O que a Lei de Resiliência Operacional Digital significa para você

Estamos em um momento crucial para a transformação digital. Todas as empresas, de uma forma ou de outra, buscam adotar e integrar tecnologias emergentes — sejam elas inteligência artificial, arquiteturas de nuvem híbrida ou análise avançada de dados — para obter vantagem competitiva e alcançar metas operacionais importantes. Mas, embora haja muita empolgação e mudanças em curso, os riscos e vulnerabilidades de segurança continuam a acompanhar essa inovação. Ataques cibernéticos e violações de dados podem causar estragos nos sistemas de TI de uma empresa, resultando em custos altíssimos para reparar os danos e um impacto duradouro nos clientes, o que pode prejudicar o crescimento da empresa por muitos anos.

À medida que os riscos de segurança se tornam mais complexos, as agências governamentais estão dando ênfase a novas regulamentações para ajudar a definir o que as empresas precisam fazer para proteger sua infraestrutura de TI, além de estabelecer padrões de segurança de TI. Leis como a Lei de Privacidade do Consumidor da Califórnia (CCPA) e o Regulamento Geral de Proteção de Dados (GDPR) já tiveram um impacto enorme na urgência de priorizar a segurança da infraestrutura.

Com esse contexto, vamos analisar uma das políticas de segurança mais recentes que prometem mudar ainda mais a forma como pensamos e abordamos a segurança de TI: a Lei de Resiliência Operacional Digital (DORA). Essa legislação da União Europeia (UE) exige que as empresas estejam em conformidade até janeiro de 2025, o que significa que elas têm pouco menos de um ano para garantir que estejam preparadas.

Mas o que exatamente essa política significa para a segurança de TI? E como as empresas podem garantir que estão preparadas?

O que é DORA?

Introduzido em 2020 e posteriormente promulgado em 2022, o DORA visa estabelecer um nível consistente e comum de resiliência operacional digital em todas as empresas de serviços financeiros na UE ou que fazem negócios com a UE. O objetivo final é desenvolver uma abordagem que promova uma estrutura padronizada de desenvolvimento tecnológico. O regulamento exige que as entidades financeiras da UE e seus principais fornecedores de TIC adotem capacidades abrangentes de gestão de riscos de tecnologia da informação e comunicação (TIC) em seus processos de segurança. A conformidade com o DORA exigirá total adesão a cinco áreas críticas de foco descritas no regulamento:

• Gestão de riscos de TIC – Este guia estabelece uma estrutura padrão para o que as organizações devem fazer em resposta a um incidente de segurança de TIC.
• Notificação de incidentes graves relacionados às TIC – A regulamentação define como as organizações deverão classificar e notificar incidentes de segurança relacionados às TIC daqui para frente.
• Testes de resiliência operacional digital – Define diretrizes para testar as estratégias de recuperação existentes a fim de identificar possíveis vulnerabilidades.
• Compartilhamento de informações e inteligência – Exige que as empresas se envolvam no compartilhamento de informações sobre ameaças e vulnerabilidades cibernéticas assim que forem identificadas.
• Gestão de riscos de terceiros em TIC – Atribui às empresas a responsabilidade de garantir que qualquer fornecedor terceirizado esteja alinhado com suas capacidades de segurança e resiliência digital.

Então, quem precisa aderir à DORA? Embora seja uma política da UE com ramificações para empresas da UE, o impacto afetará, sem dúvida, empresas em todo o mundo. A DORA concentra-se principalmente em organizações financeiras da UE – de bancos a seguradoras – mas essas não são as únicas empresas que precisarão aderir à política. Qualquer empresa que trabalhe com bancos, seguradoras ou organizações financeiras sediadas na UE também precisará manter a conformidade, mesmo que não esteja sediada na UE.

Preparando-se

O tempo está se esgotando rapidamente para que as empresas preparem sua infraestrutura de TI e segurança de mainframe para atender às regulamentações especificadas na DORA. Portanto, sem tempo a perder, por onde devem começar? Existem diversas áreas-chave para aprimorar a gestão de riscos, incluindo:

• Defina funções e responsabilidades claras: a DORA define que se espera que os órgãos de gestão mantenham um papel ativo na adaptação de sua estrutura de gestão de riscos de TIC e da estratégia geral de resiliência operacional.
• Implementar uma revisão periódica da Política de Continuidade de Negócios de TIC e da Política de Recuperação de Desastres de TIC: A implementação de uma cadência regular de revisão para as políticas de continuidade de negócios de TIC e de recuperação de desastres é crucial para uma supervisão eficaz da gestão de riscos. De acordo com a DORA, “as entidades financeiras devem revisar regularmente sua Política de Continuidade de Negócios de TIC e seu Plano de Recuperação de Desastres de TIC, levando em consideração os resultados dos testes realizados de acordo com as recomendações decorrentes de auditorias ou revisões de supervisão”.
• Analise regularmente o orçamento relacionado ao atendimento das necessidades de resiliência operacional digital: a preparação para um novo conjunto de regulamentações exige os recursos adequados. Por exemplo, a DORA exige uma função de gerenciamento de crises que implemente procedimentos claros para gerenciar as comunicações de crise internas e externas.
• Implementar ferramentas e processos de segurança de TIC: Qualquer preparação focada na DORA precisa levar em consideração ferramentas e processos. As organizações precisam considerar sistemas legados, como mainframes, bem como vulnerabilidades que possam estar expondo a empresa a riscos excessivos.

No futuro, as empresas precisarão analisar com muito mais atenção os ambientes de TI que utilizam. Testes de penetração regulares, avaliações de integridade, avaliações de conformidade e gerenciamento de vulnerabilidades, como o programa Rocket^® z/Assure^® Vulnerability Analysis Program, serão essenciais para manter o rigoroso nível de conformidade exigido pela DORA. Com as soluções e os processos adequados implementados, as empresas podem ser proativas na identificação de vulnerabilidades em seus ambientes de TI e garantir que elas sejam enfrentadas de frente antes que uma violação ocorra.

Sua infraestrutura de segurança de TI está preparada para as regulamentações futuras? Com ​​a Rocket Software, você terá a garantia de contar com a tecnologia, a expertise, os serviços e o suporte necessários para a resiliência operacional digital e uma gestão de riscos robusta.