Undang-Undang Ketahanan Operasional Digital (DORA) mulai berlaku pada 16 Januari 2023. Setelah periode penerapan selama dua tahun, mulai 17 Januari 2025, organisasi keuangan harus sepenuhnya mematuhi peraturan baru tersebut, yang bertujuan untuk memastikan mereka tetap tangguh terhadap operasional digital yang parah. gangguan.
Undang-undang ini mencakup sejumlah aspek ketahanan dunia maya, kemampuan audit, dan tanggung jawab bersama antara lembaga keuangan dan perangkat lunak pihak ketiga serta penyedia layanan TI ketika produk dan layanan ini digunakan untuk mendukung operasi bisnis.
Meskipun ini merupakan peraturan Eropa, yang memengaruhi perusahaan-perusahaan yang beroperasi di Uni Eropa (UE), wilayah lain juga menerapkan ketahanan siber. Ini termasuk Prudential Regulation Authority Australia dan Bank of England di Inggris. Di AS, Komisi Sekuritas dan Bursa (SEC) juga mempertimbangkan ketahanan siber.
Ketahanan di seluruh rantai pasokan TI
Ketahanan terhadap kelemahan dan kerentanan pada produk dan layanan pihak ketiga telah mendapatkan perhatian di seluruh dunia. Salah satu contohnya adalah kelemahan CrowdStrike, yang menyebabkan gangguan besar pada sistem yang menjalankan Windows. Seperti yang dicatat oleh Juniper Research pada saat itu, bank merupakan salah satu korban dari pemadaman teknologi di seluruh dunia, yang mengakibatkan beberapa nasabah tidak dapat mengakses perbankan online mereka. Mesin ATM dan sistem pembayaran kartu juga terkena dampaknya.
Tujuan DORA adalah untuk membatasi potensi gangguan pada sistem perbankan yang disebabkan oleh masalah TI, namun terdapat korelasi langsung antara efektivitasnya dan kematangan organisasi dalam hal keamanan siber.
Antara Agustus 2023 dan Agustus 2024, SecurityScorecard mengevaluasi kinerja keamanan siber dari 100 perusahaan teratas Eropa, dengan melihat faktor-faktor seperti keamanan jaringan, infeksi malware, keamanan titik akhir, irama patching, keamanan aplikasi, dan sistem nama domain (DNS).
Dengan peraturan seperti DORA yang ditetapkan untuk membentuk kembali standar keamanan siber, perusahaan-perusahaan Eropa harus memprioritaskan manajemen risiko pihak ketiga dan memanfaatkan sistem pemeringkatan untuk menjaga ekosistem mereka.
Ryan Sherstobitoff, Kartu Skor Keamanan
Penelitian tersebut menemukan bahwa 98% dari 100 perusahaan teratas Eropa pernah mengalami pelanggaran yang melibatkan pemasok pihak ketiga selama periode 12 bulan tersebut. DORA mewajibkan lembaga keuangan untuk mengidentifikasi dan menilai pentingnya penyedia layanan pihak ketiga yang mereka gunakan berdasarkan dampak bisnis dan tingkat risiko yang mereka timbulkan.
Produk dan layanan TI dan komunikasi pihak ketiga tercakup dalam Pasal 28 DORA, yang menetapkan bahwa entitas keuangan harus mengelola risiko ICT pihak ketiga sebagai komponen integral dari risiko ICT dalam kerangka manajemen risiko ICT mereka sendiri. Lembaga keuangan yang menggunakan layanan pihak ketiga sebagai bagian integral dari operasi mereka bertanggung jawab atas keamanan siber bisnis secara keseluruhan dan juga harus melakukan penilaian risiko penuh terhadap pemasok.
Melihat paparan risiko dunia maya yang timbul dari kerentanan dan kelemahan keamanan pada produk dan layanan yang dipasok oleh pihak ketiga, Ryan Sherstobitoff, wakil presiden senior penelitian ancaman dan intelijen di SecurityScorecard, mengatakan: “Kerentanan rantai pasokan tetap menjadi ancaman kritis, karena musuh mengeksploitasinya. tautan lemah untuk menyusup ke jaringan global. Dengan peraturan seperti DORA yang ditetapkan untuk membentuk kembali standar keamanan siber, perusahaan-perusahaan Eropa harus memprioritaskan manajemen risiko pihak ketiga dan memanfaatkan sistem pemeringkatan untuk menjaga ekosistem mereka.”
Kartu Skor Keamanan Laporan pelanggaran keamanan siber pihak ketiga global mengungkapkan bahwa 75% pelanggaran pihak ketiga menargetkan rantai pasokan perangkat lunak dan teknologi – sebuah tren yang diperkuat oleh pelanggaran tingkat tinggi baru-baru ini yang melibatkan SolarWinds, Log4j, dan MOVEit.
“DORA menjadikan manajemen keamanan informasi sebagai mandat hukum,” kata Romain Deslorieux, direktur kemitraan strategis untuk perlindungan cloud di Thales. “Untuk memastikan kepatuhan, organisasi perlu berupaya menyederhanakan dan mengotomatisasi layanan keamanan siber mereka untuk memastikan bahwa aplikasi, data, dan identitas mereka terlindungi secara memadai. Ini mencakup segala hal mulai dari keamanan API (antarmuka pemrograman aplikasi); mengklasifikasikan, memantau dan melindungi data sensitif; hingga menyediakan akses tepercaya yang aman bagi pelanggan, karyawan, dan mitra.”
audit TI
Martin Thompson, analis dan pendiri ITAM Forum, merekomendasikan agar organisasi menjalankan proses penemuan untuk membantu mereka mengklasifikasikan risiko yang terkait dengan produk dan layanan TI yang mereka gunakan.
Dalam blog bulan September 2024, Shane O’Neill, mitra di kantor Grant Thornton di Dublin, menyarankan agar lembaga keuangan berinvestasi pada platform yang dapat memusatkan katalog aset TIK mereka. Hal ini, katanya, harus memberikan pandangan holistik terhadap penyedia pihak ketiga, yang memungkinkan perusahaan memahami potensi risiko yang mereka timbulkan terhadap bisnis, sehingga memungkinkan mereka mengambil tindakan untuk memitigasi risiko tersebut.
O’Neill menunjukkan bahwa sebagian besar platform manajemen aset TI menyediakan fitur otomatisasi, yang dapat digunakan untuk menyederhanakan proses peninjauan. “Minimal DORA memerlukan peninjauan tahunan atas aset TIK dan dokumentasi yang menyertainya, dan bagi pihak ketiga yang dianggap berisiko tinggi, siklus peninjauan terjadi lebih sering,” tulisnya.
“Otomasi mengurangi beban administratif dalam mengoordinasikan tinjauan dan mengurangi jumlah komponen manual dalam siklus tinjauan, sehingga mengurangi potensi kesalahan manusia atau potensi terlewatnya siklus tinjauan.”
Seperti yang dicatat oleh O’Neill, platform manajemen aset TI dapat secara otomatis memicu proses peninjauan dengan membuat email yang mengingatkan pemangku kepentingan untuk meninjau inventaris aset mereka, dan karena pemangku kepentingan melakukan peninjauan dalam sistem, platform secara otomatis mencatat aktivitas mereka, sehingga memastikan semua aspek proses mudah diaudit dari perspektif peraturan.
Meskipun organisasi yang terkena dampak seharusnya sudah sangat mahir dalam menerapkan program kepatuhan, analis senior Forrester Madelein van der Hout mengatakan bahwa hingga November 2024, dia masih menerima telepon dari klien Forrester, menanyakan apa yang perlu mereka lakukan. “Jika Anda memulainya pada bulan November, waktunya tidak cukup,” katanya.
Meskipun sebagian besar organisasi keuangan telah memiliki postur keamanan yang baik, menurut van der Hout, semua lembaga keuangan masih perlu mempertimbangkan pihak ketiga, diversifikasi infrastruktur TI, dan saling ketergantungan.
Menurut Alain Traill, penasihat di firma hukum global Latham & Watkins, banyak orang yang kesulitan mencapai kepatuhan. Dia mendesak organisasi-organisasi yang masih berdamai dengan DORA untuk melakukan analisis kesenjangan untuk mengidentifikasi di mana mereka tidak patuh.
“Untuk entitas keuangan dalam lingkup, yang mencakup lembaga uang elektronik dan penyedia aset kripto, selain perusahaan yang diatur secara tradisional seperti lembaga kredit, kepatuhan melibatkan analisis kesenjangan dari langkah-langkah ketahanan yang ada terhadap persyaratan ketat DORA, memperbarui rantai tata kelola, kebijakan dan prosedur – memberikan perhatian khusus pada area fokus inti DORA seperti respon insiden dan pengujian ketahanan – dan menyelesaikan inventarisasi kontrak yang mendalam dan latihan remediasi,” katanya.
Dampak TI
Karena DORA menetapkan bahwa organisasi perlu menilai ketahanan rantai pasokan TI mereka, pihak ketiga – termasuk penyedia TI – juga perlu memahami tanggung jawab mereka berdasarkan DORA. Traill mengatakan perusahaan TI harus memperbarui ketentuan kontrak dan berpotensi mendirikan entitas UE.
“Semua penyedia layanan TIK yang tidak ditetapkan sebagai ‘penting’ namun memiliki pelanggan yang termasuk dalam cakupan entitas keuangan – termasuk sejumlah besar penyedia perangkat lunak dan produk terkait, yang seringkali berbasis di luar UE – perlu mengambil langkah-langkah untuk memungkinkan pelanggan tersebut harus mematuhinya, termasuk dengan meninjau dan memperbarui proses dan kebijakan serta memperbarui ketentuan kontrak,” katanya.
“Langkah-langkah proaktif sangat penting untuk menyelaraskan dengan persyaratan DORA dan menghindari konsekuensi yang signifikan, termasuk – bagi entitas keuangan dan penyedia ICT yang ‘penting’ – denda yang besar.”
Tindakan proaktif sangat penting untuk menyelaraskan dengan persyaratan DORA dan menghindari konsekuensi yang signifikan, termasuk denda yang besar
Alain Traill, Latham & Watkins
Van der Hout dari Forrester merekomendasikan para pemimpin TI di organisasi keuangan yang perlu mematuhi DORA secara kontrak melihat TI apa yang mereka terapkan.
“Ada implikasi jika vendor TI yang Anda gunakan tidak cukup mematuhi DORA,” katanya. Meskipun para pemimpin TI mempunyai pilihan untuk mengakhiri kontrak yang tidak patuh tersebut, van der Hout memperingatkan bahwa “menguraikan TI mereka dari infrastruktur TI Anda adalah hal yang sulit”.
Di luar pekerjaan yang diperlukan untuk memastikan ketahanan dunia maya dari penyedia TI pihak ketiga, Deslorieux dari Thales mencatat bahwa DORA secara eksplisit mengamanatkan organisasi untuk menentukan dan menegakkan kebijakan untuk mengenkripsi data saat disimpan, dalam perjalanan, dan digunakan, serta mengelola secara menyeluruh kunci kriptografi enkripsi ini. bergantung pada. “Layanan keuangan juga harus menyediakan pembaruan atau perubahan teknologi kriptografi berdasarkan perkembangan kriptanalisis,” katanya.
Para ahli Computer Weekly telah berbicara untuk menyadari bahwa diperlukan upaya untuk menerapkan kepatuhan DORA dan untuk memastikan pemeliharaan berkelanjutan untuk kepatuhan yang berkelanjutan. Ini adalah biaya tambahan.
Penerapannya, menurut Forrester, akan sepenuhnya bergantung pada kematangan keamanan siber bisnis, namun DORA dibangun berdasarkan kerangka keamanan TI yang sudah ada, yang berarti banyak pihak yang mungkin telah melakukan sebagian besar upaya yang diperlukan untuk mencapai kepatuhan terhadap peraturan baru tersebut.
Van der Hout menunjukkan bahwa biaya berkelanjutanlah yang akan memiliki dampak jangka panjang terhadap anggaran TI. Dia memperkirakan bahwa mempertahankan kepatuhan DORA dapat menambah 10% biaya keamanan siber suatu organisasi.
ADVERTISEMENT:
Hello, para pengemar slot! pernahkah denger istilah “slot gacor”? Kalau belum, bersiaplah jatuh cinta sama program ini. slot gacor adalah mesin slot yang selalu memberi win. Yup, slot-slot ini bisa disebut sebagai andalannya buat bawa pulang cuan. any way, gimana sih
tekniknya jumpain raja lot yang tepat? Santuy Bro and Sis, kita beri santai aja di sini
Permainan terpopuler saat sekarang satu-satunya di Indonesia yaitu pasti memberikan ROI terbaik
Daftarkanlah dengan di :
Informasi mengenai KING SLOT, Segera Daftar Bersama king selot terbaik dan terpercaya no satu di Indonesia. Boleh mendaftar melalui sini king slot serta memberikan hasil kembali yang paling tinggi saat sekarang ini hanyalah KING SLOT atau Raja slot paling gacor, gilak dan gaco saat sekarang di Indonesia melalui program return tinggi di kingselot serta pg king slot
