قائمة التحقق من الامتثال لـ DORA في الأمن السيبراني

أصبح قانون المرونة التشغيلية الرقمية (DORA) ساري المفعول بالكامل، وتواجه المؤسسات المالية في أنحاء الاتحاد الأوروبي ضغوطًا متزايدة لإثبات إدارة قوية لمخاطر تقنية المعلومات والاتصالات ومرونة سيبرانية. ومع تشديد الرقابة التنظيمية وتطور التهديدات السيبرانية يوميًا، تحتاج المؤسسات إلى مسار واضح وقابل للتنفيذ نحو الامتثال. تقسّم قائمة التحقق هذه متطلبات الأمن السيبراني في DORA إلى ستة مجالات تركيز يمكن إدارتها. وسواء كنتم تقيّمون فجوات الامتثال أو تعززون الضوابط القائمة، ستخرجون بخطوات عملية لمواءمة وضع أمن الشبكة لديكم مع تفويضات لائحة DORA.

1. تحديد النطاق وربط الأنظمة بمتطلبات DORA

قبل معالجة ضوابط محددة، تحتاجون إلى رؤية كاملة لما يندرج تحت مظلة DORA. تمنع هذه الخطوة التأسيسية أوجه الإغفال المكلفة وتضمن أن تستهدف جهود الامتثال لديكم الأصول الصحيحة.

تحديد أنظمة تقنية المعلومات والاتصالات وأصول الشبكة ضمن النطاق

ابدأوا بفهرسة كل نظام من أنظمة تقنية المعلومات والاتصالات، وكل أصل شبكي، وكل خدمة رقمية تدعم عملياتكم المالية. ينطبق DORA على نطاق واسع، ويغطي كل شيء بدءًا من منصات الخدمات المصرفية الأساسية وصولًا إلى جدران الحماية التي تحميها.الإجراءات الرئيسية:

• ربط جميع الأصول وجدران الحماية والبيئات السحابية والخدمات الحيوية بمواد DORA ذات الصلة
• توثيق تبعيات الشبكة وتدفقات البيانات ونقاط التماس مع الأطراف الخارجية لدعم إدارة مخاطر الأطراف الخارجية.
• تحديد الأنظمة التي تُصنَّف على أنها "حيوية" ضمن إطار المرونة التشغيلية في DORA
• إنشاء جرد حي يراعي البنى الهجينة والمتعددة السحابات

تستهين العديد من المؤسسات بالتعقيد هنا. فتقنية المعلومات الخفية والأنظمة القديمة والبيئات السحابية المترامية تجعل الاكتشاف الشامل صعبًا. ويمكن لأدوات رؤية الأصول الآلية أن تكشف التبعيات الخفية التي تغفلها عمليات التدقيق اليدوية.

تقييم المواءمة بين الضوابط الحالية ومتطلبات DORA لمخاطر تقنية المعلومات والاتصالات

بعد تحديد نطاقكم، قيّموا مدى توافق ضوابط الأمن القائمة مع توقعات DORA.تشمل مجالات التركيز:

• مراجعة قواعد جدران الحماية ومعايير تجزئة الشبكة واستثناءات السياسات
• تحديد التكوينات التي تخلق تعرضًا غير ضروري للمخاطر
• تقييم تطبيق مبدأ الحد الأدنى من الامتيازات عبر سياسات الوصول إلى الشبكة
• تقييم ما إذا كانت الضوابط الحالية تحمي أنظمة تقنية المعلومات والاتصالات بالقدر الكافي من الوصول غير المصرح به والتهديدات السيبرانية

يمكن لـ قدرات إدارة سياسات الأمن من FireMon أن تسرّع هذا التقييم عبر رؤية مركزية وتحليل آلي للسياسات في البيئات المعقدة والمتعددة الموردين، مع دعم أكثر من 120 منصة جدار حماية ومنصة سحابية.

2. بناء إطار لإدارة مخاطر تقنية المعلومات والاتصالات متوائم مع DORA

يلزم DORA الكيانات المالية بوضع أطر شاملة لإدارة مخاطر تقنية المعلومات والاتصالات. وهذه ليست عملية تُنفَّذ مرة واحدة، بل تتطلب حوكمة مستمرة ومساءلة واضحة وتحسينًا متواصلًا.

ما هي الركائز الخمس لـ DORA؟

يساعدكم فهم بنية DORA على تنظيم برنامج الامتثال لديكم بفعالية. وقد بُنيت اللائحة حول خمس ركائز مترابطة:

1. إدارة مخاطر تقنية المعلومات والاتصالات - أطر شاملة لتحديد مخاطر تقنية المعلومات والاتصالات والحماية منها واكتشافها والاستجابة لها والتعافي منها
2. إدارة حوادث تقنية المعلومات والاتصالات - عمليات لاكتشاف الحوادث المتعلقة بتقنية المعلومات والاتصالات وتصنيفها والإبلاغ عنها
3. اختبار المرونة التشغيلية الرقمية - اختبارات منتظمة تشمل تقييمات الثغرات واختبارات الاختراق الموجهة بالتهديدات
4. إدارة مخاطر الأطراف الخارجية لتقنية المعلومات والاتصالات - الإشراف على مزودي خدمات تقنية المعلومات والاتصالات الخارجيين والموردين الحيويين كجزء من برنامج رسمي لإدارة مخاطر الأطراف الخارجية
5. تبادل المعلومات - ترتيبات طوعية لتبادل معلومات التهديدات السيبرانية

تطوير منهجيات تصنيف المخاطر وتسجيل درجاتها

تبدأ الإدارة الفعالة للمخاطر بتصنيف متسق وفهم واضح للمخاطر السيبرانية عبر بيئات تقنية المعلومات والاتصالات. ويتطلب DORA من المؤسسات تحديد مخاطر تقنية المعلومات والاتصالات وتصنيفها وتوثيقها بشكل منهجي.خطوات التنفيذ:

• تحديد عتبات المخاطر وفئاتها ومعايير الأثر بما يتوافق مع أحكام DORA (وبخاصة المواد 5.1 و8.2 و9.1 و9.4b/9.4c/9.4e و12.1)
• وضع منهجيات لتسجيل الدرجات تُرتِّب المخاطر حسب الأولوية بناءً على الأثر المحتمل على الأعمال واحتمالية الوقوع
• اعتبار التسجيل الآلي لدرجات المخاطر ممارسة فضلى للتقييم المستمر لنقاط ضعف السياسات وانتهاكات التجزئة والتهديدات الناشئة

لن تفي تقييمات المخاطر الثابتة والمرتبطة بنقطة زمنية واحدة بتوقعات DORA. فاللائحة تشدد على التحديد المستمر للمخاطر، ما يعني أن إطاركم يجب أن يتطور مع تغير بيئتكم.Risk Analyzer يدعم ذلك من خلال محاكاة مسارات الهجوم وترتيب أولويات المخاطر، ما يساعد الفرق على تحديد مخاطر أمن الشبكة وترتيبها بناءً على قابلية الاستغلال والأثر على الأعمال.

تطبيق الحوكمة عبر سياسات أمن الشبكة

تخلق السياسات المجزأة عبر البيئات المختلفة فجوات في الامتثال وتزيد المخاطر التشغيلية. ويتوقع DORA حوكمة متسقة بغض النظر عن موقع أنظمتكم.أولويات الحوكمة:

• توحيد هياكل السياسات عبر البيئات الهجينة والسحابية والمتعددة الموردين
• تحديد ملكية واضحة ومساءلة واضحة عن قرارات أمن الشبكة
• توثيق مبررات السياسات والاحتفاظ بسجل الإصدارات لأغراض التدقيق

الإدارة المركزية للسياسات تزيل أوجه عدم الاتساق التي تعاني منها المؤسسات التي تدير الأمن عبر منصات متعددة. وعندما يتبع كل جدار حماية وكل مجموعة أمان نموذج الحوكمة نفسه، يصبح إثبات الامتثال التنظيمي أمرًا مباشرًا.

3. تطبيق ضوابط المراقبة المستمرة وإدارة الحوادث

يولي DORA اهتمامًا كبيرًا باكتشاف الحالات الشاذة وإدارة الحوادث بفعالية والحفاظ على المرونة التشغيلية أثناء الاضطرابات. ولن تفي أوضاع الأمن التفاعلية بهذه المتطلبات.

ما ضوابط المراقبة المطلوبة للامتثال لـ DORA؟

المراقبة المستمرة ليست خيارًا بموجب DORA، بل هي أساس. فالكيانات المالية ملزمة باكتشاف التهديدات والتغييرات غير المصرح بها والثغرات قبل أن تتصاعد إلى اضطرابات تشغيلية.أفضل ممارسات المراقبة المتوافقة مع متطلبات DORA:

• انشروا قدرات اكتشاف التغييرات لتحديد التعديلات الخطرة أو غير المصرح بها على قواعد الجدار الناري وسياسات الأمان، إذ يمثل الاكتشاف في الوقت الفعلي توافقًا قويًا مع تركيز DORA على تحديد التهديدات في الوقت المناسب
• اضبطوا التنبيهات للمخالفات التي تهدد المرونة التشغيلية أو الامتثال التنظيمي، ولا سيما تلك التي تؤثر على تجزئة الشبكة أو ضوابط الحد الأدنى من الامتيازات
• راقبوا انحراف التهيئة الذي قد يُحدث ثغرات أمنية أو يُضعف عزل الشبكة
• تتبعوا أنماط الوصول وتغييرات السياسات عبر جميع قطاعات الشبكة

التحدي لا يكمن في جمع البيانات فحسب، بل في فهمها. فالمؤسسات التي تدير مئات الجدران النارية وآلاف القواعد تحتاج إلى تحليل آلي لفصل الإشارة عن الضجيج.المراقبة المستمرة للامتثال، مع قيمة خاصة في تحديد تآكل التجزئة وقواعد الوصول المفرطة التساهل.

ما هي متطلبات الإبلاغ عن الحوادث في DORA؟

يقدم DORA جداول زمنية محددة للإبلاغ عن الحوادث تتطلب عمليات معدة جيدًا. ويجب على المؤسسات إخطار السلطات بالحوادث الكبرى المتعلقة بتكنولوجيا المعلومات والاتصالات ضمن نوافذ زمنية ضيقة.متطلبات العملية:

• واءموا مسارات عمل الاكتشاف والتصعيد مع مواد DORA الخاصة بالإبلاغ عن الحوادث الكبرى
• حددوا معايير واضحة لتصنيف الحوادث على أنها "كبرى" استنادًا إلى المعايير الفنية لـ DORA
• أنشئوا قنوات تواصل مع السلطات الإشرافية الأوروبية المعنية
• أتمتوا جمع الأدلة من خلال سجلات تدقيق شاملة وسجل تاريخي للقواعد

عند وقوع حوادث سيبرانية، ستحتاجون إلى إثبات ما حدث بالضبط ومتى حدث وكيف استجبتم له. وتوفر مسارات التدقيق الآلية وتقارير الامتثال التوثيق الذي تتوقعه الجهات التنظيمية.

4. توحيد إدارة التغيير وعمليات دورة حياة السياسات

تمثل التغييرات غير المصرح بها أو سيئة الإدارة أحد أكبر التهديدات للأمان والامتثال معًا. ويتطلب DORA عمليات موثقة ومضبوطة لتعديل أنظمة تكنولوجيا المعلومات والاتصالات وسياسات الأمان.

ما عمليات إدارة التغيير التي يتوقعها DORA؟

التغييرات العشوائية تُحدث مخاطر. ويتوقع DORA من الكيانات المالية تطبيق إدارة تغيير رسمية مع إشراف وموافقة مناسبين.مكونات سير العمل:

• أنشئوا مسارات موافقة متوافقة مع الإشراف الحوكمي الذي يتطلبه DORA
• اشترطوا إجراء تقييم للمخاطر قبل تنفيذ التغييرات على الأنظمة الحرجة
• طبّقوا دورات مراجعة آلية كأفضل ممارسة لمنع تضخم السياسات وتكدس القواعد وانحراف مبدأ الحد الأدنى من الامتيازات
• طبّقوا الفصل بين المهام بين من يطلبون التغييرات ومن يوافقون عليها ومن ينفذونها

إدارة التغيير اليدوية لا يمكن توسيع نطاقها. فمع معالجة المؤسسات لمئات طلبات التغيير شهريًا، تساعد مسارات العمل الآلية على ضمان الاتساق مع الحفاظ على الحوكمة التي يتطلبها DORA. ويتولى Policy Planner من FireMon التحكم في عملية إدارة التغيير بالكامل، إذ يحلل التغييرات المقترحة على السياسات ويوصي بها ويفحصها تلقائيًا مقابل أفضل ممارسات الامتثال والأمان قبل التنفيذ، مما يمنع نشوء مخاطر جديدة أو مخالفات للامتثال.

الحفاظ على قابلية تدقيق كاملة لنشاط أمن الشبكة

سترغب الجهات التنظيمية في معرفة من غيّر ماذا ومتى ولماذا بالضبط. ومسارات التدقيق غير المكتملة تُنشئ مخاطر امتثال وتعيق التحقيقات في الحوادث.متطلبات قابلية التدقيق:

• تتبعوا كل تغيير في التهيئة عبر البيئات متعددة الموردين
• احتفظوا بسجلات تاريخية لحالات القواعد لأغراض التحليل الجنائي
• وثّقوا المبرر التجاري لكل تعديل على السياسات
• أنشئوا تقارير تدقيق جاهزة لـ DORA عند الطلب

Policy Optimizer يساعد على الحفاظ على مجموعات قواعد نظيفة وفعّالة من خلال تحديد القواعد المكررة أو المحجوبة أو المفرطة التساهل ومعالجتها، مع الحفاظ على سجل التدقيق الذي تحتاجه فرق الامتثال. وقد قلّصت مؤسسات وقت الإعداد للتدقيق من أسابيع إلى دقائق باستخدام قدرات إعداد التقارير لدى FireMon.

5. تعزيز إدارة مخاطر الأطراف الثالثة والإشراف على مزودي تكنولوجيا المعلومات والاتصالات

يولي DORA اهتمامًا كبيرًا بإدارة مخاطر الأطراف الثالثة، إدراكًا منه لاعتماد المؤسسات المالية المتزايد على مزودي تكنولوجيا المعلومات والاتصالات الخارجيين. ويجب أن يمتد برنامج الامتثال لديكم إلى ما هو أبعد من بنيتكم التحتية.

كيف يؤثر DORA على مزودي تكنولوجيا المعلومات والاتصالات من الأطراف الثالثة؟

يضع DORA متطلبات شاملة لإدارة علاقات الأطراف الثالثة في مجال تكنولوجيا المعلومات والاتصالات وما يرتبط بها من مخاطر. وتظل الكيانات المالية مسؤولة مسؤولية كاملة عن الوضع الأمني لمورديها، ويجب عليها تطبيق برامج إشراف قوية تشمل:

• المتطلبات التعاقدية: يفرض DORA أحكامًا تعاقدية محددة مع مزودي تكنولوجيا المعلومات والاتصالات، بما في ذلك الالتزامات الأمنية وحقوق التدقيق ومتطلبات الإخطار بالحوادث ومواصفات موقع البيانات
• استراتيجيات الخروج: يجب على المؤسسات الاحتفاظ بخطط خروج موثقة تضمن الانتقال المنظم بعيدًا عن المزودين الحرجين دون انقطاع الخدمة
• تقييم مخاطر التركّز: يتطلب DORA تقييم الاعتماد المفرط على مزودين بعينهم أو على مزودين تربطهم علاقات متشابكة قد تُنشئ مخاطر نظامية

من منظور أمن الشبكات، ينبغي على المؤسسات:

• فحص قواعد اتصال الموردين ومسارات الوصول عن بُعد
• تحديد الوصول المفرط التساهل الذي ينتهك مبادئ الحد الأدنى من الامتيازات
• مراجعة تجزئة الشبكة بين نقاط وصول الأطراف الثالثة والأنظمة الحرجة
• توثيق جميع مسارات الشبكة التي يستخدمها مزودو تكنولوجيا المعلومات والاتصالات من الأطراف الثالثة
• مراقبة أخطاء التهيئة التي قد توسّع وصول الموردين إلى ما يتجاوز النطاق التعاقدي.

يمكن لتحليلات أمن الشبكة أن تكشف أنماط الوصول ومخاطر الاتصال التي لا تكشفها مراجعات العقود وحدها. وفهم التعرض الفعلي للشبكة، وليس الشروط التعاقدية فقط، يوفر أدلة أساسية للإشراف الشامل على الأطراف الثالثة.

هل ينطبق DORA على الشركات من خارج الاتحاد الأوروبي؟

نعم. يمتد DORA إلى ما وراء حدود الاتحاد الأوروبي بطريقتين مهمتين. أولًا، يجب على الكيانات المالية من خارج الاتحاد الأوروبي التي تقدم خدمات داخله الامتثال له. ثانيًا، يقع مزودو خدمات تكنولوجيا المعلومات والاتصالات من الأطراف الثالثة الذين يدعمون المؤسسات المالية في الاتحاد الأوروبي ضمن النطاق، بغض النظر عن مقار إداراتهم. ويجب على مزودي الأطراف الثالثة الحرجين من خارج الاتحاد الأوروبي إنشاء شركة تابعة في الاتحاد الأوروبي خلال 12 شهرًا من تصنيفهم للبقاء مؤهلين لخدمة الكيانات المالية في الاتحاد الأوروبي.

مراقبة نشاط مزودي تكنولوجيا المعلومات والاتصالات والالتزام التعاقدي

يتطلب DORA إشرافًا مستمرًا على مزودي تكنولوجيا المعلومات والاتصالات من الأطراف الثالثة، وليس مجرد العناية الواجبة الأولية. ويجب على المؤسسات مراقبة أداء المزودين والحفاظ على الرؤية الواضحة لكيفية تفاعل الموردين مع أنظمتها.اعتبارات المراقبة:

• تتبّع اتصال الموردين وأنماط وصولهم مقارنةً بالمتطلبات التعاقدية
• مراقبة التغييرات غير المصرّح بها على قواعد وصول الأطراف الخارجية أو حدود التجزئة
• الاحتفاظ بأدلة أنشطة الإشراف لأغراض الفحص التنظيمي
• تقييم مدى توافق الوصول إلى الشبكة مع متطلبات الحد الأدنى من الامتيازات

من المهم ملاحظة أن وضوح رؤية أمن الشبكة يدعم الإدارة الشاملة لمخاطر الأطراف الخارجية ولا يحل محلها. فمتطلبات DORA الخاصة بالأطراف الخارجية تمتد لتشمل الأحكام التعاقدية، وتقييم مخاطر التركّز، واستراتيجيات الخروج، والعناية الواجبة المستمرة، وهي أمور تتطلب برامج حوكمة أوسع نطاقًا. توفّر FireMon الأدلة على مستوى الشبكة ووضوح الرؤية في الوصول، بما في ذلك التحقق من التجزئة ومراقبة تطبيق الحد الأدنى من الامتيازات، بما يكمّل هذه الجهود الشاملة. للاطلاع على سياق أعمق حول إدارة أمن الشبكة بما يتوافق مع لوائح الاتحاد الأوروبي، راجع دليلنا حول إدارة سياسات الجدار الناري للامتثال لـ NIS2 وDORA.

6. إرساء إجراءات الاختبار والتدقيق وإعداد التقارير

تفرض DORA إجراء اختبارات منتظمة لأنظمة تكنولوجيا المعلومات والاتصالات وقدرات المرونة التشغيلية الرقمية. ويؤكد الاختبار أن ضوابطكم تعمل على النحو المقصود، ويكشف نقاط الضعف قبل أن يجدها المهاجمون أو المدققون.

ما هو اختبار الاختراق القائم على التهديدات بموجب DORA؟

تقدّم DORA متطلبات اختبار متدرجة، أكثرها صرامة هو اختبار الاختراق القائم على التهديدات (TLPT). ويحاكي هذا الشكل المتقدم من اختبارات المرونة سيناريوهات هجوم واقعية استنادًا إلى معلومات التهديدات الحالية.عناصر برنامج الاختبار:

• جدولة اختبارات الاختراق وتقييمات الثغرات بانتظام
• إجراء عمليات تدقيق الامتثال مقارنةً بمتطلبات DORA
• اختبار إجراءات الاستجابة للحوادث واستمرارية الأعمال
• بالنسبة للكيانات المحددة، تنفيذ اختبار TLPT مرة واحدة على الأقل كل ثلاث سنوات بالاستعانة بمختبِرين خارجيين مؤهلين

وبينما تدعم FireMon جهود الاختبار من خلال تحديد التهيئات الخاطئة ونقاط ضعف التجزئة وثغرات السياسات، فإن اختبار المرونة الشامل يتطلب قدرات إضافية، بما في ذلك تمارين الفرق الحمراء والاختبارات القائمة على السيناريوهات التي تتجاوز نطاق إدارة سياسات أمن الشبكة.

إنتاج وثائق موحّدة للامتثال والتدقيق

يتطلب إثبات الامتثال توثيقًا شاملًا. وتتوقع DORA من الكيانات المالية الاحتفاظ بسجلات تثبت قدراتها في إدارة مخاطر تكنولوجيا المعلومات والاتصالات.متطلبات التوثيق:

• إنشاء تقارير متوافقة مع متطلبات DORA الخاصة بمخاطر تكنولوجيا المعلومات والاتصالات والحوادث وإدارة التغيير
• الاحتفاظ بحزم أدلة للمدققين الداخليين ولعمليات الفحص الإشرافي في الاتحاد الأوروبي
• توثيق نتائج الاختبارات وإجراءات المعالجة وفعالية الضوابط
• إنشاء لوحات معلومات توفّر رؤية فورية لحالة الامتثال

يقلّل إعداد التقارير الآلي بدرجة كبيرة من عبء توثيق الامتثال. فبدلًا من التسرّع قبل عمليات التدقيق، يمكن للمؤسسات الاحتفاظ بأدلة امتثال مستمرة تكون جاهزة للفحص دائمًا. تعرّفوا على المزيد حولالمراقبة المستمرة للامتثال وأفضل ممارساتها.

المضي قدمًا في الامتثال لـ DORA

كيف أصبح ممتثلًا لـ DORA؟

يتطلب تحقيق الامتثال للائحة DORA نهجًا منظمًا عبر مسارات عمل متعددة. ابدأوا بتحليل الفجوات لتحديد أوجه القصور في الممارسات الحالية، ثم رتّبوا أولويات المعالجة بناءً على المخاطر. وتشمل الخطوات الأساسية إرساء هياكل حوكمة ذات مسؤوليات واضحة، وتعزيز أطر إدارة مخاطر تكنولوجيا المعلومات والاتصالات، وتطبيق قدرات المراقبة المستمرة، وتوثيق كل شيء استعدادًا للتدقيق. والامتثال لـ DORA ليس وجهة نهائية، بل التزام مستمر بالمرونة التشغيلية الرقمية. وتمتد المتطلبات لتشمل إدارة مخاطر تكنولوجيا المعلومات والاتصالات، والتعامل مع الحوادث، والإشراف على الأطراف الخارجية، واختبار المرونة، بما يستلزم جهدًا منسقًا بين وظائف الأمن والمخاطر والامتثال. ويساعد اتباع نهج قائم على قائمة تحقق منظمة في تقسيم هذا التعقيد إلى مكونات يسهل إدارتها. فمن خلال معالجة كل مجال بشكل منهجي، بدءًا من تحديد النطاق الأولي وصولًا إلى الاختبار وإعداد التقارير، يمكن للمؤسسات بناء برامج امتثال ترضي الجهات التنظيمية وتعزز في الوقت ذاته وضع أمن المعلومات لديها فعليًا. وتبسّط FireMon جوانب أساسية من الامتثال لـ DORA عبر مجموعة Security Manager المتكاملة. Policy Manager يوفّر رؤية مركزية ومراقبة مستمرة للامتثال؛ وPolicy Planner يؤتمت سير عمل التغييرات مع التحقق قبل التنفيذ؛ وPolicy Optimizer يحافظ على مجموعات قواعد نظيفة عبر تحديد القواعد المكررة والمفرطة في التساهل؛ ويقوم Risk Analyzer بترتيب أولويات التهديدات من خلال محاكاة مسارات الهجوم. ومعًا، تساعد هذه القدرات مؤسسات الخدمات المالية على الحفاظ على مستوى الرؤية والتحكم الذي تتطلبه DORA، مع استكمال مبادرات الحوكمة والمخاطر والمرونة الأوسع نطاقًا.هل أنتم مستعدون لتبسيط برنامج الامتثال لـ DORA لديكم؟ اطلبوا عرضًا توضيحيًا للاطلاع على كيفية مساعدة FireMon لكم في تحقيق الامتثال والحفاظ عليه عبر بيئات معقدة ومتعددة الموردين.