การนำทางความยืดหยุ่นในการดำเนินงานในภาคการเงิน: คู่มือสำหรับ CISO

ภาคการเงินนั้นคุ้นเคยกับการกำกับดูแลที่เข้มงวดอยู่แล้ว แต่พระราชบัญญัติความยืดหยุ่นในการดำเนินงานด้านดิจิทัลของสหภาพยุโรป (DORA) ถือเป็นการเปลี่ยนแปลงกระบวนทัศน์ที่สำคัญ มันยกระดับความยืดหยุ่นในการดำเนินงานด้านดิจิทัลให้มีความสำคัญเชิงกลยุทธ์ โดยกำหนดกรอบการทำงานที่ครอบคลุมสำหรับการจัดการความเสี่ยง ICT, การรายงานเหตุการณ์, การทดสอบความยืดหยุ่น และการกำกับดูแลบุคคลที่สาม สำหรับ CISO และวิศวกรความมั่นคงปลอดภัยภายในองค์กรทางการเงิน DORA ไม่ใช่แค่เพียงการทำเครื่องหมายในช่องการปฏิบัติตามข้อกำหนดอีกต่อไป แต่เป็นการประเมินใหม่ขั้นพื้นฐานว่าความเสี่ยงด้านดิจิทัลถูกระบุ จัดการ และบรรเทาอย่างไรทั่วทั้งระบบนิเวศการดำเนินงาน ภูมิทัศน์การกำกับดูแลกำลังเปลี่ยนแปลงไป โดยผลักดันให้บริษัทต่างๆ ต้องแสดงให้เห็นถึงความยืดหยุ่นที่จับต้องได้และทดสอบได้ แทนที่จะเป็นเพียงนโยบายบนกระดาษ

เกิดอะไรขึ้น

พระราชบัญญัติความยืดหยุ่นในการดำเนินงานด้านดิจิทัลของสหภาพยุโรป (DORA) เป็นกฎระเบียบสำคัญที่เป็นจุดศูนย์กลางสำหรับองค์กรทางการเงินทั่วสหภาพยุโรป ข้อกำหนดของ DORA กำลังเริ่มบังคับใช้กับบริษัทเหล่านี้ ซึ่งหมายความว่าองค์กรทางการเงินที่อยู่ภายใต้การกำกับดูแลกำลังดำเนินงานภายใต้อิทธิพลโดยตรงของ DORA กฎระเบียบนี้มีวัตถุประสงค์เพื่อประสานและเสริมสร้างขีดความสามารถในการจัดการความเสี่ยง ICT ของภาคการเงิน เพื่อให้มั่นใจว่าบริษัทต่างๆ สามารถต้านทาน ตอบสนอง และฟื้นตัวจากการหยุดชะงักและภัยคุกคามที่เกี่ยวข้องกับ ICT ทุกประเภท

DORA บังคับใช้กับองค์กรทางการเงินที่หลากหลาย รวมถึงธนาคาร, สถาบันการชำระเงินและเงินอิเล็กทรอนิกส์, บริษัทลงทุน, บริษัทประกันภัย, บริษัทรับประกันภัยต่อ, ผู้จัดการกองทุน, ผู้ให้บริการสินทรัพย์ดิจิทัล และสถานที่ซื้อขาย ที่สำคัญ DORA ยังขยายขอบเขตไปยังผู้ให้บริการ ICT บุคคลที่สามที่สำคัญ โดยอยู่ภายใต้การกำกับดูแลของสหภาพยุโรปโดยเฉพาะ ขอบเขตที่กว้างขวางนี้เน้นย้ำถึงลักษณะที่เชื่อมโยงกันของระบบนิเวศทางการเงิน และศักยภาพของความเสี่ยงเชิงระบบที่เกิดจากจุดเดียวของความล้มเหลวภายในห่วงโซ่อุปทานดิจิทัล

หลักการสำคัญของ DORA กำหนดให้องค์กรทางการเงินต้องสร้างและรักษากรอบการบริหารจัดการความเสี่ยง ICT ที่แข็งแกร่ง กรอบการทำงานนี้ต้องครอบคลุมกลยุทธ์ นโยบาย และขั้นตอนที่จัดทำเป็นเอกสาร ซึ่งต้องได้รับการอนุมัติและทบทวนอย่างสม่ำเสมอโดยคณะกรรมการบริหาร ข้อกำหนดสำคัญยังรวมถึงกระบวนการที่มีโครงสร้างสำหรับการจัดการเหตุการณ์ ICT พร้อมด้วยเกณฑ์การจัดประเภทที่ชัดเจน และการรายงานเหตุการณ์สำคัญต่อหน่วยงานที่เกี่ยวข้องเป็นภาคบังคับ นอกจากนี้ DORA ยังกำหนดโปรแกรมการทดสอบความยืดหยุ่นตามสัดส่วน รวมถึงการทดสอบการเจาะระบบที่นำโดยภัยคุกคาม (TLPT) สำหรับองค์กรบางแห่ง และการควบคุมที่เข้มงวดเหนือผู้ให้บริการ ICT บุคคลที่สาม รวมถึงการรักษาสมุดทะเบียนข้อมูลเกี่ยวกับสัญญา ICT และข้อกำหนดตามสัญญาที่เป็นภาคบังคับ

แม้ว่าเหตุการณ์สำคัญของ DORA กำลังจะมาถึง ผลกระทบเต็มรูปแบบของ DORA ยังคงดำเนินต่อไป การเปลี่ยนแปลงกฎระเบียบที่สำคัญอื่นๆ ก็กำลังปรับเปลี่ยนการปฏิบัติตามกฎระเบียบในปีต่อๆ ไป โดยมีกำหนดเวลาที่แตกต่างกันในกฎระเบียบต่างๆ สิ่งนี้บ่งชี้ถึงภูมิทัศน์กฎระเบียบที่ซับซ้อนและกำลังพัฒนา ซึ่งบริษัททางการเงินต้องจัดการกับภาระผูกพันในการปฏิบัติตามกฎระเบียบที่หลากหลายและมักจะทับซ้อนกันไปพร้อมกัน ความท้าทายไม่ใช่แค่การปฏิบัติตามข้อกำหนดแต่ละข้อ แต่เป็นการสร้างระบบหลักฐานการดำเนินงานแบบบูรณาการที่สามารถจัดการกับกรอบการทำงานที่หลากหลายเหล่านี้ รวมถึง NIS2 และ Cyber Resilience Act ไปพร้อมกัน

ทำไมรูปแบบนี้จึงเกิดซ้ำๆ

รูปแบบของแรงกดดันด้านกฎระเบียบที่เพิ่มขึ้นในเรื่องความยืดหยุ่นในการดำเนินงานด้านดิจิทัลไม่ได้เกิดขึ้นโดยพลการ แต่เป็นการตอบสนองโดยตรงต่อความถี่ ความซับซ้อน และผลกระทบที่เพิ่มขึ้นของเหตุการณ์ทางไซเบอร์ต่อภาคการเงิน ในขณะที่บริการทางการเงินมีการเปลี่ยนผ่านสู่ดิจิทัลและเชื่อมโยงถึงกันมากขึ้น การพึ่งพาระบบ ICT ที่ซับซ้อนและผู้ให้บริการบุคคลที่สามก็เพิ่มขึ้นอย่างทวีคูณ การพึ่งพานี้ก่อให้เกิดช่องทางการโจมตีใหม่ๆ และขยายศักยภาพของการหยุดชะงักในวงกว้าง ทำให้ความยืดหยุ่นทางดิจิทัลเป็นเรื่องของความมั่นคงทางการเงินเชิงระบบ

แนวทางการปฏิบัติตามกฎระเบียบแบบดั้งเดิมมักมุ่งเน้นไปที่เอกสารและนโยบาย ซึ่งสร้างความรู้สึกปลอดภัยที่ผิดพลาดโดยไม่จำเป็นต้องปรับปรุงความยืดหยุ่นในการดำเนินงานจริง ผู้กำกับดูแลได้เรียนรู้ว่าการปฏิบัติตามกฎระเบียบบนกระดาษไม่เพียงพอเมื่อเผชิญกับภัยคุกคามที่เปลี่ยนแปลงและปรับตัวได้ ดังนั้น DORA จึงเปลี่ยนจุดเน้นจากการยึดมั่นตามทฤษฎีไปสู่การพิสูจน์ความยืดหยุ่นที่สามารถตรวจสอบได้และใช้งานได้จริง โดยมุ่งมั่นที่จะรับรองว่าองค์กรทางการเงินไม่เพียงแต่สามารถระบุความเสี่ยงได้ แต่ยังสามารถจัดการ ทดสอบ และตอบสนองต่อความเสี่ยงเหล่านั้นในสถานการณ์จริงได้อย่างกระตือรือร้น

การเชื่อมโยงถึงกันของระบบนิเวศทางการเงินหมายความว่าความล้มเหลวที่องค์กรใดองค์กรหนึ่งหรือผู้ให้บริการ ICT บุคคลที่สามที่สำคัญอาจมีผลกระทบเป็นลูกโซ่ทั่วทั้งตลาด DORA ได้กล่าวถึงเรื่องนี้อย่างชัดเจนโดยการทำให้มองเห็นได้ว่าผู้ให้บริการรายใดมีความเกี่ยวข้องกับตลาดการเงินมากจนความยืดหยุ่นของพวกเขาเป็นเรื่องของการกำกับดูแลตามกฎระเบียบ การตระหนักถึงความเสี่ยงร่วมกันและการดำเนินงานที่พึ่งพาอาศัยกันนี้ผลักดันให้เกิดความต้องการกฎระเบียบที่ครอบคลุมและบังคับใช้ได้มากขึ้น ซึ่งครอบคลุมทั้งห่วงโซ่อุปทานดิจิทัล เพื่อให้มั่นใจว่าความยืดหยุ่นไม่ใช่แค่ข้อกังวลภายในองค์กร แต่เป็นความรับผิดชอบร่วมกัน

ยุคของ 'การทำเครื่องหมายในช่อง' สำหรับความยืดหยุ่นทางดิจิทัลได้สิ้นสุดลงแล้ว ผู้กำกับดูแลในขณะนี้ต้องการหลักฐานการดำเนินงานที่แสดงให้เห็นได้ว่าระบบทางการเงินสามารถต้านทานและฟื้นตัวจากการโจมตีทางไซเบอร์ได้ ซึ่งผลักดันให้ CISO ต้องรวมความมั่นคงปลอดภัยเข้ากับการดำเนินธุรกิจอย่างต่อเนื่องและการจัดการบุคคลที่สามอย่างลึกซึ้ง

กลยุทธ์การโจมตีทีละขั้นตอน

ผู้โจมตีที่กำหนดเป้าหมายสถาบันทางการเงินดำเนินการด้วยความเข้าใจที่ชัดเจนเกี่ยวกับความพึ่งพาที่สำคัญของเป้าหมายและแรงกดดันด้านกฎระเบียบ กลยุทธ์ของพวกเขามักจะเริ่มต้นด้วยการสอดแนมอย่างกว้างขวาง โดยระบุผู้ให้บริการ ICT บุคคลที่สามที่สำคัญที่ให้บริการแก่หน่วยงานทางการเงินหลายแห่ง ผู้ให้บริการเหล่านี้เป็นเป้าหมายที่มีมูลค่าสูงเนื่องจากมีศักยภาพที่จะสร้างผลกระทบในวงกว้าง

การประนีประนอมในเบื้องต้นมักใช้ประโยชน์จากช่องโหว่ที่ทราบในระบบของบุคคลที่สามเหล่านี้ หรือกลยุทธ์วิศวกรรมสังคมที่ซับซ้อนต่อพนักงานของพวกเขา เมื่อเข้าไปในเครือข่ายของผู้ให้บริการที่สำคัญได้แล้ว ผู้โจมตีมุ่งมั่นที่จะสร้างความคงทนและยกระดับสิทธิ์ สิ่งนี้ช่วยให้พวกเขาสามารถเคลื่อนที่ในแนวนอน ซึ่งอาจเข้าถึงระบบและข้อมูลของลูกค้าทางการเงินหลายรายที่พึ่งพาผู้ให้บริการที่ถูกประนีประนอมนั้น

ขั้นตอนต่อไปเกี่ยวข้องกับการขโมยข้อมูลหรือการหยุดชะงัก การขโมยข้อมูลกำหนดเป้าหมายข้อมูลลูกค้าที่ละเอียดอ่อน บันทึกทางการเงิน หรือทรัพย์สินทางปัญญา ซึ่งสามารถนำไปขายหรือใช้ประโยชน์สำหรับการโจมตีเพิ่มเติมได้ การหยุดชะงัก ซึ่งมักจะผ่านแรนซัมแวร์หรือมัลแวร์ทำลายล้าง มีเป้าหมายที่จะทำให้ความสามารถในการดำเนินงานเป็นอัมพาต ซึ่งนำไปสู่การหยุดชะงักของบริการและความสูญเสียทางการเงิน เป้าหมายคือการสร้างผลกระทบสูงสุด โดยใช้ประโยชน์จากการพึ่งพาอาศัยกันที่ DORA มุ่งมั่นที่จะบรรเทา

สุดท้าย ผู้โจมตีมักจะพยายามปกปิดร่องรอยของตน โดยการลบบันทึกและปรับใช้เครื่องมือต่อต้านการพิสูจน์หลักฐานเพื่อขัดขวางความพยายามในการตอบสนองต่อเหตุการณ์ ความสำเร็จของพวกเขาขึ้นอยู่กับการใช้ประโยชน์จากช่องโหว่ระหว่างหน่วยงานและผู้ให้บริการของพวกเขา และความซับซ้อนโดยธรรมชาติของการจัดการความเสี่ยง ICT ตลอดห่วงโซ่อุปทานดิจิทัลที่ขยายออกไป การเน้นย้ำของ DORA ในการรายงานเหตุการณ์และการจัดการความเสี่ยงของบุคคลที่สามจะตอบโต้กลยุทธ์เหล่านี้โดยตรงโดยการเรียกร้องความโปร่งใสและการควบคุมเชิงรุก

สิ่งที่ผู้ป้องกันพลาดไป

ในหลายกรณี ผู้ป้องกันพลาดการทำงานร่วมกันที่สำคัญระหว่างการจัดการความเสี่ยง ICT ภายในองค์กรกับช่องโหว่ที่มีอยู่ในระบบนิเวศของบุคคลที่สาม แม้ว่าองค์กรทางการเงินมักมีการควบคุมความปลอดภัยภายในที่แข็งแกร่ง แต่การมุ่งเน้นไปที่สินทรัพย์โดยตรงบางครั้งก็บดบังความเสี่ยงทางอ้อมที่เกิดจากผู้ให้บริการที่จำเป็น DORA ได้กล่าวถึงเรื่องนี้อย่างชัดเจนโดยกำหนดให้มีการควบคุมผู้ให้บริการ ICT บุคคลที่สามอย่างใกล้ชิด รวมถึงสมุดทะเบียนข้อมูลเกี่ยวกับสัญญา ICT และข้อกำหนดตามสัญญาที่เป็นภาคบังคับ ซึ่งเน้นย้ำถึงพื้นที่ที่เคยประเมินต่ำไปของความเสี่ยง

ข้อผิดพลาดทั่วไปอีกประการหนึ่งคือการขาดการทดสอบความยืดหยุ่นในการดำเนินงานอย่างแท้จริง องค์กรหลายแห่งได้ทำการประเมินช่องโหว่และการทดสอบการเจาะระบบ แต่สิ่งเหล่านี้มักขาดแนวทางที่นำโดยภัยคุกคามและอิงตามสถานการณ์ที่ DORA กำหนดสำหรับหน่วยงานบางแห่ง ซึ่งหมายความว่าแม้ว่าส่วนประกอบแต่ละส่วนอาจมีความปลอดภัย แต่ความสามารถโดยรวมในการต้านทานการโจมตีที่ซับซ้อนแบบหลายขั้นตอนและกู้คืนได้อย่างมีประสิทธิภาพนั้นยังไม่ได้รับการตรวจสอบอย่างเพียงพอ การเรียกร้องของกฎระเบียบสำหรับโปรแกรมการทดสอบตามสัดส่วน รวมถึง TLPT นั้นมุ่งเป้าไปที่ช่องว่างนี้โดยตรง

นอกจากนี้ การจำแนกและการรายงานเหตุการณ์สำคัญที่เกี่ยวข้องกับ ICT บางครั้งขาดเกณฑ์ร่วมกันและกลไกการรายงานที่ทันเวลาที่จำเป็นในปัจจุบัน สิ่งนี้ได้ขัดขวางความเข้าใจที่เป็นหนึ่งเดียวของภูมิทัศน์ภัยคุกคามและขัดขวางความพยายามในการตอบสนองร่วมกัน การผลักดันของ DORA สำหรับกระบวนการจัดการเหตุการณ์และการรายงานที่เป็นมาตรฐานพยายามแก้ไขปัญหานี้ เพื่อให้มั่นใจว่าผู้กำกับดูแลและองค์กรทางการเงินอื่นๆ มีภาพที่ชัดเจนขึ้นเกี่ยวกับภัยคุกคามที่เกิดขึ้นใหม่และผลกระทบของภัยคุกคามเหล่านั้น

สุดท้าย แผนการดำเนินงานต่อเนื่องและการกู้คืน แม้ว่ามักจะมีอยู่จริง แต่ก็ไม่ได้ถูกทดสอบอย่างเข้มงวดหรือรวมเข้ากับกรอบการบริหารจัดการความเสี่ยง ICT ที่กว้างขึ้นเสมอไป การเน้นย้ำของกฎระเบียบเกี่ยวกับนโยบายความต่อเนื่องทางธุรกิจของ ICT แผนการตอบสนองและการกู้คืน และการสำรองข้อมูล เน้นย้ำถึงความสำคัญของการไม่เพียงแค่ป้องกันเหตุการณ์ แต่ยังรวมถึงการรับประกันการกลับสู่การดำเนินงานปกติอย่างรวดเร็วและมีประสิทธิภาพเมื่อเกิดเหตุการณ์ขึ้นอย่างหลีกเลี่ยงไม่ได้ ความล้มเหลวในการรวมองค์ประกอบเหล่านี้อย่างเต็มที่หมายความว่าการกู้คืนมักใช้เวลานานขึ้นและวุ่นวายกว่าที่จำเป็น

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

สำหรับ CISO และวิศวกรความมั่นคงปลอดภัยที่กำลังรับมือกับ DORA แนวทางเชิงรุกและมีโครงสร้างเป็นสิ่งสำคัญ นี่คือการดำเนินการที่เป็นรูปธรรมเพื่อเสริมสร้างความยืดหยุ่นในการดำเนินงานด้านดิจิทัล:

• ทำให้กรอบการบริหารจัดการความเสี่ยง ICT เป็นทางการ: ตรวจสอบให้แน่ใจว่ากลยุทธ์ นโยบาย และขั้นตอนที่จัดทำเป็นเอกสารสำหรับการจัดการความเสี่ยง ICT ได้รับการอนุมัติและทบทวนอย่างสม่ำเสมอโดยคณะกรรมการบริหาร โดยสอดคล้องกับข้อกำหนด DORA ที่เกี่ยวข้อง กรอบการทำงานนี้ต้องกำหนดบทบาท ความรับผิดชอบ และความรับผิดชอบทั่วทั้งองค์กรอย่างชัดเจน
• ใช้การจัดการเหตุการณ์ที่แข็งแกร่ง: สร้างและทดสอบกระบวนการจัดการเหตุการณ์ ICT ที่ครอบคลุม รวมถึงเกณฑ์การจัดประเภทที่ชัดเจนสำหรับเหตุการณ์สำคัญ พัฒนาขีดความสามารถในการรายงานเหตุการณ์สำคัญต่อหน่วยงานที่เกี่ยวข้องอย่างทันท่วงทีและแม่นยำ โดยปฏิบัติตามข้อกำหนดการรายงานเหตุการณ์ของ DORA
• เสริมสร้างการบริหารจัดการความเสี่ยงของบุคคลที่สาม: สร้างและรักษาสมุดทะเบียนข้อมูลโดยละเอียดของผู้ให้บริการ ICT บุคคลที่สามที่สำคัญทั้งหมด กำหนดและบังคับใช้ข้อกำหนดตามสัญญาที่สอดคล้องกับข้อกำหนด DORA รวมถึงกลยุทธ์การออกจากระบบและสิทธิ์ในการตรวจสอบ เพื่อให้มั่นใจในการกำกับดูแลสถานะความยืดหยุ่นของพวกเขาอย่างต่อเนื่อง
• ดำเนินการทดสอบความยืดหยุ่นตามสัดส่วน: พัฒนาและดำเนินการโปรแกรมการทดสอบตามสัดส่วน โดยรวมการทดสอบการเจาะระบบที่นำโดยภัยคุกคาม (TLPT) สำหรับหน่วยงานที่เกี่ยวข้อง สิ่งนี้ควรไปไกลกว่าการสแกนช่องโหว่พื้นฐานเพื่อจำลองสถานการณ์การโจมตีในโลกแห่งความเป็นจริงและตรวจสอบความสามารถในการกู้คืน
• พัฒนาและทดสอบแผนความต่อเนื่อง: ทบทวนและปรับปรุงนโยบายความต่อเนื่องทางธุรกิจของ ICT แผนการตอบสนองและการกู้คืน และกลยุทธ์การสำรองข้อมูล ทดสอบแผนเหล่านี้อย่างสม่ำเสมอผ่านการฝึกซ้อมที่สมจริง เพื่อให้มั่นใจว่าแผนเหล่านี้เป็นปัจจุบัน มีประสิทธิภาพ และสามารถกู้คืนฟังก์ชันที่สำคัญได้อย่างรวดเร็ว
• สร้างกลไกการแบ่งปันข้อมูล: ดำเนินการจัดเตรียมการแลกเปลี่ยนข้อมูลภัยคุกคามทางไซเบอร์ระหว่างหน่วยงานทางการเงิน สิ่งนี้ส่งเสริมสภาพแวดล้อมความปลอดภัยที่ร่วมมือกันและช่วยให้สามารถป้องกันเชิงรุกต่อภัยคุกคามที่เกิดขึ้นใหม่ ตามที่ DORA สนับสนุน
• จับคู่ DORA กับการปฏิบัติตามกฎระเบียบที่มีอยู่: ระบุส่วนที่ทับซ้อนและช่องว่างระหว่าง DORA และกฎระเบียบอื่นๆ (เช่น NIS2, Cyber Resilience Act) สร้างระบบหลักฐานการดำเนินงานแบบบูรณาการที่สามารถตอบสนองข้อกำหนดการปฏิบัติตามกฎระเบียบที่หลากหลายได้อย่างมีประสิทธิภาพ โดยนำข้อเท็จจริงและหลักฐานกลับมาใช้ใหม่เมื่อเหมาะสม ในขณะที่ยังคงรักษาการตัดสินใจด้านกฎระเบียบที่แยกจากกัน

การทดสอบการโจมตีสมัยใหม่จะตรวจจับสิ่งนี้ได้อย่างไร

การทดสอบการเจาะระบบแบบดั้งเดิมมักจะให้ภาพรวมของช่องโหว่ แต่ไม่ค่อยมีการจำลองการโจมตีที่ต่อเนื่องและหลายเวกเตอร์ที่กำหนดลักษณะของภัยคุกคามสมัยใหม่ นี่คือจุดที่การทดสอบการโจมตีอัตโนมัติ โดยเฉพาะอย่างยิ่งเมื่อรวมเข้ากับแพลตฟอร์มที่ขับเคลื่อนด้วยกรอบการทำงาน จะให้ข้อได้เปรียบที่สำคัญ แพลตฟอร์มดังกล่าว ซึ่งติดตั้ง Proofs of Concept (PoCs) ที่สามารถดำเนินการได้ จะระบุและตรวจสอบจุดอ่อนที่ DORA มุ่งมั่นที่จะแก้ไขอย่างเป็นระบบและเชิงรุก

แพลตฟอร์มของเรา ซึ่งใช้การทดสอบการโจมตีอัตโนมัติด้วย PoCs ที่สามารถดำเนินการได้ จะทำการตรวจสอบโครงสร้างพื้นฐานดิจิทัลขององค์กรทางการเงินอย่างเป็นระบบ รวมถึงการพึ่งพาบุคคลที่สามด้าน ICT ที่สำคัญ มันจะก้าวข้ามการตรวจจับช่องโหว่ธรรมดาไปสู่การใช้ประโยชน์จากจุดอ่อนที่ระบุโดยอัตโนมัติ โดยแสดงให้เห็นถึงผลกระทบและขอบเขตที่แท้จริงของการละเมิดที่อาจเกิดขึ้น ตัวอย่างเช่น มันสามารถจำลองสถานการณ์ที่ผู้โจมตีเข้าถึงระบบเริ่มต้นผ่านผู้จำหน่ายบุคคลที่สามที่ถูกประนีประนอม และจากนั้นพยายามเคลื่อนที่ในแนวนอนเข้าสู่ระบบหลักของบริษัททางการเงิน

การทดสอบประเภทนี้จะเผยให้เห็นช่องว่างที่สำคัญในกรอบการบริหารจัดการความเสี่ยง ICT โดยการตรวจสอบว่านโยบายที่จัดทำเป็นเอกสารสามารถนำไปสู่การควบคุมที่มีประสิทธิภาพได้หรือไม่ มันจะทดสอบประสิทธิภาพของกลไกการตรวจจับและการตอบสนองต่อเหตุการณ์โดยการเรียกการแจ้งเตือนที่สมจริงและสังเกตปฏิกิริยาของบริษัท ที่สำคัญ มันจะให้หลักฐานที่เป็นรูปธรรมและสามารถดำเนินการได้ของความยืดหยุ่นในการดำเนินงาน (หรือการขาดความยืดหยุ่น) โดยการแสดงให้เห็นว่าผู้โจมตีสามารถหยุดชะงักบริการหรือขโมยข้อมูลได้อย่างไร ทำให้บริษัทสามารถแก้ไขได้ก่อนที่จะมีการตรวจสอบตามกฎระเบียบหรือเหตุการณ์จริง

ลักษณะอัตโนมัติของการทดสอบดังกล่าวช่วยให้มั่นใจได้ถึงการตรวจสอบอย่างต่อเนื่อง โดยก้าวข้ามการประเมินเป็นระยะไปสู่สถานะความมั่นคงปลอดภัยที่เปิดใช้งานตลอดเวลา PoCs ที่สามารถดำเนินการได้ให้หลักฐานที่ปฏิเสธไม่ได้ของการใช้ประโยชน์ได้ ขจัดความคลุมเครือและผลักดันการแก้ไขปัญหาที่ตรงเป้าหมาย แนวทางนี้จะให้หลักฐานการดำเนินงานที่จำเป็นแก่ CISO เพื่อตอบสนองข้อกำหนดที่เข้มงวดของ DORA สำหรับการทดสอบความยืดหยุ่น การกำกับดูแลบุคคลที่สาม และความพร้อมในการรับมือกับเหตุการณ์ โดยเปลี่ยนการปฏิบัติตามกฎระเบียบตามทฤษฎีให้เป็นความแข็งแกร่งด้านความปลอดภัยที่ตรวจสอบได้

สิ่งที่ต้องจับตาดูต่อไป

ภูมิทัศน์กฎระเบียบสำหรับบริการทางการเงินมีการพัฒนาอย่างต่อเนื่อง และ DORA เป็นเพียงส่วนหนึ่งของปริศนาที่ใหญ่กว่า องค์กรทางการเงินต้องคาดการณ์การบังคับใช้กฎระเบียบที่เข้มงวดขึ้น โดยเฉพาะอย่างยิ่งที่เกี่ยวข้องกับความเสี่ยงในห่วงโซ่อุปทานและความสมบูรณ์ของข้อมูล การทำงานร่วมกันระหว่าง DORA, NIS2 และ Cyber Resilience Act จะมีความสำคัญมากขึ้นเรื่อยๆ ซึ่งต้องใช้แนวทางที่เป็นหนึ่งเดียวสำหรับความยืดหยุ่นในการดำเนินงานที่ก้าวข้ามกรอบการทำงานแต่ละกรอบ จุดเน้นจะเปลี่ยนไปสู่การสร้างระบบหลักฐานเดียวที่สามารถทดสอบได้ ซึ่งสามารถตอบสนองภาระผูกพันที่หลากหลายเหล่านี้ได้พร้อมกัน แทนที่จะจัดการแต่ละข้อแยกกัน

คาดว่าจะมีการตรวจสอบที่เพิ่มขึ้นในด้าน 'การดำเนินงาน' ของความยืดหยุ่น ผู้กำกับดูแลจะไม่เพียงต้องการนโยบายที่จัดทำเป็นเอกสารเท่านั้น แต่ยังต้องการหลักฐานที่แสดงให้เห็นได้ว่าระบบและกระบวนการสามารถต้านทานภัยคุกคามในโลกแห่งความเป็นจริงได้ สิ่งนี้มีแนวโน้มที่จะเกี่ยวข้องกับข้อกำหนดที่กำหนดมากขึ้นสำหรับการทดสอบการเจาะระบบที่นำโดยภัยคุกคามและการรายงานเหตุการณ์ที่เป็นภาคบังคับ ซึ่งผลักดันให้บริษัทต่างๆ ลงทุนในขีดความสามารถในการทดสอบขั้นสูงและแผนการตอบสนองต่อเหตุการณ์ที่แข็งแกร่ง บทบาทของผู้ให้บริการ ICT บุคคลที่สามที่สำคัญก็จะยังคงเป็นพื้นที่สำคัญที่ต้องให้ความสำคัญ โดยมีศักยภาพในการกำกับดูแลและควบคุมเพิ่มเติมเพื่อให้แน่ใจว่าความยืดหยุ่นของพวกเขาตรงกับของหน่วยงานทางการเงินที่พวกเขาให้บริการ

สุดท้าย การเน้นย้ำในการแบ่งปันข้อมูลระหว่างหน่วยงานทางการเงินเกี่ยวกับภัยคุกคามทางไซเบอร์มีแนวโน้มที่จะทวีความรุนแรงขึ้น กลไกการป้องกันร่วมกัน ซึ่งอำนวยความสะดวกโดยข้อบังคับตามกฎระเบียบ จะกลายเป็นเรื่องธรรมดามากขึ้นเมื่ออุตสาหกรรมตระหนักถึงประโยชน์ร่วมกันของการแบ่งปันข้อมูลอัจฉริยะ สำหรับ CISO ปีต่อๆ ไปจะถูกกำหนดโดยความท้าทายอย่างต่อเนื่องในการแปลข้อกำหนดกฎระเบียบที่ซับซ้อนให้เป็นกลยุทธ์ความยืดหยุ่นในการดำเนินงานที่เป็นรูปธรรม ตรวจสอบได้ และมีการพัฒนาอย่างต่อเนื่อง