DORA oltre la checklist: sai dove passano i tuoi dati?

La prima fase di adeguamento a DORA è stata, per molte organizzazioni, una corsa contro il tempo per completare documenti, registri e procedure. Ma con il regolamento ormai applicabile, la sfida non è più soltanto essere in regola sulla carta, ma riuscire a gestire gli incidenti ICT e mantenere la resilienza operativa anche quando qualcosa va storto.

La domanda da porsi è concreta: sappiamo quali flussi di dati sono coinvolti, come vengono gestiti e cosa succede se un collegamento si interrompe o si verifica un incidente?

Quando si parla di resilienza operativa, infatti, l'attenzione non può limitarsi alle singole applicazioni. Una parte importante del rischio riguarda anche i flussi di file che collegano sistemi interni, banche, provider cloud, outsourcer e partner esterni. I processi automatici basati su messaggi e file sono parte attiva del business e si integrano con le interazioni umane. Trattandosi di elaborazioni massive, spesso rappresentano un rischio elevato.

Il rischio nascosto: i flussi che nessuno vede

Script distribuiti, procedure manuali e inventari non aggiornati rendono difficile sapere dove viaggiano i dati, quali sistemi e partner sono coinvolti e chi sono i responsabili.

Per gestire il rischio ICT, serve una visione aggiornata dei flussi, con monitoraggio, log e strumenti per individuare anomalie e ricostruire gli eventi. Anche i fornitori esterni sono parte del contesto: un incidente che coinvolge un servizio ICT può ripercuotersi sull'operatività dell'ente finanziario. Per questo è importante valutare i rischi legati ai fornitori e definire adeguate garanzie contrattuali.

L'MFT come strumento di governance e resilienza

In questo scenario, il Managed File Transfer (MFT) non è semplicemente uno strumento per spostare file da un sistema all'altro. Con un adeguato strumento, configurazione e monitoraggio può diventare un elemento importante nella gestione del rischio legato ai trasferimenti di dati.

Una piattaforma MFT permette di gestire i flussi attraverso regole definite, controlli sugli accessi e monitoraggio delle attività. Può inoltre raccogliere log e informazioni utili per gli audit, facilitare la gestione delle anomalie e offrire una visione aggiornata delle connessioni e dei partner coinvolti.

La cifratura dei dati in transito e, dove previsto, a riposo contribuisce a proteggerne la riservatezza. La gestione degli accessi aiuta a limitare le operazioni ai soli utenti e sistemi autorizzati. Il monitoraggio e la tracciabilità consentono invece di ricostruire gli eventi e supportare le attività di controllo.

Anche la gestione delle interruzioni è importante. In caso di perdita temporanea della connettività, una soluzione MFT, oltre a segnalare tempestivamente il problema, può accodare i trasferimenti che riesce a ricevere e trasferirli quando il collegamento viene ripristinato, secondo le funzionalità disponibili e la configurazione adottata.

Un MFT ben governato non sostituisce la strategia di resilienza dell'organizzazione: contribuisce a renderla più controllabile, documentata e verificabile.

Le domande che riceviamo più spesso su DORA e MFT

Come capire se la gestione dei flussi di file supporta la conformità a DORA?

Cifratura, controllo degli accessi, monitoraggio e audit trail aiutano a proteggere i trasferimenti e a ricostruire gli eventi. Una piattaforma MFT centralizzata offre maggiore visibilità sui flussi e facilita il controllo delle attività, contribuendo alla gestione del rischio ICT.

Quale caratteristica deve avere un MFT per supportare gli obiettivi di DORA?

Una piattaforma MFT deve essere ben governata ed avere completa gestione dei trasferimenti, utilizzo dei metodi più avanzati di crittografia, monitoraggio, log e audit efficienti per individuare anomalie e ricostruire gli eventi. DORA non certifica i prodotti da utilizzare, ma contano le funzionalità disponibili e il modo in cui la soluzione viene configurata e gestita.

Cosa valutare in un servizio MFT Cloud o SaaS per rispondere ai requisiti DORA?

È importante valutare dove vengono trattati e conservati i dati, i livelli di servizio, le misure di sicurezza e la gestione degli incidenti. Le garanzie contrattuali e il supporto alla strategia di uscita sono elementi essenziali: la responsabilità di gestire il rischio ICT resta in capo all'ente finanziario.