Pontos principais
- A Lei de Resiliência Operacional Digital (DORA) vale a partir de janeiro de 2025 e exige que instituições financeiras e provedores de TIC da UE cumpram padrões rigorosos de resiliência, gerenciamento de riscos e comunicação de incidentes.
- Ferramentas da Microsoft como Defender, Sentinel, Azure e Purview se conectam diretamente aos cinco pilares da DORA: gerenciamento de riscos de TIC, comunicação de incidentes, testes de resiliência, risco de terceiros e compartilhamento de informações.
- O Microsoft Purview Compliance Manager e o mapeamento contratual ajudam as instituições a se alinharem aos requisitos de governança e supervisão de fornecedores da DORA.
- Defender for Cloud, Sentinel e Defender for Office 365 apoiam a detecção, a resposta e a coleta de evidências para risco de TIC e comunicação de incidentes.
- A conformidade total não é automática: as organizações precisam integrar as soluções Microsoft a uma estrutura de conformidade mais ampla, manter um Registro de Informações e realizar os TLPT exigidos (testes de intrusão orientados por ameaças).
A Lei de Resiliência Operacional Digital (DORA) é a mais recente regulamentação de cibersegurança da UE para instituições financeiras. A conformidade com a DORA na Microsoft diz respeito a como as organizações usam o conjunto de ferramentas de segurança e conformidade da Microsoft (que inclui Defender, Sentinel, Azure e Purview) para atender aos requisitos listados no texto oficial da regulamentação DORA, com foco em cinco pilares:
- gerenciamento de riscos de TIC
- comunicação de incidentes
- testes de resiliência
- gerenciamento de riscos de terceiros
- compartilhamento de informações
As ferramentas da Microsoft apoiam essa conformidade com a DORA, mas não a garantem sozinhas
Se quer saber como sua organização ou infraestrutura de TI será amparada pela conformidade com a DORA na Microsoft, veja um panorama.
Alinhe seu gerenciamento de riscos de TIC aos requisitos da DORA com nosso guia completo.
Como a Microsoft ajuda na conformidade com a DORA
A Microsoft tem um portfólio diversificado para o setor financeiro, que inclui Microsoft Cloud for Financial Services, Microsoft 365, Microsoft Azure e muito mais. Por isso, já conta com protocolos sólidos de TIC e está entre as primeiras a mapear sua preparação para a conformidade com a DORA. Sob a DORA, a Microsoft pretende:
- ajudar os clientes a cumprir seus compromissos contratuais;
- gerenciar riscos de TIC e estabelecer uma estrutura interna de governança e controle; e
- reforçar os serviços de gerenciamento, classificação e comunicação de incidentes.
Por exemplo, o Microsoft Defender for Cloud e a Central de Segurança do Azure oferecem aos clientes detecção e resposta contínuas a ameaças. Já o Microsoft Purview viabiliza testes de resiliência e compartilhamento de informações sobre incidentes para atender às novas regras.
Todas essas integrações trazem benefícios, mas como elas ajudam a montar uma lista de verificação de conformidade com a DORA? Com isso em mente, vamos ver como alguns desses aplicativos se encaixam nos cinco pilares da regulamentação DORA.
Como a Microsoft apoia o gerenciamento de riscos de TIC sob a DORA
O aspecto mais crítico da conformidade com a DORA é o gerenciamento de riscos de TIC, e a Microsoft coloca o Advanced Threat Protection (ATP) e o Microsoft Sentinel na linha de frente da detecção e resposta proativas a ameaças.
As equipes de TI podem contar com o ATP para proteção em tempo real contra ciberataques. Ele usa análise orientada por IA e algoritmos de aprendizado de máquina para examinar e-mails, anexos e links antes que o usuário tome qualquer ação. Também usa tecnologia de sandbox para isolar ameaças em um ambiente seguro. Já o Microsoft Sentinel identifica vulnerabilidades e entrega insights e análises de segurança acionáveis.
Integre o Microsoft Defender for Office 365 (e-mail/colaboração), o Defender for Endpoint, o Defender for Cloud e o Microsoft Sentinel (SIEM/SOAR) à sua estrutura de risco de TIC para prevenção, detecção, resposta e recuperação.
Como a Microsoft trata a comunicação de incidentes exigida pela DORA
O Microsoft Defender e a Central de Conformidade são as duas principais soluções da Microsoft para detectar e comunicar rapidamente incidentes relacionados a TIC. O primeiro é essencial na detecção precoce de ameaças de segurança, enquanto a Central de Conformidade reúne em um painel centralizado o monitoramento e os relatórios.
Esses componentes dão às entidades reguladas um esquema completo de comunicação e gerenciamento de incidentes alinhado aos requisitos da DORA. As duas integrações também aumentam a eficiência com fluxos de trabalho automatizados que avaliam, documentam e comunicam incidentes de forma rápida e precisa.
As organizações também podem aproveitar a solução de Gerenciamento de Informações e Eventos de Segurança (SIEM) da Microsoft, o Sentinel, e seus protocolos de análise e detecção com IA para reforçar as políticas de segurança.
Ferramentas da Microsoft para os testes de resiliência da DORA
A resiliência operacional é o grande objetivo que a DORA busca alcançar na UE. Para apoiar essa meta, os clientes podem usar a Central de Segurança do Azure para realizar avaliações de segurança atualizadas e testes de resiliência nas suas equipes.
O Azure consolida os insights de segurança mais recentes e ajuda a manter ambientes de teste atualizados, em linha com as disposições de ciber-resiliência da DORA. Lembrando que as instituições financeiras também dividem a responsabilidade de garantir que os prestadores de serviço terceirizados estejam em dia com o próprio treinamento.
As Arquiteturas de Referência de Cibersegurança da Microsoft (MCRA) ajudam a entender melhor como integrar os recursos e tecnologias de cibersegurança da Microsoft à sua estrutura de gerenciamento de riscos.
Como o Microsoft Purview apoia o gerenciamento de riscos de terceiros na DORA
Em recursos de governança e conformidade, o Microsoft Purview é um dos melhores da categoria. Segundo a página de conformidade com a DORA do Microsoft Trust Center, o Microsoft Purview permite que profissionais de TI mapeiem modelos de avaliação prontos diretamente para os requisitos de risco de TIC de terceiros da DORA. Os administradores de TI conseguem implementar, acompanhar e documentar os controles de segurança exigidos, com pontuação contínua de conformidade e coleta de evidências para simplificar os relatórios regulatórios.
Ele também se destaca no gerenciamento de serviços de terceiros, dando às organizações visibilidade total sobre a estrutura de dados, incluindo a supervisão dos dados armazenados e processados pelos fornecedores. Assim, o Microsoft Purview oferece recursos unificados de gerenciamento de dados que ajudam as instituições reguladas a cumprir as normas com rapidez.
💡DICA: use o Purview Compliance Manager para acompanhar os requisitos da DORA e aproveite o mapeamento contratual/aditivo da Microsoft para DORA nos serviços Microsoft.
Ferramentas da Microsoft para o compartilhamento de informações na DORA
Além do seu conjunto de ferramentas de produtividade e comunicação, o Microsoft 365 já cobre muitos protocolos relacionados a TIC, especialmente com a Central de Conformidade do Microsoft 365. Da prevenção contra perda de dados (DLP) à auditoria automatizada, a Central de Conformidade dá aos administradores de TI ferramentas robustas para controlar ativos e gerenciar a conformidade. A Microsoft ainda oferece diversos canais seguros para a comunicação entre as partes interessadas.
Ferramentas de TI para a conformidade com a DORA na Microsoft
| Pilar da DORA | Ferramentas da Microsoft |
| Gerenciamento de riscos de TIC | Defender for Endpoint, Defender for Cloud, Microsoft Sentinel |
| Comunicação e gerenciamento de incidentes | Defender for Office 365, portal de conformidade do Purview |
| Testes de resiliência | Defender for Cloud, Azure |
| Gerenciamento de riscos de terceiros | Microsoft Purview, Purview Compliance Manager |
| Compartilhamento de informações e governança | Microsoft 365, portal de conformidade do Purview |
Veja como os conceitos se conectam neste vídeo: “Como aproveitar ao máximo as soluções de cibersegurança da Microsoft para a conformidade com a DORA”.
Boas práticas para implementar a conformidade com a DORA usando a Microsoft
Automatize avaliações de risco e controles de segurança
Há muitos motivos para automatizar processos de negócio além de reduzir o erro humano. A automação de TI permite redistribuir ativos com mais eficiência, padronizar fluxos de trabalho e melhorar os controles de segurança. Por exemplo,
o Azure RBAC (controle de acesso baseado em função) pode refinar o acesso aos seus ativos, ajudando a garantir conformidade no nível do usuário e aumentando a eficiência da organização.
Testes de segurança e simulações de resiliência frequentes
Vários artigos da DORA destacam treinamento e conscientização. Mais do que isso, o documento mantém a responsabilidade das organizações financeiras de treinar equipes e fornecedores de acordo com as normas da UE. O lado bom é que investir em treinamento sempre compensa — quase de imediato e também no longo prazo.
Monte uma estrutura de conformidade com as ferramentas da Microsoft
Uma estrutura de conformidade é essencial para criar uma solução de gerenciamento de riscos completa e eficiente. Uma abordagem estruturada, com políticas e ativos bem definidos, ajuda a organização a se adaptar muito mais rápido às regras em constante mudança e a corrigir lacunas de forma proativa.
Proteja e configure sistemas Windows para a conformidade com a DORA
Como traçar uma estratégia eficaz de conformidade com a DORA
As ferramentas e serviços da Microsoft formam uma base sólida para alcançar a conformidade com a DORA. Mesmo assim, diversificar a infraestrutura de TI traz vantagens importantes. Alguns processos, como relatórios e documentação automatizados, podem ser otimizados ainda mais com soluções integradas de outros especialistas. O importante é que tudo o que você acrescentar complemente os aplicativos Microsoft e reforce o alinhamento com as disposições da DORA.
