Digital Operational Resilience Act (DORA)

In un’epoca caratterizzata da rapidi progressi tecnologici, garantire la resilienza e la sicurezza dei nostri sistemi finanziari è diventato più che mai fondamentale. Il Digital Operational Resilience Act (DORA), il nuovo quadro normativo recentemente introdotto dall’Unione Europea, si pone proprio in questa direzione, con l’obiettivo di rafforzare la cybersecurity e la resilienza operativa nel settore finanziario.

Un’opportunità di progresso

Il DORA si presenta come un potente strumento per armonizzare e rafforzare la resilienza operativa dei soggetti che operano nei mercati finanziari e delle autorità di vigilanza in tutta l’Unione Europea. Nato con l’obiettivo di perseguire continuità, cybersicurezza e stabilità, il nuovo quadro legislativo trascende i confini e promuove la collaborazione ai fini della salvaguardia delle funzioni critiche. Si applica a una vasta gamma di soggetti, tra cui istituti di credito, istituti di pagamento, istituti di moneta elettronica, controparti centrali e fornitori di data service.

Per garantire la conformità al DORA, gli operatori dei mercati finanziari devono conoscere e far propri i pilastri fondamentali della normativa, che si possono sintetizzare in cinque principi chiave:

• Test di resilienza e scenari: secondo le linee guida del DORA, le organizzazioni sono chiamate a svolgere test di resilienza periodici per valutare la propria continuità operativa di fronte a minacce informatiche e legate all’IT. Creando ed eseguendo scenari realistici di stress-testing, vengono svelati vulnerabilità e punti deboli, aprendo la strada all’adozione di misure robuste e proattive.
• Struttura di gestione del rischio ICT: il DORA pone un’enfasi giustificata sulla creazione di un quadro efficace di gestione del rischio dell’Information and Communication Technology (ICT). Grazie alla creazione di strutture di governance, policy e procedure complete, le organizzazioni possono identificare, valutare e mitigare in modo efficace i rischi legati all’ICT, promuovendo così la resilienza.
• Segnalazione e comunicazione degli incidenti: la comunicazione tempestiva e trasparente è al centro della filosofia del DORA. Le organizzazioni sono tenute a segnalare tempestivamente gli incidenti significativi alle autorità di vigilanza competenti. Promuovendo un dialogo aperto, il settore finanziario può rispondere, coordinarsi e adattarsi in modo efficiente alle sfide poste da potenziali interruzioni.
• Gestione del rischio di terzi: il DORA riconosce il ruolo vitale svolto dai fornitori di servizi terzi, che richiede un solido approccio alla gestione del rischio. Impegnandosi con prudenza, le organizzazioni dovrebbero condurre la due diligence quando selezionano e collaborano con terze parti, con particolare attenzione ai fornitori di servizi cloud. Applicando i controlli necessari, i rischi associati a tali partnership possono essere efficacemente mitigati.
• Capacità di sicurezza informatica: riconoscendo l’evoluzione del panorama delle minacce, il DORA impone alle organizzazioni di rafforzare le proprie capacità di cybersecurity. Adottando un atteggiamento proattivo e adottando misure solide come meccanismi di autenticazione forti, protocolli di crittografia e sistemi di monitoraggio attenti, è possibile salvaguardare sistemi critici e dati di grande valore dagli attacchi dei criminali informatici.

Adeguarsi al nuovo quadro normativo

Per gli operatori dei mercati finanziari adeguarsi al DORA significa adottare misure concrete e tangibili.

• La prima è la valutazione del rischio, necessaria a portare alla luce potenziali vulnerabilità e aree di non conformità: valutare le misure di cybersecurity esistenti, i piani di risposta agli incidenti e le capacità di resilienza operativa rispetto ai requisiti del DORA è il primo passo per dirsi compliant con la normativa.
• Occorre poi sviluppare e documentare policy e procedure complete che incarnino lo spirito del DORA. Questi strumenti dovrebbero riguardare aree quali la segnalazione degli incidenti, la gestione del rischio di terze parti, la gestione del rischio ICT e i test di resilienza.
• È importante anche rafforzare i test di resilienza, stabilendo un programma di test rigoroso, con scenari realistici che valutino la resilienza operativa delle funzioni critiche. Rivedere e adattare in modo regolare il programma di test, per adeguarsi alle minacce emergenti e alle best practice del settore, garantisce che l’organizzazione rimanga ben preparata in caso di attacco.
• Infine, occorre rafforzare le misure di sicurezza informatica, implementando attivamente misure avanzate di cybersecurity, come l’autenticazione a più fattori, i sistemi di rilevamento delle intrusioni e i protocolli di crittografia.
• Inoltre, è bene garantire aggiornamenti e patch regolari a software e sistemi, in modo da mitigare efficacemente le vulnerabilità note e migliorare la postura di sicurezza complessiva.

Tutto ciò permette di predisporre piani di risposta agli incidenti efficaci e completi, che indichino chiaramente i passi da compiere in caso di incidenti di sicurezza o interruzioni di attività. Promuovendo una comunicazione continua, procedure di escalation precise e definendo ruoli e responsabilità, le organizzazioni possono ridurre i rischi e consentire una risposta rapida ed efficace.

Il Digital Operational Resilience Act rappresenta in questo senso un’opportunità senza precedenti per rafforzare la sicurezza e la stabilità dei nostri sistemi finanziari.

Conformandosi in modo proattivo alle sue disposizioni, gli operatori dei mercati finanziari possono aprire la strada a un futuro di resilienza: test di resilienza, solidi quadri di gestione del rischio, piani di risposta agli incidenti efficaci e canali di comunicazione aperti permettono alle organizzazioni di essere più preparate, in modo da rafforzare i sistemi finanziari e salvaguardare il benessere del nostro mondo interconnesso.

Fonte foto Pixabay_geralt

di Massimiliano Galvagna, Country Manager per l’Italia di Vectra AI - vectra.ai

Contenuti correlati

• 
  AI in simulazione e HPC con Altair al Farnborough Airshow 2024

  Altair porta in mostra le ultime innovazioni nel campo della simulazione ingegneristica, dell’intelligenza artificiale (AI) e del calcolo ad alte prestazioni (HPC) al Farnborough International Airshow 2024, in programma dal 22 al 26 luglio presso il Farnborough...
• 
  InnoTrans 2024: Moxa presenta le soluzioni di comunicazione ed elaborazione dati con protezione

  Moxa, fornitore di soluzioni di comunicazione basate su IP, si presenterà a InnoTrans 2024 nello stand 550 del padiglione 4.1 ispirandosi al tema “Forging Mobility Ahead” (definire lo sviluppo futuro della mobilità). L’azienda presenterà il primo router...
• 
  Giochi olimpici di Parigi 2024: il fattore sicurezza

  Dopo la conclusione dei campionati europei di calcio ‘Euro 2024’, l’attenzione degli appassionati di sport è ora rivolta ai Giochi Olimpici di Parigi di quest’estate, uno dei più grandi palcoscenici del mondo che proprio per questo è...
• 
  La regolamentazione sull’AI: la visione di Appian

  L’Europa si è posta all’avanguardia nella regolamentazione sull’AI grazie all’EU AI Act, la prima legge di questo tipo al mondo completa e approvata all’unanimità dagli Stati membri dell’UE il 21 maggio 2024. All’interno del quadro normativo dell’UE...
• 
  Security Summit sbarca a Cagliari

  L’innovazione digitale è certamente motore di sviluppo per il settore turistico alberghiero, così come può avere enormi potenzialità per le piccole e medie imprese del Made in Italy; imprescindibile è, tuttavia, la consapevolezza dei rischi cyber che...
• 
  Tecnologie per il legno, i dati Acimall per il primo trimestre 2024

  Secondo le rilevazioni effettuate dall’Ufficio studi di Acimall, nei primi tre mesi del 2024 le esportazioni di tecnologie italiane per l’industria del mobile e la lavorazione del legno e dei suoi derivati sono state pari a 379,4...
• 
  Formazione multi-brand con Sacchi in automazione industriale

  Sacchi Elettroforniture, azienda di riferimento nella distribuzione di materiale elettrico e rinnovabili del Nord Italia, prosegue nel suo programma di formazione dedicato a tutti i professionisti del settore elettrico, con l’obiettivo di formare i prossimi esperti e...
• 
  Quali sono i rischi informatici nell’industria manifatturiera?

  Il rapporto Clusit del primo semestre del 2023 ha evidenziato in Italia un aumento del 40% degli attacchi informatici e preoccupa il fatto che il settore manifatturiero sia quello maggiormente colpito L’industria manifatturiera è uno degli obiettivi...
• 
  La salvezza che viene dagli standard

  Il ‘Main Event 2024’ di Consorzio PI Italia ha costituito un momento di confronto su due tematiche molto sentite dall’industria, robotica e cybersecurity, nonché un’occasione per ‘fare il punto’ sulla diffusione ed evoluzione delle tecnologie di comunicazione...
• 
  onsemi investe in produzione di carburo di silicio in Repubblica Ceca

  onsemi annuncia il proprio piano di stabilire un impianto di produzione di carburo di silicio (SiC) all’avanguardia e integrato verticalmente in Repubblica Ceca. Il sito produrrà i semiconduttori di potenza intelligenti dell’azienda, essenziali per migliorare l’efficienza energetica...