Veiklos sritys
Komanda
Naujienos
Kontaktai
Naujienos ir įvykiai
15. 10. 26
„Mums dar reikia DORA politikos“. Šią frazę tenka išgirsti dažnai, kai finansų sektoriaus subjektai pradeda ruoštis Europos Sąjungos Skaitmeninės veiklos atsparumo akto (DORA) reikalavimams.
Tačiau DORA atitiktis nėra vieno dokumento parengimas. Tai sistema, skirta informacinių ir ryšių technologijų (IRT) rizikoms valdyti, sistemų atsparumui užtikrinti ir pasirengti galimiems veiklos sutrikimams.
Todėl prieš pradedant rengti dokumentus svarbu įvertinti kokios rizikos kyla organizacijai, kaip užtikrinamas veiklos tęstinumas ar tinkamai valdomi santykiai su IT paslaugų teikėjais.
Įžvalgomis dalijasi FORT Legal vyresnioji teisininkė Saulenė Jokūbauskienė.
Trumpai: nuo ko pradėti DORA atitiktį?
Toliau atsakysime į dažniausius bendrovėms kylančius klausimus, pradedant įgyvendinti DORA reikalavimus.
1. Ar pakaks vieno dokumento?
DORA nustato reikalavimus IRT rizikos valdymui, incidentų valdymui, veiklos tęstinumui bei trečiųjų šalių rizikos kontrolei.
Todėl viena bendra politika savaime neužtikrina, kad organizacija atitinka visus jai taikomus reikalavimus. Net ir subjektams, kuriems taikomi supaprastinti reikalavimai, svarbu įvertinti, kokių dokumentų, procedūrų ir praktinių priemonių reikia būtent jų veiklai.
Svarbiausia - ne turėti kuo daugiau dokumentų, o užtikrinti, kad jie atspindėtų realius procesus ir padėtų tinkamai valdyti rizikas.
2. Ar žinote savo IT rizikas?
DORA įgyvendinimą verta pradėti nuo esamos situacijos įvertinimo. Pirmiausia svarbu inventorizuoti naudojamas IT sistemas, infrastruktūrą ir priklausomybes nuo išorinių paslaugų teikėjų.
Tuomet reikia įvertinti, kokios grėsmės gali paveikti šias sistemas, kokių pasekmių sukeltų jų sutrikimai ir kokios rizikos valdymo priemonės jau taikomos.
Pavyzdžiui, kas nutiktų, jei sutriktų pagrindinė sistema arba taptų nepasiekiamos svarbios įmonės naudojamos IT paslaugos?
Toks vertinimas padeda nustatyti didžiausias rizikas ir nuspręsti, kokių veiksmų reikia imtis pirmiausia.
3. Ar turite IT atsparumo strategiją?
Atsparumo strategija nebūtinai yra dokumentas, tai - praktiniai principai ir aiškūs bendrovės veiksmų planai, taikomi kilus realioms rizikoms.
Antrasis esminis žingsnis, atliekamas atidžiai įsivertinus kylančias grėsmes bei veiklos pažeidžiamumus.
Svarbu įvertinti, kaip būtų atkuriamos sistemos, užtikrinamas duomenų prieinamumas ir tęsiamos svarbiausios funkcijos.
4. Ar būtina pradėti nuo nulio?
Nebūtinai. Jei organizacija jau turi informacijos saugumo, incidentų valdymo ar veiklos tęstinumo politikas ir procedūras, jas galima peržiūrėti ir pritaikyti DORA reikalavimams, papildyti kitomis procedūromis.
Svarbu įvertinti, ar esami dokumentai apima reikalingas rizikas, ar aiškiai paskirstytos atsakomybės ir ar numatytos priemonės atitinka organizacijai taikomus reikalavimus.
Kai kuriais atvejais pakaks papildyti esamus dokumentus, kitais gali prireikti naujų procedūrų ar procesų pakeitimų.
Toks požiūris leidžia išvengti nereikalingo dokumentų dubliavimo ir integruoti DORA reikalavimus į jau veikiančią valdymo sistemą.
5. Ar valdote IT tiekėjų rizikas?
Organizacijos atsparumas priklauso ne tik nuo jos pačios IT sistemų, bet ir nuo išorinių paslaugų teikėjų. Debesijos paslaugų, programinės įrangos ar kitų svarbių IT paslaugų sutrikimai gali paveikti ir pačios organizacijos veiklą.
Todėl svarbu įvertinti priklausomybę nuo IT tiekėjų, jų keliamas rizikas ir peržiūrėti atitinkamas sutartis.
Sutartyse turi būti įvertinti taikomi reikalavimai, susiję su saugumu, pranešimais apie incidentus, paslaugų tęstinumu ir kitais klausimais.
Tačiau vien sutarčių peržiūros nepakanka – tiekėjų rizikas reikia valdyti nuolat ir suprasti, kaip jų veiklos sutrikimai paveiktų organizaciją.
DORA atitiktis – daugiau nei dokumentai
DORA reikalavimų įgyvendinimas turėtų prasidėti nuo organizacijos IT aplinkos, rizikų ir jau taikomų priemonių įvertinimo.
Tik tuomet galima nustatyti, kokių dokumentų ir procedūrų trūksta bei kokių praktinių veiksmų reikia imtis, kad būtų užtikrintas veiklos atsparumas.
Svarbiausia – ne vien parengti DORA politiką, o sukurti veikiančią sistemą, kuri padėtų valdyti IT rizikas ir užtikrinti veiklos tęstinumą net susidūrus su technologiniais sutrikimais.