DORA reglamentas: kaip jis keičia įmonių el. pašto valdymą

Įvadas į DORA reglamentą ir jo taikymo sritis

DORA (Digital Operational Resilience Act) reglamentas, neseniai įtrauktas į Europos teisės aktų sistemą, siekia sustiprinti finansų įstaigų ir reguliuojamų subjektų skaitmeninį veiklos atsparumą. Tikslas – užtikrinti, kad organizacijos galėtų efektyviai apsiginti ir reaguoti į technologinius iššūkius, užkirsti kelią paslaugų sutrikimams. Viena iš svarbių sudedamųjų dalių – griežtas asmens duomenų apsaugos reikalavimų laikymasis, glaudžiai susijęs su GDPR.

ICT infrastruktūros komponentų tarpe, el. paštas turi ypatingą vaidmenį. Tai nėra tik bendravimo priemonė, bet ir esminis elementas operacinio saugumo ir verslo tęstinumo užtikrinimui. Pasižiūrėkime, kodėl ir kaip tai veikia.

El. paštas kaip kritinė ICT infrastruktūra

Finansų sektoriuje, el. paštas saugo jautrią informaciją, komercinius susitarimus, sutartis, asmens duomenis ir atitikties pranešimus. Todėl DORA reglamentas reikalauja, kad el. paštas būtų traktuojamas kaip dalis ICT infrastruktūros, kuri turi būti apsaugota.

Rizikos valdymas ir saugumas

Rizikos požiūriu, saugumo spragos el. pašte gali sukelti:

• konfidencialios informacijos nutekėjimą;
• svarbių komunikacijų sustabdymą;
• informacijos vientisumo pažeidimą;
• phishing ir social engineering atakas;
• reguliatorių ir reputacijos praradimą.

Siekiant išvengti šių rizikų, organizacijos turi taikyti pažangias saugumo priemones, atitinkančias DORA reikalavimus, įskaitant galutinio šifravimo, daugkartinę autentifikaciją ir griežtą prieigos kontrolę.

Prieigos kontrolė ir incidentų valdymas

Prieigos prie el. pašto sistemų valdymas turi būti integruotas į platesnę kibernetinio saugumo ir IT valdymo sistemą, kaip numato DORA. Tai reiškia ne tik neleistino prieigos prevenciją, bet ir nuolatinį įtartinų veiksmų stebėjimą bei specialiai el. pašto sistemai skirtų incidentų reagavimo planų parengimą.

Veiklos tęstinumas

Be to, svarbu užtikrinti, kad el. pašto paslauga galėtų veikti nuolat. DORA reikalauja vykdyti atsarginio kopijavimo ir atstatymo planus, kad galimi trikdžiai neturėtų įtakos vidiniam ir išoriniam bendravimui, kuris finansų sektoriuje dažnai yra griežtai reglamentuotas.

Ryšys tarp DORA, GDPR ir skaitmeninės suvereniteto

DORA reglamentas ir el. pašto valdymas glaudžiai susiję su GDPR reikalavimais, ypač dėl asmens duomenų apsaugos. Europos teisės aktai akcentuoja skaitmeninį suverenitetą – kontrolę ir apsaugą, esančią Europos teritorijoje, kad jautri informacija nesklendžiotų neprižiūrimuose aplinkose.

Reglamentas stiprina šį principą, reikalaujant griežtos kontrolės tiekėjų ir išorinių ICT infrastruktūrų atžvilgiu. Tai reiškia, kad svarbu pasirinkti patikimus partnerius, galinčius užtikrinti compliance, saugumą ir valdymą, atitinkančius abu reikalavimus.

Organizacijų atsakomybė renkantis el. pašto tiekėją

IT, atitikties ir saugumo specialistai turi atsakingai vertinti el. pašto paslaugų teikėjus, atsižvelgiant į:

• Techninį patikimumą: infrastruktūras su aukštais saugumo ir prieinamumo standartais;
• Valdymą: aiškumą, kas valdo duomenis ir skaidrią saugumo politiką;
• Operatyvinį atsparumą: gebėjimą užtikrinti tęstinumą net atliekant atakas ar gedimus;
• Normatyvinį atitikimą: suderinamumą su DORA ir GDPR;
• Skaitmeninės suvereniteto stiprinimą: duomenų centrų Europoje politiką, aiškias duomenų tvarkymo ir prieigos kontrolės taisykles.

Šiuo atveju puikiai tinka paslauga kaip MailProfessionale.com. Tai Europos sprendimas, išsiskiriantis atitikimu GDPR, stipriu privatumo saugumu ir lokalizuota infrastruktūra Europoje. Jis siūlo pažangius saugumo sprendimus ir skaidrią valdymo politiką – esminis aspektas, siekiant laikytis DORA reikalavimų el. pašto valdyme.

ICT tiekėjų ir trečių šalių valdymo iššūkiai pagal DORA

DORA itin pabrėžia išanalizuotą ICT tiekėjų valdymą, ypač kai jie valdo svarbias infrastruktūras, įskaitant el. pašto sistemas. Organizacijos turi įgyvendinti:

• Rizikos įvertinimus kiekvienam tiekėjui;
• Nuolatinį saugumo ir atsparumo stebėjimą;
• Kontraktus su aiškiomis nuostatomis dėl saugumo ir duomenų apsaugos;
• Veiksmų planus ICT incidentų atveju;
• Periodinius auditų ir transparencijos ataskaitų rengimą.

Kaip pasiruošti naujoms skaitmeninėms iššūkiams su DORA

1. Sudaryti ICT infrastruktūros ir el. pašto srautų žemėlapį

Identifikuoti kritinius taškus ir duomenų srautus per el. paštą, integruoti juos į bendrą rizikos valdymo sistemą.

2. Stiprinti el. pašto paslaugos saugumą

Įdiegti multifaktorinę autentifikaciją, šifravimą, nuolatinį stebėjimą ir anomalijų aptikimo sistemas.

3. Paruošti tęstinumo ir incidentų valdymo planus

Įtraukti el. paštą į atkūrimo planus ir sudaryti aiškius incidentų valdymo procesus.

4. Atsakingai vertinti tiekėjus

Nustatyti išsamius vertinimo ir kontrolės kriterijus, labiausiai pasirenkant europinius sprendimus, kaip MailProfessionale.com, siekiant užtikrinti skaitmeninį suverenitetą ir GDPR atitiktį.

Išvada

Su DORA įsigaliojimu, el. paštas nebėra antraeilis dalykas finansų įstaigų ICT ekosistemoje. Jis turi būti tvarkomas kaip kritinė infrastruktūra, nes nuo jo priklauso saugumas, teisėtumas ir veiklos tęstinumas. Patikimo el. pašto tiekėjo pasirinkimas, atitinkantis DORA ir GDPR, dabar yra strateginis sprendimas. Puikus pradžios taškas – platformos kaip MailProfessionale.com analizė, kuri savo pasiūlyme akcentuoja privatumą ir skaitmeninį suverenitetą.

Norėdami sužinoti daugiau apie techninius reikalavimus ir naujausias gaires, rekomenduojame ieškoti informacijos Google: DORA reglamentas ICT saugumui ir būti nuolat informuotiems apie geriausias praktikas ir teisės naujoves.