O setor bancário da UE estará preparado para a conformidade com a DORA?

Em janeiro de 2025, as instituições financeiras na Europa enfrentam um grande teste: a Lei de Resiliência Operacional Digital (DORA).  

O DORA combina as regras de risco e resiliência de TIC em uma estrutura unificada. Mas as organizações financeiras estarão prontas?

Muitos estão correndo contra o relógio. Prazos apertados e padrões em evolução estão dificultando a preparação.

Como explica Raghu Nandakumara, diretor sênior de marketing de soluções industriais da Illumio, “Os bancos teriam se beneficiado de padrões técnicos mais claros anteriormente. Os padrões surgiram em duas ondas: uma no início de 2022 e a segunda em meados de 2024. Isso faltava menos de 12 meses para o prazo final de 17 de janeiro.”

Desempacotando DORA

O que a DORA exige até o prazo final? Não se trata apenas de proteger sistemas. O foco é manter os serviços essenciais em funcionamento, mesmo durante interrupções.

Para atender aos padrões da DORA, as instituições financeiras devem:

• Teste sistemas de TIC regularmente

• Gerencie riscos com fornecedores terceirizados

• Garanta que os serviços essenciais permaneçam operacionais, não importa o que aconteça

“A DORA tem um foco claro: reduzir o impacto dos incidentes. A abordagem? Suponha que as violações aconteçam.” — Raghu Nandakumara

Os 6 principais desafios da conformidade com o DORA

1. Prazos apertados, padrões em evolução

As normas que explicam os requisitos da DORA, denominadas normas técnicas regulamentares (RTSs), foram divulgadas com atraso. A primeira versão foi lançada em janeiro de 2024 e a segunda em julho. Com menos de um ano para se preparar, atender aos requisitos se transformou em uma corrida contra
tempo.

2. Gerenciando fornecedores de terceiros

Fornecedores terceirizados — como hiperescaladores e provedores de serviços gerenciados (MSPs) — são essenciais para os serviços financeiros. Mas eis o desafio: quem decide se um fornecedor se enquadra no âmbito da DORA? “Quem decide isso é a instituição financeira ou o órgão regulador?”
pergunta Raghu.

Para MSPs menores, os obstáculos são ainda maiores. A conformidade depende de seu papel nos processos financeiros. Sem regras claras, é difícil saber o que é necessário. Corrigir isso requer duas coisas:

• Diretrizes mais claras

• Colaboração mais forte com fornecedores

3. Alinhando governança e liderança

A DORA coloca a resiliência operacional no topo da agenda de liderança. As placas devem:

• Estabeleça limites claros de risco de TIC

• Monitore os principais incidentes

• Garanta que os recursos certos estejam disponíveis

No entanto, muitas organizações não têm a estrutura e a consciência para atingir essas metas.

4. Teste e melhoria constante

Os testes desempenham um papel fundamental na conformidade com a DORA. As organizações devem:

• Execute testes anuais de resiliência em sistemas de TIC

• Realize testes avançados de penetração a cada três anos

“Os testes ajudam a identificar lacunas e desenvolver planos de melhoria, impulsionando o progresso até a maturidade. No entanto, esses testes consomem muitos recursos e exigem trabalho em equipe entre departamentos e fornecedores. — Raghu Nandakumara

5. Construindo uma cultura resiliente

DORA não se trata de marcar caixas. É sobre se manter preparado. A liderança deve:

• Promover a resiliência operacional

• Promova o trabalho em equipe em todos os departamentos

Uma mudança cultural pode ser fundamental para o sucesso a longo prazo.

6. Lacuna de habilidades: pressão crescente

A escassez global de profissionais de cibersegurança — estimada em 4 milhões — agrava os desafios da DORA. Um programa de conformidade robusto pode aliviar essa pressão. Simplifica os esforços e, ao mesmo tempo, oferece benefícios operacionais mais amplos.

" Os novos mandatos da DORA aumentam a pressão sobre as equipes de operações, políticas e auditoria de segurança. " — Raghu Nandakumara

Como o DORA e o Zero Trust se alinham?

A DORA menciona o conceito de Zero Trust? Não diretamente. Mas suas ideias principais — como o acesso com privilégios mínimos e o monitoramento contínuo — estão bastante alinhadas.

A filosofia da Zero Trust, “nunca confie, sempre verifique”, reduz o risco ao fazer com que cada usuário, dispositivo, aplicativo e carga de trabalho seja autenticado antes de obter acesso.

Como isso ajuda com os maiores riscos cibernéticos da atualidade?

• Impede ataques de ransomware: Reduz o impacto de ataques de ransomware limitando sua propagação pela rede.

• Protege a nuvem: Políticas dinâmicas protegem a nuvem híbrida multicloud.

• Gerencia riscos de terceiros: Restringe o acesso de fornecedores a sistemas críticos. Controle o nível de acesso que os fornecedores têm aos sistemas críticos.

Contagem regressiva para 17 de janeiro

O tempo está passando. Testes, supervisão terceirizada e planejamento de resiliência não são opcionais. Isso requer estratégias proativas e uma mudança cultural em direção à resiliência.  

Como explicou Raghu, “A UE quer progresso, não perfeição. Eles querem ver como as organizações interpretam os requisitos e o que elas alcançaram.”

Você está interessado em aprender mais sobre a conformidade com o DORA? Baixe nosso e-book gratuito, Estratégias para conformidade com DORA: o papel fundamental da microssegmentação. Descubra como a microssegmentação pode melhorar a segurança da sua organização.