การประเมิน DORA: จากการตรวจสอบการปฏิบัติตามข้อกำหนดสู่ความจำเป็นเชิงกลยุทธ์ในบริการทางการเงินของสหภาพยุโรป

ภูมิทัศน์สำหรับการจัดการความเสี่ยงด้านความปลอดภัยทางไซเบอร์และเทคโนโลยีในบริการทางการเงินของสหภาพยุโรปได้เปลี่ยนแปลงไปอย่างสิ้นเชิง พระราชบัญญัติความยืดหยุ่นในการดำเนินงานทางดิจิทัล (DORA) ซึ่งเป็นระเบียบข้อบังคับ (EU) 2022/2554 อย่างเป็นทางการ ได้เปลี่ยนจากกำหนดเวลาที่กำลังจะมาถึงไปสู่ความคาดหวังในการกำกับดูแลที่กำลังดำเนินการอยู่ นับตั้งแต่มีการบังคับใช้โดยตรง หน่วยงานทางการเงินและผู้ให้บริการ ICT บุคคลที่สามที่สำคัญทั่วสหภาพยุโรปกำลังเข้าสู่ยุคใหม่ของข้อกำหนดด้านความยืดหยุ่นในการดำเนินงานที่มีผลผูกพัน หน่วยงานกำกับดูแลกำลังรวบรวมข้อมูลที่จำเป็นเกี่ยวกับเหตุการณ์ การจัดเตรียมการจ้างงานภายนอก และการพึ่งพาบุคคลที่สามอย่างแข็งขัน

เกิดอะไรขึ้น

ในช่วงสองปีที่ผ่านมา บริษัททางการเงินในสหภาพยุโรปให้ความสำคัญกับการนำ DORA ไปใช้ คณะกรรมการและทีมผู้บริหารให้ความสำคัญกับการปฏิบัติตามกำหนดเวลาของกฎระเบียบ การจัดตั้งการควบคุมที่ครอบคลุม การจัดทำเอกสารโครงสร้างการกำกับดูแล และการรับรองการปฏิบัติตามข้อกำหนด ระยะเริ่มต้นนี้แม้จะมีความท้าทาย แต่ก็มีเป้าหมายเพื่อให้บริษัทต่างๆ "ใช้งานได้จริง" กับข้อกำหนดใหม่ อย่างไรก็ตาม ระยะเวลาผ่อนผันได้สิ้นสุดลงแล้วอย่างแน่นอน โดยมีการดำเนินการด้านกฎระเบียบที่สำคัญและการตรวจสอบที่เข้มข้นขึ้น

หน่วยงานกำกับดูแลได้เริ่มเผยแพร่ภาพรวมเหตุการณ์ ซึ่งบ่งชี้ถึงการบังคับใช้ที่แข็งขัน ข้อกำหนดสำหรับทะเบียนผู้ให้บริการ ICT บุคคลที่สามมีผลบังคับใช้ ซึ่งต้องการการอัปเดตอย่างต่อเนื่อง ไม่ใช่แค่การส่งครั้งเดียว ผู้ให้บริการคลาวด์ที่สำคัญ รวมถึง hyperscalers รายใหญ่ อยู่ภายใต้การกำกับดูแลโดยตรงของสหภาพยุโรปแล้ว โดยมีผู้ให้บริการด้านไอทีจำนวนหนึ่งถูกจัดประเภทเป็นบุคคลที่สามที่สำคัญ ซึ่งเปลี่ยนความรับผิดชอบและพลวัตการเจรจาโดยพื้นฐาน การบรรจบกันของเหตุการณ์เหล่านี้ รวมถึงความก้าวหน้าพร้อมกันของกฎระเบียบอื่นๆ ที่สำคัญของสหภาพยุโรป ตอกย้ำช่วงเวลาสำคัญที่ RegTech เปลี่ยนจากหมวดหมู่ไปสู่กลยุทธ์การอยู่รอด

ทำไมรูปแบบนี้ถึงเกิดขึ้นซ้ำแล้วซ้ำอีก

รูปแบบที่เกิดขึ้นซ้ำๆ ของบริษัทที่พยายามดิ้นรนที่จะก้าวข้ามการปฏิบัติตามข้อกำหนดแบบตรวจสอบกล่องนั้นเกิดจากความทะเยอทะยานโดยธรรมชาติของ DORA กฎระเบียบนี้ได้รับการออกแบบมาเพื่อแก้ไขช่องว่างที่สำคัญ: ในขณะที่ระบบดิจิทัลกลายเป็นศูนย์กลางของบริการทางการเงินทุกด้าน กฎความเสี่ยงด้านไซเบอร์และเทคโนโลยีก็ยังไม่เท่าเทียมกันในประเทศสมาชิก DORA ยกระดับความเสี่ยงด้านไซเบอร์อย่างชัดเจนให้เหนือกว่าความกังวลด้านไอทีของแผนกสนับสนุน โดยวางความรับผิดชอบโดยตรงสำหรับการกำกับดูแลความเสี่ยงด้าน ICT บนหน่วยงานบริหาร การเปลี่ยนแปลงพื้นฐานนี้ต้องใช้การเปลี่ยนแปลงทางวัฒนธรรมและการดำเนินงานที่องค์กรหลายแห่งพบว่ายากที่จะนำไปใช้ได้อย่างสมบูรณ์หลังกำหนดเวลา

นอกจากนี้ ขอบเขตที่ครอบคลุมของ DORA ซึ่งครอบคลุมธนาคาร บริษัทประกันภัย บริษัทชำระเงิน บริษัทลงทุน และซัพพลายเออร์ ICT รายใหญ่ หมายความว่าระบบนิเวศที่กว้างใหญ่และหลากหลายจะต้องปรับตัวให้สอดคล้องกัน เสาหลักทั้งห้าของ DORA – การจัดการความเสี่ยงด้าน ICT, การรายงานเหตุการณ์, การทดสอบความยืดหยุ่นในการดำเนินงานทางดิจิทัล, การจัดการความเสี่ยงของบุคคลที่สามด้าน ICT และการแบ่งปันข้อมูล – ต้องการความพยายามที่บูรณาการและต่อเนื่อง สถาบันหลายแห่งได้นำข้อกำหนดเหล่านี้ไปใช้เพียงบางส่วนเท่านั้น ซึ่งเป็นการปูทางสำหรับแรงกดดันด้านกฎระเบียบอย่างต่อเนื่อง การเปลี่ยนแปลงจากภาระผูกพันระดับชาติที่กระจัดกระจายไปสู่ระบอบที่มีผลผูกพันทั่วสหภาพยุโรปหมายความว่าไม่มีที่ว่างสำหรับการตีความหรือความล่าช้าอีกต่อไป

แผนการโจมตีทีละขั้นตอน

ในขณะที่ DORA มีเป้าหมายที่จะเสริมสร้างการป้องกัน ความซับซ้อนของระบบนิเวศทางการเงินกลับเปิดโอกาสให้ผู้โจมตี แผนการโจมตีของพวกเขามักจะเริ่มต้นด้วยการใช้ประโยชน์จากจุดอ่อนในห่วงโซ่อุปทานของบุคคลที่สาม ซึ่งขณะนี้อยู่ภายใต้การตรวจสอบอย่างเข้มข้นของ DORA ผู้คุกคามมุ่งเป้าไปที่ผู้ให้บริการ ICT ที่ยังไม่เติบโตเต็มที่ โดยใช้พวกเขาเป็นช่องทางเข้าสู่หน่วยงานทางการเงินขนาดใหญ่ ความเชื่อมโยงกันที่เน้นโดยเสาหลักการจัดการความเสี่ยงของบุคคลที่สามของ DORA กลายเป็นดาบสองคม

ผู้โจมตียังใช้ประโยชน์จากพื้นผิวการโจมตีที่ขยายใหญ่ขึ้นที่เกิดจากบริการและผู้จำหน่ายที่สำคัญ พวกเขาตรวจสอบการกำหนดค่าที่ผิดพลาดหรือช่องโหว่ที่ยังไม่ได้แก้ไขในระบบที่สนับสนุนการชำระเงิน การซื้อขาย การให้กู้ยืม และการบริการลูกค้า ช่วงเวลาของการเปลี่ยนแปลงที่สำคัญ เช่น การเปลี่ยนผ่านกฎระเบียบ บางครั้งอาจนำช่องโหว่ใหม่ๆ มาให้ เนื่องจากบริษัทต่างๆ ปรับใช้โซลูชันอย่างรวดเร็วโดยไม่ได้เสริมความแข็งแกร่งอย่างเต็มที่ สุดท้าย การเน้นการรายงานเหตุการณ์ภายใต้ DORA หมายความว่าการละเมิดที่ประสบความสำเร็จใดๆ ไม่ว่าจะเล็กน้อยเพียงใด ก็จะมีผลกระทบด้านกฎระเบียบในทันทีและสำคัญ ซึ่งเพิ่มแรงกดดันให้บริษัทต่างๆ เปิดเผยและจัดการเหตุการณ์ภายใต้กำหนดเวลาที่เข้มงวด

สิ่งที่ผู้ป้องกันพลาดไป

สถาบันทางการเงินหลายแห่ง แม้จะมีการลงทุนจำนวนมาก แต่ในตอนแรกก็มุ่งเน้นไปที่การปฏิบัติตามตัวบทกฎหมายมากกว่าเจตนารมณ์ของกฎหมาย การมองข้ามที่สำคัญมักจะเป็นการเข้าใจผิดว่าการปฏิบัติตามข้อกำหนดในระดับสูงคือความยืดหยุ่นในการดำเนินงานที่แท้จริง การปฏิบัติตามข้อกำหนดเพียงอย่างเดียวเป็นเพียงการพิสูจน์การปฏิบัติตามมาตรฐานขั้นต่ำเท่านั้น ไม่ได้รับประกันโดยธรรมชาติว่าผู้นำเข้าใจว่าการหยุดชะงักในท้องถิ่นในผู้ให้บริการ ICT ที่สำคัญอาจส่งผลกระทบต่อกระบวนการภายในที่ซับซ้อนและการพึ่งพาบุคคลที่สามได้อย่างไร

องค์ประกอบที่พลาดไปอีกประการหนึ่งคือการประเมินต่ำไปถึงลักษณะต่อเนื่องของ DORA ตัวอย่างเช่น ทะเบียนผู้ให้บริการ ICT บุคคลที่สามไม่ใช่เอกสารคงที่ แต่ต้องมีการอัปเดตอยู่เสมอ และการปฏิบัติต่อมันเป็นการดำเนินการเพียงครั้งเดียวจะนำไปสู่ความล้มเหลวในการตรวจสอบ นอกจากนี้ ผลกระทบของการทดสอบการเจาะระบบที่นำโดยภัยคุกคาม โดยเฉพาะอย่างยิ่งสำหรับสถาบันที่มีความสำคัญต่อระบบ ซึ่งครอบคลุมห่วงโซ่อุปทาน ICT ทั้งหมด ไม่ได้ถูกเข้าใจหรือเตรียมพร้อมอย่างเต็มที่โดยทุกคน ขอบเขตของการทดสอบเหล่านี้ขยายไปไกลกว่าการประเมินความปลอดภัยภายในแบบดั้งเดิม

การเปลี่ยนจาก 'การใช้งานจริง' ไปสู่ 'ความยืดหยุ่นที่พิสูจน์ได้' กำหนดความเป็นจริงในการดำเนินงานใหม่สำหรับบริษัททางการเงินในสหภาพยุโรปภายใต้ DORA

รายการตรวจสอบการป้องกันที่เป็นประโยชน์

เพื่อให้ก้าวข้ามการปฏิบัติตามข้อกำหนดและบรรลุความยืดหยุ่นที่พิสูจน์ได้ CISO และวิศวกรความปลอดภัยควรให้ความสำคัญกับการดำเนินการเหล่านี้:

• อัปเดตทะเบียนบุคคลที่สามด้าน ICT อย่างต่อเนื่อง: ปฏิบัติต่อทะเบียนเป็นเอกสารที่มีชีวิตและเปลี่ยนแปลงได้ ตรวจสอบและประเมินการพึ่งพาบุคคลที่สามที่สำคัญทั้งหมดอย่างต่อเนื่อง รวมถึงผู้ให้บริการคลาวด์
• กำหนดการกำกับดูแลความเสี่ยงด้าน ICT ระดับคณะกรรมการ: ตรวจสอบให้แน่ใจว่าหน่วยงานบริหารมีส่วนร่วมและเข้าใจความเสี่ยงด้าน ICT อย่างแข็งขัน นี่ไม่ใช่แค่ปัญหาด้านไอที แต่เป็นข้อกังวลหลักด้านความยืดหยุ่นทางธุรกิจ
• นำการทดสอบการเจาะระบบที่นำโดยภัยคุกคามไปใช้: เตรียมพร้อมและดำเนินการทดสอบการเจาะระบบที่นำโดยภัยคุกคามขั้นสูง ขยายขอบเขตไปยังห่วงโซ่อุปทาน ICT ทั้งหมด ไม่ใช่แค่ระบบภายใน
• เสริมสร้างกรอบการรายงานเหตุการณ์: ปรับปรุงกระบวนการรายงานเหตุการณ์เพื่อให้เป็นไปตามกำหนดเวลาที่เข้มงวดและข้อกำหนดโดยละเอียดของ DORA ฝึกสถานการณ์การรายงานเพื่อให้มั่นใจถึงประสิทธิภาพภายใต้ความกดดัน
• พัฒนากลยุทธ์การกู้คืนและการตอบสนองที่แข็งแกร่ง: นอกเหนือจากการตรวจจับแล้ว ให้มุ่งเน้นไปที่ความสามารถในการทนทานและกู้คืนจากการหยุดชะงักที่รุนแรงได้อย่างรวดเร็ว ทดสอบแผนเหล่านี้อย่างเข้มงวดและสม่ำเสมอ
• จัดการความเสี่ยงของผู้ให้บริการคลาวด์เชิงรุก: ติดต่อโดยตรงกับผู้ให้บริการคลาวด์ที่สำคัญเพื่อทำความเข้าใจกลยุทธ์ความยืดหยุ่นของพวกเขา และรับรองความสอดคล้องกับข้อกำหนดของ DORA โดยใช้กรอบการกำกับดูแลใหม่ของสหภาพยุโรป
• ส่งเสริมวัฒนธรรมของความยืดหยุ่นในการดำเนินงาน: ขับเคลื่อนการเปลี่ยนแปลงทางวัฒนธรรมที่ความยืดหยุ่นถูกฝังอยู่ในกระบวนการทั้งหมด ตั้งแต่การพัฒนาไปจนถึงการดำเนินงานทั่วทั้งองค์กร

การทดสอบเชิงรุกที่ทันสมัยจะจับสิ่งนี้ได้อย่างไร

ความไม่เพียงพอของการประเมินความปลอดภัยแบบดั้งเดิมเมื่อเผชิญกับความต้องการของ DORA เน้นย้ำถึงความจำเป็นในการทดสอบเชิงรุกขั้นสูง แพลตฟอร์มของเรา ซึ่งมุ่งเน้นไปที่การทดสอบเชิงรุกแบบอัตโนมัติและ Proofs of Concept (PoCs) ที่สามารถดำเนินการได้ จะเป็นประโยชน์อย่างยิ่ง แพลตฟอร์มดังกล่าวจะก้าวข้ามการสแกนช่องโหว่หรือแม้แต่การทดสอบการเจาะระบบด้วยตนเอง โดยการจำลองเทคนิคผู้โจมตีในโลกแห่งความเป็นจริงอย่างต่อเนื่องทั่วทั้งระบบดิจิทัลทั้งหมด รวมถึงการรวมระบบกับบุคคลที่สามที่สำคัญ

ด้วยการสร้าง PoCs ที่สามารถดำเนินการได้ แพลตฟอร์มของเราให้หลักฐานที่จับต้องได้ของเส้นทางการโจมตีที่สามารถใช้ประโยชน์ได้ ซึ่งแสดงให้เห็นไม่เพียงแค่ช่องโหว่ทางทฤษฎีเท่านั้น แต่ยังรวมถึงผลกระทบที่แท้จริงด้วย วิธีการนี้จะเปิดเผยว่าการหยุดชะงักในท้องถิ่นในบริการ ICT ของบุคคลที่สามอาจส่งผลกระทบต่อกระบวนการที่สำคัญขององค์กรได้อย่างไร โดยให้ข้อมูลเชิงลึกที่เป็นรูปธรรมเกี่ยวกับความล้มเหลวในการดำเนินงานที่อาจเกิดขึ้น มันจะระบุช่องว่างในการตอบสนองต่อเหตุการณ์และแผนการกู้คืนเชิงรุกโดยการจำลองการโจมตีหลายขั้นตอนที่เลียนแบบผู้คุกคามที่ซับซ้อน ซึ่งเตรียมบริษัทต่างๆ สำหรับการทดสอบการเจาะระบบที่นำโดยภัยคุกคามอย่างเข้มงวดที่ DORA กำหนดไว้ในขณะนี้

สิ่งที่ต้องจับตาดูต่อไป

ในอนาคตอันใกล้จะมีการตรวจสอบด้านกฎระเบียบที่เข้มข้นขึ้น หน่วยงานกำกับดูแลจะยังคงเผยแพร่ภาพรวมเหตุการณ์ต่อไป และหน่วยงานกำกับดูแลระดับชาติจะชี้แจงข้อกำหนดสำหรับการทดสอบการเจาะระบบที่นำโดยภัยคุกคาม บริษัททางการเงินควรคาดหวังแนวทางโดยละเอียดเกี่ยวกับการ "เฝ้าระวังที่มีประสิทธิภาพ" จากหน่วยงานที่เกี่ยวข้อง ซึ่งจะกำหนดภาระผูกพันในการปฏิบัติตามข้อกำหนดเพิ่มเติม จุดสนใจจะเปลี่ยนจากระยะเริ่มต้นของการนำไปใช้ไปสู่ช่วงเวลาที่ยั่งยืนของการแสดงให้เห็นและพิสูจน์ความยืดหยุ่นในการดำเนินงาน คำถามไม่ใช่ "เราต้องสร้างอะไร?" อีกต่อไป แต่เป็น "เราพลาดอะไรไป?" และที่สำคัญคือ "เราจะพิสูจน์ความยืดหยุ่นของเราได้อย่างไรอย่างต่อเนื่อง?" วิวัฒนาการอย่างต่อเนื่องนี้ต้องการความระมัดระวังอย่างสม่ำเสมอและท่าทีด้านความปลอดภัยเชิงรุก แทนที่จะเป็นเชิงรับ