O Regulamento de Resiliência Operacional Digital da União Europeia (DORA) consolida os padrões de segurança digital das entidades financeiras nos territórios dos Estados-membros. Esses padrões aparecem principalmente nas iniciativas centrais do framework, conhecidas como os 5 pilares da DORA:
- Gerenciamento de riscos de TIC
- Notificação de incidentes
- Testes de resiliência operacional digital
- Gerenciamento de riscos de terceiros
- Compartilhamento de informações
A DORA complementa a diretiva reforçada Network and Information Security 2 (NIS2). Mas, ao contrário da NIS2, a DORA é um regulamento de aplicação obrigatória, como o Regulamento Geral sobre a Proteção de Dados (GDPR) da UE. Se você atua em TI ou no setor financeiro, veja tudo o que precisa saber sobre os requisitos de cibersegurança da DORA.
Os 5 pilares da DORA
Instituições financeiras são conhecidas por infraestruturas de TI complexas. Essas tecnologias permitem otimizar desempenho e segurança de formas inéditas, mas também exigem soluções mais robustas de gerenciamento de riscos.
A DORA busca fechar essas lacunas com uma série de requisitos que elevam o nível dos padrões de tecnologia da informação e comunicação (TIC) em todo o setor financeiro. No fim das contas, a filosofia e a visão da DORA se resumem nos pilares a seguir:
Gerenciamento de riscos de TIC
O gerenciamento de riscos de TI é a base do framework da DORA. Ele reúne as estratégias, políticas e ferramentas necessárias para proteger dados e ativos contra desafios relevantes de TIC.
Esse pilar garante que instituições financeiras e seus diversos stakeholders monitorem, avaliem e contenham vulnerabilidades de TIC com rapidez e precisão. Também cobre como essas vulnerabilidades são notificadas e tratadas. Empresas financeiras e seus prestadores de serviços terceirizados precisam estar preparados para auditorias e avaliações de segurança regulares.
Para atender aos requisitos de conformidade da DORA, os responsáveis de TI precisam desenvolver um framework completo de gerenciamento de riscos de TIC. Isso pode significar aproveitar protocolos já existentes e redefinir objetivos e funções dentro da organização. Um bom plano de ação traz uma abordagem proativa e consistente de gerenciamento de riscos.
Notificação de incidentes relacionados a TIC
Pela DORA, as organizações precisam trabalhar com as autoridades competentes para tratar incidentes graves de TIC.
Os incidentes também precisam ser classificados imediatamente conforme o impacto e o potencial de interromper os níveis de serviço. E devem ser comunicados às autoridades competentes, seguindo os prazos rigorosos de notificação da DORA e os modelos padronizados.
Com esse peso maior sobre a notificação de incidentes de TIC, vale reforçar os procedimentos internos de revisão e documentação. Uma forma de fazer isso é pela automação.
A automação ajuda a implementar um plano de gerenciamento de riscos mais completo e integrado. Para começar, um software avançado de monitoramento permite antecipar problemas com monitoramento em tempo real, detecção de ameaças e resposta. Ao mesmo tempo, essa abordagem moderna fortalece as práticas de backup e recuperação.
Testes de resiliência operacional digital
A DORA também defende com força os testes regulares das medidas de resiliência digital. Ou seja, espera-se que as organizações analisem o impacto de cenários específicos e de interrupções relevantes no negócio. Nesse contexto, grandes instituições podem ter de seguir protocolos de teste mais amplos e frequentes.
Entre as medidas proativas que as equipes de TI podem organizar, estão: testes de segurança de rede e avaliações de vulnerabilidades. Também vale programar avaliações de ameaças periódicas para identificar lacunas no processo e reforçar os esquemas de segurança e os planos de remediação já existentes. Os requisitos também obrigam as entidades financeiras a incluir terceiros de TIC nos programas de treinamento em resiliência cibernética.
Gerenciamento de riscos de terceiros de TIC
Um dos pontos decisivos do framework da DORA é o gerenciamento de riscos e da conformidade de terceiros.
Em uma visão mais ampla, ele concretiza a responsabilidade estendida das organizações financeiras nos Estados-membros de cumprir as disposições e leis de TIC da UE.
Por essa diretriz, as entidades financeiras precisam garantir que os contratos com prestadores de serviços de TIC terceirizados, inclusive os de fora da UE, definam de forma clara e precisa as obrigações e os direitos das duas partes. Também precisam monitorar e avaliar com regularidade a conformidade desses terceiros.
Empresas financeiras não podem depender fortemente de um único fornecedor para funções essenciais e infraestruturas críticas de TI. Por isso, precisam tomar a iniciativa de diversificar as infraestruturas de TI e criar protocolos rígidos para manter a conformidade em todas as frentes.
Vale lembrar que prestadores de serviços de TIC terceirizados ligados a operações essenciais ou críticas também ficam sujeitos à supervisão direta das Autoridades Europeias de Supervisão (ESAs).
Compartilhamento de informações e inteligência
As instituições também são incentivadas a participar de iniciativas de compartilhamento de informações para elevar, em conjunto, os padrões do setor. Além de melhorar o processo de notificação, a documentação e a colaboração entre áreas dentro da empresa, as equipes de TIC devem aproveitar a colaboração com autoridades e prestadores de serviços terceirizados.
Veja os conceitos principais neste vídeo: “Quais são os 5 pilares da DORA?”.
O que a DORA significa para as empresas
O objetivo central da DORA é elevar a segurança de TI e a resiliência operacional no setor financeiro.
No centro dessa iniciativa estão bancos e instituições de crédito, corretoras e gestoras, seguradoras e prestadores de serviços de processamento de pagamentos.
Além disso, provedores de serviços em nuvem e empresas de análise de dados que gerenciam serviços essenciais para instituições financeiras podem ser classificados como prestadores terceirizados críticos e ficar sujeitos a disposições e leis igualmente rigorosas.
Para se preparar para a implementação da DORA, as organizações precisam entender o alcance do regulamento e o que ele exige delas e de seus parceiros de negócio. Também ganham ao trabalhar com prestadores de serviços terceirizados que já seguem as diretrizes da NIS2, da GDPR e da DORA.
Para líderes e equipes de TIC, a conformidade deve ser tratada como processo, não como projeto. Os protocolos de TIC ajustados precisam ser adaptáveis, principalmente conforme surgem novas informações. A abordagem precisa ser contínua, e todos os envolvidos devem estar prontos para colaborar e participar de treinamentos regulares.
Boas práticas para alcançar a conformidade com a DORA
Diversifique as infraestruturas de TI
Uma forma de construir uma infraestrutura de TI robusta é diversificá-la. Há vários caminhos para isso, mas a maioria das empresas pode começar pela modernização de alguns componentes e pela automação de TI. Monitoramento e manutenção remotos fazem maravilhas pela eficiência e pela segurança em tempo real.
Fortaleça os canais internos de treinamento e colaboração entre áreas
As lacunas de TIC não ficam restritas ao departamento de TI. A empresa precisa de uma abordagem holística para identificar vulnerabilidades e reforçar protocolos. Canais de comunicação que atravessem diferentes departamentos e unidades de negócio são importantes para ampliar a consciência e a conformidade em toda a organização.
Colabore com stakeholders externos
Os 5 pilares da DORA já destacam a importância da colaboração, e aqui reforçamos o ponto. Sua organização deve manter a cooperação com os órgãos reguladores para ter a interpretação mais precisa e atualizada da DORA. Da mesma forma, cobre dos fornecedores o mesmo padrão, principalmente daqueles que atendem as áreas críticas da operação. Inclua esses fornecedores nos treinamentos de TIC e DORA sempre que fizer sentido.
Coloque o GRC na sua estratégia
O GRC, sigla para Governança, Riscos e Conformidade, ajuda a preparar o time para buscar a conformidade com a DORA de forma colaborativa. Na essência, o framework de GRC derruba barreiras tradicionais entre unidades de negócio, elimina processos desconectados e redundâncias e alinha a TI aos objetivos do negócio.
O framework de GRC é especialmente eficaz para atender regulamentações do setor e do governo e para gerenciar riscos. Mas, para dar certo, a iniciativa precisa de apoio forte de todas as áreas, sobretudo de quem decide. Encontrar o software certo para consolidar os esforços de GRC também pode ser um desafio à parte.
💡Para saber mais sobre a DORA, assista ao nosso guia em vídeo: O que é a conformidade com o Regulamento de Resiliência Operacional Digital (DORA)?
Prepare sua organização para a conformidade com a DORA
A DORA é relativamente nova, mas boa parte de suas disposições vem de padrões de conformidade de TI já existentes, como GDPR e NIS2. Por isso, aproveite esses recursos para fortalecer e estruturar o plano de gerenciamento de riscos, os componentes de TI e os programas de treinamento. As iniciativas da DORA trazem vários desafios novos, mas também abrem uma oportunidade: profissionais de conformidade e de TI podem harmonizar a estratégia de TI e convencer os tomadores de decisão a modernizar as infraestruturas, com ganhos e desdobramentos imediatos e de longo prazo.
