Apa yang DORA Perlukan
DORA menjadi undang-undang EU pada Januari 2025. Bank, syarikat insurans, firma pelaburan, dan firma pembayaran kini mesti mengurus risiko daripada setiap pembekal teknologi yang mereka gunakan. Tiga peraturan menonjol.
Terma kontrak mandatori (Artikel 30). Setiap kontrak dengan pembekal teknologi mesti meliputi empat perkara: hak audit, amaran insiden, pelan keluar, dan sasaran prestasi. Fasal-fasal ini tidak boleh diabaikan.
Semakan tahunan (Artikel 28). Firma mesti menyemak setiap pembekal utama sekurang-kurangnya sekali setahun. Pembekal adalah "utama" jika kegagalannya akan menghentikan kerja normal. Alat penanoniman yang digunakan dalam tugasan pematuhan termasuk dalam kumpulan ini.
Daftar pembekal (Artikel 28(3)). Firma mesti mengekalkan senarai langsung semua kontrak pihak ketiga utama. Senarai itu mesti mengandungi rekod keselamatan bagi setiap satu.
Menjalankan semakan tahunan bagi berpuluh-puluh pembekal memerlukan masa. Satu semakan khusus - dilakukan dari awal - dianggarkan mengambil masa 40-80 jam setiap pembekal. Bank di Belanda dengan 50 pembekal utama menghadapi sehingga 4,000 jam kerja semakan setiap tahun. Itu bersamaan dengan dua kakitangan sepenuh masa yang bekerja pada semakan sahaja.
ISO 27001 Mengurangkan Jam Semakan
Pensijilan ISO 27001 memberikan firma laluan yang lebih pantas melalui peraturan semakan tahunan DORA. Badan pensijilan menjalankan audit semakan setiap tahun dan audit penuh setiap tiga tahun. Sijil mempunyai tarikh tamat. Ia kekal sah hanya selagi semakan tahunan lulus.
Di bawah peraturan semakan tahunan DORA, firma boleh menarik sijil ISO 27001 semasa pembekal sekali setahun dan menyemak tarikhnya. Tarikh sah bermakna badan audit luar telah menyemak 93 kawalan keselamatan pembekal dalam dua belas bulan yang lalu. Firma merekodkan ini dalam daftar pembekal. Semakan selesai.
Keuntungan masa adalah nyata. Bank di Belanda yang menyemak alat penanoniman bersijil menghabiskan beberapa jam untuk semakan. Semakan yang sama dilakukan dari awal mengambil masa berminggu-minggu. Merentas 20 pihak ketiga yang bersijil, penjimatan tahunan boleh mencapai 1,200 jam. Masa itu boleh digunakan untuk kerja lain.
Mengapa Alat Privasi Termasuk dalam Skop
Alat privasi dan penanoniman termasuk dalam DORA apabila firma menggunakannya untuk mengendalikan data pelanggan, memenuhi peraturan GDPR, atau memproses fail KYC. Jika alat itu tidak berfungsi dan firma tidak dapat menghasilkan output selamat GDPR, alat itu adalah pihak ketiga utama di bawah DORA. Ia mesti disemak setiap tahun.
Panduan pematuhan GDPR kami menerangkan peraturan minimisasi data. Lihat juga nilai pematuhan hiliran ISO 27001 dan jalan pintas penilaian vendor ISO 27001 untuk maklumat lanjut tentang cara pensijilan mengurangkan kerja pematuhan.