Baggrund
Hvem forordningen gælder
DORA (Digital Operational Resilience Act) er EU's forordning om digital operationel modstandsdygtighed i den finansielle sektor. Den gælder direkte for banker, forsikrings- og pensionsselskaber, betalings- og e-pengeinstitutter, fondsmæglere og en række andre finansielle virksomheder – og indirekte for de it-leverandører, der leverer kritiske ydelser til dem.
Modsat NIS2, der er et direktiv og skal omsættes i national lov, er DORA en forordning: Kravene gælder ens i hele EU. Tilsynet ligger hos de finansielle myndigheder – i Danmark Finanstilsynet.
Kravene
Hvor DORA rammer identitet og adgang
- Adgangspolitikker: dokumenterede politikker for tildeling, ændring og fjernelse af adgange til ikt-systemer.
- Mindst mulig adgang: adgange skal begrænses til det, funktionen kræver, og efterprøves regelmæssigt.
- Stærk autentifikation: krav om stærke autentifikationsmekanismer, særligt ved privilegeret adgang og fjernadgang.
- Privilegerede adgange: administrative rettigheder skal styres, overvåges og kunne dokumenteres.
- Leverandøradgange: tredjeparters adgange er omfattet af samme styring – også jeres it-leverandørers.
- Sporbarhed: hvem der har haft adgang til hvad, skal kunne dokumenteres over for tilsynet.
Fra forordning til praksis
Kravene svarer én til én til de klassiske IGA- og PAM-discipliner: automatiseret on-, om- og offboarding med HR som master, så adgange følger ansættelsen; recertificering, så ledere og systemejere med faste intervaller bekræfter, at adgange stadig er berettigede; og privilegeret adgangsstyring med tidsbegrænsede rettigheder og fuld log.
Forskellen på DORA og et internt sikkerhedsprojekt er dokumentationen: Det er ikke nok at gøre det – I skal kunne bevise det. En IGA-platform producerer den evidens som et biprodukt af de daglige processer: hvem der godkendte adgangen, hvornår den blev efterprøvet, og hvornår den blev lukket.
Hvor skal I starte?
Med en gap-analyse: Hold jeres nuværende adgangsprocesser op mod DORA's krav, og find hullerne – typisk manuelle offboardingprocesser, systemer uden for central styring og privilegerede adgange uden tidsbegrænsning.
Arbejder I allerede med NIS2, er overlappet stort: Adgangsstyring, der opfylder DORA, dækker langt hen ad vejen også NIS2's krav til adgangskontrol. Læs også vores artikel om NIS2 og adgangsstyring.
Er jeres adgangsstyring klar til tilsyn?
Vi kortlægger jeres identiteter og adgangsprocesser og holder dem op mod DORA's krav – med en prioriteret plan for at lukke hullerne.
