Konsultanci DORA i eksperci operacyjnej odporności cyfrowej

Konsultanci DORA porównują obowiązujące wymagania z zasadami zarządzania ryzykiem ICT i przekładają wykryte luki na zadania naprawcze ze wskazanymi właścicielami. Przypisują kontrole do obowiązków regulacyjnych oraz wskazują brakujące dowody, aby oddzielić zapisy polityk od zabezpieczeń działających w praktyce.

Zakres obejmuje inwentaryzację zasobów ICT i zależności usług biznesowych, a także ocenę ryzyka i raportowanie zarządcze. Eksperci aktualizują polityki z właścicielami kontroli oraz utrzymują dokumentację na potrzeby audytu wewnętrznego lub nadzoru. Uwzględniają obowiązki danej instytucji i zasadę proporcjonalności.

Specjaliści reagowania na incydenty dostosowują procedury operacyjne do wymagań DORA dotyczących klasyfikacji i zgłaszania incydentów. Ustalają odpowiedzialność za eskalację oraz przygotowują szablony zgłoszeń zgodne z właściwymi regulacyjnymi i wykonawczymi standardami technicznymi.

Łączą rejestry zgłoszeń serwisowych z obsługą incydentów bezpieczeństwa. Określają sposób gromadzenia dowodów oraz dokumentowania decyzji o zgłoszeniu. Ćwiczenia symulacyjne sprawdzają przekazywanie informacji między zespołami technicznymi a osobami odpowiedzialnymi za zgodność. Analiza rzeczywistych incydentów pozwala poprawić procedury tam, gdzie ujawniły się problemy z terminami lub klasyfikacją.

Eksperci operacyjnej odporności cyfrowej sprawdzają, czy usługi biznesowe o znaczeniu krytycznym można odtworzyć zgodnie z przyjętymi celami RTO i RPO. Weryfikują mapy zależności oraz przeprowadzają ćwiczenia odtwarzania według udokumentowanych procedur. Wykryte błędy zapisują jako techniczne zadania naprawcze.

Prace obejmują ocenę podatności i ćwiczenia oparte na scenariuszach zakłóceń. Gdy wymagane są testy penetracyjne pod kątem wyszukiwania zagrożeń (TLPT), specjaliści pomagają określić zakres i koordynują usuwanie luk z wykwalifikowanymi testerami. Stałe wsparcie obejmuje ponowne testy po zmianach infrastruktury oraz utrzymywanie dowodów usunięcia wykrytych słabości.

Konsultanci ryzyka związanego z zewnętrznymi dostawcami ICT oceniają zależności od usługodawców i utrzymują dokumentację potrzebną do bieżącego nadzoru. Współpracują z działami zakupów oraz prawnym przy usuwaniu luk. Oceniają zarówno zapisy umowne, jak i dowody zdolności dostawcy do utrzymania usług.

• Rejestr informacji: Porządkują dane o dostawcach i umowach zgodnie z właściwymi szablonami DORA. Wprowadzają kontrole poprawności oraz przypisują odpowiedzialność za aktualizacje.
• Ocena dostawców i plany wyjścia: Analizują ryzyko koncentracji i zależności od podwykonawców. Sprawdzają zgodność postanowień umownych z DORA oraz opracowują możliwe do przetestowania plany wyjścia dla usług wspierających funkcje krytyczne lub istotne.