Nuo ko pradėti įgyvendinti DORA reikalavimus?
DORA visoje ES nustato vienodus skaitmeninės veiklos atsparumo reikalavimus bankams, mokėjimo ir elektroninių pinigų įstaigoms, draudikams, investicinėms įmonėms ir kitiems finansų rinkos dalyviams. Reglamentas apima penkias pagrindines sritis:
- IRT rizikos valdymą,
- IRT incidentų valdymą ir pranešimą,
- skaitmeninės veiklos atsparumo testavimą,
- trečiųjų šalių IRT rizikos valdymą,
- dalijimąsi informacija apie kibernetines grėsmes.
Reikalavimų daug, o ištekliai riboti, todėl pašnekovai pradėjo nuo praktinio klausimo – kaip įgyvendinti DORA taip, kad tai nebūtų vien formalumas.
Dalis organizacijų su DORA įgyvendinimu vis dar vėluoja, pastebėjo „vCISO“ vadovas Martynas Savickas. Jo patarimas – „pyragą“ pjaustyti į tris dalis:
- IRT rizikos valdymas.
- Santykiai su trečiosiomis šalimis – išorės paslaugų ir jų sudedamųjų dalių tiekėjais.
- Veiklos tęstinumas – įvairių scenarijų testavimai, veiklos atstatymo planų tikrinimas ir tobulinimas, silpnų vietų nustatymas ir atsparumo stiprinimas.
Tik sudėliojus šiuos pamatus, pasak jo, verta pereiti prie strategijos, kontrolių ir auditų, o vėliau – prie nuolatinio tobulinimo.
Kodėl kritinių funkcijų sąrašai trumpėja?
DORA reikalauja, kad finansų įstaigos nustatytų savo ypatingos svarbos arba svarbias funkcijas ir susietų kiekvieną funkciją su ją palaikančiomis IRT sistemomis bei tiekėjais. Šis sąrašas lemia beveik visą tolesnį darbą: veiklos tęstinumo planus, atsparumo testavimo ir grėsmėmis grįsto įsilaužimų testavimo (TLPT) apimtį, griežtesnius sutarčių su tiekėjais reikalavimus ir informacijos registrą. Todėl nuo to, kaip tiksliai jis sudarytas, priklauso, kur organizacija sutelks savo išteklius.
Kaip pasakojo „Swedbank“ informacinės saugos vadovė Žygeda Augonė, kritinių paslaugų teikėjai kritinių funkcijų sąrašus turėjo ir anksčiau, tačiau jie buvo labai ilgi. Įsigaliojus DORAi, kai kurios organizacijos juos dar pailgino, bet ilgainiui, teko išsigryninti, kas iš tiesų svarbiausia, ir nemaža dalis organizacijų tuos sąrašus smarkiai sutrumpino ir aiškiai susidėliojo prioritetus.
Svarbiausias pokytis – suvokimas, kad ne viskas privalo veikti visada: esminių funkcijų lieka 10–20, o kitos gali palaukti. „Kad tai suvoktum, turi patirti ne vieną incidentą“, – sakė Ž. Augonė. Kai kuriuose didesniuose Europos bankuose sąrašai sumažėjo nuo daugiau nei 100 iki maždaug 20 funkcijų.
Panašią patirtį turi ir „TransferGo“. Pasak Mariaus Bindoko, pirmasis įmonės sąrašas taip pat buvo per ilgas, nes dėl trumpų terminų jis buvo sudarytas skubiai, be išsamaus vertinimo. Vėliau įmonė su visais padaliniais atliko verslo poveikio analizę (BIA) ir įvertino, pavyzdžiui, ar komunikacijos įrankis iš tiesų svarbesnis už pagrindinę verslo sistemą. Taip nusistovėjo 2–3 kritinės funkcijos.
Ką TLPT prideda prie raudonosios komandos testavimo?
Raudonosios komandos testavimas (angl. „red teaming“) – tai kontroliuojama realaus įsilaužėlio veiksmų simuliacija. Testuotojai bando pasiekti konkretų tikslą, pavyzdžiui, patekti prie kritinių sistemų ar duomenų, ir tikrina ne tik technologijas, bet ir žmones, procesus bei tai, ar organizacija laiku pastebi ataką ir į ją sureaguoja. Nuo įprasto įsilaužimo testo jis skiriasi tuo, kad ieško ne vien pažeidžiamumų iš anksto apibrėžtoje apimtyje, o tikrina visą apsaugos grandinę.
Daugelis organizacijų teigia jau atliekančios raudonosios komandos testavimą, tačiau, pasak „Baltic Amadeus“ informacijos saugumo vadovo G. Vinciūno, po šiuo pavadinimu neretai slepiasi įprastas įsilaužimų testavimas, kuris baigiasi pažeidžiamumų sąrašu ataskaitoje. Galima patikrinti paprastai – ar testo metu kas nors tikrino, ar jūsų saugumo komanda pastebėjo šią ataką ir kaip į ją reagavo?
Finansų sektoriui DORA reglamentas atneša griežtesnę šio testavimo formą – Grėsmėmis grįstą įsilaužimų testavimą (TLPT). Iš esmės tai ir yra kontroliuojamas raudonosios komandos testas, privalomas toms finansų įstaigoms, kurias nurodo priežiūros institucijos; rinkoje tai visai naujas dalykas. Pagrindiniai TLPT skirtumai nuo įprasto testavimo:
- Grėsmių žvalgyba. Grėsmių vertinimą, pritaikytą organizacijos profiliui, reikia gauti iš nepriklausomo tiekėjo.
- Apimties pasirinkti negalima. Apimtį vertina priežiūros institucijos, todėl į testavimą turi patekti visos kritinės ir svarbios funkcijos.
- Trukmė. Pagal TLPT techninių reguliavimo standartų (RTS) reikalavimus testavimas negali trukti trumpiau nei 12 savaičių.
- Periodiškumas. TLPT kartojamas mažiausiai kas 3 metus.
Rinka šį reikalavimą jau pradeda įsisavinti, tačiau trejų metų ciklas, anot G. Vinciūno, turi minusą – per tokį laiką situacija gali gerokai pasikeisti, todėl rezultatai gali nebeatspindėti realybės. Todėl, tarp TLPT ciklų verta reguliariai atlikti tikslinius raudonosios komandos ar įsilaužimų testus. Paklaustas, ar dirbtinis intelektas galėtų pakeisti įsilaužimų testuotojus, G. Vinciūnas dalijosi, kad atidavus visą vertinimą DI, prarandamas žmogiškasis indėlis. Tuomet lieka neaišku, ar DI supranta organizacijos kritines funkcijas, o būtent nuo to ir priklauso, ar testuojama tai, kas organizacijai yra svarbiausia.
Trečiųjų šalių rizika ir informacijos registrai
Praktikoje ne kartą nutiko taip, kad įmonės vidinės sistemos veikė be priekaištų, bet klientas paslaugos negavo, nes sutriko trečiosios šalies infrastruktūra. Šiuo atveju, trečioji šalis – tai išorinis IRT paslaugų teikėjas, kuriuo finansų įstaiga remiasi teikdama savo paslaugas, pavyzdžiui, debesijos paslaugų tiekėjas, duomenų centras, programinės įrangos ar mokėjimų infrastruktūros teikėjas, taip pat jų subrangovai. Pašnekovai sutarė, kad DORA tokiems atvejams pasiruošti padeda, bet rizikos nepanaikina.
Kuo didesnė trečioji šalis, tuo daugiau su ja susijusių paslaugų, todėl, pasak Ž. Augonės, reikia turėti A, B ir C planus. Svarbu žinoti, ar sutrikus vienai paslaugai turi alternatyvą ir ką darai, jei, pavyzdžiui, neveikia mokėjimai, nors kitos sistemos veikia. Sertifikatai ir auditai dažniausiai rodo situaciją duotuoju periodu, o DORA suteikia galimybę ar net prievolę testuotis kartu su partneriais pagal sudėtingus scenarijus, taip padėdami didinti organizacijos atsparumą ir glaudesnį bendradarbiavimą.. „Ar incidentų planai visada suveikia taip, kaip nori? Ne. Bet pasirengimas padeda sutrumpinti reagavimo laiką“, – sakė ji.
Kokia didelė gali būti priklausomybė nuo vieno tiekėjo, M. Savickas iliustravo „Amazon Web Services“ (AWS) pavyzdžiu: 2025-ųjų spalį, sutrikus debesijos paslaugoms, nukentėjo ne tik pačios organizacijos, bet ir jų partneriai.
Vis dėlto visiškai apsidrausti nuo tokių atvejų gali būti brangu. Ne visos organizacijos turi didžiųjų bankų išteklių, o visiškas dubliavimas, pavyzdžiui, dviejų skirtingų debesijos tiekėjų platformų naudojimas, gali kainuoti milijonus ir beveik padvigubinti operacines išlaidas. Todėl čia svarbus proporcingumo principas – sprendžiama per riziką: ar ji verslui priimtina ir kiek už jos mažinimą verta mokėti.
Rizikos prisiėmimas neišvengiamas, tačiau jis turi būti aiškiai įvardytas, sakė M. Bindokas. Jei visi duomenys ir infrastruktūra priklauso nuo vieno tiekėjo, organizacija negali būti atsparesnė už jį. Todėl už DORA atsakingas IT vadovas turėtų atvirai informuoti vadovybę apie tokią priklausomybę ir apie tai, kad didelio incidento atveju sistemų atkūrimas gali užtrukti iki trijų mėnesių. Jei tokio įvykio tikimybė labai maža, rizika gali būti priimtina. Be to, vien procedūrų ar tik žmonių neužtenka: „Gali turėti 24/7 dirbančius žmones, bet jei nebus procedūrų ir testavimo, iš to pasiruošimo nieko nebus.“
Su trečiosiomis šalimis tiesiogiai susijęs ir informacijos registras. DORA įpareigoja finansų įstaigas jame surašyti visas sutartis su IRT paslaugų tiekėjais ir kasmet pateikti registrą priežiūros institucijai – per dvejus metus tai padaryta du kartus. G. Vinciūno vertinimu, pirmasis teikimas buvo chaosas ir finansų įstaigoms, ir Lietuvos bankui, antrasis – kiek paprastesnis, tačiau procesas tebėra sudėtingas, o dauguma subjektų registrą vis dar traktuoja kaip atitiktį „per skausmą“. Vis dėlto jo rengimas tapo gera inventorizacija: didelė dalis subjektų nežinojo, kur rasti sutartis ar tiekėjų kontaktus, nors būtent jos lemia, ko galima reikalauti incidento atveju.
Valdybos vaidmuo ir dubliuojami reikalavimai
DORA galimas IRT rizikas atnešė tiesiai ant įmonių valdybų stalo. Ž. Augonės teigimu, valdyboms dabar pristatoma daugiau IT, informacijos saugumo, veiklos tęstinumo klausimų, priklausomybių ir koncentracijos rizikų, kartu su incidentų ataskaitom bei pagrindiniais veiklos/rizikų rodikliais. Tačiau valdybos dažniausiai sudarytos iš žmonių, kurie nėra technologijų specialistai, todėl joms reikia pristatyti rizikas bei jų poveikį suprantama verslo kalba.
Valdybos darbas – ne ieškoti rizikų, o priimti dėl jų sprendimus, primena M. Savickas. Kad tai darytų pagrįstai, valdyboje turi būti IT ir DI kompetencijų, o specialistai turi išmokti kalbėti verslo kalba: „Kai techninę problemą pateiki verslo kalba, atsiranda kontaktas.“
„TransferGo“ patirtis rodo, kaip tai atrodo praktikoje. Pasak M. Bindoko, pažeidžiamumai, kurie iki DORA buvo stebimi tik iš dalies, dabar prižiūrimi kasdien, o valdybos ataskaitoje atsirado atskira eilutė: kiek kritinių pažeidžiamumų nepašalinta per nustatytą laiką. Siektina reikšmė – nulis, o kiekvienas nukrypimas turi būti paaiškintas.
Valdymą apsunkina ir tai, kad tie patys reikalavimai DORA, TIS2 (NIS2) direktyvoje, ISO 27001 standarte ir vidaus politikose aprašomi po kelis kartus. G. Vinciūno teigimu, chaosas atsiranda, kai kiekvienas reguliavimas įgyvendinamas atskirai – vienas atitenka finansų skyriui, kitas IT. Taip susikaupia šimtai dokumentų, su skirtingomis taisyklėmis, pavyzdžiui, keturiomis skirtingomis slaptažodžių politikomis. Svarbu rasti bendrus taškus, konsoliduoti reikalavimus ir paskirti žmogų, atsakingą už visą atitikties įgyvendinimą.
Kaip DORA iš tiesų didina atsparumą?
Praėjus beveik dvejiems metams nuo DORA taikymo pradžios aiškėja, kad reglamento vertę lemia ne parengtų dokumentų kiekis, o tai, kaip organizacija pasirengusi tikrai krizei. Visų pašnekovų atsakymus jungė ta pati mintis: atitiktis yra pasekmė, o ne tikslas.
Atitikties siekimas vien dėl pačios atitikties, M. Savicko žodžiais, tėra „bėgimas nuo baudų mažiausiomis sąnaudomis“. Jo pastebėjimu, organizacijos, kurios į DORA gilinosi rimtai, įgijo naujų funkcijų ir sukūrė daugiau vertės verslui. M. Bindoko teigimu, reguliavimai iš esmės yra gerųjų praktikų rinkinys, tad svarbiausia parodyti verslui ne tik kainą, bet ir naudą. „Mes trejus metus gyvename su DORA, ir dabar žmonės mato, kad atsirado nauda“, – sakė jis.
Audito funkcija svarbi, tačiau, kaip pabrėžė Ž. Augonė, atsparumu organizacija turi gyventi kasdien, o finansų sektorius dabar kelia lygį ir savo trečiosioms šalims. G. Vinciūno nuomone, atsparumas veikia tada, kai darbuotojai žino, kaip atkurti sistemą, kur kreiptis incidentų atveju ir kokia yra įmonės informacijos saugumo politika, o ne tada, kai organizacija turi šimtus skirtingų dokumentų, kurių niekas nėra perskaitęs.
Dėkojame pašnekovams ir moderatoriui už atvirą diskusiją ir praktines įžvalgas apie šią aktualią finansų sektoriui temą.
