CAPITOLO II - GESTIONE DEI RISCHI INFORMATICI
Art. 5.1
Le entità finanziarie predispongono un quadro di gestione e di controllo interno che garantisce una gestione efficace e prudente di tutti i rischi informatici, conformemente all’articolo 6, paragrafo 4, al fine di acquisire un elevato livello di resilienza operativa digitale.
Grazie a moduli come Cyber Risk Status, che monitora il livello di esposizione al rischio digitale delle aziende, e Asset Surface, che rileva minacce e potenziali vulnerabilità degli asset aziendali, Joshua fornisce un supporto importante per le organizzazioni che devono implementare un quadro di gestione e controllo interno efficace e prudente dei rischi informatici.
Art. 6 (sintesi)
Il Regolamento DORA richiede alle entità finanziarie di integrare un sistema strutturato per la gestione del rischio TIC, includendo strategie, politiche e strumenti per proteggere dati e asset da accessi non autorizzati e danni. Questo sistema deve essere rivisto almeno annualmente e dopo incidenti rilevanti.
Le organizzazioni (escluse le microimprese) devono garantire una funzione indipendente per il controllo del rischio TIC e sottoporla a regolari audit interni. Inoltre, devono adottare una strategia di resilienza digitale che definisca i rischi, i livelli di tolleranza e i KPI.
La piattaforma consente di identificare e monitorare i rischi tramite moduli come Cyber Risk Status e Asset Surface, offrendo una visione centralizzata e aggiornata. Grazie alla sezione di Reportistica on-demand, è possibile disporre di elementi immediati che supportano le organizzazioni nelle revisioni periodiche, nel monitoraggio dei propri i KPI e negli audit interni. Inoltre, moduli come Web Guard e Info e Data Leak analizzano e monitorano dati e asset esposti contribuendo al calcolo del rischio di esposizione. Infine, la piattaforma include funzionalità di audit log che aiutano le entità finanziarie a monitorare e proteggere dati e asset da accessi non autorizzati, e a garantire una gestione efficace. del rischio TIC, come richiesto dal Regolamento DORA.
Art. 8 (sintesi)
Il Regolamento DORA richiede alle entità finanziarie di gestire in modo metodico i rischi TIC, documentando funzioni aziendali, ruoli e asset supportati dalle TIC, con revisioni annuali. È necessaria una valutazione continua dei rischi, in particolare in caso di cambiamenti significativi nella rete o nell’infrastruttura.
Le entità devono mantenere e aggiornare regolarmente gli inventari di informazioni critiche, asset TIC e dipendenze da terzi.
Specifiche funzionalità di Joshua permettono una gestione metodica e conforme alle richieste del regolamento, con particolare attenzione alla valutazione continua dei rischi:
1) Inventari aggiornati e monitoraggio continuo – Il modulo Asset Surface raccoglie, cataloga e aggiorna costantemente informazioni sugli asset TIC e le loro dipendenze, inclusi domini, IP, server e infrastrutture pubbliche.
2) Valutazione dei rischi legati ai cambiamenti – L’algoritmo di calcolo del Security rating valuta l’impatto di ogni modifica significativa alla rete o infrastruttura, segnalando variazioni nei livelli di rischio.
3) Documentazione di funzioni aziendali e ruoli – Joshua permette di integrare inventari personalizzati e note specifiche sugli asset, facilitando la documentazione di dipendenze critiche per la gestione aziendale.
4) Revisione periodica – La Reportistica e il tracciamento tramite Audit log supportano verifiche e aggiornamenti periodici.
Art. 9.2
Le entità finanziarie definiscono, acquisiscono e attuano politiche, procedure, protocolli e strumenti per la sicurezza delle TIC miranti a garantire la resilienza, la continuità e la disponibilità dei sistemi di TIC, in particolare quelli a supporto di funzioni essenziali o importanti, nonché a mantenere standard elevati di disponibilità, autenticità, integrità e riservatezza dei dati conservati, in uso o in transito.
Joshua supporta resilienza, integrità e riservatezza grazie alle sue funzionalità avanzate, come:
1) Threat Trucker che monitora costantemente le minacce globali, identificando tempestivamente compromissioni di sistemi critici.
2) Web Guard che rileva minacce monitorando le risorse aziendali, garantendo la disponibilità dei sistemi.
3) Info e Data Leak che monitora deep e dark web per prevenire gli attacchi rilevanti per l’organizzazione e la propria catena di fornitura.
Art. 10.3
Le entità finanziarie dedicano risorse e capacità sufficienti al monitoraggio dell’attività degli utenti e di eventuali anomalie e incidenti connessi alle TIC, in particolare attacchi informatici.
Joshua supporta le entità finanziarie nel monitoraggio delle attività degli utenti e nella rilevazione di anomalie grazie a strumenti come il sistema di Audit Log, che traccia ogni accesso e modifica, garantendo trasparenza e controllo. Joshua inoltre include il modulo di Human Surface che permette di identificare l’esposizione in rete di informazioni su account di posta aziendale, segnalando la compromissione di credenziali o altri dati sensibili.
Art. 13 (sintesi)
Il Regolamento DORA richiede alle entità finanziarie di raccogliere e analizzare informazioni su minacce e vulnerabilità informatiche, valutandone l’impatto sulla resilienza operativa. In caso di incidenti TIC significativi, devono condurre una revisione approfondita delle cause e delle risposte adottate, comunicando eventuali modifiche alle autorità competenti.
L’apprendimento continuo da test di resilienza e incidenti reali deve essere integrato nella gestione del rischio TIC. Le entità devono inoltre monitorare l’efficacia della propria strategia di resilienza digitale, formare il personale sulla sicurezza TIC e restare aggiornate sugli sviluppi tecnologici.
Joshua supporta nell’adempimento dei requisiti dell’articolo tramite il modulo di Threat Tracker che raccoglie e analizza costantemente informazioni sulle minacce. Inoltre, il modulo Cyber Risk Status offre una visione sintetica del livello di rischio complessivo, aiutando decisori e analisti a stabilire priorità e misure di mitigazione.
CAPITOLO V - GESTIONE DEI RISCHI INFORMATICI DERIVANTI DALLE TERZE PARTI
Art. 29.2
Qualora gli accordi contrattuali per l’utilizzo di servizi TIC a supporto di funzioni essenziali o importanti prevedano la possibilità che un fornitore terzo di servizi TIC subappalti a sua volta servizi TIC a supporto di una funzione essenziale o importante ad altri fornitori terzi di servizi TIC, le entità finanziarie vagliano i benefici e i rischi che possono derivare da tale subappalto, in particolare nel caso di un subappaltatore di TIC stabilito in un paese terzo.
Joshua facilita la gestione dei rischi legati alla supply chain attraverso un monitoraggio continuo e dettagliato. Il modulo Asset Surface identifica e mappa gli asset digitali dei fornitori, evidenziando connessioni e dipendenze critiche, con una funzione di mappatura geopolitica per identificare asset in contesti geografici complessi. Inoltre, sono integrati strumenti di analisi avanzata, come Info e Data Leak, per monitorare esposizioni di dati o violazioni legate alla catena di fornitura e ai loro subappaltatori, offrendo una panoramica completa per valutare benefici e rischi in modo informato. Queste capacità permettono alle entità finanziarie di prendere decisioni consapevoli e di gestire le complessità legate alla propria catena di fornitura con maggiore sicurezza.
Art. 33 (sintesi)
Il Regolamento DORA designa l’Autorità di Sorveglianza Capofila come punto principale per supervisionare i fornitori TIC critici di terze parti, valutando la solidità delle regole e procedure adottate per gestire i rischi TIC. La sorveglianza copre aspetti come sicurezza informatica e fisica, governance, gestione del rischio, segnalazione degli incidenti, portabilità dei dati, test di sistema e conformità agli standard.
Le entità finanziarie hanno un interesse diretto nel monitorare che i fornitori rispettino questi standard, poiché eventuali carenze possono influire sulla loro resilienza operativa e conformità normativa.
Joshua combina monitoraggio continuo, analisi dei rischi e strumenti di audit per garantire che i fornitori TIC critici soddisfino i requisiti del Regolamento DORA. Fra questi: Cyber Risk Status fornisce una visione chiara del livello di rischio e delle vulnerabilità, aiutando a garantire che i fornitori mantengano standard elevati di autenticità, integrità e riservatezza dei dati. Threat Tracker raccoglie e analizza costantemente IoC su minacce rilevanti, contribuendo a gestire i rischi. Info e Data Leak analizza costantemente la rete per identificare eventuali esposizioni e/o compromissioni legate anche alla catena di fornitura. il sistema utilizza algoritmi avanzati e intelligenza artificiale (Joshua AI) per classificare e priorizzare i contenuti rilevati in base al loro impatto potenziale. Questo aiuta gli analisti che possono intervenire rapidamente su segnalazioni critiche, garantendo una risposta tempestiva agli incidenti TIC.
CAPITOLO VI - MECCANISMI DI CONDIVISIONE DELLE INFORMAZIONI
Art. 45.1
Le entità finanziarie possono scambiarsi reciprocamente informazioni e analisi delle minacce informatiche, tra cui IoC, tattiche, tecniche e procedure, segnali di allarme per la cybersicurezza e strumenti di configurazione, nella misura in cui tale condivisione di informazioni e dati:
a) mira a potenziare la resilienza operativa digitale delle entità finanziarie, in particolare aumentando la consapevolezza in merito alle minacce informatiche, contenendo o inibendo la capacità di diffusione delle minacce informatiche, sostenendo le capacità di difesa, le tecniche di individuazione delle minacce, le politiche di mitigazione o le fasi di risposta e ripristino;
b) si svolge entro comunità fidate di entità finanziarie;
c) si realizza mediante meccanismi di condivisione delle informazioni che tutelano la natura potenzialmente sensibile delle informazioni condivise e sono disciplinati da norme di condotta pienamente rispettose della riservatezza dell’attività economica, della protezione dei dati personali ai sensi del regolamento (UE) 2016/679 e delle linee guida sulla politica in materia di concorrenza.
Joshua fornisce gli strumenti per agevolare lo scambio sicuro di dati e analisi delle minacce. Threat Tracker raccoglie e centralizza informazioni dettagliate su indicatori di compromissione (IoC), tattiche, tecniche e procedure (TTP), nonché avvisi di sicurezza e bollettini su minacce emergenti. Queste informazioni possono essere esportate e condivise in formati standardizzati, come file CSV e categorizzate tramite Traffic Light Protocol (TLP), classificando il livello di riservatezza delle informazioni condivise. Con queste funzionalità, Joshua facilita una collaborazione sicura ed efficace tra entità finanziarie, supportando la resilienza operativa digitale collettiva.