Ασφάλεια SaaS βάσει DORA

Ο Digital Operational Resilience Act (κανονισμός (ΕΕ) 2022/2554) είναι ενιαίο πλαίσιο κανόνων για την ψηφιακή επιχειρησιακή ανθεκτικότητα του χρηματοπιστωτικού τομέα της ΕΕ. Εφαρμόζεται άμεσα σε όλα τα κράτη μέλη από τις 17 Ιανουαρίου 2025. Καλύπτει τράπεζες, ασφαλιστικές επιχειρήσεις, επενδυτικές επιχειρήσεις, ιδρύματα πληρωμών και ηλεκτρονικού χρήματος και άλλες χρηματοπιστωτικές οντότητες.

Ο κανονισμός στηρίζεται σε πέντε πυλώνες: διαχείριση κινδύνου ICT, διαχείριση και αναφορά συμβάντων ICT, δοκιμές ψηφιακής επιχειρησιακής ανθεκτικότητας, διαχείριση κινδύνου τρίτων παρόχων ICT και ανταλλαγή πληροφοριών. Το SaaS εντάσσεται κυρίως στον πυλώνα κινδύνου τρίτων.

Σχεδόν κάθε εφαρμογή SaaS που χρησιμοποιεί μια χρηματοπιστωτική οντότητα, όπως σουίτες συνεργασίας, CRM, HR, αναλυτικά εργαλεία ή διαχείριση εγγράφων, είναι υπηρεσία ICT που παρέχει τρίτος. Έτσι η σύμβαση μετράει ως συμφωνία με τρίτο πάροχο ICT, σύμφωνα με το κεφάλαιο της DORA για τον κίνδυνο τρίτων.

Οι πάροχοι που χαρακτηρίζονται κρίσιμοι τρίτοι πάροχοι υπηρεσιών ICT εποπτεύονται επιπλέον απευθείας από τις Ευρωπαϊκές Εποπτικές Αρχές. Η εποπτεία αυτή όμως δεν μεταθέτει την ευθύνη: έναντι του δικού της επόπτη, η χρηματοπιστωτική οντότητα εξακολουθεί να ευθύνεται για την ανθεκτικότητα των λειτουργιών που υποστηρίζει το SaaS.

Η DORA απαιτεί κάθε χρηματοπιστωτική οντότητα να τηρεί μητρώο πληροφοριών που καλύπτει όλες τις συμβάσεις της με τρίτους παρόχους ICT, και κάθε σύμβαση SaaS ανήκει σε αυτό. Το μητρώο καταγράφει τον πάροχο, τις υπηρεσίες, το αν στηρίζουν κρίσιμες ή σημαντικές λειτουργίες, την αλυσίδα υπεργολάβων, τις τοποθεσίες δεδομένων και τα δικαιώματα καταγγελίας.

Οι αρμόδιες αρχές λαμβάνουν το μητρώο και το αναφέρουν στις Ευρωπαϊκές Εποπτικές Αρχές. Έτσι, οι ελλιπείς εγγραφές SaaS εμφανίζονται στον εποπτικό έλεγχο αντί να μένουν εσωτερικό κενό. Ένα ακριβές μητρώο περιουσιακών στοιχείων IT είναι το πρακτικό σημείο εκκίνησης.

Η αξιολόγηση είναι καθήκον καθ' όλο τον κύκλο ζωής, όχι τυπική διαδικασία αγοράς. Πριν βασιστεί σε μια υπηρεσία SaaS, η οντότητα πρέπει να εκτιμήσει την τεχνική επάρκεια του παρόχου, τις πρακτικές ασφαλείας του, την ποιότητα υποστήριξης και τη χρηματοοικονομική του φερεγγυότητα, και να επαναλαμβάνει τον έλεγχο όταν αλλάζουν οι συνθήκες.

Η συγκέντρωση κινδύνου λαμβάνεται ιδιαίτερα υπόψη. Όταν πολλές οντότητες εξαρτώνται από τις ίδιες λίγες πλατφόρμες SaaS, η αστοχία ενός παρόχου γίνεται γεγονός για ολόκληρο τον τομέα, γι' αυτό το μητρώο δείχνει και πόσο εύκολα αντικαθίσταται κάθε υπηρεσία.

Η DORA ορίζει το ελάχιστο περιεχόμενο των συμβάσεων για υπηρεσίες ICT. Στην πράξη, μια συμφωνία SaaS πρέπει να περιλαμβάνει τουλάχιστον αυτές τις ρήτρες:

Η DORA εναρμονίζει την ταξινόμηση και την αναφορά σοβαρών συμβάντων σχετικών με ICT. Ένα συμβάν που ξεκινά σε πάροχο SaaS παραμένει συμβάν της οντότητας. Η οντότητα πρέπει να εντοπίσει ότι μια εξάρτηση έχει υποβαθμιστεί και να εκτιμήσει τον αντίκτυπο στις δικές της λειτουργίες.

Δεν κάθε σοβαρό συμβάν είναι παραβίαση δεδομένων: η διακοπή ενός παρόχου που σταματά μια κρίσιμη υπηρεσία μπορεί επίσης να υπόκειται σε αναφορά. Οι αρχική, ενδιάμεση και τελική αναφορά υποβάλλονται εντός των προθεσμιών, γι' αυτό πρέπει εκ των προτέρων να γνωρίζει κανείς ποιες λειτουργίες βασίζονται σε ποιες υπηρεσίες.

Οι δοκιμές ανθεκτικότητας πρέπει να περιλαμβάνουν τη διάσταση των τρίτων. Τα προγράμματα δοκιμών, συμπεριλαμβανομένων των δοκιμών διείσδυσης βάσει απειλών (TLPT) για τις οντότητες που ορίζει η αρχή, θα πρέπει να καλύπτουν σενάρια όπου μια υπηρεσία SaaS είναι μη διαθέσιμη, υποβαθμισμένη ή παραβιασμένη, και να επαληθεύουν ότι οι μηχανισμοί αποκατάστασης και εξόδου αντέχουν υπό πίεση.

Δεν ισχύει κάθε υποχρέωση με τον ίδιο τρόπο για κάθε υπηρεσία. Τέτοιες υποχρεώσεις συνήθως διαχειρίζονται μέσω διαχείρισης συμμόρφωσης, και το καθεστώς που φαίνεται παρακάτω εξαρτάται από το πεδίο εφαρμογής.

Κανένας μεμονωμένος έλεγχος δεν καλύπτει όλη την εικόνα του SaaS. Ο έλεγχος συμβάσεων ελέγχει τα έγγραφα, ενώ το απόθεμα και τα αρχεία δραστηριότητας δείχνουν τι χρησιμοποιείται πραγματικά. Οι υπηρεσίες που υιοθετούνται χωρίς έγκριση, δηλαδή η ουσία του Shadow IT, μένουν στο κενό ανάμεσά τους.

Ο κανονισμός ορίζει τις υποχρεώσεις, αλλά η πράξη ξεκινά από το να ξέρει κανείς ποιες υπηρεσίες SaaS χρησιμοποιεί πραγματικά ο οργανισμός. Οι υπηρεσίες που υιοθετούν μεμονωμένες ομάδες δεν μπαίνουν ποτέ στο μητρώο και δεν αξιολογούνται, ενώ μεταφέρουν τις ίδιες ροές δεδομένων με τις εγκεκριμένες.

Κανένας από τους παρακάτω ελέγχους δεν αναφέρεται ονομαστικά στον κανονισμό. Χωρίς αυτούς, ωστόσο, οι υποχρεώσεις που ονομάζει ο κανονισμός δύσκολα τηρούνται. Η επιβολή του ποια δεδομένα μπορούν να φτάσουν σε ποια υπηρεσία είναι δουλειά της πρόληψης απώλειας δεδομένων.

1. 1

   Ξεκινήστε από το απόθεμα

   Καταγράψτε κάθε εφαρμογή SaaS σε χρήση, συμπεριλαμβανομένων εκείνων που υιοθετούν οι εργαζόμενοι μόνοι τους.

2. 2

   Ταξινομήστε τα δεδομένα

   Αποφασίστε ποια δεδομένα μπορούν να φτάσουν σε ποια υπηρεσία.

3. 3

   Καλύψτε τα κανάλια εισόδου

   Εφαρμόστε πρόληψη απώλειας δεδομένων σε μεταφορτώσεις από τον περιηγητή, clients συγχρονισμού και email, ώστε τα ρυθμιζόμενα δεδομένα να φτάνουν μόνο σε υπηρεσίες του μητρώου.

4. 4

   Καταγράψτε τη δραστηριότητα χρηστών

   Κρατήστε ίχνος τεκμηρίωσης μέσα και γύρω από τις εφαρμογές SaaS, για την ταξινόμηση συμβάντων και τις ερωτήσεις των εποπτικών αρχών.

Ξεκινήστε από τα δεδομένα των οποίων η έκθεση θα έβλαπτε περισσότερο και μετά χαρτογραφήστε τις υπηρεσίες που μπορούν να τα λάβουν. Μια πολιτική ταξινόμησης δεδομένων δίνει σε κάθε σύμβαση και σε κάθε έλεγχο το ίδιο σημείο αναφοράς.

Περισσότερα: Η έννοια του "Zero Trust".