Regulamento de Conformidade DORA
Regulamento de conformidade Dora.
O Regulamento DORA (Digital Operational Resilience Act) é uma legislação da União Europeia criada para garantir que as organizações do setor financeiro tenham uma infraestrutura robusta e resiliente contra riscos cibernéticos e tecnológicos.
Ele foi aprovado em 2022 e entra em vigor a partir de 2025, aplicando-se a bancos, seguradoras, corretoras, e outras instituições financeiras, além de seus fornecedores de serviços de TI.
Objetivos principais do DORA
O regulamento busca:
1. Reforçar a resiliência digital das organizações financeiras para que possam operar de forma segura mesmo diante de ciberataques ou falhas tecnológicas.
2. Harmonizar os requisitos de segurança no setor financeiro em todos os Estados-membros da UE.
3. Reduzir os riscos associados a terceirização de serviços de TI, exigindo maior supervisão sobre fornecedores críticos, como provedores de nuvem.
Elementos-chave do DORA
O regulamento está estruturado em cinco pilares principais:
1. Governança e gestão de riscos de TI
As organizações devem integrar a gestão de riscos cibernéticos em seus sistemas de governança.
Devem nomear responsáveis por supervisionar riscos tecnológicos.
Exemplo:
Um banco precisa documentar todas as suas políticas de segurança, como planos de resposta a incidentes e procedimentos para atualização de sistemas críticos.
2. Capacidade de resiliência operacional digital
As instituições precisam realizar testes regulares para avaliar sua capacidade de enfrentar ciberataques e outras interrupções.
Simulações de cenários devem incluir situações como invasões por ransomware ou indisponibilidade de fornecedores de TI.
Exemplo:
Uma corretora realiza um teste de penetração para identificar vulnerabilidades nos sistemas que processam ordens de compra e venda de ações.
3. Relatórios obrigatórios de incidentes
As organizações devem notificar rapidamente as autoridades competentes sobre incidentes cibernéticos significativos.
Devem incluir detalhes sobre o impacto do incidente e as medidas tomadas para mitigação.
Exemplo:
Se um banco sofre um ataque DDoS que interrompe seus serviços online, ele deve relatar o evento em um prazo específico, incluindo a análise da causa raiz.
4. Gestão de riscos de terceiros
Requisitos rigorosos para contratos com fornecedores de serviços tecnológicos críticos.
Supervisão constante de fornecedores para garantir conformidade com o regulamento.
Exemplo:
Uma seguradora que usa serviços de armazenamento em nuvem precisa auditar regularmente o provedor para verificar se ele segue padrões de segurança compatíveis com o DORA.
5. Compartilhamento de informações sobre ameaças
As instituições podem colaborar entre si para compartilhar informações sobre ciberameaças, fortalecendo o ecossistema financeiro como um todo.
Exemplo:
Um grupo de bancos compartilha informações sobre um malware específico que atacou um deles, ajudando os outros a reforçar suas defesas.
Quem está sujeito ao DORA?
Além de instituições financeiras, o regulamento se aplica a:
Provedores de serviços de TI.
Fintechs.
Provedores de nuvem.
Empresas de análise de dados financeiras.
Exemplo:
Um provedor de soluções de pagamento eletrônico deve garantir que seus sistemas estejam protegidos contra fraudes e que cumpra os padrões definidos pelo DORA.
Benefícios do DORA
1. Maior confiança no setor financeiro: Reduzindo interrupções e prejuízos causados por ciberataques.
2. Padronização: Harmoniza os requisitos de segurança em toda a UE, diminuindo diferenças regulatórias entre países.
3. Proteção do consumidor: Minimiza o risco de vazamento de dados e interrupções nos serviços financeiros.
Implementar práticas para conformidade com o Regulamento DORA (Digital Operational Resilience Act) exige um esforço organizado e estruturado em cinco pilares principais: governança, resiliência operacional, relatórios de incidentes, gerenciamento de terceiros e compartilhamento de informações.
Abaixo estão os passos detalhados para cada área, com exemplos:
1. Governança e Gestão de Riscos de TI
As organizações precisam estabelecer uma estrutura robusta de governança para gerenciar riscos digitais e cibernéticos.
Ações Necessárias:
Criar políticas de segurança de TI: Documente políticas que cubram prevenção, detecção e resposta a incidentes.
Nomear responsáveis: Indique líderes para supervisionar a resiliência digital.
Monitoramento contínuo: Acompanhe riscos tecnológicos regularmente.
Exemplo:
Um banco deve criar uma política que inclua requisitos como a revisão trimestral de atualizações de segurança e treinamento anual para funcionários em práticas de cibersegurança.
2. Capacidade de Resiliência Operacional Digital
Realizar testes regulares e implementar controles para minimizar o impacto de interrupções.
Ações Necessárias:
Realizar testes de resiliência: Simule ataques cibernéticos e cenários de falha (ex.: pen tests e exercícios de tabletop).
Planejar a continuidade dos negócios: Desenvolva um plano de recuperação que garanta que serviços críticos possam continuar operando.
Atualizar regularmente: Garanta que sistemas e softwares sejam mantidos atualizados.
Exemplo:
Uma seguradora realiza um exercício anual de continuidade de negócios para testar sua resposta a uma falha de data center, utilizando backups em nuvem.
3. Relatórios Obrigatórios de Incidentes
As empresas devem notificar autoridades reguladoras sobre incidentes relevantes.
Ações Necessárias:
Definir critérios para incidentes significativos: Estabeleça o que constitui um incidente que deve ser reportado.
Implementar um sistema de registro: Registre todos os incidentes, incluindo tempo de detecção, impacto e resposta.
Treinamento de pessoal: Garanta que as equipes saibam como relatar e gerenciar incidentes.
Exemplo:
Um provedor de pagamentos desenvolve um sistema automatizado para relatar ataques DDoS que impactem mais de 10% de seus clientes às autoridades competentes dentro de 72 horas.
4. Gestão de Riscos de Terceiros
Empresas precisam supervisionar os provedores de serviços externos (ex.: provedores de nuvem, sistemas de pagamentos).
Ações Necessárias:
Auditar fornecedores: Realize avaliações regulares de conformidade e segurança.
Estabelecer contratos robustos: Inclua cláusulas de conformidade e resposta a incidentes.
Monitoramento contínuo: Acompanhe o desempenho e segurança dos fornecedores.
Exemplo:
Um banco exige que seu provedor de serviços de nuvem realize auditorias de segurança anuais e forneça relatórios de conformidade como ISO 27001.
5. Compartilhamento de Informações sobre Ameaças
As empresas devem colaborar e compartilhar informações relevantes para mitigar ameaças no setor financeiro.
Ações Necessárias:
Participar de redes de colaboração: Junte-se a grupos do setor para compartilhar dados sobre ameaças.
Implementar sistemas de alerta: Configure ferramentas para trocar alertas em tempo real.
Garantir confidencialidade: Proteja informações sensíveis ao compartilhar dados.
Exemplo:
Uma corretora participa de um consórcio financeiro que alerta os membros sobre malware recentemente detectado, ajudando outras empresas a protegerem seus sistemas.
Ferramentas e Tecnologias para Conformidade
1. Sistemas de Gerenciamento de Segurança de Informação (ISMS): Certificações como ISO 27001 ajudam a organizar e padronizar processos.
2. Soluções de monitoramento e resposta: Utilize SIEM (Security Information and Event Management) para monitorar ameaças em tempo real.
3. Software de gestão de fornecedores: Ferramentas como ServiceNow ajudam a supervisionar contratos e auditorias.
4. Plataformas de Backup e Recuperação: Garanta backups regulares e um plano para recuperação de desastres.
Treinamento e Cultura Organizacional
Treinamento Contínuo: Realize workshops e treinamentos regulares para conscientização dos funcionários.
Simulações Práticas: Teste periodicamente os planos de recuperação e resposta a incidentes com cenários reais.
Cultura de Conformidade: Incentive o compromisso em todos os níveis da organização, desde a alta liderança até os funcionários operacionais.
Com esses passos, as empresas podem não apenas atender aos requisitos do DORA, mas também fortalecer sua postura de segurança cibernética e resiliência operacional.
