Raport Specjalny | Bezpieczny Bank – Secfense | Najwyższy czas na wdrożenie DORA
Krzysztof Góźdź
Sales Manager, Secfense
Onowym rozporządzeniu w branży mówi się już od jakiegoś czasu. Niestety wciąż zbyt mało podmiotów finansowych podjęło odpowiednie kroki wymagane przez UE. Czas ucieka. Jednak, przy dobrej organizacji i właściwym wsparciu technologicznym, firmy mają jeszcze szansę zdążyć z przygotowaniami do stycznia 2025 r.
Czego wymaga DORA?
Przypomnijmy pokrótce, kogo dotyczy i czego wymaga DORA. Otóż, rozporządzenie to obejmuje swoim zasięgiem podmioty działające w sektorze finansowym, w tym banki, instytucje kredytowe, firmy inwestycyjne i płatnicze czy towarzystwa ubezpieczeniowe, a także dostawców technologii dla tych instytucji.
Głównym celem wprowadzenia tego rozporządzenia jest wzmocnienie poziomu cyberbezpieczeństwa całej branży. DORA stawia nie tylko na ochronę przed cyberatakami, ale także na sprawne przywrócenie działalności przedsiębiorstwa w przypadku wystąpienia incydentu bezpieczeństwa. Wymaga od organizacji m.in. przygotowania polityki cyberbezpieczeństwa, implementacji odpowiednich zabezpieczeń (w tym m.in. szyfrowania, uwierzytelniania, kontroli dostępu, monitoringu, narzędzi audytu), wdrożenia procesów wykrywania i zarządzania incydentami związanymi z ICT oraz przygotowania scenariuszy działań na wypadek cyberataku lub innego rodzaju incydentu bezpieczeństwa.
Co zatem muszą już dziś zrobić instytucje finansowe? Przede wszystkim zastanowić się, jakich elementów tak zdefiniowanej cyberochrony im brakuje. Powołać zespoły odpowiedzialne za przygotowanie odpowiednich procedur i polityk, wytypować rozwiązania, które trzeba zaimplementować, nawiązać współpracę z dostawcami. I działać.
MFA – technologia, którą trzeba wdrożyć
O ile kwestie proceduralne są dość jasne i możliwe do zorganizowania bez pomocy zewnętrznych firm, o tyle wdrożenie nowych technologii wymaga współdziałania. I czasu, którego – jak już wiadomo – jest coraz mniej. Sprawa technologii jest zresztą dość skomplikowana, bo DORA nie precyzuje, jakie rozwiązania należy zaimplementować. Z jednym wyjątkiem.
W rozporządzeniu DORA znajdujemy jednoznaczne sformułowanie, mówiące o tym, że podmioty finansowe wdrażają silne mechanizmy uwierzytelniania (MFA). Nie ma tu żadnego pola do własnej interpretacji – organizacje całego sektora są zobligowane do zaimplementowania takich rozwiązań. Mnie osobiście ten wymóg nie dziwi, bo o konieczności wdrażania wieloskładnikowego uwierzytelniania mówi się już od dawna. Rekomendacje w tym zakresie wydała także Komisja Nadzoru Finansowego, która w październiku 2022 r. uznała brak stosowania silnego, wieloskładnikowego uwierzytelnienia klientów za nieakceptowalne ryzyko.
Czym jest MFA? Wieloskładnikowe, silne uwierzytelnianie to zaawansowana metoda weryfikacji tożsamości użytkownika w procesach związanych z płatnościami elektronicznymi oraz dostępem do kont i usług online. Wymaga przeprowadzenia co najmniej dwóch niezależnych, trudnych do podrobienia etapów weryfikacji. Można w nich wykorzystać coś, co użytkownik zna (hasło), posiada (telefon) lub czym jest (biometria).
Dlaczego MFA jest tak ważne? Bo logowanie do systemów oparte na samych loginach i hasłach nie jest dla cyberprzestępców żadną barierą. Świat idzie w stronę uwierzytelniania bezhasłowego (passwordless) i wprowadzenie nowoczesnych narzędzi MFA pozwala takie uwierzytelnianie zapewnić.
Skuteczny plan działania dla instytucji finansowych
Pierwsza ważna wiadomość dla instytucji finansowych brzmi – każdy z podmiotów objętych DORA musi wdrożyć MFA.
Druga ważna wiadomość dla instytucji finansowych brzmi – można to zrobić szybko, bezproblemowo i skutecznie. I zdążyć przed 17 stycznia 2025 r.
Tak, wdrożenie MFA może potrwać wiele miesięcy. Może też wiązać się z ingerencją w kod zabezpieczanych aplikacji. Może zmusić użytkowników do zmiany swoich przyzwyczajeń, co z kolei może wywołać opór, a nawet potrzebę zmiany dostawcy np. usług bankowych. Nikt nie ma już na to czasu i przestrzeni.
Może też przebiec szybko i bezboleśnie. Bo na rynku są narzędzia, które daje się wdrożyć sprawnie i które nie wymagają kodowania i uczenia użytkowników nowych ścieżek postępowania. Mówię choćby o opracowanym przez Secfense rozwiązaniu User Access Security Broker, które umożliwia wdrożenie MFA na dowolnej aplikacji w pięć minut oraz wprowadzenie MFA w całej organizacji w siedem do czternastu dni. Technologia umożliwia łatwą i szybką implementację dowolnego MFA, w tym także najskuteczniejszego dziś FIDO2, na każdej aplikacji bez ingerencji w jej kod.
Moja rada dla instytucji finansowych – zacznijcie już dziś eksplorować rynek w poszukiwaniu najbardziej odpowiednich rozwiązań. Przetestujcie te, które waszych specjalistów przekonują. I zacznijcie wdrożenia. Nie ma już innej drogi.
Propozycja nie do odrzucenia
Swoje poszukiwania możecie zacząć od rozwiązań Secfense, tym bardziej że przygotowaliśmy z myślą o instytucjach dostosowujących się do wymagań rozporządzenia DORA szybką ścieżkę wyceny, testowania i wdrażania User Access Security Broker.
Aby rozpocząć proces dostosowania do wymagań rozporządzenia DORA i wykorzystać możliwości User Access Security Broker, zachęcamy do bezpośredniego kontaktu poprzez dedykowany formularz na secfense.com/dora/.
Choć czas ucieka, instytucje finansowe nadal są w stanie zdążyć z wdrożeniem wymagań płynących z rozporządzania DORA. Ważne jest jednak wybranie odpowiednich technologii i partnerów, którzy sprawnie je zaimplementują. Jeśli podmioty finansowe zaczną przygotowania już dziś, mają ogromne szanse na sukces całego przedsięwzięcia i w rezultacie – na podniesienie poziomu swojego bezpieczeństwa.
Nie czekaj – czas na działanie jest teraz!
Zadbaj o zgodność z rozporządzeniem DORA i zabezpiecz swoją organizację przed nadchodzącymi zmianami. Odwiedź https://secfense.com/dora/ już dziś, aby skorzystać z naszej szybkiej ścieżki wyceny, testowania i wdrażania User Access Security Broker. To kluczowy moment, by podjąć działania i zapewnić bezpieczeństwo swojej organizacji.
