ČLANKI
DORA: register je izpit
Družbe se na DORA pripravljajo z nakupom orodij. Nadzornik zahteva seznam — in prav pri seznamu se zalomi.
Kaj se v resnici zahteva
DORA zahteva register informacij o vsakem pogodbenem razmerju za uporabo storitev IKT: kdo je ponudnik, katero funkcijo podpira, ali je ta funkcija kritična ali pomembna, kje so podatki in od koga je ponudnik sam odvisen. Vzdržuje se na ravni subjekta in se poroča.
Nič od tega ni varnostni ukrep. To je evidentiranje — in prav tega skoraj nihče nima, ker seka čez nabavo, pravno službo in IT, nobena od teh treh pa ga nima v lasti.
Klavzula, o kateri se ni nihče pogajal
DORA zahteva tudi pogodbene pravice: presojo in dostop, opredeljen izstop, obveščanje o incidentih in ravni storitve za funkcije, ki štejejo. Večina obstoječih pogodb je bila podpisana, preden je bilo to zahtevano, njihova prenova pa je počasno delo, ki se mora začeti krepko pred revizorjevim vprašanjem.
Neprijeten primer je ponudnik, ki se s tem ne strinja. To ni nabavna težava, ki bi jo odložili — po DORA je to tveganje koncentracije, ki ga morate dokumentirati in se o njem odločiti.
Kje nastopi testiranje in kje ne
Penetracijsko testiranje na podlagi groženj velja za večje subjekte, ne za vse, in je tisti del, s katerim ponudniki najraje začnejo, ker ga prodajajo. Za večino družb je zavezujoče delo register in pogodbe; program testiranja izhaja iz vedenja, katere funkcije so kritične, in ga pred tem ni mogoče smiselno obsegati.
Če vam kdo ponudi testiranje po DORA, še preden vas vpraša za register, vam prodaja izpit brez učnega načrta.