Blog 5 van 9

Gegarandeerde Databeschikbaarheid en Continuïteit onder DORA

In een wereld waarin digitale verstoringen steeds vaker voorkomen, zijn organisaties wettelijk verplicht om hun bedrijfsprocessen zo veel mogelijk te waarborgen, zelfs tijdens onverwachte gebeurtenissen. De Digital Operational Resilience Act (DORA) is speciaal ontworpen om de digitale weerbaarheid van financiële instellingen en belangrijke ICT-ketenpartners te versterken. Deze wetgeving verplicht financiële instellingen om de juiste maatregelen te nemen inzake risiscobeheer en periodieke testen. Dit om de continuïteit van kritieke bedrijfsprocessen te kunnen waarborgen.

Een van de belangrijkste pijlers onder DORA is daarom het beheer van data. Data vormen de kern van elke digitale omgeving en alle maatregelen en controles onder DORA richten zich op de beschikbaarheid, veiligheid en toegang tot die data. Maar hoe kun je er als organisatie voor zorgen dat je voldoet aan de eisen van DORA en welke rol speelt data daarbij?

Data inzicht: De Basis

Data doorloopt een natuurlijke cyclus: van creëren, opslaan, manipuleren tot uiteindelijk gecontroleerd vernietigen. Elk van deze fasen vereist aandacht vanuit de aspecten beschikbaarheid, veiligheid en beheer. Bovendien is niet alle data gelijk; sommige gegevens, zoals klantinformatie, zijn gevoeliger en waardevoller dan andere operationele data. En welke data is belangrijk om de basale processen (de kerntaken) van de organisatie te kunnen laten functioneren? Daarom is het van cruciaal belang om inzicht te hebben in welke data binnen je organisatie circuleren en waar deze worden opgeslagen, en zeker bij het gebruik van hybride IT-omgevingen.

Overzicht en Autorisatie

Een belangrijke vereiste om te kunnen voldoen aan de DORA verplichtingen is dat financiële instellingen en kritieke dienstverleners precies weten welke data ze beheren, waar deze worden opgeslagen en wie er toegang heeft. Om dit laatste te ondersteunen dienen autorisatiestructuren duidelijk gedefinieerd zijn: wie mag welke data aanmaken, bekijken en manipuleren, en onder welke omstandigheden?

In veel organisaties is dit echter nog niet volledig of goed geregeld. Het is een complex vraagstuk waarbij soms de technische mogelijkheden ontbreken om datatoegang adequaat te beheren. Een klassiek voorbeeld hiervan is de praktijk waarbij testsystemen worden gevuld met een kopie van productiegegevens, wat niet alleen ineffectief, maar ook in strijd met regelgeving kan zijn wanneer het gaat om privacygevoelige data.  Berucht is inmiddels ook het verzamelen van data in dataplatformen ten behoeve van business intelligence of AI-toepassingen, waarbij bestaande autorisatiestructuren al snel doorbroken kunnen worden.

Redundantie, beschikbaarheid en veiligheid: Meer dan alleen Techniek

Onder DORA is weerbaarheid een cruciale eis. Data moet altijd beschikbaar zijn wanneer nodig, ongeacht verstoringen. Dit gaat verder dan enkel infrastructuurredundantie; het vereist een holistische aanpak waarbij gedurende de volledige levenscyclus van data de juiste maatregelen worden getroffen. Data moeten toegankelijk zijn, maar ook consistentie vertonen ten opzichte van andere systemen binnen een complexe IT-infrastructuur.

Dit betekent dat de organisatie moet nadenken over bijvoorbeeld dataverbindingen, opslaglocaties en toegangsmethoden en bijbehorende applicaties. Continuïteit is slechts mogelijk als de juiste technische én organisatorische maatregelen zijn getroffen om de beschikbaarheid en veiligheid van data te waarborgen. Dit vereist een end-to-end-benadering waarin data centraal staat.

Data Vernietiging: Een Vaak Overgeslagen Stap

Een vaak over het hoofd gezien aspect van databeheer is de vernietiging van data. De opslagkosten zijn laag, waardoor organisaties geneigd zijn data langer te bewaren dan strikt nodig. Het vernietigen van ‘verlopen’ data vermindert de impact van potentiële datalekken of cyberaanvallen, aangezien je geen gegevens kunt verliezen die je niet meer hebt. Aan de andere kant versnelt het verkleinen van de data omvang ook het herstelproces in geval van verstoringen. Daarom is het van belang om deze stap serieus te nemen in het databeheerproces.

Data Continuïteit: Voorbereid op Onverwachte Gebeurtenissen

Een van de kernpunten van DORA is dat organisaties voorbereid moeten zijn op onverwachte en ongeplande gebeurtenissen, zoals cyberaanvallen of technische verstoringen. Dit betekent dat je als organisatie moet beschikken over een solide strategie voor data continuïteit. In het geval van bijvoorbeeld een ransomware-aanval, moet je in staat zijn snel een werkende omgeving te herstellen zonder gegevens te verliezen.

Een veelgebruikte oplossing hiervoor is het implementeren van immutability: niet-wijzigbare data-opslag. Dit zorgt ervoor dat kritieke data niet aangepast of verwijderd kunnen worden door aanvallers. Andere belangrijke maatregelen zijn data-encryptie, toegangscontrole, en instant recovery. Door ervoor te zorgen dat alleen de beschadigde data worden hersteld en prioriteit te geven aan de meest kritieke processen, kunnen organisaties hun herstelprocessen optimaliseren.

Compliance en Governance: De Sleutel tot Succes

Om te kunnen voldoen aan DORA is het noodzakelijk om een solide governance-structuur op te zetten die de naleving van regelgeving waarborgt. Dit omvat regelmatige tests en controles om ervoor te zorgen dat het inzicht up-to-date is, de processen goed zijn ingericht en functioneren zoals vereist en dat dit ook vastgelegd wordt.

Het gaat niet alleen om naleving van de regelgeving, maar juist ook om het waarborgen van de continuïteit van de bedrijfsvoering. Een goed beheerd en gecontroleerd databeheerproces helpt organisaties niet alleen om compliant te zijn, maar ook om effectief te reageren op incidenten, met minimale impact op de bedrijfsactiviteiten.

Bij BPSOLUTIONS helpen we organisaties om te voldoen aan de DORA-regelgeving en hun databeheerprocessen te optimaliseren. Onze expertise ligt in data-inzicht, (priviliged) user management, data-encryptie, beveiligde data-opslag, (instant) data recovery, en monitoring. Met onze oplossingen zorgen we ervoor dat je organisatie klaar is om te voldoen aan de vereisten van DORA en om de continuïteit van je bedrijfsprocessen te waarborgen.

Wil je meer weten over hoe wij je kunnen helpen? Neem gerust contact met Louis Joosse voor een gesprek over de mogelijkheden.

Wil je ook onze andere blogs over DORA lezen?
Blog 1: De impact van Dora op de Financiële sector: Wat u moet weten
Blog 2: BPSOLUTIONS is klaar voor de DORA Richtlijnen
Blog 3: Dora Compliance: optimaliseer jouw information security plan
Blog 4: Versterk de digitale weerbaarheid

Je kunt je hieronder ook abonneren op onze DORA nieuwsbrief