Закон DORA (Digital Operational Resilience Act) внесет существенные изменения в методы обеспечения безопасности данных, применяемые финансовыми компаниями. Согласно DORA, все финансовые учреждения должны внедрить программу кибербезопасности, включающую политики, процедуры и мероприятия по управлению рисками. Эти политики должны ежегодно проверяться сторонним финансовым регулятором, который будет давать оценку их адекватности на основе отраслевых стандартов.
Финансовые учреждения также должны внедрить план реагирования на инциденты, который описывает, как они будут реагировать, если произойдет кибернетическая атака или появятся признаки того, что она может произойти в ближайшем будущем. Этот план должен включать стратегию действий в случае различных типов атак (например, фишинговых атак), а также процедуры восстановления после атаки.
Закон DORA: Основные условия и цели
Закон о цифровой операционной устойчивости (DORA) обеспечивает способность финансового сектора работать в безопасном и устойчивом режиме. Закон содержит следующие основные требования:
Компании должны иметь план реагирования на инциденты, который включает подробное описание того, что представляет собой кибератака, как сотрудники должны реагировать и как будут восстановлены операции в случае нарушения.
Компании должны поддерживать программу кибербезопасности, которая включает оценку рисков, связанных с кибератаками, и план действий по снижению этих рисков.
Компании должны поддерживать надлежащий контроль безопасности своей цифровой инфраструктуры. Эти средства включают шифрование, аутентификацию, контроль доступа, журналы аудита, системы мониторинга, системы управления событиями и планы реагирования на инциденты.
Компании должны сообщать об инцидентах, когда они происходят, чтобы регулирующие органы могли оценить их уязвимость и дать рекомендации по улучшению уровня безопасности.
Компании должны иметь план, обеспечивающий непрерывность обслуживания во время любых возможных сбоев.
У финансовых учреждений есть время до 17 января 2025 года, чтобы выполнить требования DORA. После этой даты льготных тарифов не будет — FSA во время тренингов и встреч с финансовым сектором предупреждает, что не будет ждать запоздалых и планирует проверять и обеспечивать выполнение новых обязательств с первого дня.
В случае выявления нарушений DORA надзорные органы могут применять различные административные санкции. К ним относятся, в частности, предписания о прекращении деятельности, не соответствующей требованиям, требование прекратить практику, противоречащую нормативным актам, а также применение финансовых санкций, направленных на обеспечение соблюдения требований.
 ){kind=link}