متطلبات DORA المتعلقة بالأطراف الثالثة أشدّ صرامة مما توقعته معظم فرق الامتثال
دخل قانون المرونة التشغيلية الرقمية (DORA) حيّز التطبيق الكامل في يناير 2025. وبعد مرور عام، لا تكمن المتطلبات التي تجد الكيانات المالية أكبر صعوبة في تطبيقها عملياً في المهل الزمنية للإبلاغ عن الحوادث ولا في متطلبات TLPT (اختبار الاختراق القائم على التهديدات)، بل في أحكام إدارة مخاطر الأطراف الثالثة لتقنية المعلومات والاتصالات الواردة في الفصل الخامس.
تُلزم المادة 28 الكيانات المالية بالاحتفاظ بسجل شامل لجميع مزودي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة، وتصنيفهم حسب المخاطر، وإجراء عناية واجبة تتناسب مع تلك المخاطر. وتشترط المادة 30 توفير ضمانات تعاقدية، تشمل أحكاماً تتعلق بالمراقبة وحقوق التدقيق وقيام المزود بالإبلاغ عن الحوادث.
غير أن المتطلب الذي يُحدث أكبر قدر من التعقيد التشغيلي هو ما تفرضه المادة 29 من تقييم موثّق ومستمر لـ«مخاطر التركّز في تقنية المعلومات والاتصالات»، أي فهم المخاطر النظامية التي تنشأ عندما تعتمد عدة وظائف حيوية على مزود الطرف الثالث نفسه، وإدارة هذه المخاطر.
بالنسبة إلى المؤسسات التي نعمل معها، يتطلب بناء برنامج لإدارة مخاطر الأطراف الثالثة قابل للدفاع عنه وقابل للتدقيق بموجب DORA أكثر من مجرد سجل وبعض العقود. إنه يتطلب أدلة قابلة للتحقق.
سجل الأطراف الثالثة لتقنية المعلومات والاتصالات: ما الذي يجب أن يتضمنه
تُلزم المادة 28(3) الكيانات المالية بالاحتفاظ بسجل لجميع الترتيبات التعاقدية المبرمة مع مزودي خدمات تقنية المعلومات والاتصالات من الأطراف الثالثة. ويجب أن يتضمن السجل ما يلي:
- تصنيف الخدمة. ما إذا كان المزود يدعم وظائف حيوية أو مهمة (فئة مخاطر أعلى) أو وظائف غير حيوية.
- توثيق العناية الواجبة. العناية الواجبة السابقة للتعاقد والمستمرة التي أُجريت، بما في ذلك التقييمات الأمنية والشهادات التي رُوجعت والنتائج.
- الأحكام التعاقدية. ما يثبت أن العقود تتضمن الأحكام الإلزامية الواردة في المادة 30 (حقوق التدقيق، والإبلاغ عن الحوادث، وحقوق الإنهاء، ومعايير أمن البيانات).
- سجلات المراقبة. نتائج المراقبة المستمرة للأداء والأمن، وليس مجرد تقييمات في نقطة زمنية محددة.
- تحليل مخاطر التركّز. الوظائف الحيوية التي ستتأثر إذا تعطّل هذا المزود أو تعرّض لحادث جسيم.
أصدرت السلطات الإشرافية الأوروبية (ESAs) معايير تقنية تنظيمية (RTS) بموجب DORA تحدد الحد الأدنى من متطلبات محتوى السجل. وينبغي للكيانات المالية أن تتأكد من أن سجلها يستوفي مواصفات RTS، لا النص الأساسي للمادة 28 فحسب.
يتناول دليلنا الشامل حول الامتثال لـ DORA والمرونة القابلة للدفاع عنها متطلبات السجل في سياق إطار DORA الكامل.
فجوة أدلة السلامة في إدارة مخاطر الأطراف الثالثة
لا تكمن الفجوة الأكثر شيوعاً في برامج إدارة مخاطر الأطراف الثالثة بموجب DORA في العناية الواجبة الأولية، إذ بنت المؤسسات هذه العمليات بوجه عام، بل تكمن في المراقبة المستمرة المدعومة بأدلة قابلة للتحقق.
تُلزم المادة 28(9) الكيانات المالية بـ«المراقبة المستمرة» لمزودي الخدمات من الأطراف الثالثة الذين يدعمون وظائف حيوية أو مهمة. ومن الناحية العملية، يعني ذلك أكثر من مراجعة التقارير الأمنية الفصلية والتحقق من أن الشهادات لا تزال سارية. وسيسأل المنظمون: كيف تعرفون أن خدمات تقنية المعلومات والاتصالات التي تعتمد عليها وظائفكم الحيوية قد حافظت على وضعها الأمني؟
بالنسبة إلى مزودي تقنية المعلومات والاتصالات الذين يعالجون بيانات الكيان المالي أو يخزنونها، فإن الإجابة التي تستوفي هذا المتطلب هي مراقبة سلامة البيانات القائمة على التشفير: أي التحقق المستمر من أن أصول البيانات المتدفقة من المزود إلى الكيان المالي لم يُعبث بها أثناء النقل أو في المصدر.
وهنا يتقاطع نهج سلامة سلسلة التوريد مباشرة مع التزامات المادة 28 من DORA. فبدلاً من الاعتماد على الوضع الأمني الذي يُصرّح به المزود بنفسه، يمكن للكيانات المالية التحقق بشكل مستقل من سلامة البيانات عند نقطة استخدامها.
تتضمن أدوات ROOTKey للامتثال لـ DORA قدرات مراقبة سلامة الأطراف الثالثة اللازمة لاستيفاء متطلب المراقبة المستمرة الوارد في المادة 28(9). ابدأوا تقييم جاهزيتكم لـ DORA.