Il regolamento DORA (Digital Operational Resilience Act), emanato alla fine del 2022 e applicato a partire dal 17 gennaio 2025, ha come obiettivo un generale innalzamento della resilienza digitale nel settore finanziario dell’Unione Europea.
Esso si applica, seguendo un principio di proporzionalità, ad una platea di organizzazioni definite come “entità finanziarie”, che comprende, fra le altre: enti creditizi, istituti di pagamento, fornitori di servizi per le cripto-attività, imprese di assicurazione, intermediari assicurativi, agenzie di rating del credito.
Aspetti salienti
Il primo punto su cui si fonda il DORA è la gestione dei rischi informatici. In questo ambito, le raccomandazioni ricalcano le migliori pratiche già note nel settore. Si parte dalla governance, con la richiesta alle entità finanziarie di definire politiche che mirino ad assumere e mantenere elevati standard di sicurezza delle tecnologie ICT: questo può essere ottenuto assegnando ruoli e responsabilità, creando strategie di continuità operativa, piani di audit, canali di comunicazione con i fornitori di servizi ICT e, ovviamente, dotandosi di risorse finanziarie adeguate. Da un punto di vista tecnico, tali politiche non potranno prescindere da attività di identificazione degli asset ICT e dei patrimoni informativi, di creazione di politiche di backup a supporto delle attività di continuità operativa, nonché da strumenti in grado di rilevare anomalie ed attività di formazione del personale.
Un secondo aspetto riguarda la gestione, classificazione e segnalazione degli incidenti informatici. Si è, infatti, provveduto a creare linee guida per classificare gli incidenti ICT, in relazione all’impatto che essi possono avere sulle entità finanziarie. Gli incidenti di entità grave devono dunque essere obbligatoriamente segnalati alle autorità competenti, che potranno utilizzarli per emanare allerte e redigere statistiche, al fine di valutare le vulnerabilità e le minacce ICT a cui è sottoposto il settore finanziario. Allo stesso modo, le entità finanziarie possono segnalare, su base volontaria, minacce ICT che ritengano essere significative per l’intero settore.
Successivamente, il regolamento si focalizza sui test di resilienza operativa digitale. Questi comprendono, principalmente:
- Scansioni delle vulnerabilità
- Analisi OSINT
- Valutazione di sicurezza delle reti
- Test di sicurezza fisica
- Esami del codice sorgente
- Test basati su scenari
- Test di prestazione
- Test di penetrazione
DORA prescrive che tali test siano effettuati preferibilmente da soggetti esterni alle entità finanziarie, in modo da garantirne l’indipendenza, e che in ogni caso si evitino conflitti d’interesse. Si rende parimenti necessaria la definizione di politiche atte a prioritizzare le azioni correttive e accertare la corretta presa in carico delle carenze individuate nel corso dei test. Per quanto riguarda la frequenza, le microimprese hanno libertà di eseguire i test soppesando, da una parte, le risorse ed il tempo impiegabili in queste attività, e dall’altra l’urgenza e la criticità dei patrimoni informativi. Le altre entità finanziare devono invece provvedere affinché le proprie risorse ICT siano testate con frequenza almeno annuale.
Inoltre, eccezion fatta per alcune organizzazioni esenti, esse devono svolgere attività di TLPT (Thread-Led Penetration Test) con cadenza almeno triennale, salvo diverse disposizioni delle autorità nazionali. Tali test si basano su scenari di minaccia, e sono mirati a valutare alcune o tutte le funzioni essenziali, agendo direttamente sulle risorse ICT a supporto e sui sistemi di produzione, applicando criteri per attenuare i possibili impatti sulle attività. In caso esistano servizi ICT a supporto di funzioni essenziali affidati a fornitori terzi, anch’essi possono essere inclusi nel perimetro. Nel caso questi abbiano un potenziale impatto su più di una entità finanziaria, è prevista l’esecuzione di test congiunti. Al termine dei test, le entità finanziarie e i soggetti che eseguono le verifiche redigono delle sintesi dei risultati, contenenti i piani correttivi e la documentazione dei test svolti, che inviano alle autorità al fine di ottenere un attestato di corretta esecuzione. La principale linea guida per i TLPT è il TIBER-EU, di cui abbiamo già parlato in questo articolo. Come indicato nel TIBER-EU, i soggetti incaricati di svolgere i test sono preferibilmente esterni e devono essere dotati di comprovate capacità tecniche, con esperienza in ambito di Red Team Assessment. Allo stesso modo devono godere di elevata reputazione, tramite certificazioni ufficiali o applicazione di codici etici, garantendo una corretta gestione dei dati derivanti dai test e la copertura di una assicurazione professionale.
Un quarto punto si riferisce alla gestione dei rischi informatici derivanti da terzi. Data la diffusa necessità, da parte delle entità finanziarie, di avvalersi di servizi ICT di fornitori terzi, si richiede che i relativi contratti siano negoziati in modo tale da raggiungere livelli minimi di prestazioni e sicurezza, consentendone la risoluzione a fronte di mancanze e violazioni.
Sullo stesso tema interviene il quinto, e ultimo, argomento: l’istituzione di autorità di sorveglianza dei fornitori di servizi ICT critici. La sorveglianza mira ad individuare i fornitori che potrebbero avere impatti sulla stabilità delle entità finanziarie, e dai quali esse dipendono per il corretto svolgimento delle attività critiche. Le autorità di sorveglianza hanno il compito di condurre indagini su di essi, anche nel caso si trovino al di fuori dell’UE, richiedendo documentazione e fornendo raccomandazioni per migliorarne le prestazioni e la sicurezza. Qualora dovessero riscontrare violazioni o ritardi nell’applicazione delle raccomandazioni da parte dei fornitori, hanno altresì la facoltà di imporre penalità di mora.
Come facilitare la compliance a DORA grazie alla Suite ZAIUX
Il regolamento DORA impone un’esecuzione piuttosto cadenzata di attività di test di sicurezza ICT. Questi dovrebbero essere supportati da tecnologie avanzate, che consentano al personale incaricato, sia esso interno o esterno, di garantire efficacia, indipendenza e uno sforzo, in termini sia economici che di tempo, contenuto. La Suite ZAIUX può essere un valido alleato nella sfida all’esecuzione di test regolari ed accurati.
ZAIUX® Evo, la più realistica piattaforma di Breach & Attack Simulation, è in grado di testare la resilienza delle infrastrutture Active Directory ad attacchi mirati ed elusivi. Ha un’interfaccia Web di semplice utilizzo, non richiede competenze specifiche ed è completamente automatizzato, dalle prime fasi di enumerazione fino alla generazione di un report contenente risultati e consigli per le azioni di mitigazione. Può quindi essere una soluzione one-stop per le attività di Penetration Test, anche grazie ad un modello di licenze scalabile che rende conveniente l’esecuzione di test ripetuti, così da validare l’applicazione delle azioni correttive. Anche le entità con minore capacità di investimento possono trarre beneficio da ZAIUX Evo, avvalendosi dell’automazione per abbattere i costi tipici della consulenza manuale senza rinunciare all’esecuzione di test approfonditi, che vanno al di là di un Penetration Test tradizionale.
Il secondo prodotto della Suite è ZAIUX® Framework, uno strumento avanzato di Command-and-Control che consente ad un Red Team di eseguire attività di TLPT senza doversi preoccupare di essere rilevato da EDR e altri strumenti di difesa. Sfruttando ZAIUX Framework, gli operatori sono infatti in grado di simulare uno scenario di attacco dall’esterno realistico, iniettando malware in macchine Windows e Linux, sfruttando una gamma di funzioni pronte all’uso e programmando i propri moduli d’attacco personalizzati, facendo fronte anche agli engagement più avanzati.
Le due soluzioni sono inoltre in grado di interagire, permettendo ai Red Team di ottimizzare le proprie attività e ottenere il massimo risultato con il minimo sforzo, contribuendo a rendere il settore finanziario, ma non solo, più sicuro.
E tu, cosa aspetti?