Риск от външни доставчици на ИКТ по DORA: ръководство за надзор от управителния орган

1. Започнете с услугата, която компанията трябва да продължи да предоставя

Докладите за закупуване на услуги обикновено започват с доставчиците, годишните разходи и датите за подновяване. Полезното обсъждане по DORA започва с това, което клиентът трябва да получи: застрахователно обезщетение, изпълнено плащане, поддържане на информацията за инвестициите или достъп до сметка. След това проследете системите, външните услуги и хората, от които зависи този резултат.

Това променя въпроса от „Оценили ли сме нашия доставчик на облачни услуги?“ на „Какво ще се случи с тази услуга, ако платформата за управление на идентичности, регионът за хостинг или доставчикът на поддръжка не са достъпни?“. Вторият въпрос разкрива зависимости, които оценъчната карта на доставчика може да пропусне. Евтина услуга за удостоверяване може да блокира повече дейности от голям договор за софтуер.

Правната отправна точка е, че използването на ИКТ услуги не прехвърля задълженията на финансовия субект към неговия доставчик. DORA включва риска в областта на ИКТ, пораждан от трети страни, в рамката за управление на риска на субекта. Вижте член 28 от Регламент (ЕС) 2022/2554. Тълкуването и методите на работа в това ръководство са практически предложения; те не представляват изчерпателно изложение на всички изисквания, приложими към всеки вид субект.

За материал за заседание на управителния орган поискайте от ръководителя, който отговаря за инициативата, да посочи засегнатата бизнес услуга, отговорното лице в организацията, допустимото прекъсване, текущата рискова експозиция и необходимото решение. Оставете техническите подробности в придружаващите материали. Членовете на управителния орган се нуждаят от достатъчно подробности, за да оценяват критично допусканията, без да се превръщат в екип за реагиране при инциденти или сами да договарят всяка договорна клауза.

2. Не бъркайте критична функция с доставчик, определен като критичен

Двете оценки отговарят на различни въпроси. Вашият субект определя кои функции са критични или важни в рамката на DORA. Европейските надзорни органи определят критичните трети страни доставчици на услуги в областта на ИКТ за целите на рамката на Съюза за надзор. ESMA обяснява, че този надзор допълва собствените отговорности на финансовите субекти, а не ги замества. Вижте разяснението на ESMA за надзора по DORA.

Приложете това разграничение към малък специализиран доставчик. Той може да поддържа единствения ви начин за достъп до важна финансова услуга, без да фигурира в списък на доставчици, определени като критични. Също така закупуването на услуга с малко значение от много голям доставчик, определен като критичен, не премахва необходимостта да оцените действителното ѝ използване. Записвайте тези две класификации отделно, за да не позволите подвеждащо поле „критичен: да/не“ да определя всички последващи решения.

3. Поддържайте пълен регистър с ясни връзки между записите

Регистърът не се ограничава до договорите, които поддържат критични или важни функции. Член 28, параграф 3 обхваща всички договорни споразумения за услуги в областта на ИКТ, предоставяни от трети страни доставчици на такива услуги, като разграничава споразуменията, които поддържат тези функции. Регламент за изпълнение (ЕС) 2024/2956 предоставя стандартните образци, включително допълнителна информация за оценката и веригата на доставки, свързана с критични или важни функции.

Практическата проверка за пълнота започва със сравняване на регистъра с документацията за поръчките, периодичните плащания, списъка на приложенията и знанията на отговорниците за услугите. Разликите подлежат на проучване, а не са автоматично доказателство за нарушение: една фактура може да е за услуга извън ИКТ, а няколко фактури да се отнасят до едно споразумение. Документирайте заключението, вместо мълчаливо да пренебрегвате несъответствието.

Помолете човек извън екипа, който поддържа регистъра, да проследи една зависимост от начало до край. Може ли да установи кое е договарящото се дружество, кой реално използва услугата, кой е доставчикът, коя функция се поддържа, кой отговаря за нея и кой е действащият договор? Може ли да разграничи външната договореност от свързаната с нея вътрешногрупова договореност? Ако връзките не могат да бъдат обяснени, експортирането на технически валиден файл не е решило управленския проблем.

• Определете поименно отговорник за нерешените въпроси относно класификацията и разпределението на отговорностите.
• Запишете датата и причината за промяната, особено след придобивания или миграции на услуги.
• Сверявайте промените при одобряване на нова услуга, а не само преди крайния срок за подаване.
• Показвайте на висшето ръководство пропуските в обхвата на проверките и от колко време остават нерешени, вместо да представяте само общия брой доставчици.

Управителният орган не е нужно да одобрява всеки ред в електронната таблица. Той трябва да има увереност, че има отговорник за пълнотата, че несигурността е видима и че важните зависимости получават необходимото внимание.

4. Превърнете политиката за трети страни в критерии за вземане на решения

Една политика става полезна, когато промени решение, преди организацията да е станала зависима. За субектите, към които се прилагат съответните изисквания за политики, Делегиран регламент (ЕС) 2024/1773 обхваща жизнения цикъл на договореностите, които поддържат критични или важни функции. Изисква управителният орган да преглежда политиката поне веднъж годишно и тя да се актуализира при необходимост. Приложимостта и пропорционалността трябва да се проверят спрямо регулаторната категория на субекта.

Следните контролни етапи са примерен работен модел. Преди избора отговорникът от съответното бизнес звено описва услугата и последиците от прекъсването ѝ. Преди подписването екипите по риск, сигурност, правни въпроси и покупки заедно установяват нерешените въпроси. Преди пускането оперативният екип доказва, че са осигурени наблюдение, поддръжка и възстановяване. При подновяване или съществена промяна отговорникът проверява дали първоначалните допускания още са валидни.

На всеки етап разграничавайте получените доказателства, направената преценка и приетото изключение. Докладът от проверка на доставчика е доказателство. Заключението, че той достатъчно добре обхваща начина, по който използвате услугата, е преценка. Продължаването въпреки нерешен пропуск е изключение, което изисква решение от упълномощено лице, условия и срок на валидност.

Не допускайте всеки проблем да бъде обявяван за „приет от бизнеса“. Установете кой има правомощия да приема съответната рискова експозиция според правилата за управление на организацията. Ескалирайте въпросите за зависимости, чиито последици надхвърлят тези правомощия. Най-ценният принос на управителния орган може да бъде финансирането на липсваща способност за възстановяване или отказът да се одобри прибързано пускане в експлоатация, когато допусканията за устойчивостта все още не са проверени.

5. Оценете критично концентрацията, без да се ограничавате до диаграмата на разходите по доставчици

Концентрацията е свързана както с търговската зависимост, така и с откази по обща причина. Два договора с различни компании може да разчитат на една хостинг платформа, доставчик на свързаност, услуга за управление на идентичности или специализиран подизпълнител. Два облачни региона може да споделят обща среда за администриране. Това са архитектурни въпроси, на които диаграмата на разходите не отговаря.

Член 29 от DORA обхваща оценката на риска от концентрация в областта на ИКТ. За да бъде обсъждането в управителния орган практически насочено, поискайте от ръководството да представи няколко правдоподобни сценария за отказ на компоненти или услуги, от които зависят системите, и да покаже кои бизнес услуги ще спрат едновременно. Посочете ясно допусканията: наличност на персонал, достъп до ключове, свързаност, съгласуваност на данните и капацитет на предложената алтернатива.

Работата с множество доставчици също може да увеличи сложността, оперативните разходи и риска при координацията. Практическата цел не е всеобща забрана на концентрацията или изискване за дублирана инфраструктура навсякъде. Целта е информиран избор относно конкретна рискова експозиция, подкрепен с реалистични варианти за действие и ясно определен отговорник. Запишете защо избраната мярка за намаляване на риска е пропорционална и какво събитие би наложило преразглеждането ѝ.

6. Проверете договорите спрямо услугата, която действително използвате

Обозначението „Подписано допълнително споразумение по DORA“ е твърде общо за ефективен надзор. Член 30 определя договорни изисквания с допълнителни разпоредби за ИКТ услуги, поддържащи критични или важни функции. Правните съветници следва да определят кои изисквания се прилагат към конкретната договореност. Сравнението по-долу е практически инструмент за критична оценка, а не заместител на договорните клаузи.

Четете докладите от проверки с внимание към обхвата им. За какъв период се отнасят? Каква конфигурация на услугата е оценена? Приема ли се, че клиентът изпълнява определени отговорности? Изключен ли е компонент, от който зависи планът ви за възстановяване? Актуалният сертификат може да е полезен и въпреки това да оставя конкретен оперативен въпрос без отговор.

Поддържайте кратък регистър на пропуските, в който всеки проблем е свързан с последица за бизнеса, компенсираща мярка, отговорник и краен срок. Представяйте на управителния орган съществените рискове, които остават неовладени, и решенията извън делегираните правомощия. Не прикривайте значим пропуск зад висок процент изисквания, отбелязани като изпълнени: една липсваща способност може да е по-важна от много приключени задачи с малко въздействие.

7. Проверете дали планът за прекратяване може да бъде изпълнен

Правото по договор да прекратите отношенията с доставчика и практическата възможност да го направите са различни неща. Разпоредбите на DORA за изход от договорености за услуги, поддържащи критични или важни функции, са в член 28, параграф 8. Управителният орган трябва да провери допусканията зад плана: към коя среда се преминава, какви данни, хора, време и средства са нужни и как ще продължи услугата.

Разграничете планираната миграция от аварийното прекъсване. Шестмесечна програма за миграция може да е реалистична от търговска гледна точка, но безполезна като незабавна реакция при прекъсване на услуга. Планът за възстановяване може да поддържа работата на услугата, докато планът за изход урежда по-дългосрочната зависимост. Поискайте от ръководството да обясни връзката между двата плана, вместо да представя който и да е от тях като универсално решение.

1. Изберете представителна услуга и определете условието за задействане на стратегията за изход.
2. Експортирайте контролирана извадка от необходимите данни с подходяща защита.
3. Проверете дали целевата система може да чете и съпоставя данните, а не само да съхранява файл.
4. Проверете правата за достъп, лицензите, специализираните умения и договорената подкрепа при прехода.
5. Измерете времето и установете ръчните операции, неотчетените зависимости и непроверените допускания.
6. Актуализирайте разходите, последователността, отговорното лице и датата за следващия тест.

Това е предложена последователност от тестове, а не изискване за извършване на неконтролирана миграция в производствена среда. Изберете безопасни тестове, подходящи за услугата, и документирайте ограниченията им. Ако е тествана само малка извадка, посочете го. Ако алтернативата не е готова, съобщете открито това ограничение и покажете временното решение относно риска. Зеленият статус никога не бива да означава само, че съществува документ.

8. Използвайте кратки материали за заседанието с приложени решения

Полезните материали за надзор могат да бъдат организирани около пет въпроса: какво се е променило, какво може да откаже едновременно, къде увереността в надеждността е намаляла, какви варианти остават и какво решение е необходимо? Това е предложена структура за докладване. Честотата трябва да отразява рисковете и организацията на управлението, а не измислен универсален тримесечен график по DORA.

Включете малкото на брой зависимости с най-големи последици за бизнеса, скорошните промени, които ги засягат, просрочените съществени действия и следващото относимо решение за договор или миграция. Обяснете тенденциите. Нарастващият брой доставчици може да отразява по-пълна инвентаризация, а не увеличена рискова експозиция. По-малкият брой неприключени действия може да отразява реално отстраняване на проблеми или промяна в начина на отчитане на действията.

• Свържете всеки съществен риск с бизнес услугата, която се поддържа, и с отговорния ръководител.
• Разграничавайте проверената чрез тест способност за възстановяване от цел или обещание на доставчик.
• Показвайте изключенията по договорите, неотстранените пропуски в потвърждаването на надеждността и от колко време остават нерешени.
• Установете промените в концентрацията и допусканията, за които са необходими нови доказателства.
• Посочете какво решение се иска, какви алтернативи са разгледани и каква е последицата от отлагането.

Използвайте ръководството за отчетите и показателите по DORA пред управителния орган като основа за свързване на тези мерки с по-широкия надзор върху ИКТ риска. За практическо упражнение изберете една зависимост с тежки последици при прекъсване и я разгледайте в дискусионно учение за управителния орган по реагиране при инциденти. И в трите обсъждания управителният орган трябва да вижда едни и същи наименования на услуги, отговорници за рисковете и допускания за възстановяване.

9. Подгответе следващото обсъждане около една реална зависимост

Не започвайте с искане всеки екип да преработи всичките си отчети. Изберете една важна услуга и поискайте съгласувана верига от доказателства: оценка на функцията, запис в регистъра, договор, преглед на удостоверяващите материали, тест за възстановяване и план за изход. Помолете отговорниците за отделните елементи да ги прегледат заедно. Противоречивите идентификатори, остарелите допускания и действията без определен отговорник бързо ще станат видими.

Превърнете констатациите в кратък план за подобрение. Първо отстранете пропуските при определянето на отговорниците и в инвентарните списъци. След това вземете решенията, които не търпят отлагане поради подновяване, миграция или рискова експозиция. Накрая подобрете процеса на периодичен надзор, за да не се появяват отново същите пропуски. За всяко действие определете конкретен резултат, който може да бъде проверен, а не просто указание за „подобряване на управлението“.

Членовете на управителния орган също се нуждаят от общо разбиране за ролята си. Нашето ръководство за изискванията на DORA към обучението на управителните органи обяснява как обучението се свързва с управленските отговорности. Курсът на BlueTeam Academy «DORA обучение по киберсигурност за мениджъри» предлага програма, насочена към вземането на решения, за ръководните екипи на финансовите субекти в обхвата на DORA. Програмата не представлява оценка на съответствието на организацията. Съчетайте обучението с доказателства, решения и последващи действия, свързани с конкретните услуги във вашата организация.