Υπηρεσίες · Κύπρος
Ετοιμότητα DORA για χρηματοοικονομικές εταιρείες στην Κύπρο και την ΕΕ: κίνδυνοι ΤΠΕ, περιστατικά, τρίτοι πάροχοι και δοκιμές ανθεκτικότητας.
Δημοσιεύτηκε Ενημερώθηκε
Η Tetramatrix βοηθά χρηματοοικονομικούς οργανισμούς στην Κύπρο να αξιολογήσουν, να υλοποιήσουν και να τεκμηριώσουν την ψηφιακή επιχειρησιακή ανθεκτικότητα σύμφωνα με την Πράξη Ψηφιακής Επιχειρησιακής Ανθεκτικότητας (DORA), Κανονισμός (ΕΕ) 2022/2554. Η DORA εφαρμόζεται από τις 17 Ιανουαρίου 2025. Η εργασία προσαρμόζεται στη νομική οντότητα, τις δραστηριότητες, το μέγεθος, το προφίλ κινδύνου και το εποπτικό πλαίσιο. Μπορεί να περιλαμβάνει έλεγχο ετοιμότητας, πρακτική υποστήριξη υλοποίησης, δοκιμές ανθεκτικότητας και ανεξάρτητη αξιολόγηση ασφάλειας για συμφωνημένα και εξουσιοδοτημένα scope. Δείτε τον επίσημο Κανονισμό στο EUR-Lex.
Οι υποχρεώσεις DORA διαφέρουν ανά τύπο και νομική κατάσταση της οντότητας. Συνεργαζόμαστε με τη διοίκηση, την ομάδα ΤΠΕ, κινδύνου, συμμόρφωσης και τους νομικούς συμβούλους για να προσδιορίσουμε τις εφαρμοστέες απαιτήσεις και τα αναμενόμενα τεκμήρια. Η υπηρεσία υποστηρίζει εταιρείες που εποπτεύονται από την CySEC και άλλες χρηματοοικονομικές οντότητες της ΕΕ· δεν αντικαθιστά νομική συμβουλή ή απόφαση αρμόδιας αρχής. Αν μια οντότητα ενδέχεται να δικαιούται απλουστευμένο πλαίσιο διαχείρισης κινδύνου ΤΠΕ, η επιλεξιμότητα ελέγχεται βάσει της ακριβούς ταξινόμησης και των εφαρμοστέων κανόνων.
«Το διοικητικό όργανο ορίζει, εγκρίνει, εποπτεύει και είναι υπεύθυνο για την υλοποίηση των ρυθμίσεων που αφορούν το πλαίσιο διαχείρισης κινδύνου ΤΠΕ.» (ελεύθερη απόδοση του άρθρου 5 παράγραφος 2)
Κανονισμός (ΕΕ) 2022/2554, άρθρο 5(2)
Ξεκινάμε κατανοώντας τις υπηρεσίες σας, τις σημαντικές επιχειρησιακές λειτουργίες, το τεχνολογικό περιβάλλον, τους παρόχους ΤΠΕ, τους υφιστάμενους ελέγχους και το εποπτικό πλαίσιο. Έτσι ορίζεται πρακτικά το έργο: ποιες υποχρεώσεις DORA εφαρμόζονται, τι ήδη λειτουργεί, πού λείπει τεκμηρίωση και ποιες αλλαγές έχουν τον μεγαλύτερο κίνδυνο. Η αξιολόγηση παρουσιάζει κενά, εξαρτήσεις, υπευθύνους και προτεραιότητες αντί για μια γενική λίστα ελέγχου.
Η ανασκόπηση μπορεί να αντιστοιχίσει διακυβέρνηση και λογοδοσία, διαχείριση κινδύνου ΤΠΕ, πολιτικές ασφάλειας πληροφοριών, ταξινόμηση παγίων, διαχείριση πρόσβασης, χειρισμό περιστατικών, συνέχεια και ανάκαμψη, δοκιμές ανθεκτικότητας και κινδύνους τρίτων παρόχων ΤΠΕ. Εντοπίζουμε επίσης πώς τεκμηριώνονται οι υφιστάμενες διαδικασίες και τεχνικοί έλεγχοι, ποιος τους εγκρίνει και πώς θα αναθεωρούνται.
Μπορούμε να βοηθήσουμε στη δημιουργία ή βελτίωση πλαισίου διαχείρισης κινδύνου ΤΠΕ κατάλληλου για τις υποχρεώσεις και το λειτουργικό μοντέλο της οντότητας. Η εργασία μπορεί να περιλαμβάνει πολιτικές ΤΠΕ και ασφάλειας πληροφοριών, ρόλους και αρμοδιότητες, ταξινομημένη απογραφή παγίων, εξαρτήσεις υπηρεσιών και προμηθευτών, επιχειρησιακές επιπτώσεις, μητρώο κινδύνων και σχέδια αντιμετώπισης σημαντικών εκθέσεων. Τα τεκμήρια μπορούν να συνδέονται με τον αντίστοιχο έλεγχο και υπεύθυνο, ώστε η διοίκηση να βλέπει τι υλοποιήθηκε, τι εκκρεμεί και τι πρέπει να επανεξεταστεί.
Για ψηφιακές υπηρεσίες, η απογραφή μπορεί να περιλαμβάνει υποδομή παραγωγής, εφαρμογές, APIs, βάσεις δεδομένων, συστήματα ταυτότητας, υπηρεσίες cloud και σχετικές εξωτερικές διασυνδέσεις. Βοηθάμε την ομάδα να καταγράψει βασικές εξαρτήσεις και όρια πρόσβασης, να εντοπίσει κρίσιμες ή σημαντικές λειτουργίες και να συνδέσει τους τεχνικούς κινδύνους με τις επιχειρησιακές επιπτώσεις. Το εύρος και το βάθος των μητρώων συμφωνούνται με τον οργανισμό, λαμβάνοντας υπόψη το μέγεθος και το προφίλ του.
Η διαδικασία περιστατικών πρέπει να λειτουργεί υπό πίεση και να παράγει αξιόπιστο αρχείο. Μπορούμε να βοηθήσουμε στον ορισμό καταγραφής συμβάντων, κριτηρίων σοβαρότητας και ταξινόμησης, διαδρομών κλιμάκωσης, αρμοδιοτήτων απόκρισης, επικοινωνίας, περιορισμού και ανάκαμψης και των τεκμηρίων που τηρούνται για κάθε περιστατικό. Η διαδικασία μπορεί να περιλαμβάνει πρότυπα καταγραφής επιπτώσεων, υπηρεσιών, χρονολογίου, αποφάσεων και διδαγμάτων.
Βοηθάμε επίσης στην προετοιμασία ροών αναφοράς, ώστε οι κατάλληλοι υπεύθυνοι να αξιολογούν αν ένα περιστατικό πληροί τα εφαρμοστέα όρια, να συγκεντρώνουν πληροφορίες και να τις προωθούν για έγκριση. Τα χρονοδιαγράμματα και οι υποχρεώσεις κοινοποίησης εξαρτώνται από τους ισχύοντες κανόνες και την ταξινόμηση του συμβάντος· πρέπει να επιβεβαιώνονται από τους νομικούς συμβούλους ή την ομάδα συμμόρφωσης. Ασκήσεις μπορούν να ελέγξουν ότι οι τεχνικές ομάδες, η διοίκηση και οι υπεύθυνοι επικοινωνίας γνωρίζουν τους ρόλους τους πριν από πραγματικό περιστατικό.
Ο σχεδιασμός ανθεκτικότητας συνδέει την τεχνολογική ανάκαμψη με τις βασικές επιχειρηματικές υπηρεσίες. Ανάλογα με το scope, βοηθάμε στην τεκμηρίωση στρατηγικής ψηφιακής επιχειρησιακής ανθεκτικότητας, σχεδίων επιχειρησιακής συνέχειας και αποκατάστασης από καταστροφή, στόχων ανάκαμψης, αντιγράφων ασφαλείας, επικοινωνίας κρίσεων και προτεραιοτήτων επαναφοράς υπηρεσιών. Τα σχέδια ορίζουν ποιος αποφασίζει, πώς διαχειρίζονται οι εξαρτήσεις και πώς ο οργανισμός συνεχίζει ή επαναφέρει τη λειτουργία όταν τα κύρια συστήματα ή οι προμηθευτές δεν είναι διαθέσιμοι.
Οι δοκιμές μπορούν να περιλαμβάνουν επαναφορά αντιγράφων ασφαλείας, ασκήσεις επί χάρτου, ελέγχους ανάκαμψης και τεχνική επικύρωση. Βοηθάμε στον καθορισμό στόχων, τεκμηρίων και επόμενων ενεργειών και παρακολουθούμε τα ευρήματα μέχρι την αποκατάσταση. Στόχος είναι να επιβεβαιωθεί στην πράξη η ανάκαμψη κρίσιμων λειτουργιών και να γνωρίζει το προσωπικό τη διαδικασία απόκρισης.
Οι χρηματοοικονομικές οντότητες εξαρτώνται από παρόχους cloud, λογισμικού, φιλοξενίας, ασφάλειας και λειτουργιών. Βοηθάμε στη διατήρηση μητρώου τρίτων παρόχων ΤΠΕ, στην καταγραφή υπηρεσιών που υποστηρίζουν σημαντικές λειτουργίες, στην αξιολόγηση κινδύνων και στον εντοπισμό εξαρτήσεων ή συγκεντρώσεων που απαιτούν προσοχή. Η ανασκόπηση μπορεί να περιλαμβάνει τεκμήρια δέουσας επιμέλειας, αρμοδιότητες εποπτείας, συνέχεια υπηρεσιών και πληροφορίες για εξέταση από τη διοίκηση.
Κατόπιν συμφωνίας, βοηθάμε τις ομάδες τεχνολογίας και προμηθειών να εξετάσουν συμβατικές απαιτήσεις ΤΠΕ σε σχέση με τις υποχρεώσεις DORA, να καταρτίσουν λίστα όρων ή τεκμηρίων που χρειάζονται διευθέτηση και να παρακολουθούν ενέργειες με κάθε πάροχο. Νομικοί σύμβουλοι πρέπει να ελέγχουν και να εγκρίνουν τη διατύπωση των συμβάσεων. Ο οργανισμός παραμένει υπεύθυνος για τη διακυβέρνηση τρίτων και την αποδοχή των σχετικών ρυθμίσεων.
Οι δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας πρέπει να αντανακλούν τον κίνδυνο, τα συστήματα και τις εφαρμοστέες κανονιστικές απαιτήσεις. Βοηθάμε στη διαμόρφωση αναλογικού προγράμματος που μπορεί να περιλαμβάνει αξιολογήσεις ευπαθειών, εξωτερικές σαρώσεις PCI ASV όπου απαιτούνται, penetration tests, επικύρωση ανάκαμψης και παρακολούθηση ευρημάτων. Το πρόγραμμα προσδιορίζει συστήματα, εξαρτήσεις, χρονικά παράθυρα, όρια ασφάλειας, υπευθύνους και τεκμήρια, ώστε τα αποτελέσματα να τροφοδοτούν τη διαχείριση κινδύνων.
Τα εξουσιοδοτημένα penetration tests μπορούν να καλύπτουν έκθεση δικτύου και υποδομής, TLS και security headers, web εφαρμογές, APIs, αυθεντικοποίηση και συνεδρίες, λειτουργίες client-side, διασυνδέσεις και webhooks, εξαρτήσεις λογισμικού και δυναμικούς ελέγχους εφαρμογών. Δοκιμές απόδοσης ή ανθεκτικότητας μπορούν να προστεθούν όταν συμφωνούνται, είναι ασφαλείς και σχετικές. Πριν από κάθε δοκιμή τεκμηριώνουμε τη γραπτή εξουσιοδότηση, τους κανόνες εμπλοκής, τις επαφές έκτακτης ανάγκης, τις εξαιρέσεις και τις απαιτήσεις αναφοράς· οι έλεγχοι παραγωγής δεν είναι αόριστες σαρώσεις.
Για σχετικό έλεγχο εξωτερικών ευπαθειών PCI, δείτε την υπηρεσία σάρωσης PCI ASV. Η σάρωση ASV και το penetration test απαντούν σε διαφορετικά ερωτήματα και ορίζονται χωριστά.
Η υλοποίηση πρέπει να αφήνει αξιοποιήσιμα αρχεία. Τα παραδοτέα μπορούν να περιλαμβάνουν ανάλυση κενών DORA, μητρώο κινδύνων, απογραφή παγίων ΤΠΕ, στρατηγική ανθεκτικότητας, διαδικασίες περιστατικών, σχέδια συνέχειας και ανάκαμψης, μητρώο τρίτων παρόχων, πρόγραμμα δοκιμών, παρακολούθηση αποκατάστασης και φάκελο τεκμηρίων για τη διοίκηση. Μπορούμε επίσης να υποστηρίξουμε την προετοιμασία απαντήσεων αυτοαξιολόγησης και υποβολών, αντιστοιχίζοντας τις απαντήσεις σε ελέγχους και τεκμήρια που παρέχει ο πελάτης.
Τα τεκμήρια βασίζονται στα πραγματικά συστήματα και στις εγκεκριμένες διαδικασίες της οντότητας. Διαχωρίζουμε τις προγραμματισμένες ενέργειες από τους ελέγχους που εφαρμόζονται ήδη και καταγράφουμε τις εκκρεμότητες αντί να παρουσιάζουμε ημιτελή μέτρα ως ολοκληρωμένα. Το διοικητικό όργανο διατηρεί την ευθύνη αποδοχής κινδύνων, αποφάσεων διακυβέρνησης και τελικής θέσης συμμόρφωσης.
Η συμβουλευτική DORA παρέχεται από την Κύπρο σε τοπικούς χρηματοοικονομικούς οργανισμούς, περιλαμβανομένων εταιρειών που εποπτεύονται από την CySEC, και μπορεί να υποστηρίξει εξ αποστάσεως οντότητες της ΕΕ που υπάγονται στο πλαίσιο. Συνεργαζόμαστε με fintech και επιχειρήσεις πληρωμών, επενδυτικές εταιρείες, ασφαλιστές και άλλες χρηματοοικονομικές οντότητες όπου εφαρμόζεται ο κανονισμός. Το πρώτο βήμα είναι η επιβεβαίωση της σωστής νομικής οντότητας και του εποπτικού scope, επειδή δεν έχουν όλες οι τεχνολογικές εταιρείες ή οι πάροχοι υπηρεσιών τις ίδιες άμεσες υποχρεώσεις.
Είτε χρειάζεστε εστιασμένη ανάλυση κενών, πρόγραμμα υλοποίησης ή συνδυασμένο έργο συμμόρφωσης και δοκιμών ασφάλειας, η Tetramatrix μπορεί να μετατρέψει τις απαιτήσεις DORA σε ανατεθειμένες ενέργειες, δοκιμασμένες διαδικασίες και τεκμήρια που ο οργανισμός σας μπορεί να διατηρεί.
Η DORA εφαρμόζεται σε συγκεκριμένες χρηματοοικονομικές οντότητες στην ΕΕ, με απαιτήσεις και εξαιρέσεις ανάλογα με τη νομική οντότητα και τη δραστηριότητά της. Βοηθάμε χρηματοοικονομικές εταιρείες, ιδρύματα πληρωμών και ηλεκτρονικού χρήματος, επενδυτικές εταιρείες, ασφαλιστές και παρόχους υπηρεσιών κρυπτοστοιχείων που υπάγονται στο πλαίσιο να εξετάσουν τη θέση τους μαζί με τους νομικούς συμβούλους και την ομάδα συμμόρφωσης.
Εξετάζουμε τις εφαρμοστέες απαιτήσεις σε σχέση με τη διακυβέρνηση, τους ελέγχους κινδύνου ΤΠΕ, τα πάγια, τις διαδικασίες περιστατικών, τις δοκιμές ανθεκτικότητας και τις σχέσεις με τρίτους παρόχους ΤΠΕ. Παραδίδουμε τεκμηριωμένη ανάλυση κενών με προτεραιότητες, υπευθύνους και απαιτούμενα τεκμήρια.
Ναι. Ανάλογα με το συμφωνημένο εύρος, βοηθάμε στην ανάπτυξη ή βελτίωση πολιτικών, μητρώων κινδύνων και παγίων, ροών περιστατικών, σχεδίων συνέχειας, προγραμμάτων δοκιμών, αρχείων προμηθευτών και σχετικών τεκμηρίων. Το διοικητικό όργανο διατηρεί τις ευθύνες διακυβέρνησης και εγκρίνει τις αποφάσεις κινδύνου του οργανισμού.
Μπορούμε να εξετάσουμε αν μια οντότητα φαίνεται να πληροί τα κριτήρια για το απλουστευμένο πλαίσιο και να αντιστοιχίσουμε τους σχετικούς ελέγχους και τα τεκμήρια. Η επιλεξιμότητα εξαρτάται από την ακριβή οντότητα, τις δραστηριότητες και την εφαρμοστέα νομοθεσία και πρέπει να επιβεβαιωθεί με νομικούς συμβούλους, την ομάδα συμμόρφωσης ή την αρμόδια αρχή.
Η DORA περιλαμβάνει απαιτήσεις δοκιμών ψηφιακής επιχειρησιακής ανθεκτικότητας, αλλά οι κατάλληλοι έλεγχοι εξαρτώνται από την οντότητα, τον κίνδυνο και τους ισχύοντες κανόνες. Μπορούμε να σχεδιάσουμε εξουσιοδοτημένες αξιολογήσεις ευπαθειών, penetration tests, ασκήσεις ανάκαμψης και επικύρωση στο πλαίσιο αναλογικού προγράμματος.
Αξιολόγηση παραγωγής εξετάζεται μόνο με γραπτή εξουσιοδότηση, συμφωνημένα συστήματα και χρονικά παράθυρα, υπεύθυνους επικοινωνίας, όρια ασφάλειας και σχέδιο κλιμάκωσης. Καταγράφουμε το scope και τους κανόνες πριν ξεκινήσει οποιοσδήποτε έλεγχος.
Όχι. Παρέχουμε υποστήριξη υλοποίησης, αξιολόγησης και δοκιμών ασφάλειας και βοηθάμε στην οργάνωση τεκμηρίων. Οι αποφάσεις συμμόρφωσης παραμένουν στην επιχείρησή σας και στο διοικητικό της όργανο, ενώ η ερμηνεία της εποπτείας και οι αποφάσεις εποπτικών αρχών ανήκουν στις αρμόδιες αρχές.
Πείτε μας τι χρειάζεστε — απαντούμε εντός μιας εργασίμης ημέρας.
