DORA: Từ Tuân Thủ Sang Mệnh Lệnh Chiến Lược trong Dịch Vụ Tài Chính EU

Bối cảnh quản lý rủi ro an ninh mạng và công nghệ trong các dịch vụ tài chính EU đã thay đổi cơ bản. Đạo luật Khả năng phục hồi hoạt động kỹ thuật số (DORA), chính thức là Quy định (EU) 2022/2554, đã chuyển từ một thời hạn sắp tới thành một kỳ vọng giám sát thực tế. Kể từ khi áp dụng trực tiếp, các tổ chức tài chính và các nhà cung cấp dịch vụ bên thứ ba ICT quan trọng của họ trên khắp EU đang điều hướng một kỷ nguyên mới của các yêu cầu về khả năng phục hồi hoạt động ràng buộc. Các cơ quan quản lý đã tích cực thu thập dữ liệu cần thiết về các sự cố, thỏa thuận thuê ngoài và các phụ thuộc bên thứ ba.

Điều gì đã xảy ra

Trong phần lớn hai năm qua, các công ty tài chính EU đã tập trung cao độ vào việc triển khai DORA. Ban giám đốc và các nhóm điều hành ưu tiên đáp ứng các thời hạn quy định, thiết lập các biện pháp kiểm soát toàn diện, lập tài liệu cấu trúc quản trị và đảm bảo tuân thủ. Giai đoạn ban đầu này, mặc dù đầy thách thức, đã nhằm mục đích giúp các công ty “hoạt động” với các quy định mới. Tuy nhiên, thời gian ân hạn hiện đã chính thức kết thúc, được đánh dấu bằng các hành động quản lý quan trọng và sự giám sát tăng cường.

Các cơ quan giám sát đã bắt đầu công bố tổng quan về sự cố, báo hiệu việc thực thi tích cực. Các yêu cầu đối với sổ đăng ký nhà cung cấp bên thứ ba ICT đã có hiệu lực, đòi hỏi cập nhật liên tục, chứ không chỉ là một lần gửi. Các nhà cung cấp dịch vụ đám mây quan trọng, bao gồm các siêu quy mô lớn, hiện đang chịu sự giám sát trực tiếp của EU, với một số nhà cung cấp dịch vụ CNTT được phân loại là bên thứ ba quan trọng, làm thay đổi cơ bản động lực trách nhiệm và đàm phán. Sự kết hợp của các sự kiện này, bao gồm việc đồng thời thúc đẩy các quy định quan trọng khác của EU, nhấn mạnh một thời điểm then chốt khi RegTech chuyển từ một danh mục thành một chiến lược sinh tồn.

Tại sao mô hình này cứ lặp lại

Mô hình lặp đi lặp lại của các công ty gặp khó khăn trong việc vượt ra ngoài việc tuân thủ các quy tắc kiểm tra bắt nguồn từ tham vọng vốn có của DORA. Quy định này được thiết kế để giải quyết một lỗ hổng quan trọng: trong khi các hệ thống kỹ thuật số trở thành trung tâm của tất cả các khía cạnh của dịch vụ tài chính, các quy tắc về rủi ro mạng và công nghệ vẫn không đồng đều giữa các quốc gia thành viên. DORA rõ ràng nâng rủi ro mạng vượt ra ngoài mối lo ngại về CNTT hậu cần, đặt trách nhiệm trực tiếp về giám sát rủi ro ICT lên các cơ quan quản lý. Sự thay đổi cơ bản này đòi hỏi một sự chuyển đổi văn hóa và hoạt động mà nhiều tổ chức thấy khó khăn để nhúng hoàn toàn sau thời hạn.

Ngoài ra, phạm vi toàn diện của DORA, bao gồm các ngân hàng, công ty bảo hiểm, công ty thanh toán, công ty đầu tư và các nhà cung cấp ICT lớn, có nghĩa là một hệ sinh thái rộng lớn và đa dạng phải thích ứng đồng đều. Năm trụ cột của DORA – quản lý rủi ro ICT, báo cáo sự cố, thử nghiệm khả năng phục hồi hoạt động kỹ thuật số, quản lý rủi ro bên thứ ba ICT và chia sẻ thông tin – đòi hỏi nỗ lực tích hợp, liên tục. Nhiều tổ chức mới chỉ thực hiện một phần các yêu cầu này, tạo tiền đề cho áp lực quản lý liên tục. Sự chuyển đổi từ các nghĩa vụ quốc gia rời rạc sang một chế độ ràng buộc trên toàn EU có nghĩa là không còn chỗ cho việc giải thích hoặc trì hoãn nữa.

Kịch bản tấn công theo từng bước

Trong khi DORA nhằm mục đích củng cố các biện pháp phòng thủ, chính sự phức tạp của các hệ sinh thái tài chính lại tạo cơ hội cho những kẻ tấn công. Kịch bản của chúng thường bắt đầu bằng việc khai thác các điểm yếu trong chuỗi cung ứng bên thứ ba, hiện đang được DORA giám sát chặt chẽ. Các tác nhân đe dọa nhắm mục tiêu vào các nhà cung cấp dịch vụ ICT kém trưởng thành hơn, sử dụng chúng làm cổng vào các thực thể tài chính lớn hơn. Sự liên kết được nhấn mạnh bởi trụ cột quản lý rủi ro bên thứ ba của DORA trở thành một con dao hai lưỡi.

Những kẻ tấn công cũng tận dụng bề mặt tấn công mở rộng được tạo ra bởi các dịch vụ và nhà cung cấp quan trọng. Chúng dò xét các cấu hình sai hoặc các lỗ hổng chưa được vá trong các hệ thống hỗ trợ thanh toán, giao dịch, cho vay và dịch vụ khách hàng. Các giai đoạn thay đổi đáng kể, chẳng hạn như chuyển đổi quy định, đôi khi có thể tạo ra các lỗ hổng mới khi các công ty nhanh chóng triển khai các giải pháp mà không củng cố chúng hoàn toàn. Cuối cùng, việc nhấn mạnh vào báo cáo sự cố theo DORA có nghĩa là bất kỳ hành vi vi phạm thành công nào, dù nhỏ đến đâu, cũng sẽ có tác động pháp lý ngay lập tức và đáng kể, gây áp lực lên các công ty phải tiết lộ và quản lý sự cố trong thời hạn chặt chẽ.

Điều mà các nhà phòng thủ đã bỏ lỡ

Nhiều tổ chức tài chính, mặc dù đã đầu tư đáng kể, ban đầu tập trung vào việc đáp ứng các quy định của pháp luật hơn là tinh thần của nó. Sự bỏ qua quan trọng thường là nhầm lẫn mức độ trưởng thành tuân thủ cao với khả năng phục hồi hoạt động thực sự. Tuân thủ, tự nó, chỉ chứng minh sự tuân thủ các tiêu chuẩn tối thiểu. Nó không tự động đảm bảo rằng lãnh đạo hiểu cách một sự gián đoạn cục bộ trong một nhà cung cấp dịch vụ ICT quan trọng có thể lan truyền qua các quy trình nội bộ phức tạp và các phụ thuộc bên thứ ba.

Một yếu tố bị bỏ lỡ khác là đánh giá thấp tính chất liên tục của DORA. Ví dụ, sổ đăng ký nhà cung cấp bên thứ ba ICT không phải là một tài liệu tĩnh; nó phải được cập nhật liên tục, và việc coi nó là một bài tập một lần sẽ dẫn đến thất bại kiểm toán. Hơn nữa, ý nghĩa của các bài kiểm tra xâm nhập do đe dọa dẫn đầu, đặc biệt đối với các tổ chức quan trọng về mặt hệ thống, bao gồm toàn bộ chuỗi cung ứng ICT, không được tất cả các bên nắm bắt hoặc chuẩn bị đầy đủ. Phạm vi của các bài kiểm tra này vượt xa các đánh giá bảo mật nội bộ truyền thống.

Sự chuyển đổi từ 'hoạt động' sang 'khả năng phục hồi có thể chứng minh' định nghĩa thực tế hoạt động mới cho các công ty tài chính EU theo DORA.

Danh sách kiểm tra phòng thủ thực tế

Để vượt ra ngoài việc tuân thủ đơn thuần và đạt được khả năng phục hồi có thể chứng minh, CISO và kỹ sư bảo mật nên ưu tiên các hành động sau:

• Cập nhật liên tục Sổ đăng ký bên thứ ba ICT: Coi sổ đăng ký là một tài liệu sống, năng động. Đảm bảo giám sát và đánh giá lại liên tục tất cả các phụ thuộc bên thứ ba quan trọng, bao gồm các nhà cung cấp dịch vụ đám mây.
• Chỉ đạo Giám sát rủi ro ICT cấp Hội đồng quản trị: Đảm bảo các cơ quan quản lý tích cực tham gia và hiểu rủi ro ICT. Đây không chỉ là vấn đề CNTT mà là mối quan tâm cốt lõi về khả năng phục hồi kinh doanh.
• Thực hiện Kiểm tra xâm nhập do đe dọa dẫn đầu: Chuẩn bị và tiến hành các bài kiểm tra xâm nhập do đe dọa dẫn đầu nâng cao, mở rộng phạm vi ra toàn bộ chuỗi cung ứng ICT, chứ không chỉ các hệ thống nội bộ.
• Tăng cường Khung báo cáo sự cố: Tinh chỉnh các quy trình báo cáo sự cố để đáp ứng các thời hạn chặt chẽ và các yêu cầu chi tiết của DORA. Thực hành các kịch bản báo cáo để đảm bảo hiệu quả dưới áp lực.
• Phát triển Kế hoạch phục hồi và ứng phó mạnh mẽ: Ngoài việc phát hiện, tập trung vào khả năng chịu đựng và phục hồi nhanh chóng sau sự gián đoạn nghiêm trọng. Kiểm tra các kế hoạch này một cách nghiêm ngặt và thường xuyên.
• Chủ động quản lý rủi ro nhà cung cấp dịch vụ đám mây: Trực tiếp liên hệ với các nhà cung cấp dịch vụ đám mây quan trọng để hiểu các chiến lược khả năng phục hồi của họ và đảm bảo tuân thủ các yêu cầu của DORA, tận dụng khung giám sát mới của EU.
• Nuôi dưỡng Văn hóa khả năng phục hồi hoạt động: Thúc đẩy một sự thay đổi văn hóa trong đó khả năng phục hồi được nhúng vào tất cả các quy trình, từ phát triển đến vận hành, trên toàn tổ chức.

Cách thức kiểm thử tấn công hiện đại có thể phát hiện điều này

Sự thiếu sót của các đánh giá bảo mật truyền thống trước các yêu cầu của DORA làm nổi bật sự cần thiết của kiểm thử tấn công nâng cao. Nền tảng của chúng tôi, với trọng tâm vào kiểm thử tấn công tự động và các Proof of Concept (PoC) có thể thực thi, sẽ đóng vai trò quan trọng. Một nền tảng như vậy vượt ra ngoài việc quét lỗ hổng hoặc thậm chí kiểm thử xâm nhập thủ công bằng cách liên tục mô phỏng các kỹ thuật tấn công trong thế giới thực trên toàn bộ hệ thống kỹ thuật số, bao gồm các tích hợp bên thứ ba quan trọng.

Bằng cách tạo ra các PoC có thể thực thi, nền tảng của chúng tôi cung cấp bằng chứng hữu hình về các con đường có thể khai thác, chứng minh không chỉ các lỗ hổng lý thuyết mà còn là tác động thực tế. Cách tiếp cận này sẽ tiết lộ cách một sự gián đoạn cục bộ trong dịch vụ ICT của bên thứ ba có thể lan truyền qua các quy trình quan trọng của một tổ chức, cung cấp những hiểu biết cụ thể về các lỗi hoạt động tiềm ẩn. Nó sẽ chủ động xác định các lỗ hổng trong phản ứng sự cố và các kế hoạch phục hồi bằng cách mô phỏng các cuộc tấn công nhiều giai đoạn bắt chước các tác nhân đe dọa tinh vi, chuẩn bị cho các công ty các bài kiểm tra xâm nhập do đe dọa dẫn đầu nghiêm ngặt hiện được DORA bắt buộc.

Điều cần theo dõi tiếp theo

Tương lai gần sẽ chứng kiến sự giám sát chặt chẽ hơn của các cơ quan quản lý. Các cơ quan giám sát sẽ tiếp tục công bố tổng quan về sự cố và các cơ quan quản lý quốc gia sẽ làm rõ các yêu cầu đối với các bài kiểm tra xâm nhập do đe dọa dẫn đầu. Các công ty tài chính nên mong đợi các hướng dẫn chi tiết về “giám sát hiệu quả” từ các thực thể liên quan, điều này sẽ định hình thêm các nghĩa vụ tuân thủ. Trọng tâm sẽ chuyển từ giai đoạn triển khai ban đầu sang một giai đoạn liên tục chứng minh và chứng tỏ khả năng phục hồi hoạt động. Câu hỏi không còn là “chúng ta cần xây dựng gì?” mà là “chúng ta đã bỏ lỡ điều gì?” và, quan trọng hơn, “làm thế nào để chúng ta liên tục chứng minh khả năng phục hồi của mình?” Sự phát triển không ngừng này đòi hỏi sự cảnh giác liên tục và một tư thế bảo mật chủ động, thay vì phản ứng.