От януари 2025 г. бизнесите във финансовия сектор на Европейския съюз ще трябва да се съобразяват с ново законодателство: Регламент з дигитална оперативна устойчивост (DORA). Базиран на предишни директиви, DORA създава цялостна рамка от политики и правила, насочени към укрепване на киберсигурността и осигуряване на устойчивост срещу постоянно еволюиращите киберзаплахи.
По-долу обобщаваме най-важните акценти от DORA и представяме конкретни примери за киберпрестъпления, с които финансовите организации се сблъскват в дигиталната епоха — заплахи, които това ново законодателство има за цел да предотврати.
Какво е DORA?
DORA е абревиатурата на Digital Operational Resilience Act (Регламент за дигитална оперативна устойчивост) — законодателен акт на ЕС, насочен към повишаване на киберсигурността и ИТ интегритета. Регламентът се прилага конкретно за бизнеси и организации във финансовия сектор.
Целта на този регламент е да гарантира, че всички компании в тази област разполагат с приложим списък от мерки, които да осигурят непрекъснатост на услугите и висока степен на защита на чувствителната информация, която обработват.
Европейският съюз прие DORA през януари 2023 г., предоставяйки на засегнатите организации двугодишен период за съответствие. От 17 януари 2025 г. всички засегнати бизнеси трябва да са осигурили съответствие с DORA.
За кои бизнеси се отнася DORA?
DORA е задължителен за всички организации в ЕС, които работят във финансовия сектор. Това включва, но не се ограничава до:
- Банки
- Застрахователни компании
- Инвестиционни фирми
- Кредитни институции
- Системи за обработка на плащания
- Финансови брокери и борси и др.
На практика всяко финансово дружество, базирано в ЕС, трябва да отговаря на изискванията на DORA. Трети страни, предоставящи критични услуги на европейски финансови компании, също трябва да спазват изискванията на DORA във взаимоотношенията си с европейски дружества.
Накратко за DORA
Защо е важен регламентът DORA?
Досега финансовите институции трябваше да се съобразяват с множество отделни директиви, препоръки и насоки. Сега DORA предоставя унифицирана правна рамка за ИТ сигурност и устойчивост, обединявайки точки, които преди това бяха разпръснати в различни директиви.
Така Регламентът за дигитална оперативна устойчивост стандартизира стъпките, които финансовите компании трябва да предприемат, за да защитят чувствителната информация, която потребителите им доверяват. Целта на DORA е да направи компаниите по-устойчиви на киберзаплахи и да предотврати изтичането на данни в дългосрочен план.
Финансовите институции са водещи в дигитализацията, отговаряйки на нарастващото търсене на онлайн услуги. Това често включва работа с множество доставчици на софтуер от трети страни, които улесняват техните операции. Сред тях са ИКТ (информационни и комуникационни технологии) инструменти като CRM и CMS решения, анти-зловреден софтуер и програми за откриване на измами, доставчици на доверителни услуги и други.
DORA представя детайлни, унифицирани политики, които помагат на финансовите организации да установят адекватни практики за управление на ИКТ риска както вътрешно, така и във връзка с трети страни, доставчици на ИКТ услуги.
Основни области на съответствие с DORA
Има пет основни глави в DORA, които бизнесите трябва да вземат предвид, за да постигнат съответствие.
Управление на ИКТ риска
Законодателството предлага задълбочени насоки за оценка на ИКТ риска и подготовка за потенциални киберзаплахи. Това включва протоколи за идентификация, откриване и предотвратяване на атаки, както и изграждане на устойчивост в рамките на организацията за минимизиране на риска.
DORA съдържа множество членове, които описват конкретни инструкции и правила, свързани с управление на риска, превенция, откриване, реакция, комуникация и непрекъснато изграждане на устойчивост срещу постоянно развиващите се киберзаплахи.
Инциденти, свързани с ИКТ
Съществена част от DORA е посветена на това как финансовите организации трябва да се справят и да докладват за инциденти, свързани с ИКТ. Има подробни описания на различните категории инциденти според тяхната тежест и инструкции как да бъдат докладвани.
Докладването е от критично значение при атаки или известни уязвимости. Въпреки че дадена организация може да бъде изкушена да запази мълчание, за да защити репутацията си, това може да изложи клиентите и свързаните партньори на недеклариран риск. Прозрачността при докладването на инциденти е от съществено значение, за да се гарантира, че трети страни, чийто софтуер е свързан със системите на засегнатия бизнес, също проверяват дали са афектирани.
Тестване на дигитална оперативна устойчивост
Съгласно DORA финансовите организации трябва редовно да провеждат задълбочени тестове, за да гарантират сигурността на своите операции. Законодателството описва какви инструменти и процедури трябва да бъдат въведени, за да се гарантира достатъчно задълбочено тестване. Законът също така кодифицира конкретни изисквания, на които трябва да отговарят тестващите, за да бъде процесът в съответствие.
Управление на риска, свързан с трети страни
Регламентът за дигитална оперативна устойчивост разглежда подробно рисковете, свързани с работата с външни доставчици на услуги.
Регулаторните органи имат допълнителна отговорност да определят кои доставчици на услуги са критични за функционирането на даден бизнес. След това DORA става задължителен за тези доставчици, дори ако те самите не оперират във финансовия сектор.
Споделяне на информация
И накрая, законодателството очертава как различните организации трябва да комуникират помежду си относно заплахи и инциденти, свързани с ИКТ. Тази рамка от правила насърчава по-голяма откритост и по-добър обмен на информация, което позволява на организациите да се учат една от друга, за да постигнат по-високо ниво на подготовка и устойчивост.
Основни заплахи за сигурността във финансовия сектор
През 2025 г. за банките и другите финансови организации предоставянето на услуги онлайн вече не е опция – задължително е. Онлайн услугите бяха тенденция още преди пандемията, но локдауните допълнително наложиха създаването на инфраструктура за онлайн банкиране и плащания, която светът бързо прие.
Но бързата дигитализация на финансовия сектор доведе и до също толкова напреднали нови заплахи: кибератаки. С дигитализирането на банковите сметки и портфейли най-важните данни и средства на потребителите вече се съхраняват онлайн, привличайки хакерите да намерят начини да ги откраднат.
Вече не става въпрос само за киберпрестъпници, за които финансовите организации трябва да се тревожат. Враждебни държави и правителства могат да предприемат кибератаки с цел компрометиране на финансовата система на съперничеща страна за експлоатация или политически натиск. Терористични организации, а дори и недоволни вътрешни служители, могат да изтекат данни или да прекъснат услугите.
За да илюстрираме по-добре основните заплахи за онлайн финансите, по-долу са изброени най-често срещаните заплахи, пред които секторът е изправен.
Фишинг измами
Във финансовия контекст фишинг измамите често представляват фалшиви имейли или текстови съобщения, които се маскират като легитимен бизнес или организация. Те изглеждат достоверни, като използват корпоративната идентичност на компанията. Целта е да накарат клиентите или служителите на организацията да последват зловреден линк, което позволява на киберпрестъпниците да получат достъп до лични или компанийни данни.
Според Anti-Phishing Work Group само през третото тримесечие на 2024 г. са отчетени близо един милион фишинг атаки. Освен това финансовите институции са третият най-атакуван сектор, като 13% от всички фишинг атаки са били насочени към тях. Платежните услуги, например PayPal или Google Pay, са петият най-засегнат сектор.
Атаки с изнудващ софтуер (Ransomware)
Понякога киберпрестъпниците могат да проникнат в софтуерната инфраструктура на финансова организация с цел да възпрепятстват нейните услуги. След това искат огромна сума (често в размер на милиони евро), за да „освободят“ данните на компанията и да ѝ позволят да възстанови нормалната си работа. Тези случаи са известни като рансъмуер атаки.
Тази киберзаплаха е особено болезнена за компаниите във финансовия сектор. Поради строгите регулации в индустрията, някои организации предпочитат да платят откупа и да запазят инцидента в тайна от обществото. По този начин те могат да избегнат налагането на по-високи глоби от регулаторните органи като наказание за допускането на атаката.
Компаниите, които не докладват ИКТ атаки на своите регулатори, клиенти, партньори и други заинтересовани страни, не спазват регулациите, тъй като такова поведение нарушава правилата за прозрачност. В същото време желанието на една организация да защити репутацията си може да бъде силен мотиватор да не докладва подобни инциденти. Именно на това разчитат киберпрестъпниците при рансъмуер атаките.
Според доклад на Sophos, през 2024 г. 59% от организациите в световен мащаб са били засегнати от рансъмуер атаки. Средната сума на откупите е била 2 милиона щатски долара. Във финансовия сектор 65% от компаниите са станали жертва на рансъмуер атаки през 2024 г.
Атаки чрез инжектиране на код (Injection Attacks)
Независимо дали става въпрос за локални файлове, SQL бази данни или други видове информация, тази категория кибератаки включва сценарии, при които хакерите инжектират зловреден код в системата на организацията, за да получат контрол върху нея. За разлика от рансъмуер атаките, тук престъпниците не искат откуп, а директно експлоатират данните, до които са получили достъп.
Примери за атаки чрез инжектиране във финансовия сектор включват въвеждане на зловреден код в логин формуляра или други полета, които чакат данни от потребителя, което позволява на нападателя неоторизиран достъп до профила и средствата в него.
Атаки за разпределен отказ на услуга (DDoS атаки)
Банките и други финансови компании могат да се окажат неспособни да предоставят услуги на своите клиенти, ако станат жертва на DDoS атака.
Според доклада за дигитална защита за 2024 г. на Microsoft, бизнесите са изправени пред нова заплаха – loop атаки. Според дефиницията на Microsoft, това е ситуация, при която киберпрестъпниците се възползват от критична слабост в протоколите на приложния слой, които разчитат на User Datagram Protocol (UDP). Тази уязвимост принуждава кода да създава цикъл от грешки, който прекъсва услугите. Този тип атака е много по-сложна и трудна за неутрализиране в сравнение с традиционните мрежови атаки.
Атаки върху веригата на доставки (Supply Chain Attacks)
Особено значими в контекста на DORA са атаките по веригата на доставки. При този тип заплаха киберпрестъпниците не атакуват директно организацията, а се насочват към нейните доставчици на услуги.
С други думи, компаниите могат да станат уязвими, ако техните външни доставчици имат пропуски в сигурността. Именно поради тази причина, в случаите когато даден доставчик на ИКТ услуги е от критично значение, изискванията за съответствие с DORA засягат и него.
Доставчици на квалифицирани удостоверителни услуги и DORA
Доставчиците на квалифицирани удостоверителни услуги (ДКУУ) като Evrotrust предоставят на финансовите организации софтуерни инструменти за сигурна дистанционна идентификация и юридически обвързващи електронни подписи. Продукти като квалифицирания електронен подпис, еID и електронното връчване играят ключова роля за това банките и други финансови институции да могат да подписват договори и да взаимодействат с клиентите си онлайн.
В резултат на това, ДКУУ-тата могат да бъдат класифицирани като критични доставчици на ИКТ услуги от трети страни съгласно DORA, в зависимост от степента, в която финансовите институции разчитат на техните услуги. С други думи, дали DORA се прилага за ДКУУ-та зависи от конкретната услуга, която финансовата организация използва от тях.
Например, Банка А не може да предостави достъп до онлайн банкови услуги на клиент, когото не може да идентифицира с висока степен на доверие. Именно затова ДКУУ-та могат да бъдат от критично значение за някои финансови организации.
Следователно, ако DORA класифицира даден ДКУУ като критичен за функционирането на един бизнес, правилата на DORA ще се прилагат и за него. Казано по-просто, можете да бъдете спокойни, че Evrotrust попада под същия правен надзор и сходни правила за дигитална оперативна устойчивост като вашата организация, когато става въпрос за критични функции. Това гарантира, че ние също спазваме високи изисквания и прилагаме детайлни проверки за киберсигурност и съответствие.
Освен това, съгласно DORA, ние сме задължени да докладваме за всички инциденти, свързани с ИКТ, ако такива възникнат, в случаите, в които сме класифицирани като критичен доставчик. По този начин нашите партньори могат да разчитат на по-голяма прозрачност и допълнителни гаранции за повишена сигурност от наша страна, в съответствие с всички разпоредби на DORA, които се прилагат за доставчици на ИКТ услуги от трети страни.
Свържете се с нас, за да научите как можем да предоставим силно защитени, надеждни и правно-съответстващи услуги за вашия бизнес.
Обобщение
Регламентът за дигитална оперативна устойчивост (DORA) вече е напълно в сила за финансовите институции и критично важните доставчици на ИКТ услуги. Този регламент хармонизира по-старите директиви за киберсигурност и има за цел да създаде по-стабилна рамка за защита на сектора и за обединената европейска финансова инфраструктура като цяло. Затова осигуряването на съответствие с DORA е ключова стъпка за защита срещу киберзаплахи и за повишаване на сигурността и устойчивостта на вашия бизнес.
Често задавани въпроси
Какво е DORA в Европейския съюз?
Терминът се отнася до Регламент ЕС 2022/2554, известен като Регламент за дигитална оперативна устойчивост (Digital Operational Resilience Act, накратко DORA). Той предоставя детайлна правна рамка за киберсигурността във финансовия сектор на ЕС.
Кога влиза в сила DORA?
Бизнесите имаха срок до 17 януари 2025 г., за да осигурят съответствие с Регламента за дигитална оперативна устойчивост. Законодателството вече е в сила и компаниите са задължени да се придържат към него.
Прилага ли се DORA за компании извън ЕС?
Въпреки че DORA е европейско законодателство, той се прилага и за компании извън ЕС, които предоставят критични ИКТ услуги на финансови институции в Европейския съюз.
Какви са последствията от неспазване на DORA?
Ако вашата организация не отговаря на изискванията на DORA, регулаторите могат да наложат сериозни глоби. Размерът на санкцията варира и зависи от това кое е по-високо: 2% от годишния общ оборот на компанията или 10 милиона евро.
Кой регулатор следи за спазването на DORA?
Този регламент е под контрола на Европейските надзорни органи (ESA). Това е съвместна инициатива на Европейския орган за банково управление (EBA), Европейския орган за застраховане и професионалнално пенсионно осигуряване (EIOPA), Европейския орган за ценни книжа и пазари (ESMA).
