro strategia di resilienza operativa, analizzando l’evoluzione dei rischi e degli incidenti TIC per migliorare la loro preparazione. Il personale TIC di grado elevato riporta annualmente all’organo di gestione i risultati e le raccomandazioni.
Le entità finanziarie elaborano programmi obbligatori di sensibilizzazione e formazione sulla sicurezza informatica per tutti i dipendenti e dirigenti, includendo anche fornitori terzi di servizi ICT, se necessario. Monitorano costantemente i progressi tecnologici per comprendere i loro effetti sui requisiti di sicurezza e resilienza operativa digitale, aggiornandosi sui processi di gestione dei rischi informatici per contrastare efficacemente nuovi o esistenti attacchi informatici.
Comunicazione
L’Articolo 14 del DORA stabilisce che le entità finanziarie devono predisporre piani di comunicazione delle crisi per divulgare responsabilmente informazioni su gravi incidenti ICT o vulnerabilità sia ai clienti, che alle controparti che al pubblico, quando necessario. Le politiche di comunicazione devono essere applicate sia al personale interno che agli interessati esterni, distinguendo tra il personale coinvolto nella gestione dei rischi e quello che necessita solo di informazioni. Inoltre, deve esserci almeno una persona incaricata di attuare la strategia di comunicazione per gli incidenti ICT, gestendo l’informazione verso il pubblico e i media.
Ulteriore armonizzazione del rischio informatico
L’Articolo 15 precisa che le Autorità Europee di Vigilanza (ESAs), in consultazione con l’Agenzia dell’Unione Europea per la Cybersecurity (ENISA), elaborano progetti di norme tecniche di regolamentazione comuni al fine di dettagliare ulteriormente vari componenti della gestione del rischio informatico per le entità finanziarie, inclusi politiche di sicurezza, controlli di gestione degli accessi, meccanismi di rilevamento di attività anomale e piani di continuità aziendale.
Regime speciale di gestione del rischio informatico
Alcune piccole organizzazioni finanziarie non interconnesse sono esentate dagli articoli 5 a 15 del Regolamento DORA. Tuttavia, devono comunque mantenere un robusto sistema di gestione dei rischi informatici, monitorare costantemente i sistemi ICT e attuare piani di continuità operativa, tra altre misure. Le Autorità di Vigilanza Europee (ESAs) svilupperanno norme tecniche regolamentari comuni per precisare ulteriormente questi requisiti, considerando le dimensioni e il profilo di rischio di ciascuna entità.