Il Digital Operational Resilience Act (DORA) è entrato in vigore il 17 gennaio, introducendo linee guida esaustive e un quadro normativo dettagliato sulle modalità con cui tutti gli enti che prestano servizi finanziari nell’Unione europea devono garantire la resilienza dei dati di fronte a interruzioni impreviste.
Il DORA riconosce inoltre una realtà ampiamente condivisa dai professionisti della sicurezza informatica, ovvero che non si tratta più di chiedersi se si verificherà un attacco informatico, ma quando. Questa normativa fondamentale introduce un nuovo livello di rigore e responsabilità nel settore dei servizi finanziari, che continuerà a evolversi per salvaguardare la stabilità dell’UE e dell’ecosistema finanziario globale.
Molti settori dell’industria dei servizi finanziari, oltre alle banche tradizionali e agli istituti di credito, rientrano ora nell’ambito di applicazione del DORA, tra cui i fornitori di servizi di pagamento, le società di investimento, le piattaforme di negoziazione, gli assicuratori e i fornitori terzi di servizi nel settore delle tecnologie dell’informazione e della comunicazione (TIC).
Chi non ha familiarità con questo livello di regolamentazione potrebbe avere difficoltà a conformarsi, come evidenziato dall’esercitazione simulata “DORA” condotta dalle autorità di vigilanza finanziaria europee.¹ Probabilmente dovrà inoltre affrontare un maggiore scrutinio da parte di clienti, partner e altre parti interessate, che lo considereranno un nuovo rischio operativo. La mancata conformità non comporta più solo il rischio di una multa molto elevata, ma anche danni alla reputazione e responsabilità per l’azienda, i suoi amministratori e i suoi partner.
Sebbene resti da vedere con quale rapidità agiranno le autorità di regolamentazione finanziaria, il DORA rappresenta un passaggio dalle linee guida sulla Readiness dei dati e sulla resilienza informatica alla loro effettiva applicazione. Data l’ampia portata del DORA, che amplia in modo significativo la regolamentazione finanziaria dell’UE in materia di IT, le autorità di regolamentazione, prive di competenze e risorse illimitate, potrebbero incontrare difficoltà nell’applicare immediatamente tutti gli aspetti del DORA. Di conseguenza, è probabile che le autorità di regolamentazione adottino un approccio mirato, concentrandosi sulle aree di non conformità più critiche ed evidenti.
Quali sono le priorità delle organizzazioni finanziarie
Una delle priorità principali ai fini della conformità al DORA è la presentazione di registri accurati e tecnicamente conformi. Le autorità di vigilanza finanziaria hanno sottolineato che i registri saranno al centro dell’attività di controllo e si aspettano che le organizzazioni li presentino all’inizio del 2025. Presentare un registro accurato che indichi in dettaglio i fornitori IT più significativi dell’organizzazione potrebbe essere più vantaggioso rispetto alla presentazione di informazioni incomplete su tutti i propri fornitori IT.2
Per i responsabili della protezione dei dati e i CIO, il DORA rappresenta un invito all’azione per esaminare i sistemi legacy e valutare se siano in grado di resistere alle minacce informatiche odierne e di garantire le prestazioni necessarie per un efficiente e rapido processo di Recovery dei servizi.
Oltre a identificare e mappare i sistemi, le applicazioni e i carichi di lavoro chiave presso i rispettivi fornitori di servizi ICT, le organizzazioni dovrebbero valutare attentamente le capacità fondamentali che proteggono, difendono e ripristinano tali sistemi. Tra le capacità critiche figurano:
- Protezione dei dati e Recovery
informatico. Ai sensi del DORA, le capacità di Recovery rapido sono fondamentali per ridurre al minimo l’impatto operativo di un attacco. L’unico modo per raggiungere l’RTO più rigoroso e ultracorto richiesto per i sistemi critici è quello di effettuare il Recovery utilizzando snapshot immutabili basati su storage. Questi snapshot devono essere archiviati in modo sicuro in un repository isolato (o virtualmente “air-gapped”). - Rilevamento
precoce delle minacce: individuare e risolvere tempestivamente le potenziali minacce informatiche è un aspetto fondamentale della protezione dei dati e della Readiness. La capacità di eseguire scansioni continue dei dati per rilevare anomalie e identificare minacce quali ransomware e malware in tempo reale, automatizzando al contempo le misure correttive, è essenziale per contenere più rapidamente un attacco. - Ambienti di ripristino isolati (IRE) o “camere bianche” per i test
di resilienza. La creazione di un IRE completamente autonomo, in cui i dati possano essere ripristinati per analisi forensi e applicative e convalidati come “puliti” prima del ritorno in produzione, accelera il processo di ripristino. Gli IRE consentono inoltre alle organizzazioni di testare e migliorare continuamente le pratiche di ripristino informatico, garantendo la Readiness operativa dell’organizzazione. - Scalabilità e prestazioni
Le aziende continueranno a far evolvere i propri servizi, ad affrontare nuovi requisiti normativi e a gestire le minacce informatiche emergenti. È importante valutare la capacità di una soluzione di adattarsi all’evoluzione delle esigenze relative ai dati in ambienti distribuiti e ibridi, mantenendo al contempo prestazioni elevate in termini di protezione e Recovery dei dati.
Conformità con fiducia
Le organizzazioni che ritardano la creazione di solide capacità per conformarsi al DORA e ad altre normative in evoluzione in materia di resilienza – quali la PSD2, la NIS2, la norma APRA CPS 230 e la legge europea sulla resilienza informatica che entrerà in vigore nel 2026 – potrebbero trovarsi a dover affrontare sfide sempre più impegnative. Potrebbero inoltre trovarsi in una posizione di svantaggio competitivo rispetto alle aziende in grado di dimostrare la propria capacità di rimanere resilienti di fronte alle perturbazioni dell’ecosistema finanziario globale.
Collaborare con partner che comprendono i requisiti di resilienza previsti dalla normativa e implementare soluzioni affidabili può aiutare le organizzazioni a garantire la conformità, a prepararsi al meglio per affrontare le nuove sfide normative e a proteggere il proprio ambiente informatico dalle minacce emergenti.
Pure Storage e Commvault hanno unito le forze per sviluppare una soluzione congiunta, dal design modulare, che aiuta gli istituti finanziari a migliorare le loro pratiche di resilienza informatica e a soddisfare i principi fondamentali del regolamento DORA in materia di risposta agli incidenti e test di resilienza. La soluzione è stata realizzata integrando le funzionalità leader nel campo della resilienza informatica di Commvault Cloud con la piattaforma Pure Storage, altamente sicura e ad alte prestazioni. Scopri di più sulla soluzione e sul nostro impegno a favore della resilienza informatica qui.
Sei pronto per la resilienza informatica?
La prontezza riflette la maturità del programma di resilienza informatica, in cui tecnologia, persone e processi funzionano perfettamente per consentire la continuità operativa di fronte a qualsiasi sfida informatica. Valuta la resilienza informatica della tua organizzazione con il Cyber Maturity Assessment di Commvault.
1 Risultati principali dell’esercitazione di simulazione delle autorità di vigilanza europee (ESA) del 2024, Autorità bancaria europea, 17 dicembre 2024.
2 Conto alla rovescia per la DORA – Quattro punti chiave dalle dichiarazioni delle autorità di regolamentazione di dicembre, Skadden, Arps, Slate, Meagher & Flom, LLP, 3 gennaio 2025
