Cyera: Ihr Leitfaden zur Vereinfachung der DORA-Compliance

Der Januar 2025 markiert einen Wendepunkt in der Entwicklung der Informationssicherheit. Am 17. Januar 2025 tritt der Digital Operational Resilience Act (DORA) der Europäischen Union offiziell in Kraft. Diese wegweisende Verordnung soll die IT-Sicherheit und die operative Resilienz von Finanzinstituten – darunter Banken, Wertpapierfirmen, Zahlungsdienstleister und kritische Drittanbieter – in der gesamten EU stärken.

Für viele Organisationen bedeutet DORA eine bedeutende Umstellung, da es robuste Rahmenbedingungen für Risikomanagement, Reaktion auf Sicherheitsvorfälle, Governance und IT-Resilienz vorschreibt. Die Erfüllung dieser strengen Anforderungen kann eine Herausforderung sein, doch mit den richtigen Werkzeugen wird die Umsetzung deutlich einfacher.

Wir bei Cyera haben uns zum Ziel gesetzt, unsere Kunden in der gesamten EMEA-Region dabei zu unterstützen, die zentralen Compliance- und Resilienzanforderungen von DORA problemlos zu erfüllen.

Kenne deine Daten

DORA beginnt mit einer entscheidenden Grundlage: dem Verständnis und dem Schutz Ihrer Daten. Finanzinstitute müssen ihre sensibelsten Vermögenswerte identifizieren und schützen.

Mit Cyera können unsere Kunden die Erkennung und Klassifizierung sensibler, regulierter Daten in ihren SaaS-, IaaS-, DBaaS- und On-Premise-Umgebungen automatisieren. Wir bieten den Plattformen eine Genauigkeit von 95 % und unterstützen sie dabei, zu wissen, welche kritischen Daten vorhanden sind, wo sie gespeichert sind, wie sie verwendet werden und welchen Risiken sie aktuell ausgesetzt sind.

Datenrisiken proaktiv managen

DORA schreibt ein proaktives Management von Datenrisiken vor und verpflichtet Institutionen, regelmäßig Risikobewertungen durchzuführen und Schwachstellen zu beheben.

Cyeras Datenrisikobewertungsdienst Wir bewerten die aktuellen Datensicherheitsfähigkeiten des Kunden anhand von 31 anerkannten Branchenstandards. Anschließend ermittelt unser Serviceteam gemeinsam mit dem Kunden dessen Angriffsfläche und entwickelt Methoden zur Risikominderung. Im Rahmen dieser Zusammenarbeit erhält der Kunde konkrete Handlungsempfehlungen zu bestehenden Datenfehlkonfigurationen, Datenabweichungen, Compliance-Problemen und übermäßigen Zugriffsrechten von Mitarbeitern, Dritten und sogar KI-gestützten Systemen wie Microsoft Teams.

Da Cyera kontinuierlich Daten scannt und Datenereignisse aktiv überwacht, erhält der Kunde Unterstützung für die Echtzeit-Risikoüberwachung, um sicherzustellen, dass er den DORA-Standard fortlaufend und nicht nur zu einem einzigen Zeitpunkt einhält.

Datenvorfallerkennung und Beschleunigung der Reaktionszeit

Es ist daher nicht verwunderlich, dass die Erkennung, das Management und die Meldung von Vorfällen wesentliche Bestandteile der DORA-Compliance sind.

Cyera liefert wichtige Erkenntnisse zur Datenanalyse, die sich im Falle eines akuten Datenvorfalls als hilfreich erweisen. Die Plattform ermöglicht beispielsweise die Früherkennung von Ereignissen durch die Überwachung der Datennutzung, der Zugriffsberechtigten und des Kontextes des Datenzugriffs (z. B. anomales Verhalten, Zugriffe durch nicht autorisierte Benutzer, deaktivierte Multi-Faktor-Authentifizierung usw.), um verdächtiges Verhalten aufzudecken. Die Plattform fungiert als zentrale Datenanalyse-Zentrale und leitet Signale an zusätzliche Sicherheitslösungen wie SIEM (z. B. Splunk) weiter, um kontextreiche Warnmeldungen bereitzustellen und die notwendigen Reaktionen zu beschleunigen. Die Plattform führt ein Audit-Log relevanter Datenereignisse zur Unterstützung der Berichterstattung und erleichtert so die Einhaltung der Anforderungen des DORA (Department of Data Acquisition Regulation).

Die Notwendigkeit von Daten-Governance und DORA-Auditbereitschaft

Eine effektive Unternehmensführung ist das Herzstück von DORA. Institutionen müssen ihre Einhaltung der Vorschriften durch Governance-Rahmenwerke, regelmäßige Überprüfungen und natürlich die Berichterstattung an die Aufsichtsbehörden nachweisen.

Mit Cyera erhalten Kunden Dashboards und detaillierte Einblicke, die auf regulatorische Standards zugeschnitten sind. Diese Daten sind unerlässlich für die Durchführung laufender Audits der relevanten Datennutzung, des Sicherheitsstatus und der erforderlichen Korrekturmaßnahmen. Cyera erledigt dies automatisch, sodass der Kunde keine manuelle Dokumentation erstellen muss – und vereinfacht so die Einhaltung der Vorschriften erheblich.

Umgang mit Datenrisiken von Drittanbietern

Die DORA hat klargestellt, dass das Management von Drittparteirisiken für außerhalb der EU tätige Finanzinstitute eine höhere Priorität haben muss. Diese Institute müssen die von Drittanbietern ausgehenden Risiken bewerten und überwachen, sicherstellen, dass diese Anbieter nur bei Bedarf auf Daten zugreifen dürfen, dass sie über Maßnahmen zur Reaktion auf Sicherheitsvorfälle verfügen, die in die Notfallpläne des Instituts integriert sind, und dass sie die Grundsätze der Datenminimierung während des gesamten Datenlebenszyklus einhalten.

Cyera erfasst zunächst alle von Drittanbietern verwalteten Datenbestände, indem regulierte Daten, die von Drittanbietern gespeichert oder verarbeitet werden, identifiziert und kategorisiert werden, um die Einhaltung gesetzlicher Bestimmungen sicherzustellen. Das Identitätsmodul der Plattform analysiert, welche Drittanbieter übermäßigen Zugriff auf sensible Daten haben, und benachrichtigt den Kunden über potenzielle Datenschutzverletzungen im Zusammenhang mit Drittanbieteridentitäten. Diese Verknüpfung von Daten und Identität ermöglicht eine schnelle und proaktive Behebung von Datenproblemen. Die Lösung von Cyera zur Verhinderung von Datenverlusten kann Erkenntnisse aus der Klassifizierung nutzen und die Genauigkeit bestehender Daten überwachen. DLP Richtlinien, die mit diesen Daten verknüpft sind, und nutzt KI, um genauere Empfehlungen auszusprechen. DLP Auch Richtlinien spielen eine Rolle. Im Falle eines Datenvorfalls bietet Cera Einblick in die Beteiligung von Drittanbietern, hilft so, den Umfang des Problems richtig einzuschätzen und die notwendige Zusammenarbeit zwischen Kunde und Drittanbieter zu optimieren. Wichtig ist auch die Rolle von Cera bei der Identifizierung redundanter, veralteter oder trivialer (ROT) Daten, die von Drittanbietern verwendet werden. Dies trägt dazu bei, dass Drittanbieter die Richtlinien zur Datenaufbewahrung und -löschung einhalten.

Datenminimierung (ROT-Daten) und Lebenszyklusmanagement

Im Rahmen des DORA-Gesetzes sind Institutionen verpflichtet, die Integrität und Vertraulichkeit von Daten während ihres gesamten Lebenszyklus zu gewährleisten. Und wie Sie sich vielleicht schon gedacht haben, kann Cyera Ihnen dabei helfen.

Wie bereits erwähnt, identifiziert Cyera ROT-Daten. Dies trägt nicht nur zur Einhaltung der Datenminimierungsprinzipien bei, sondern hilft unseren Kunden auch, Datenspeicherkosten zu senken und ihr Risiko durch die Verringerung der potenziellen Angriffsfläche zu minimieren. Denn weniger Daten bedeuten letztendlich eine geringere Angriffsfläche.

Wichtige Überlegungen bei der Bewertung von Datensicherheitsplattformen zur Unterstützung Ihrer DORA-Konformität

Da die Umsetzung von DORA in den Finanzinstituten der EU voranschreitet und diese sich mit der neuen Verordnung auseinandersetzen müssen, werden zweifellos zahlreiche Anbieter ihre Unterstützung anbieten. Daher möchte ich Ihnen einige Leitlinien für Ihre Bewertung mitgeben.

‍Umfassende Berichterstattung priorisieren: Ihre Daten befinden sich in Multi-Cloud- und Hybridumgebungen. Stellen Sie sicher, dass die von Ihnen evaluierten Anbieter alle Ihre wichtigen Datenumgebungen unterstützen und sowohl eine hohe Datenqualität als auch eine hohe Präzision bei den bereitgestellten Erkenntnissen gewährleisten.

Fragen Sie nach proaktivem Risikomanagement: Die richtigen Echtzeit-Dateneinblicke werden Sie in die Lage versetzen, Probleme zu beheben. vor Sie führen zu Zwischenfällen.

Optimierte Compliance: Stellen Sie sicher, dass die Plattform Möglichkeiten zur Automatisierung wichtiger Compliance-Workflows bietet. Dies reduziert Ihren manuellen Aufwand und entlastet Ihr Team von der Compliance-Pflicht.

Beim Maßstab sollte man nicht sparen: Die Architektur spielt bei der Auswahl der Plattformen eine entscheidende Rolle. Die Plattform muss nicht nur skalierbar sein, um Ihre Datenanforderungen zu erfüllen, sondern diese Skalierbarkeit muss auch gewährleisten, dass die Plattform sich mit Ihrem Wachstum und den sich ändernden regulatorischen Anforderungen anpassen kann.

DORA dient dem Schutz von Daten. Auch wenn es für Finanzinstitute in der EU zusätzlichen Aufwand bedeutet, ist es letztendlich ein Meilenstein für unsere Branche. DORA wird als Vorbild für globale Finanzstabilität dienen und andere Länder weltweit inspirieren, was zu weiteren Regulierungen zum Schutz der wertvollsten Ressource der Welt führen wird: Daten.

Wir von Cyera sind für Sie da. Wenn Sie Beratung oder Unterstützung benötigen, zögern Sie nicht, uns zu kontaktieren.