17 stycznia 2025 roku zaczęło obowiązywać rozporządzenie DORA, które wpływa między innymi na procesy weryfikacji tożsamości w sektorze finansowym. DORA ma na celu zwiększenie operacyjnej odporności cyfrowej poprzez ujednolicenie wymagań dotyczących bezpieczeństwa i zarządzania ryzykiem cyfrowym. W niniejszym artykule przyjrzymy się temu, jakie zmiany wprowadza rozporządzenie DORA, co to jest i jakie konsekwencje niesie dla instytucji finansowych oraz ich klientów w zakresie weryfikacji tożsamości.
Z tego artykułu dowiesz się:
- Rozporządzenie DORA: co to jest i kogo dotyczy?
- Rozporządzenie DORA a weryfikacja tożsamości
- Podsumowanie
Rozporządzenie DORA: co to jest i kogo dotyczy?
Rozporządzenie DORA (Digital Operational Resilience Act) jest kluczowym aktem prawnym Unii Europejskiej, mającym na celu wzmocnienie operacyjnej odporności cyfrowej sektora finansowego. Wprowadzone regulacje mają za zadanie zabezpieczyć instytucje finansowe przed rosnącymi zagrożeniami cybernetycznymi, co jest szczególnie istotne w dobie coraz bardziej zaawansowanych ataków cyberprzestępczych. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2022/2554 definiuje ramy regulacyjne dla zarządzania ryzykiem ICT, raportowania incydentów oraz testowania systemów w instytucjach finansowych. Głównym celem rozporządzenia jest zwiększenie operacyjnej odporności cyfrowej, co w praktyce oznacza, iż instytucje finansowe muszą dostosować swoje systemy i procedury do nowych wymagań dotyczących cyberbezpieczeństwa. Co ważne organem odpowiedzialnym za weryfikowanie zgodności z rozporządzeniem DORA jest KNF (Komisja Nadzoru Finansowego). W przypadku braku wdrożenia zmian komisja może nałożyć kary finansowe.
Pięć filarów rozporządzenia DORA
Rozporządzenie DORA opiera się na pięciu filarach, które mają fundamentalne znaczenie dla sektora finansowego:
- Zarządzanie ryzykiem ICT: instytucje finansowe muszą wdrożyć odpowiednie strategie i procedury zarządzania ryzykiem związanym z technologiami informacyjno-komunikacyjnymi.
- Raportowanie incydentów: obowiązek regularnego raportowania poważnych incydentów związanych z bezpieczeństwem do odpowiednich organów nadzoru.
- Testowanie odporności cyfrowej: regularne testowanie systemów i procedur w celu oceny ich odporności na cyberzagrożenia.
- Zarządzanie ryzykiem zewnętrznych dostawców usług ICT: wymóg wykazania odporności dostawców usług ICT oraz efektywnego zarządzania relacjami z nimi.
- Wymiana informacji o cyberzagrożeniach: podmioty finansowe powinny dzielić się informacjami dotyczącymi zagrożeń cybernetycznych.
Kogo dotyczy rozporządzenie DORA?
Wiesz już, jakie są główne założenia rozporządzenia DORA i co to jest, teraz warto wspomnieć, kto musi je uwzględnić w swoich działaniach. Rozporządzenie DORA dotyczy szerokiego spektrum uczestników rynku finansowego w Unii Europejskiej, w tym instytucji kredytowych, firm inwestycyjnych, dostawców usług płatniczych, firm ubezpieczeniowych, a także wszystkich podmiotów zarządzających infrastrukturą rynków finansowych, takich jak giełdy czy dostawcy usług z zakresu kryptoaktywów. Rozporządzenie ma zastosowanie także do dostawców kluczowych usług cyfrowych dla sektora finansowego, w tym dostawców usług chmurowych i firm świadczących usługi w zakresie bezpieczeństwa cybernetycznego.
Warto wspomnieć, iż DORA wymaga od wszystkich tych instytucji wdrożenia odpowiednich procedur zarządzania ryzykiem oraz zapewnienia ciągłości działania, co ma istotne znaczenie dla stabilności finansowej w obrębie Unii Europejskiej. Każda z tych instytucji musi posiadać wyznaczone strategie, polityki, procedury i mechanizmy mające na celu minimalizowanie ryzyka cybernetycznego, które mogłoby wpłynąć na ich operacyjną stabilność.
Rozporządzenie DORA a weryfikacja tożsamości
Rozporządzenie DORA ma na celu wzmocnienie odporności instytucji finansowych na zagrożenia związane z cyberbezpieczeństwem. Jednym z istotnych elementów zapewnienia bezpieczeństwa jest weryfikacja tożsamości. Dlaczego obszar ten jest tak istotny w kontekście rozporządzenia DORA? Weryfikacja tożsamości użytkowników jest kluczowa, by zapewnić odpowiedni dostęp do krytycznych systemów i danych. Co to oznacza w praktyce? Instytucje finansowe powinny wdrożyć technologie, które sprawiają, iż dostęp do systemów krytycznych, w tym systemów transakcyjnych, będzie możliwy tylko dla autentycznych użytkowników i odpowiednio zweryfikowanych osób. W tym kontekście stosowanie silnych metod uwierzytelniania i szyfrowania danych wspiera spełnianie wymagań DORA i ogranicza ryzyko nieautoryzowanego dostępu.
Ponadto rozporządzenie DORA przewiduje, iż instytucje muszą posiadać odpowiednie procedury reagowania na incydenty związane z bezpieczeństwem. Zatem, w sytuacji naruszenia bezpieczeństwa, weryfikacja tożsamości może stanowić istotny element odzyskiwania dostępu do systemów i przywracania normalnej działalności. Sprawia także, iż tylko upoważnione osoby mają możliwość wykonania określonych działań naprawczych.
Aby spełnić wymagania DORA, instytucje muszą również wprowadzić odpowiednie procedury i technologie w zakresie zarządzania ryzykiem cybernetycznym. W tym przypadku weryfikacja tożsamości może stanowić element ochrony przed atakami typu „phishing” czy „brute force”, które mogą mieć na celu przejęcie konta użytkownika.
Weryfikacja tożsamości może obejmować procesy takie jak np.:
- wielopoziomowa weryfikacja (np. użycie uwierzytelniania wieloskładnikowego – MFA),
- zarządzanie uprawnieniami (ustalenie, kto ma dostęp do jakich zasobów),
- monitorowanie i audyt dostępu (rejestrowanie i analiza prób logowania oraz działań użytkowników).
Podsumowanie
W artykule przedstawiliśmy najważniejsze informacje na temat rozporządzenia DORA. Wyjaśniliśmy, co to jest i dlaczego weryfikacja tożsamości może być ważnym elementem w kontekście tego rozporządzenia. Zrozumienie i implementacja wymagań DORA to najważniejsze kroki dla instytucji finansowych, które chcą zwiększyć swoją odporność na ataki cybernetyczne oraz zapewnić bezpieczeństwo swoich operacji i danych klientów. Chcesz dowiedzieć się więcej? Skontaktuj się z nami! Nasi specjaliści odpowiedzą na wszystkie Twoje pytania i pomogą Ci wybrać odpowiedni dla Ciebie system weryfikacji tożsamości. Zachęcamy do sprawdzenia także, czym jest podpis elektroniczny.
