Audyt zgodności z DORA dla instytucji o znaczeniu krajowym

Klient i wyzwanie

Instytucja o znaczeniu krajowym działająca w obszarze infrastruktury krytycznej i świadcząca usługi na rzecz sektora finansowego. Jako dostawca usług dla podmiotów objętych DORA musiała wykazać zgodność własnej odporności operacyjnej — przed audytem zewnętrznym i pytaniami ze strony klientów z sektora finansowego.

Wyzwaniem była skala: dziesiątki systemów ICT, wielu zewnętrznych dostawców, rozproszona dokumentacja i reżim poufności ograniczający dostęp do środowiska. Klient potrzebował partnera, który poprowadzi audyt od planu do raportu jednym zespołem, bez przekazywania wiedzy między firmami.

Zakres audytu

• Zarządzanie ryzykiem ICT (art. 5–16) — ramy zarządzania, role organu zarządzającego, polityki, ciągłość działania i odtwarzanie.
• Zarządzanie incydentami ICT (art. 17–23) — klasyfikacja, procedury zgłaszania, terminy raportowania.
• Testowanie operacyjnej odporności cyfrowej (art. 24–27) — program testów, gotowość do TLPT.
• Ryzyko ze strony podmiotów trzecich (art. 28–30) — rejestr informacji, klauzule umowne, ocena koncentracji dostawców.
• Wymiana informacji (art. 45) — ustalenia dotyczące wymiany informacji o cyberzagrożeniach.

Przebieg

Efekt

Zarząd otrzymał jeden dokument odpowiadający na pytanie „gdzie jesteśmy i co robić najpierw”, a zespoły techniczne — konkretną listę zadań. Klient może teraz odpowiedzieć na ankietę każdego klienta finansowego dowodami, a nie zapewnieniami. Rejestr informacji ICT i klauzule umowne zostały ujednolicone do poziomu wymaganego przez art. 28–30.

Co dalej

Po audycie klient kontynuował współpracę z nami w obszarze Bezpieczeństwa IT (program testów odporności) i Cloud Computing (utrzymanie środowiska zgodnie z wymogami DORA). To typowa ścieżka: audyt ujawnia luki, a pozostałe dwa obszary je zamykają i utrzymują.