Veiligheid en compliance in de financiële sector

Digital Operational Resilience Act (DORA)

Sinds januari 2023 biedt de Digital Operational Resilience Act (DORA) een nieuw kader voor de financiële sector. Deze Europese verordening richt zich op het verbeteren van het beheer van IT-risico’s, met als doel de weerbaarheid van financiële organisaties tegen cyberdreigingen te vergroten. Het initiatief is een antwoord op de groeiende kloof tussen de toenemende digitale dreigingen en de huidige mate van operationele veerkracht binnen de sector.

Voor wie is DORA van toepassing?

De Digital Operational Resilience Act (DORA) geldt voor een breed scala aan financiële instellingen binnen de Europese Unie. Hieronder vallen onder andere banken, verzekeraars, beleggingsondernemingen, betaalinstellingen en pensioenfondsen. Daarnaast is de regelgeving van toepassing op IT-dienstverleners die kritieke diensten leveren aan deze instellingen, zoals cloudproviders en aanbieders van datacenters.

DORA heeft als doel om niet alleen financiële organisaties zelf, maar ook hun volledige keten van dienstverleners weerbaarder te maken tegen digitale dreigingen. Dit betekent dat zowel grote financiële instellingen als kleinere spelers in de sector moeten voldoen aan strenge eisen op het gebied van digitale weerbaarheid en risicobeheer.

De 5 pijlers van DORA

DORA is ontworpen om de digitale weerbaarheid van financiële organisaties te versterken en ervoor te zorgen dat zij beter bestand zijn tegen IT-incidenten en cyberdreigingen. De regelgeving is opgebouwd rond vijf kernpijlers:

ICT-risicobeheer: Organisaties moeten een solide framework implementeren om digitale risico’s te identificeren, te beheersen en te minimaliseren.
Incidentrapportage: Het verplicht melden van IT-incidenten bij toezichthouders om snellere actie en transparantie te bevorderen.
Testen van digitale weerbaarheid: Het opstellen van testprogramma’s en uitvoeren van regelmatige tests om kwetsbaarheden in systemen te identificeren en aan te pakken.
Toezicht op derde partijen: Strengere controle op IT-dienstverleners, zoals cloudproviders, om risico’s in de keten te beperken.
Informatie-uitwisseling: Het delen van kennis en bedreigingsinformatie tussen organisaties om gezamenlijke weerbaarheid te vergroten. Hierbij moet wel rekening gehouden worden met de potentiële gevoelige aard van gedeelde informatie.

De praktische impact van DORA op organisaties

DORA brengt concrete veranderingen met zich mee voor hoe financiële instellingen hun digitale infrastructuur beheren. De regelgeving vereist een diepgaande evaluatie van IT-systemen en processen, met de nadruk op het waarborgen van continuïteit en het minimaliseren van risico’s. Praktisch betekent dit dat organisaties hun hele IT-landschap moeten herzien om aan de eisen te voldoen.

Een belangrijk aspect van DORA is het verplicht testen van digitale weerbaarheid. Dit houdt in dat systemen regelmatig moeten worden blootgesteld aan stresstests en simulaties om zwakke punten vroegtijdig te identificeren. Dit vraagt om een gestructureerde aanpak, waarbij zowel interne als externe audits een grote rol spelen.

Daarnaast is het noodzakelijk om strengere afspraken te maken met IT-dienstverleners, zoals cloudproviders en datacenteraanbieders. Dit betekent niet alleen het aanpassen van contracten, maar ook het opzetten van duidelijke procedures voor toezicht en monitoring. Organisaties moeten er zeker van zijn dat derde partijen voldoen aan dezelfde hoge standaarden als zijzelf.

Hoe datastorage een cruciale rol speelt bij DORA

DORA stelt hoge eisen aan de datastorage-infrastructuur van financiële instellingen. Het gaat niet alleen om het veilig bewaren van data, maar ook om het waarborgen van flexibiliteit, prestaties, compliance en beveiliging. Dit zijn enkele sleutelgebieden:

Schaalbaarheid: Opslagoplossingen moeten naadloos kunnen meegroeien met de toenemende datavolumes, zowel on-premise als in cloudomgevingen, zonder compromissen te sluiten op het gebied van veiligheid.

Prestaties: DORA benadrukt het belang van korte hersteltijden (RTO) en minimale dataverliesperioden (RPO). Back-ups en hersteloperaties moeten snel en betrouwbaar zijn, zodat de bedrijfscontinuïteit gegarandeerd blijft. Recovery moet een kwestie van uren zijn, niet van dagen of zelfs weken.

Compliance: Opslagoplossingen moeten frameworks ondersteunen waarmee organisaties de compliance- en testvereisten van DORA kunnen aantonen. Open systemen bieden vaak meer flexibiliteit en transparantie.

Beveiliging: Beveiliging verder dan alleen softwarematige maatregelen. Naast dataversleuteling speelt hardwarematige bescherming een cruciale rol in het waarborgen van dataveiligheid. Hardware immutability door hardware-WORM, voorkomt dat data kan worden gewijzigd of verwijderd, zelfs bij een cyberaanval. Daarnaast biedt een fysieke air gap een ondoordringbare laag beveiliging door gegevens volledig los te koppelen van netwerken, waardoor ze beschermd blijven tegen ransomware en andere dreigingen. Deze combinatie van maatregelen zorgt ervoor dat data niet alleen veilig is, maar ook voldoet aan de strenge eisen van DORA.

DORA vraagt niet alleen om een robuuste opslagstrategie, maar ook om een aanpak die de organisatie klaarstoomt voor snelle aanpassingen en naleving in een steeds complexere digitale omgeving.

Storage die DORA-compliance bevordert

Ransomware proof back-up en snelle recovery

Beveilig uw data tegen elke dreiging

Bescherm uw organisatie tegen dataverlies, ransomware en storingen.

Dankzij onze systemen heeft u altijd toegang tot uw gegevens, zelfs in geval van calamiteiten.

Fysieke air gap als meest betrouwbare laag van Immutability.

Lange termijn, compliant archivering

Voldoen aan wet- en regelgevingen, zonder compromissen.

Gecertificeerde hardware WORM-opslag voor gegarandeerde onveranderlijkheid en Zero Loss.

Speciaal ontworpen voor sectoren met kritische infrastructuren.