Velg verktøy ut fra DORA-arbeidet som skal gjøres
Programvare kan holde orden på registre, dokumentasjon og tekniske funn. Velg ut fra beslutninger, data og ansvar i DORA-programmet.
Forsidebildet er en AI-generert redaksjonell illustrasjon. Skjermer og dokumenter er illustrerte konsepter.
Verktøy kan gjøre DORA-arbeidet enklere å vedlikeholde. Avtaler kan kobles til funksjoner, funn kan få eiere, og grunnlag kan hentes frem til kontroll. Spørsmålet er hvilken del av programmet som trenger støtte.
Start med pliktene som gjelder. En produktliste laget før vurderingen kan føre til at dere kjøper funksjoner for feil omfang.
Finn registrene som trenger styring
IKT-avtaleregisteret trenger konsekvente identifikatorer og koblinger. Hendelsesregisteret trenger tidspunkt, klassifiseringsbeslutninger og oppdateringer. Testdokumentasjonen trenger dekning, funn og bekreftet feilretting.
Et kontrollert regneark kan passe et lite og stabilt datagrunnlag. Et eget system kan hjelpe når flere personer vedlikeholder sammenhengende opplysninger eller endringene er hyppige. Vurder tilgangskontroll, validering, historikk og eksport.
Bruk Finanstilsynets DORA-ressurser til å kontrollere forventede leveranser. At leverandøren sier produktet støtter DORA, viser ikke at eksporten passer gjeldende innsendingsformat.
Koble tekniske bevis til formålet
Ressurs- og sårbarhetsverktøy kan støtte identifisering og vurdering. Deteksjonsplattformer kan gi hendelsesgrunnlag. Testverktøy kan bidra til programmet for motstandsdyktighet.
Alle datakildene har begrensninger. En ressursoversikt kan mangle et miljø som ikke er koblet til. Et varsel kan kreve kontroll. En vellykket skanning dokumenterer ikke alle krav til motstandsdyktighet. Registrer begrensningene så grunnlaget brukes riktig.
Testartikkelen forklarer hvorfor automatisk testing og TLPT ikke kan byttes om.
Gjør ansvaret synlig
DORA legger ansvaret for IKT-risiko hos finansforetaket og ledelsesorganet etter de aktuelle reglene. Programvare kan støtte vurderinger av viktige funksjoner, leverandøravhengigheter og hendelser. Den overfører ikke ansvaret til verktøyleverandøren.
Det samme gjelder utkontraktering. Avtal hvem som vedlikeholder opplysningene, hvem som kontrollerer dem, og hvem som godkjenner resultatet. En leverandør kan bistå med rapportering mens foretaket beholder ansvaret.
Vurder en vanlig arbeidsdag
La systemet håndtere en leverandørendring, et forsinket tiltak og en hendelsesoppdatering med representative opplysninger. Kan riktig eier gjøre endringen, en annen person kontrollere den, og foretaket hente historikken?
Se deretter på eksport og avslutning. Programmet bør være forståelig også når programvaren eller konsulentleverandøren byttes. FMs DORA-rådgivning kan hjelpe med kravene før kjøpsbeslutningen.
