DORA: как да докажем, че мерките ни работят?

Защо папката с политики оставя въпроси?

Представете си процедура за възстановяване, която посочва система, целево време и екип. Документът изглежда завършен. При прегледа никой не показва кога е проведен последният тест, кои зависимости са включени и дали бизнесът е приел възстановената услуга. Липсва доказателство от изпълнението.

DORA обхваща управление, ИКТ риск, непрекъснатост и тестване. Изискванията се прилагат към действителния обхват на субекта. Библиотеката от документи сама по себе си не доказва, че организацията работи по тях.

Как изграждаме проследима връзка?

Изберете критична или важна функция, определете поддържащата ИКТ услуга и отговорника за мярката. Какъв запис позволява на друг човек да провери изпълнението? Екранна снимка показва настройка в конкретен момент; обикновено не доказва редовното изпълнение на процес през целия период.

Запазете източника, датата, обхвата и отговорника. Документирайте изключенията заедно с успешните резултати. Неуспешен тест, последван от корекция и повторна проверка, може да е по-полезен от необосновано твърдение, че всичко е наред.

Какво може да покаже тестът за възстановяване?

В примерен тест финансово приложение е възстановено и екипът измерва кога сървърът стартира. Бизнесът установява, че липсват необходимите външни данни. Техническата операция е приключила, но договореният бизнес резултат не е постигнат.

Протоколът трябва да съдържа и двете наблюдения, отговорника за зависимостта и последващото решение. Определете приемането предварително: каква операция трябва да извърши потребителят, с какви данни и кой потвърждава резултата?

Колко доказателства са достатъчни?

Уточнете периода и покритието, преди да събирате файлове. Извадката може да подпомага прегледа, но ограниченията ѝ трябва да са видими. Не пренасяйте извод от един акаунт, офис или тест към цялата среда без основание.

Поддържайте индекс към основните записи вместо множество копия на чувствителни материали. Ограничете достъпа и премахнете ненужните лични данни. Проверяващият трябва да разбере извода и да проследи доказателството. Определете срокове за пропуските и покажете приетия остатъчен риск на отговорния ръководител.

Разгледайте подробно: Регистър на информацията по DORA: какво съдържа и къде се бърка · Доставчик сте на банка или на съществен субект. Какво ще поискат от вас.