Il Regolamento DORA è incentrato sull’individuazione e sulla gestione ex ante dei rischi informatici e di cybersicurezza al fine di raggiungere un “elevato livello di resilienza operativa digitale”, nonché sulla definizione dei presidi di gestione del rischio cyber con un approccio end-to-end.
Come abbiamo approfondito nell’articolo “Il DORA è operativo. Così cambia la cyber security nella finanza europea”, esso non è rivolto solo ad attori “tradizionali” del mondo finanziario, ma anche ad altre aziende, tra cui ad esempio società di servizi di cripto-asset e i fornitori di servizi ICT.
Ciò richiede che questi ultimi mettano in atto adempimenti che fino ad ora rappresentavano solo un quid pluris delle loro attività.
Governance e organizzazione, primo pilastro cyber del Regolamento DORA: gli aspetti cruciali
Indice degli argomenti
Il quadro per la gestione dei rischi ICT
Al fine di ridurre gli impatti dei rischi ICT, il Regolamento, all’art. 6, pone in capo ai destinatari l’obbligo di predisporre un quadro per la gestione dei rischi informatici, applicando “strategie, politiche, procedure, protocolli e strumenti in materia di TIC”, al fine di proteggere il proprio patrimonio informativo e le proprie infrastrutture informatiche e fisiche.
L’obiettivo di questo sistema è quello di prevenire e ridurre l’impatto del rischio informatico sulle entità finanziarie, stabilendo a priori “metodi per affrontare i rischi informatici e conseguire specifici obiettivi in materia di TIC”. In buona sostanza, il Regolamento DORA definisce una serie di adempimenti che l’entità finanziaria sono obbligate a svolgere, al fine di assicurare un elevato livello di resilienza operativa digitale. Inoltre, l’art. 6 par. 4 prevede che si attribuiscano le responsabilità della gestione e della sorveglianza dei rischi informatici ad una funzione di controllo indipendente di II livello.
L’identificazione delle risorse TIC e delle fonti di rischio
Nell’ambito del quadro per la gestione dei rischi ICT, la prima attività da svolgere è l’identificazione di tutte quelle funzioni interne all’entità finanziaria che sono supportate dalle Tecnologie dell’Informazione e della Comunicazione (TIC), e le relative risorse ICT, in modo tale da valutarne l’esposizione al rischio informatico. Si dovranno perciò identificare e documentare (nel framework di gestione dei rischi ICT) tutti i processi dipendenti da fornitori di servizi TIC, individuando le interconnessioni con essi, specialmente nel caso in cui detti fornitori offrano servizi a supporto di funzioni essenziali o importanti.
Inoltre, le stesse entità dovranno poi stabilire dei meccanismi per individuare tempestivamente le anomalie e i c.d. points of failure al fine di poter agire in un’ottica di protezione e prevenzione del rischio informatico.
Le attività di protezione e prevenzione
All’interno del quadro per la gestione dei rischi informatici di cui all’articolo 6, paragrafo 1, l’entità finanziaria dovrà:
- aggiornare o elaborare una politica di sicurezza dell’informazione;
- realizzare una solida struttura di gestione della rete e delle infrastrutture ICT (“progettando l’infrastruttura di connessione di rete in modo che sia possibile isolarla o segmentarla istantaneamente nel caso di incidente”);
- aggiornare o stabilire politiche che limitino l’accesso a strutture fisiche ed informatiche;
- aggiornare o adottare processi per l’individuazione e il monitoraggio delle vulnerabilità presenti sui propri sistemi ICT;
- aggiornare o attuare politiche, procedure e controlli per la gestione delle modifiche delle TIC, in modo da registrare qualsiasi modifica apportata ai sistemi.
Oltre a questi adempimenti, si dovranno, altresì, assicurare che i sistemi e i dati relativi alle TIC siano conservati in maniera sicura e – in caso – ripristinati tempestivamente, riducendo al minimo il periodo di inattività e limitando le perdite. Dovranno quindi dotarsi di efficaci politiche e procedure di backup e ripristino.
È importante notare, quindi, che il Regolamento DORA prevede non solo adempimenti documentali ma ad essi si accompagnano anche presidi di natura tecnica che il Regolatore rimanda ai cosiddetti “Regolamenti delegati”, tuttora in corso di definizione, nonché agli standard di settore per le specifiche di tali presidi.
In prima istanza, il to do per le entità finanziarie consiste principalmente nella messa in atto di un assessment di policy, procedure e prassi necessario alla valutazione del grado di coerenza con l’impianto del Regolamento.
La politica di continuità operativa
Un altro punto cruciale da sottolineare è l’adozione di politiche miranti a quella che abbiamo conosciuto fino ad oggi come business continuity.
Il Regolamento DORA prevede che le entità finanziarie dovranno aggiornare o adottare una politica di continuità operativa, costituita da piani, procedure e accordi miranti a garantire ex ante:
- la continuità di funzioni essenziali in caso di incidenti;
- l’attivazione di misure di risposta efficaci e rapide nella contestualità di un incidente informatico;
- la stima di impatti, danni e perdite.
Tali piani e procedure vengono testati e rivisti periodicamente, tenendo in considerazione anche l’eventuale coinvolgimento di fornitori terzi di servizi TIC. Su questo punto occorre precisare che: “in caso di esternalizzazione, l’entità finanziaria rimane pienamente responsabile di verificare la conformità ai requisiti in materia di gestione dei rischi informatici”.
Ciò considerato, la politica di continuità operativa dovrebbe prevedere l’esecuzione di una Business Impact Analysis (BIA) finalizzata a determinare gli impatti e le ricadute sul business di eventi che possano causare interruzioni all’erogazione dei servizi, tenendo conto in particolare delle eventuali funzioni importanti o essenziali esternalizzate.
La BIA dovrebbe essere basata su scenari e tenere conto del panorama aggiornato delle minacce cyber che prevedono specificità nella gestione sia tecnica che organizzativa dell’evento di crisi molto diverse dagli scenari tradizionalmente inclusi nella BIA.
L’output della BIA, quindi, indirizza le valutazioni in merito alle criticità insistenti sulle attività aziendali e il relativo livello di esposizione al rischio.
Insegnamento ed evoluzione del sistema di resilienza operativa
Per assicurare una gestione complessiva dei rischi informatici, le entità finanziarie, a valle di un incidente ICT, dovranno analizzare le cause della violazione effettuando quello che il Regolamento definisce riesame.
Dopo aver compiuto le attività di riesame, l’entità finanziaria dovrà essere in grado di valutare se i piani di ripristino stabiliti nel framework di gestione dei rischi debbano essere revisionati/perfezionati o se, invece, le procedure e le misure di risposta adottate siano state efficaci.
In buona sostanza, a valle di un incidente ICT, con la procedura di riesame si potrà monitorare l’efficacia dell’attuazione della propria strategia di resilienza operativa digitale, la quale sappiamo essere costituita sia da azioni strategiche che da azioni di natura tecnica (si pensi alla tempestività della risposta degli allarmi di sicurezza informatica).
Comunicazione in caso di incidente
Nell’ambito della gestione degli incidenti, un importante aspetto innovativo del Regolamento riguarda l’introduzione del principio di “Responsible Disclosure”, nonché di requisiti specifici per un’adeguata comunicazione interna.
In particolare, dovranno essere chiaramente distinte le comunicazioni verso i soggetti che si occupano della gestione dei rischi e dell’incidente, da quelle verso il resto del personale che dovrà essere informato sull’evento; inoltre, dovrà essere identificata almeno una figura che gestisca la comunicazione verso il pubblico e i media, sulla base di procedure e modalità predefinite.
Per concludere, come già anticipato in un articolo precedente, tutto ciò che l’entità finanziaria ha imparato dal riesame dell’incidente dovrà essere elaborato in programmi di formazione e sensibilizzazione aventi l’obiettivo di consolidare su base continuativa la propria postura di sicurezza. Precisamente, tale evoluzione dovrà riguardare tutta la documentazione predisposta nell’ottica del quadro per la gestione dei rischi ICT, ovvero le “strategie, politiche, procedure, protocolli e strumenti in materia di TIC”.
