Finance
Zunanji CISO za finančni sektor
Banke, zavarovalnice, plačilne institucije in fintech podjetja so med najbolj reguliranimi panogami — DORA in NIS2 zahtevata jasno lastništvo digitalne odpornosti, ne glede na velikost organizacije.
Zakaj finančne institucije potrebujejo zunanjega CISO-ja
Manjše zavarovalne agencije, plačilne institucije in fintech podjetja morajo izpolnjevati podobne regulatorne zahteve kot velike banke, a nimajo primerljivega proračuna ali ekipe za skladnost in varnost. Zaposlitev izkušenega CISO-ja za polni delovni čas je v tem delu trga draga, primernih kandidatov pa je malo.
Regulator od finančnih institucij pričakuje jasno lastništvo digitalnega tveganja na ravni uprave, ne le na ravni IT oddelka — brez namenskega vodje varnosti to lastništvo pogosto ostane razpršeno.
Regulativne zahteve
DORA (Digital Operational Resilience Act) od finančnih subjektov zahteva upravljanje IKT tveganj, redno testiranje odpornosti, jasne postopke poročanja incidentov v predpisanih rokih in nadzor nad tveganji, ki jih prinašajo zunanji ponudniki IKT storitev. Vzporedno lahko institucijo zajema tudi NIS2, pri obdelavi osebnih podatkov pa GDPR, pri plačilnih karticah pa PCI DSS.
Več na straneh: DORA, Kaj je NIS2?, GDPR — varstvo osebnih podatkov in PCI DSS — varovanje podatkov plačilnih kartic.
Kje najpogosteje pomagamo
DORA posebej poudarja tveganja tretjih ponudnikov in dokazljivost ukrepov, zato je delo pogosto osredotočeno na naslednja področja.
Upravljanje tveganj dobaviteljev
Pregled pogodb in tveganj pri zunanjih ponudnikih IKT storitev, kot to zahteva DORA.
Upravljanje privilegiranih dostopov
Nadzor nad dostopi do ključnih finančnih sistemov in aplikacij.
Dokazila in dokumentacija
Urejena dokazila za notranjo revizijo, nadzorni organ in zunanje presoje.
Vloga CISOaaS med upravo in IT/skladnostjo
Uprava finančne institucije je po DORA in NIS2 osebno odgovorna za upravljanje digitalnega tveganja, oddelek za skladnost pozna regulativo, IT oddelek pa tehnično okolje. CISOaaS poveže vse tri: regulatorne zahteve prevede v konkreten tehnični in organizacijski načrt, napredek pa redno poroča upravi v obliki, ki jo lahko uporabi pri lastnem poročanju nadzornemu organu.
Pogosta vprašanja
Ali je CISOaaS primeren tudi za manjše fintech podjetje?
Da. Regulatorne obveznosti po DORA veljajo ne glede na velikost, obseg dela pa se prilagodi tveganju in kompleksnosti organizacije.
Ali lahko pomagate pri poročanju incidentov nadzornemu organu?
Da, pripravimo postopek in predlogo za poročanje, ki ustreza rokom in vsebini, ki jih zahteva DORA oziroma pristojni nadzorni organ.
Povezane vsebine
Za širši kontekst glejte tudi: DORA, Okvirji in standardi, Poročanje vodstvu o kibernetski varnosti, kontakt.
Poglobljen pregled panoge: Kibernetska varnost za finance.
Naslednji korak
Preverite, kaj je treba urediti najprej.
Na uvodnem posvetu razjasnimo obseg, prioritete in najhitrejso pot do dokazljivega napredka.
Želite skladnost, ki jo lahko tudi dokažete?
Pomagamo urediti zahteve, politike, odgovornosti, dokazila in poročanje, da skladnost ne ostane samo seznam dokumentov.
Obrazec odpre kontaktno stran in izbere pravo temo povpraševanja.