DORA pasirengimo kontrolinis sąrašas vadovybei

1. Valdymas ir vadovybės atsakomybė

DORA atsakomybės negalima pilnai perduoti IT ar išorės tiekėjui. Vadovybei nereikia valdyti techninių užduočių, tačiau ji turi nustatyti kryptį, tvirtinti sistemą ir priimti informuotus sprendimus.

• Ar valdymo organas patvirtino ICT rizikos valdymo sistemą ir reguliariai prižiūri jos veikimą?
• Ar aiškiai paskirti sprendimų, kontrolės priemonių, incidentų ir tiekėjų rizikos savininkai?
• Ar vadovai gauna pakankamus mokymus ir gali paaiškinti svarbiausias technologines priklausomybes bei rizikos scenarijus?
• Ar saugumo ir atsparumo investicijos susietos su svarbiomis paslaugomis, rizika ir patvirtintu tolerancijos lygiu?

2. ICT rizikos valdymo sistema

• Ar ICT rizikos sistema apima strategiją, politikas, vaidmenis, rizikos vertinimą, kontrolės priemones ir nuolatinį gerinimą?
• Ar ICT rizika integruota į bendrą organizacijos rizikos valdymą ir periodinę vadovybės atskaitomybę?
• Ar spragos vertinamos pagal poveikį svarbioms paslaugoms, o ne vien pagal techninį kritiškumą?
• Ar sistemos peržiūra atliekama po reikšmingų incidentų, pokyčių, testų ir priežiūros išvadų?

3. Turtas, paslaugos ir priklausomybės

Nepakanka turėti IT įrangos sąrašą. Vadovybei svarbus paslaugos vaizdas: kas sustos, kokį poveikį tai sukels ir nuo ko priklauso atkūrimas.

• Ar žinomos kritinės ir svarbios funkcijos bei jas palaikančios sistemos, duomenys, žmonės, vietos ir tiekėjai?
• Ar inventoriuje yra savininkai, klasifikacija, gyvavimo ciklas ir tarpusavio priklausomybės?
• Ar architektūros ir pokyčių procesai neleidžia naujoms priklausomybėms likti už rizikos vertinimo ribų?

4. Apsauga, aptikimas ir pažeidžiamumų valdymas

• Ar prieigos, privilegijuotos paskyros, pakeitimai, konfigūracijos, pataisos ir žurnalai valdomi pagal riziką?
• Ar aptikimo priemonės apima svarbias sistemas ir leidžia laiku eskaluoti anomalijas?
• Ar pažeidžiamumų ir penetracinių testų radiniai turi savininkus, terminus, rizikos išimtis ir pakartotinio patikrinimo įrodymus?

5. Incidentų klasifikavimas ir pranešimas

• Ar vienas procesas apima incidento aptikimą, registravimą, klasifikavimą, eskalavimą, reagavimą ir komunikaciją?
• Ar komanda geba laiku nustatyti, kada incidentas tampa dideliu su ICT susijusiu incidentu?
• Ar parengti kontaktai, sprendimų teisės ir informacija, reikalinga pradiniam, tarpiniam bei galutiniam pranešimui?
• Ar po incidentų nustatytos pamokos tampa konkrečiais veiksmais ir atnaujintomis kontrolės priemonėmis?

6. Veiklos tęstinumas, atsarginės kopijos ir atkūrimas

• Ar tęstinumo ir atkūrimo tikslai susieti su kritinėmis bei svarbiomis funkcijomis?
• Ar atsarginės kopijos yra atskirtos, apsaugotos, stebimos ir realiai atkuriamos?
• Ar pratybos tikrina ne tik technologiją, bet ir sprendimus, žmones, tiekėjus, komunikaciją bei grįžimą į normalią veiklą?
• Ar neatitikimai tarp verslo lūkesčių ir realių atkūrimo galimybių aiškiai pateikiami vadovybei?

7. Skaitmeninio veiklos atsparumo testavimas

• Ar testavimo programa pagrįsta rizika ir apima tinkamas sistemas bei scenarijus?
• Ar užtikrinamas pakankamas testuotojų nepriklausomumas ir kompetencija?
• Ar radiniai prioritetizuojami, šalinami, pakartotinai tikrinami ir įtraukiami į bendrą pažangos ataskaitą?
• Ar organizacija įvertino, ar jai taikomas pažangus grėsmėmis grindžiamas penetracinis testavimas (TLPT)?

8. ICT trečiųjų šalių rizika

• Ar išsamus ICT sutarčių registras suderintas su faktinėmis paslaugomis, tiekėjais ir subrangovais?
• Ar prieš sudarant sutartį įvertinama kritiškumo, koncentracijos, duomenų, vietos, pakeičiamumo ir pasitraukimo rizika?
• Ar sutartyse yra taikomi audito, incidentų, saugumo, tęstinumo, duomenų grąžinimo ir nutraukimo reikalavimai?
• Ar svarbiausi tiekėjai periodiškai stebimi pagal sutartus rodiklius ir rizikos signalus?

9. Mokymai, komunikacija ir krizės sprendimai

• Ar darbuotojų ir vadovų mokymai pritaikyti jų vaidmenims bei realiems rizikos scenarijams?
• Ar krizės metu aišku, kas paskelbia krizę, priima veiklos kompromisus ir komunikuoja klientams, priežiūros institucijoms bei partneriams?
• Ar pratybose dalyvauja vadovybė ir svarbiausi išorės tiekėjai?

10. Įrodymai ir vadovybės ataskaitos

Geras įrodymų modelis nėra bendra dokumentų saugykla. Jis leidžia parodyti, kas buvo nuspręsta, kas atlikta, ar kontrolė suveikė ir kaip reaguota į nukrypimą.

• Ar kiekviena svarbi kontrolės priemonė turi savininką, dažnį, veikimo kriterijų ir išsaugomą įrodymą?
• Ar vadovybės ataskaita išskiria pažeistas tolerancijos ribas, vėluojančius esminius veiksmus, incidentus, testų rezultatus ir tiekėjų riziką?
• Ar rizikos priėmimai turi aiškų pagrindimą, patvirtinimą, galiojimo terminą ir peržiūros datą?
• Ar galima greitai atkurti sprendimų ir veiksmų seką priežiūros vertinimui?

Ką vadovybei verta padaryti dabar

Šis sąrašas yra praktinis pradinis orientyras, o ne teisinė išvada ar išsamus atitikties vertinimas. Taikoma apimtis priklauso nuo subjekto tipo, veiklos, proporcingumo ir konkrečių reguliacinių techninių standartų.

• Pasirinkti 3–5 svarbiausias paslaugas ir patikrinti jų technologinių bei tiekėjų priklausomybių vaizdą.
• Paprašyti vieno konsoliduoto svarbiausių ICT rizikų, atvirų spragų ir priimtų išimčių sąrašo.
• Patikrinti vieno incidento, vieno atkūrimo testo ir vieno svarbaus tiekėjo įrodymų grandinę nuo sprendimo iki rezultato.
• Sutarti, kokius rodiklius ir sprendimus valdymo organas peržiūrės reguliariai.