Докладване пред управителния орган по DORA: показатели, доказателства и табло

1. Започнете с решенията, които управителният орган трябва да вземе

Материалите за заседанието на управителния орган може да съдържат всички показатели за сигурност, които организацията събира, и въпреки това да не отговарят на най-важния въпрос: може ли бизнесът да продължи да обслужва клиентите, когато възникне проблем? Един доклад заслужава място в заседанието, когато разкрива съществена несигурност, обяснява компромис между различни цели или подпомага решение за ресурси, приоритети или риск.

Попитайте: какво се е променило от предишното заседание? Коя услуга за клиенти сега може да откаже по начин, който организацията не може да приеме? Какво решение е необходимо днес? Поставете отговорите преди графиките, които ги подкрепят. Член на управителния орган не бива да трябва да се досеща от червена клетка на страница тридесет, че е нужно спешно решение за финансиране.

В общата рамка за управление на риска в областта на ИКТ член 5 обхваща отговорността на управителния орган и редовното обучение; член 6 урежда рамката за управление на риска и нейния преглед; член 13, параграф 5 изисква ръководните служители в областта на ИКТ да докладват поне веднъж годишно за определени констатации и препоръки. Вижте DORA, членове 5, 6 и 13.

Тези разпоредби не предписват едно одобрено табло или универсален формат за ежемесечните материали за заседанието на управителния орган. Изберете честота на отчитане, съобразена с рисковата експозиция и вътрешните ви правила за управление, с ескалация на неотложните въпроси между заседанията. Разграничавайте ясно докладването по закон, исканията на надзорните органи и вътрешната управленска отчетност. Това ръководство предлага практически модел, а не замества оценката на приложимите задължения за конкретния субект. За по-широкото разпределение на отговорностите прочетете нашето ръководство за отговорностите на управителния орган по DORA.

2. Организирайте доклада около услугите и въздействието върху бизнеса

Започнете с кратък списък от бизнес услуги, познати на членовете на управителния орган: извършване на плащане, достъп до инвестиционна сметка, сетълмент на транзакция или получаване на застрахователна претенция. Свържете ги с оценката на субекта за критичните или важните функции. Не подменяйте този бизнес поглед със списък с приложения, без да го посочите. Една услуга може да изисква няколко приложения, екипи, обекти и външни доставчици.

За всяка услуга определете отговорник от бизнес звеното и опишете последиците от прекъсване. Включете засегнатите клиенти или трансакции, критичните срокове, ръчните обходни решения и момента, в който натрупаната работа става трудна за наваксване. Разграничавайте измереното въздействие от приблизителните оценки. Ако данните за броя на клиентите са непълни, посочете несигурността, вместо да представяте общ брой, който изглежда точен.

Полезният ред за дадена услуга съчетава риска и доказателствата: основния сценарий на отказ, целта за възстановяване, най-скорошния относим тест и оставащата слабост. Успешното възстановяване на база данни може да дава малка увереност за платежната услуга, ако системите за управление на идентичността и достъпа, сверяването и изходящата свързаност са били изключени от учението.

Показвайте ясно промените. Нов доставчик, придобиване, пускане на продукт или миграция може да направи досегашната карта на услугите невалидна. Когато се промени съществена зависимост, отбележете оценката като чакаща актуализация. В противен случай индикаторите в материалите за заседанието може да останат зелени, докато подкрепящите доказателства описват оперативен модел, който вече не съществува.

Осигурете достъп до подробните технически описи чрез връзки с контролиран достъп. Страницата за управителния орган трябва да обяснява последиците и решенията, а подкрепящите доказателства трябва да позволяват на проверяващите да проследят тези твърдения до отговорните екипи.

3. Определете значението на всеки показател, преди да му зададете цвят

Процент без посочен общ брой създава предпоставки за недоразумения. „Завършени тестове за възстановяване: 90%“ може да означава девет от десет планирани учения, девет от десет бизнес услуги или девет от десет приложения. Тези твърдения описват различни неща. Посочете числителя и знаменателя до показателя и покажете ясно кои елементи са изключени.

• Цел: решението или въпросът за риска, за които показателят помага да се намери отговор.
• Обхват: кои услуги, системи, доставчици или хора са включени и кои са изключени.
• Изчисление: точният числител, знаменател, мерна единица и начинът на обработване на липсващите данни.
• Отговорност: отговорникът от бизнес звеното, екипът, който подготвя данните, и проверяващият.
• Времеви параметри: период на наблюдение, дата на извличане, дата на преглед и следващо обновяване.
• Доказателства: документът или записът, който подкрепя резултата, неговата версия и правилата за достъп и промени.
• Ескалация: вътрешно договореният праг и действието, което се предприема при преминаването му.

Разграничете „не е тествано“, „тестът е неуспешен“ и „доказателствата не са налични“. Обединяването им в един зелен или жълт статус скрива необходимата работа. Показвайте абсолютните стойности до процентите, за да не създава малкият брой обекти фалшива увереност. Увеличението от едно на две просрочени действия е удвояване, но значението му зависи от засегнатата услуга и тежестта.

Запазете съпоставимостта. Ако след придобиване броят в знаменателя нарасне, покажете както новата обхваната съвкупност, така и причината за прекъсването на съпоставимостта. Не приемайте по-ниския процент на завършване за влошено изпълнение, без да проверите обхвата.

4. Разграничавайте целите за възстановяване от доказаните резултати

Целевото време за възстановяване, или RTO, определя за колко време трябва да бъде възстановена услуга или способност след прекъсване. Целевата точка на възстановяване, или RPO, определя допустимата загуба на данни, изразена като период от време. Нито едното не доказва действително възстановяване. Отчитайте целта и наблюдавания резултат поотделно, като посочвате сценария, обхвата и границите на измерването.

RTO от четири часа не означава, че командата за възстановяване трябва да приключи в рамките на четири часа, а сверяването да стане по-късно. Определете кога започва да тече времето и какво приемане от страна на бизнеса бележи края му. За RPO запишете най-новата използваема точка за възстановяване и дали сверяването на трансакциите е потвърдило пълнотата на данните. Една система може да се стартира отново бързо, но с твърде стари или ненадеждни данни.

Съгласно общата рамка член 11, параграф 6 предвижда ежегодни тестове на плановете за непрекъснатост и възстановяване за всички функции, както и тестване при съществени промени. Член 24, параграф 6 изисква ежегодно подходящо тестване на всички ИКТ системи и приложения, поддържащи критични или важни функции, с изключение на микропредприятията. Вижте разпоредбите на DORA за тестването. Потвърдете кои изисквания се прилагат за конкретното дружество, преди да ги включите в календар.

Член 25 от Делегиран регламент 2024/1774свързва тестовете за непрекъснатост с оценките на въздействието върху дейността и на риска. Той изисква пропуските да бъдат анализирани, отстранени и докладвани на управителния орган. За всяка непостигната цел посочете коригиращо действие, отговорник и план за повторен тест.

Разглеждайте отделно тестовете за проникване, основани на заплахи, или TLPT. Те се прилагат за определени субекти, а не за всички; критериите за подбор и изискванията за тестване са подробно описани в Делегиран регламент 2025/1190, наред с членове 26–27 от DORA. Дискусионно учение по сценарий, сканиране за уязвимости или обикновен тест за проникване не бива да се обозначават като TLPT. Посочете какъв вид доказателства действително предоставя всяко упражнение.

5. Покажете концентрацията при доставчиците чрез зависимостите на услугите

Броят на доставчиците не разкрива концентрацията. Трима доставчици може да разчитат на един и същ облачен регион, платформа за управление на идентичността или телекомуникационен маршрут. За всяка важна услуга попитайте кои компоненти или услуги, от които тя зависи, могат да откажат едновременно и дали предложената алтернатива е оперативно независима. Разграничавайте договорните алтернативи от тези, които са конфигурирани, осигурени с персонал и проверени чрез учения.

Публикуваните от ЕБО насоки за регистъра на информацията обясняват регистъра на договорните споразумения за ИКТ и предоставят материали за отчитането. Използвайте го като източник за доклада пред управителния орган. Пълният регистър е ценен, но ръководството се нуждае и от обяснение какво означават тези взаимоотношения за непрекъснатостта на услугите.

Кратка справка за зависимостите може да показва кои услуги поддържа даден доставчик, най-новите доказателства за надеждността им, неотстранените ограничения, прогнозното време за прекратяване на използването на доставчика и следващия момент за вземане на решение. Обозначавайте срока за изход като прогнозен, докато не бъде подкрепен с надеждна подготвителна работа. Включете извличането на данни, миграцията, уменията, договорните ограничения и прехода за клиентите, а не само подмяната на инфраструктурата.

Задайте въпрос, насочен към решение: ако този доставчик стане недостъпен или неподходящ, коя услуга би ни принудила да действаме първо и какво би попречило на организирания преход? Изрично отнесете към отговорните лица липсващата информация и нерешените въпроси за това кой отговаря за зависимостите. Нашето ръководство за риска от външни доставчици на ИКТ по DORA разглежда по-подробно въпросите, свързани с доставчиците и договорите.

6. Обяснете тенденциите при инцидентите и от колко време остават рисковете

Броят на инцидентите трябва да се разглежда в контекст. Увеличението може да отразява по-добро откриване, а не влошена устойчивост. Намалението може да се дължи на непълен поток от данни. Посочете използваното определение, периода на наблюдение, същественото въздействие върху услугите и дали методите за събиране на данни са променени. Разграничавайте вътрешните категории за тежест от регулаторната класификация на инцидентите; графика за управителния орган не бива мълчаливо да предефинира процеса на докладване.

Полезно е да се показват минутите на прекъсване по услуги, повтарящите се причини, неуспешните промени, резултатите от възстановяването и времето, изминало от поставянето на важни коригиращи задачи. За показателите за време за откриване или реагиране определяйте последователно едни и същи начални и крайни събития. Средните стойности могат да скрият единично продължително прекъсване: показвайте диапазона или най-същественото изключение, когато това променя решението.

Проследявайте действията от инциденти, тестове, одити и прегледи на доставчици в общ изглед за вземане на решения, като запазвате информацията за източника им. За всяка позиция са нужни отговорник, първоначален краен срок, текущ краен срок, засегната услуга, доказателства за изпълнение и проверяващ. Заявка, отбелязана като „изпълнена“, не бива автоматично да означава, че слабостта, заради която е създадена, е отстранена.

Показвайте удължаванията на сроковете и повторно отворените действия. Преместването на крайния срок може да подобри графиката на просрочените действия, без да промени изложеността на риск. Записвайте кой е разрешил удължаването, причината, временните защитни мерки и датата на следващия преглед. Давайте приоритет на последиците от оставащата слабост, вместо да награждавате екипите за приключването на много заявки с малко въздействие.

Завършете панела с кратко обяснение на повтарящия се модел и предложеното действие. Ако няколко инцидента разкриват един и същ пропуск в разпределението на отговорностите, ново информационно табло може да е по-малко полезно от ясно оперативно решение.

7. Свържете записите за обучението с демонстрираната способност за преценка

Завършването на обучение е полезно доказателство за участие, но не показва дали членовете на управителния орган могат да оспорят оптимистично твърдение за възстановяване или да вземат трудно решение за приоритизиране на услуги. Допълнете записите за обучението с малък брой практически задачи. Помолете участниците да установят липсващите доказателства, да изберат кога е необходима ескалация и да обяснят компромисите при измислено прекъсване на услуга.

Посочете обхванатите от обучението лица, възложеното съдържание и неговата версия, датите на завършване, подхода за оценяване и необходимите последващи действия. Отразявайте промените в ролите и новоназначените членове, за да остане точен общият брой лица, спрямо който изчислявате показателите. Когато някой има предишен опит по съответните теми, документирайте как е взет предвид и кои специфични за организацията знания все още трябва да бъдат усвоени.

Полезна учебна дискусия може да установи, че участниците разбират терминологията за рансъмуер, но не могат да обяснят кой има право да разрешава извънредни разходи. Тогава действието е конкретно: изяснете правомощията, актуализирайте плана и упражнете прилагането му. Не представяйте средния резултат от тест като мярка за цялостната устойчивост на организацията.

За разработване на програмата използвайте нашето ръководство за изискванията за обучение на управителните органи по DORA. А нашето ръководство за дискусионно учение по реагиране при инциденти за ръководители показва как да упражните вземането на решения при прекъсване на услуга и да документирате поуките. Ограничете достъпа до индивидуалните учебни записи според необходимостта. Материалите за управителния орган обикновено трябва да показват обхвата на обучението, пропуските и следващите действия, а не подробните отговори на всеки участник.

8. Примерно табло за управителния орган с отклонения, изискващи действия

Следващият пример е изцяло измислен. Числата са илюстративни и не са отраслови ориентири, законови прагове или констатации за реална организация. Приемете, че финансов субект е определил четири услуги за този отчетен изглед. Материалите за заседанието през септември използват данни към 30 септември и посочват отговорниците за доказателствата за последващо проследяване.

В този пример целта за загуба на данни е постигната, но целта за време за възстановяване не е. Обединяването им под общ етикет „успешно възстановяване“ би скрило забавянето на услугата. Редът за обхвата отчита услуги, а не пълния набор от системи, подлежащи на тестване; регистърът на тестовете, на който се основават данните, трябва да запази този отделен обхват.

Таблицата също така не представя неизвестния резултат като неуспешен тест. Членовете на управителния орган могат да видят коя неяснота изисква проучване и коя доказана слабост се нуждае от мерки с осигурено финансиране. Свържете всеки ред с доказателствата за него, поддържани под контрол, и включвайте решението в следващите материали за заседанието, докато резултатът от него не бъде проверен.

9. Превърнете доклада в повторяем процес за вземане на решения

Към всяко съществено изключение добавяйте кратък запис на решението. Опишете засегнатата услуга, сценария, наличните доказателства и оставащата несигурност. Посочете реалистичните варианти, свързаните с тях разходи или ресурси, препоръката на ръководството и последиците от отлагането. Уточнете кой е оправомощен да вземе решението и до коя дата е необходимо то.

Примерен текст на решение: Одобрете предложеното подобрение на възстановяването на платежната услуга, като оперативният директор носи отговорност за изпълнението. Изискайте повторен тест спрямо посочените цели до договорената дата. Запишете временните мерки, оставащата рискова експозиция и условията за ескалация. Представете резултата и доказателствата на следващото заседание на съответния комитет.

Ако даден риск бъде приет временно, запишете основанията, правомощието за приемането му, условията и срока, до който приемането е в сила. Приемането на риск е управленско решение; то не премахва неизпълнено законово задължение. Общ запис в протокола, че управителният орган е „приел доклада за сведение“, дава малко информация за критичното обсъждане, алтернативите или последващите действия.

1. Съгласувайте набора от услуги и свържете всяка от тях с приложимите изисквания и вътрешните отговорности.
2. Започнете с малък набор от показатели и ги дефинирайте, преди да автоматизирате събирането на данни.
3. Определете отговорници за данните и проверяващи, краен срок и изричен подход за случаите с липсващи доказателства.
4. Сверете един примерен показател с източника му, след което проверете дали обяснителният текст съответства на действителния резултат.
5. Проведете репетиция с измислено изключение и проверете дали комплектът материали позволява да се вземе ясно решение.
6. Запишете решението, съобщете действието и проверете ефекта му при последващото отчитане.

Започнете с надеждни материали за заседанието, които участниците могат да разглеждат критично. Автоматизирайте събирането на данни след утвърждаване на определенията. За обща основа в управленския надзор курсът «DORA обучение по киберсигурност за мениджъри» предлага програмата на академията за управителни органи, която включва осем модула и около три часа обучение с насоки. Използвайте я като част от по-широка програма с обсъждания, практически упражнения и последващи действия, съобразени с вашата организация. Самото завършване не доказва съответствие с регулаторните изисквания.