מה DORA מחייבת
DORA נכנסה לתוקף כחוק האיחוד האירופי בינואר 2025. בנקים, חברות ביטוח, חברות השקעות וחברות תשלומים חייבים כעת לנהל סיכונים מכל ספק טכנולוגי שבו הם משתמשים. שלושה כללים בולטים.
תנאי חוזה חובה (סעיף 30). כל חוזה עם ספק טכנולוגי חייב לכלול ארבעה סעיפים: זכויות ביקורת, התראות על תקריות, תוכניות יציאה ויעדי ביצועים. סעיפים אלו אינם אופציונליים.
בדיקות שנתיות (סעיף 28). חברות חייבות לבדוק כל ספק מפתח לפחות פעם בשנה. ספק מוגדר כ"מפתח" אם כשל בפעילותו יפסיק את העבודה הרגילה. כלי אנונימיזציה המשמשים למשימות ציות נכנסים לקטגוריה זו.
רשם ספקים (סעיף 28(3)). חברות חייבות לנהל רשימה עדכנית של כל חוזי הצד השלישי המרכזיים. הרשימה חייבת לכלול רשומות אבטחה לכל אחד מהם.
ביצוע בדיקות שנתיות לעשרות ספקים גוזל זמן רב. בדיקה מותאמת אחת — מאפס — אורכת בממוצע 40–80 שעות לספק. בנק הולנדי עם 50 ספקים מרכזיים עלול להתמודד עם עד 4,000 שעות עבודת בדיקה בשנה. זה שווה שני עובדים במשרה מלאה שעוסקים אך ורק בבדיקות.
ISO 27001 מפחיתה שעות בדיקה
הסמכת ISO 27001 מעניקה לחברות מסלול מהיר יותר דרך כלל הבדיקה השנתית של DORA. גוף ההסמכה מבצע ביקורת מעקב בכל שנה וביקורת מלאה כל שלוש שנים. לתעודה יש תאריך תפוגה. היא נשארת תקפה רק כל עוד ביקורות השנתיות עוברות.
במסגרת כלל הבדיקה השנתית של DORA, חברה יכולה למשוך את תעודת ה-ISO 27001 העדכנית של הספק פעם בשנה ולבדוק את התאריך. תאריך תקף משמעותו שגוף ביקורת חיצוני בדק את 93 בקרות האבטחה של הספק בשנים עשר החודשים האחרונים. החברה מתעדת זאת ברשם הספקים. הבדיקה הושלמה.
החיסכון בזמן הוא ממשי. בנק הולנדי הבודק כלי אנונימיזציה מוסמך מקדיש לבדיקה כמה שעות. אותה בדיקה מאפס אורכת שבועות. על פני 20 צדדים שלישיים מוסמכים, החיסכון השנתי יכול להגיע ל1,200 שעות. זמן זה יכול להיות מוקדש לעבודה אחרת.
מדוע כלי פרטיות נמצאים בתחום
כלי פרטיות ואנונימיזציה נכנסים לתחום DORA כאשר חברה משתמשת בהם לטיפול בנתוני לקוחות, עמידה בכללי GDPR, או עיבוד קבצי KYC. אם הכלי מושבת והחברה אינה יכולה לייצר פלט בטוח ל-GDPR, הכלי הופך לצד שלישי מרכזי תחת DORA. חובה לבדוק אותו מדי שנה.
מדריך ציות ה-GDPR שלנו מסביר כללי מינימיזציית נתונים. ראו גם ערך ציות זרימה נמוכה של ISO 27001 וקיצורי דרך להערכת ספקים עם ISO 27001 למידע נוסף על כיצד הסמכה מפחיתה עבודת ציות.