Wdrożenie DORA w instytucji finansowej

Wdrożenie DORA w instytucji finansowej wymaga zapewnienia zgodności z zasadami cyfrowej odporności operacyjnej. Rozporządzenie DORA (2022/2554) nakłada na banki i ich dostawców usług ICT obowiązek stałego zarządzania ryzykiem operacyjnym oraz cyberbezpieczeństwem. Wymogi te obejmują dokładną identyfikację i klasyfikację wszystkich zasobów ICT, takich jak serwery, aplikacje, bazy danych czy dokumenty. Instytucje muszą także dokumentować powiązania między tymi zasobami. DORA wymaga wdrożenia procedur obsługi incydentów IT – od zgłoszenia, przez analizę, aż po przywrócenie sprawności systemów. Każde poważne zdarzenie cybernetyczne musi być zgłaszane zgodnie z wytycznymi. Instytucje są również zobowiązane do regularnego testowania odporności systemów, na przykład poprzez testy penetracyjne. Kluczowe jest także egzekwowanie polityk retencji danych. Dane nie mogą być przechowywane dłużej, niż pozwala na to prawo. Każda zmiana w infrastrukturze IT powinna być rejestrowana i dostępna do audytu.

Detecto – identyfikacja danych i zarządzanie ryzykiem

Detecto to narzędzie automatyzujące wykrywanie i klasyfikację wrażliwych danych w systemach i dokumentach firmy. Wykorzystuje sztuczną inteligencję (OCR, NLP), aby przeskanować zasoby firmowe (pliki, bazy danych, e-mail) w poszukiwaniu danych osobowych i innych informacji wrażliwych. Dzięki temu produkt spełnia wymaganie DORA dotyczące identyfikacji wszystkich zasobów informacyjnych Detecto umożliwia m.in.:

• Wykrywanie wszystkich wystąpień danych osobowych (np. PESEL, adresy, numery kont) w dokumentach i bazach danych – skracając tygodnie ręcznej analizy do godzin pracy narzędzia.
• Tworzenie raportów lokalizujących zasoby danych osobowych – co znacznie ułatwia przygotowanie do audytów i kontroli wewnętrznych oraz zewnętrznych (np. sprawdzających zgodność z DORA czy RODO).
• Analiza incydentów – w razie wycieku lub naruszenia bezpieczeństwa Detecto potrafi błyskawicznie sprawdzić, czy ujawnione pliki zawierają wrażliwe informacje i jakie dane wyciekły

Dzięki tym funkcjom Detecto realnie wspiera zarządzanie ryzykiem informacyjnym. Narzędzie automatycznie tworzy katalog krytycznych danych i punktów ich przechowywania, co pozwala instytucji ocenić potencjalne zagrożenia. Dzięki temu instytucja finansowa może lepiej zaplanować działania ograniczające ryzyko ICT. Pomaga to spełnić wymogi DORA dotyczące ochrony zasobów przed dostępem lub uszkodzeniem.

Revelio – wykrywanie nieautoryzowanych zasobów i danych

Revelio to rozwiązanie do skanowania współdzielonych zasobów plikowych, komputerów pracowników i poczty e-mail w celu wykrycia dokumentów zawierających dane wrażliwe. Ujawnia ono “ukryte” zasoby – pliki i foldery, które zawierają dane osobowe, a nie były wcześniej uwzględnione w głównych systemach organizacji. Revelio umożliwia m.in.:

• Lokalizowanie wszystkich dokumentów z danymi osobowymi (PESEL, dane medyczne, dane finansowe itp.) na nośnikach firmowych. Dzięki temu instytucja widzi, gdzie przetwarzane są wrażliwe informacje i może je lepiej zabezpieczyć.
• Identyfikację procesów biznesowych generujących dokumenty z danymi wrażliwymi – co wspiera przejście na elektroniczny obieg dokumentów (zmniejszając ryzyko wycieku z papierowych lub niekontrolowanych źródeł).
• Wsparcie polityk retencji danych – integrację z procedurami usuwania (anonimizacji) dokumentów, których okres przechowywania wygasł. System automatycznie oznacza pliki do archiwizacji lub usunięcia, co pomaga spełnić wymogi DORA i RODO dotyczące retencji.
• Budowanie świadomości pracowników – poprzez mechanizmy nadzoru i raportowania pomagające delegować odpowiedzialność za bezpieczeństwo danych.

Revelio zwiększa przejrzystość środowiska danych i pomaga wykryć nieautoryzowane zasoby informacyjne. W kontekście DORA gwarantuje, że żadne poufne informacje nie „ulegają zapomnieniu” w strukturze IT. W połączeniu z systemem Oblivio umożliwia pełne stosowanie zasad retencji – po wykryciu dokumentów z wygasłą podstawą przetwarzania, pozwala je bezpiecznie usunąć lub zanonimizować. Dzięki temu narzędzie ułatwia realizację wymogów dotyczących przechowywania i ochrony danych w instytucji finansowej.

Nocturno – bezpieczne środowiska testowe

Nocturno to narzędzie do tworzenia środowisk testowych z użyciem zanonimizowanych danych produkcyjnych. Pozwala na przeprowadzanie testów cyberodporności i ciągłości działania w bezpieczny sposób, bez ryzyka ujawnienia rzeczywistych danych klientów. Nocturno wykorzystuje specjalne słowniki i generatory, które zachowują charakter danych produkcyjnych – np. zamieniają numery PESEL, NIP, daty urodzenia czy numery kont na fikcyjne, ale o zbliżonej strukturze. Kluczowe cechy Nocturno to:

• Anonimizacja wielu baz danych jednocześnie z zachowaniem spójności – narzędzie przetwarza duże zestawy danych równolegle, a przy tym zapewnia, że te same rekordy są anonimizowane w ten sam sposób we wszystkich bazach organizacji. Dzięki temu środowisko testowe wiernie odtwarza realne dane (np. ta sama osoba w różnych systemach dostaje spójne, sztuczne dane).
• Wsparcie wielu typów baz danych (MySQL, Oracle, SQL Server itp.) z uwzględnieniem więzów integralności – Nocturno pamięta o kontrolach sum czy powiązaniach między tabelami, aby zmiany nie spowodowały awarii systemu.
• Integracja z Detecto – najpierw narzędzie wykrywa, które pola zawierają dane wrażliwe, a następnie automatycznie je zanonimizuje zgodnie z regułami biznesowymi.

Dzięki tym funkcjom Nocturno minimalizuje ryzyko przypadkowego użycia danych osobowych w testach czy migracjach systemów. Wymagania DORA dotyczące testowania odporności zakładają, że testy przeprowadza się w bezpiecznych warunkach przy zachowaniu poufności danych. Nocturno umożliwia instytucji finansowej wykonywanie takich testów – na przykład testów awaryjnego przywracania czy symulacji ataków – bez udostępniania wrażliwych informacji o klientach.

Oblivio – zarządzanie cyklem życia danych

Oblivio to narzędzie do centralnego zarządzania retencją i anonimizacją danych osobowych w całej organizacji. System pozwala ustalić, jak długo można przechowywać dane – np. zgody lub umowy. Po upływie tego czasu automatycznie czyści bazę. Działa w pełnej integracji z innymi systemami IT. Gdy wygasa podstawa prawna przetwarzania, uruchamia proces anonimizacji lub usunięcia danych. Główne funkcje Oblivio to:

• Konfiguracja retencji danych: definiowanie reguł określających, jak długo różne dane osobowe mogą być przechowywane. Po upływie tego czasu dane uznawane są za przeterminowane.
• Anonimizacja i usuwanie: po spełnieniu warunków retencji system automatycznie generuje fikcyjne wartości (np. fikcyjną tożsamość) i zastępuje nimi dane klientów we wszystkich powiązanych systemach. Realizuje to „prawo do bycia zapomnianym” i zapobiega przechowywaniu danych dłużej niż jest to konieczne.
• Raportowanie i audyt: Oblivio tworzy szczegółowe raporty i statystyki pokazujące liczbę usuniętych lub zanonimizowanych rekordów, umożliwiając stały monitoring realizacji polityki retencyjnej.
• Rozliczalność: wszystkie operacje na danych (usu­nięcia, modyfikacje) są dokładnie rejestrowane – system zapisuje kto i kiedy wykonał daną akcję. Dzięki temu instytucja finansowa dysponuje pełną ścieżką audytu zgodności.

Oblivio pomaga spełnić wymogi DORA dotyczące cyklu życia danych i rozliczalności. Automatyzacja procesu retencji zmniejsza ryzyko błędów i zapewnia, że wrażliwe dane nie zostaną przechowane bez podstawy prawnej. Szczegółowe logi pokazują, że polityka zarządzania danymi jest przestrzegana. To ważne podczas audytów i oceny zgodności z DORA.

Podsumowanie

Wdrożenie DORA w instytucji finansowej opiera się na synergii nowoczesnych narzędzi do zarządzania danymi i bezpieczeństwem. Detecto i Revelio automatycznie wykrywają i klasyfikują dane w systemach oraz dokumentach. Dzięki temu pomagają spełnić wymogi DORA związane z inwentaryzacją i ochroną zasobów. Nocturno umożliwia bezpieczne testowanie systemów na anonimowych danych, spełniając założenia o ochronie poufnych informacji podczas testów. Oblivio natomiast zarządza cyklem życia danych – automatyzując retencję, usuwanie i audyt operacji – co wspiera rozliczalność i zgodność z regulacjami. Stosując razem narzędzia Wizards, instytucje finansowe i dostawcy ICT spełniają wymagania DORA. Jednocześnie zwiększają odporność operacyjną i są lepiej przygotowani na incydenty cybernetyczne.