Come costruire un framework di gestione del rischio ICT DORA utilizzando l'AI

Panoramica

Imparerai come costruire un framework completo di gestione del rischio ICT che soddisfa gli Articoli 6-16 della DORA utilizzando l'AI. Questa guida copre l'intera struttura del framework, dalla governance e identificazione del rischio alla protezione, rilevamento, risposta, ripristino e miglioramento continuo, con prompt specifici di ISMS Copilot per generare ogni componente.

A chi è rivolto

Questa guida è per:

• CISO e responsabili del rischio IT che stanno costruendo o migliorando framework di gestione del rischio ICT per la conformità alla DORA
• Responsabili della conformità incaricati di documentare le politiche e le procedure di gestione del rischio ICT
• Consulenti che sviluppano framework conformi alla DORA per clienti del settore finanziario
• Membri dei comitati di rischio e membri dell'organo di gestione che supervisionano la governance del rischio ICT
• Revisori interni che valutano l'adeguatezza delle disposizioni di gestione del rischio ICT

Prima di iniziare

Avrai bisogno di:

• Un account ISMS Copilot (prova gratuita disponibile)
• Il completamento dei passaggi fondamentali in Come iniziare l'implementazione della DORA utilizzando l'AI, inclusa la valutazione dell'ambito e l'analisi delle lacune
• La tua documentazione esistente sulla gestione del rischio ICT (politiche, registri dei rischi, inventari degli asset) per il confronto delle lacune
• La comprensione del tuo panorama ICT (applicazioni, infrastruttura, servizi cloud, topologia di rete)
• Accesso ai principali stakeholder: CISO, CRO, operazioni IT, responsabile della continuità operativa

Comprendere i requisiti di gestione del rischio ICT della DORA

Analisi articolo per articolo

Il Capitolo II della DORA (Articoli 5-16) stabilisce i requisiti più dettagliati per la gestione del rischio ICT nella regolamentazione dei servizi finanziari dell'UE. Comprendere le richieste specifiche di ogni articolo è essenziale prima di costruire il tuo framework:

Article

Title

Key requirements

Key deliverables

Art 5

Governance and organisation

Management body defines, approves, oversees ICT risk framework

Board mandate, governance charter, training program

Art 6

ICT risk management framework

Comprehensive, documented framework with strategies, policies, procedures

Framework document, ICT risk strategy, annual review process

Art 7

ICT systems, protocols, tools

Reliable and resilient ICT systems maintained and updated

System standards, update policies, capacity management

Art 8

Identification

Identify, classify, document all ICT assets, risks, and dependencies

ICT asset register, risk register, dependency maps

Art 9

Protection and prevention

ICT security policies, access controls, encryption, patch management

Security policy suite, access control procedures, encryption standards

Art 10

Detection

Mechanisms to detect anomalous activities and ICT incidents

Monitoring strategy, SIEM configuration, alert procedures

Art 11

Response and recovery

ICT business continuity policy, disaster recovery plans, communication plans

BCP, DRP, crisis communication plan, backup strategy

Art 12

Backup policies and procedures

Backup and restoration policies, testing of backups, separate recovery sites

Backup policy, restoration procedures, test records

Art 13

Learning and evolving

Post-incident reviews, mandatory training, vulnerability disclosures

Post-incident review process, training program, lessons learned register

Art 14

Communication

Crisis communication plans, responsible disclosure policies

Communication policy, disclosure procedures, public notification templates

Art 15

Further harmonisation of ICT risk management tools

Regulatory Technical Standards specifying details of the framework

RTS compliance mapping, technical implementation

Art 16

Simplified ICT risk management framework

Proportionate requirements for qualifying small entities

Simplified framework document (if applicable)

La struttura del framework

La DORA richiede che il tuo framework di gestione del rischio ICT segua un ciclo di vita specifico: Identify, Protect, Detect, Respond, Recover, Learn. Questo rispecchia i framework consolidati di cybersicurezza (come il NIST CSF) ma aggiunge requisiti specifici della DORA relativi a governance, proporzionalità e segnalazione regolamentare.

Usa ISMS Copilot per capire come il tuo framework esistente si mappa a questo ciclo di vita:

"Confronta il ciclo di vita della gestione del rischio ICT della DORA (Identify, Protect, Detect, Respond, Recover, Learn) dagli Articoli 6-16 con il nostro framework esistente [ISO 27001 / NIST CSF / EBA Guidelines]. Per ogni fase del ciclo di vita, identifica: quali controlli esistenti soddisfano già la DORA, dove la DORA aggiunge requisiti specifici oltre il nostro framework attuale, e quali nuove documentazioni o processi dobbiamo creare."

Passo 1: Stabilire il documento del framework di gestione del rischio ICT

Struttura e governance del framework

L'Articolo 6 richiede un framework di gestione del rischio ICT completo e documentato. Questo è il documento principale che collega tutte le politiche, procedure e processi lungo il ciclo di vita.

1. Apri il tuo spazio di lavoro DORA in ISMS Copilot

2. Genera il documento del framework:

   "Crea un documento completo del Framework di Gestione del Rischio ICT per un [tipo di entità] che soddisfi l'Articolo 6 della DORA. Includi: scopo e ambito, struttura di governance (collegata alle responsabilità dell'organo di gestione dell'Articolo 5), strategia e obiettivi di gestione del rischio ICT, livelli di appetito e tolleranza al rischio, componenti del framework (identificazione, protezione, rilevamento, risposta, ripristino, apprendimento), integrazione con la gestione complessiva del rischio aziendale, ruoli e responsabilità (CISO, CRO, funzione di rischio ICT, prima/seconda/terza linea), procedure di revisione e aggiornamento (almeno annuale, e dopo incidenti gravi come previsto dall'Articolo 6(5)), e metriche di efficacia del framework. Fai riferimento agli articoli specifici della DORA per ogni sezione."

3. Definisci la strategia di rischio ICT:

   "Redigi una strategia di rischio ICT per il nostro [tipo di entità] come richiesto dall'Articolo 6(8) della DORA. Includi: obiettivi strategici di rischio ICT allineati alla strategia aziendale, soglie di tolleranza al rischio approvate dall'organo di gestione, approccio alla metodologia di valutazione del rischio ICT, strategia di allocazione delle risorse per la sicurezza ICT, indicatori chiave di rischio (KRI) e frequenza di reporting, e integrazione con le iniziative di trasformazione digitale. Rendilo adatto per l'approvazione da parte dell'organo di gestione."

Funzione di audit ICT interna

L'Articolo 6(6) richiede che il framework di gestione del rischio ICT sia sottoposto ad audit regolarmente da parte di auditor ICT. Usa ISMS Copilot per stabilire questa funzione:

"Definisci i requisiti della funzione di audit ICT interna per l'Articolo 6(6) della DORA. Includi: carta dell'audit ICT, requisiti di indipendenza e obiettività, universo di audit che copra tutti i componenti del framework di gestione del rischio ICT, metodologia di pianificazione dell'audit basata sul rischio, frequenza dell'audit (almeno annuale per le aree chiave), reporting all'organo di gestione e al comitato di audit, e procedure di follow-up per le risultanze dell'audit. Fornisci un esempio di piano annuale di audit ICT."

Passo 2: Identificazione e classificazione degli asset ICT (Articolo 8)

Costruire l'inventario degli asset ICT

L'Articolo 8 richiede di identificare, classificare e documentare tutti gli asset ICT, le risorse e le loro interconnessioni. Questo inventario costituisce la base per la valutazione del rischio, la classificazione degli incidenti e la gestione del rischio di terze parti.

1. Genera la struttura dell'inventario degli asset:

   "Crea un modello di inventario degli asset ICT che soddisfi i requisiti dell'Articolo 8 della DORA. Includi colonne per: ID asset, nome e descrizione dell'asset, categoria dell'asset (hardware, software, dati, rete, servizio cloud, servizio di terze parti), proprietario dell'asset, funzione aziendale supportata, classificazione della criticità (critico, importante, standard), requisiti di riservatezza/integrità/disponibilità, ubicazione fisica e logica, interconnessioni e dipendenze da altri asset, fornitori ICT di terze parti che lo supportano, obiettivo di tempo di ripristino (RTO) e obiettivo di punto di ripristino (RPO), data dell'ultima revisione. Fornisci criteri di classificazione per ogni campo ed esempi di voci per un [tipo di entità]."

2. Mappa le dipendenze degli asset ICT:

   "Crea una metodologia di mappatura delle dipendenze ICT per l'Articolo 8(1) della DORA. Le nostre funzioni aziendali critiche includono [elenca le funzioni]. Per ogni funzione, aiutaci a identificare: i sistemi e le applicazioni ICT che la supportano, i componenti infrastrutturali (server, reti, storage), i flussi di dati e i repository di dati, i servizi e i fornitori ICT di terze parti, i punti singoli di guasto e i rischi di concentrazione. Fornisci un modello per documentare queste dipendenze sia visivamente che in formato tabellare."

3. Classifica gli asset ICT per criticità:

   "Definisci i criteri di classificazione degli asset ICT per la conformità alla DORA. Crea uno schema di classificazione con livelli (Critico, Importante, Standard) basati su: impatto sulla fornitura di servizi finanziari in caso di interruzione, obblighi di segnalazione regolamentare attivati, numero di clienti/controparti interessati, sensibilità dei dati, requisiti di tempo di ripristino e interconnessione con altri asset critici. Fornisci alberi decisionali ed esempi per un [tipo di entità]."

Identificazione e valutazione del rischio ICT

Con il tuo inventario degli asset completo, conduci una valutazione sistematica del rischio rispetto agli asset ICT identificati:

"Crea una metodologia e un modello di valutazione del rischio ICT allineati all'Articolo 8 della DORA. Per ogni asset ICT critico e importante, valuta: scenari di minaccia (attacchi informatici, guasti di sistema, disastri naturali, errori umani, guasti di terze parti), vulnerabilità (tecniche, procedurali, organizzative), controlli esistenti e loro efficacia, probabilità di occorrenza (scala 1-5 con criteri), impatto sulle funzioni aziendali, clienti e conformità regolamentare (scala 1-5 con criteri), punteggio di rischio residuo e livello di rischio, proprietario del rischio e decisione di trattamento (mitigare, accettare, trasferire, evitare), azioni di trattamento e tempistica. Includi punti di integrazione con il nostro registro dei rischi aziendali."

Passo 3: Misure di protezione e prevenzione (Articolo 9)

Sviluppare le politiche di sicurezza ICT

L'Articolo 9 impone alle entità finanziarie di sviluppare e documentare politiche di sicurezza ICT che coprano la gestione degli accessi, la crittografia, la sicurezza di rete e la gestione delle modifiche. Queste politiche devono essere proporzionate al tuo profilo di rischio.

1. Genera la suite di politiche di sicurezza ICT:

   "Crea una politica di sicurezza ICT completa per un [tipo di entità] che soddisfi l'Articolo 9 della DORA. Struttura la politica per coprire: governance e obiettivi della sicurezza delle informazioni, controllo degli accessi e gestione delle identità (inclusi accesso privilegiato, autenticazione multi-fattore e principio del minimo privilegio), sicurezza di rete (segmentazione, protezione perimetrale, prevenzione delle intrusioni), crittografia e controlli crittografici (dati a riposo, in transito, gestione delle chiavi), gestione delle modifiche ICT (test, approvazione, procedure di rollback), gestione delle patch e tempistiche di rimedio delle vulnerabilità, sicurezza fisica e ambientale per gli asset ICT, requisiti del ciclo di vita dello sviluppo sicuro, protezione degli endpoint e gestione dei dispositivi mobili, e misure di prevenzione della perdita di dati. Per ogni area, fai riferimento all'articolo specifico della DORA e fornisci una guida all'implementazione proporzionata a un'organizzazione di [dimensione dell'entità]."

2. Crea procedure di controllo degli accessi:

   "Sviluppa procedure dettagliate di controllo degli accessi per l'Articolo 9(4) della DORA. Includi: flussi di lavoro per il provisioning e deprovisioning degli utenti, progettazione del controllo degli accessi basato sui ruoli (RBAC), requisiti di gestione degli accessi privilegiati (PAM), procedure di revisione degli accessi (frequenza, ambito, documentazione), standard di autenticazione (requisiti MFA, politiche delle password), controlli di sicurezza per l'accesso remoto, gestione degli account di servizio e requisiti di registrazione e monitoraggio degli accessi. Fornisci modelli di procedure con istruzioni passo-passo."

3. Stabilisci procedure di gestione delle patch:

   "Crea una politica e una procedura di gestione delle patch ICT per la conformità alla DORA. Includi: frequenza della scansione delle vulnerabilità, classificazione delle patch (critiche, alte, medie, basse) con relative tempistiche di rimedio, procedure di test prima della distribuzione, processo di patching di emergenza per le vulnerabilità zero-day, tracciamento delle patch e reporting di conformità, gestione delle eccezioni per i sistemi che non possono essere patchati, e integrazione con il processo di gestione delle modifiche. Fornisci KPI per il reporting sulla conformità delle patch all'organo di gestione."

Standard e resilienza dei sistemi ICT (Articolo 7)

L'Articolo 7 richiede che i sistemi ICT siano resilienti, affidabili e abbiano capacità sufficiente. Usa ISMS Copilot per sviluppare gli standard di supporto:

"Crea standard e requisiti per i sistemi ICT per l'Articolo 7 della DORA. Includi: obiettivi di affidabilità e disponibilità dei sistemi per le funzioni critiche, procedure di gestione della capacità (monitoraggio, pianificazione, scalabilità), politiche di aggiornamento e manutenzione dei sistemi, gestione dell'obsolescenza tecnologica, standard di gestione della configurazione, separazione degli ambienti (produzione, test, sviluppo), e requisiti per i sistemi che supportano funzioni critiche o importanti. Fornisci un formato di checklist per la conformità."

Passo 4: Capacità di rilevamento (Articolo 10)

Costruire la strategia di rilevamento e monitoraggio

L'Articolo 10 richiede meccanismi per rilevare tempestivamente attività anomale, inclusi problemi di performance della rete ICT e incidenti ICT. Le tue capacità di rilevamento devono essere proporzionate all'importanza degli asset ICT monitorati.

1. Progetta la strategia di rilevamento:

   "Crea una strategia completa di rilevamento e monitoraggio ICT per un [tipo di entità] che soddisfi l'Articolo 10 della DORA. Includi: architettura di monitoraggio (componenti SIEM, EDR, NDR, UEBA), fonti di dati da monitorare (traffico di rete, log di sistema, log delle applicazioni, eventi di autenticazione, attività dei database, log dei servizi cloud), casi d'uso di rilevamento prioritizzati per rischio (accesso non autorizzato, esfiltrazione di dati, malware, DDoS, minacce interne, anomalie di terze parti), classificazione e livelli di gravità degli alert, regole di correlazione e baseline comportamentali, requisiti di copertura del monitoraggio 24/7, e integrazione con la classificazione degli incidenti secondo l'Articolo 17 della DORA. Fornisci priorità di implementazione per un'organizzazione di [dimensione]."

2. Definisci le procedure di rilevamento delle anomalie:

   "Sviluppa procedure operative per il rilevamento delle anomalie ICT secondo l'Articolo 10 della DORA. Includi: come vengono identificate le anomalie (alert automatizzati, revisione manuale, feed di threat intelligence), processo di triage iniziale (chi esamina, obiettivi di tempo di risposta, criteri di escalation), gestione dei falsi positivi, requisiti di documentazione per le anomalie rilevate, procedure di passaggio al team di risposta agli incidenti, e tuning continuo delle regole di rilevamento in base ai cambiamenti del panorama delle minacce. Fornisci un modello di procedura con ruoli e responsabilità."

Passo 5: Procedure di risposta e ripristino (Articoli 11-12)

Gestione della continuità operativa ICT

Gli Articoli 11 e 12 stabiliscono requisiti dettagliati per la continuità operativa, il disaster recovery e la gestione dei backup. Questi devono coprire scenari che includono gravi interruzioni ICT, attacchi informatici e guasti dei fornitori di terze parti.

1. Crea la politica di continuità operativa ICT:

   "Sviluppa una Politica di Continuità Operativa ICT per un [tipo di entità] che soddisfi l'Articolo 11 della DORA. Includi: obiettivi e ambito della politica, governance (requisito di approvazione da parte dell'organo di gestione), metodologia di analisi dell'impatto aziendale (BIA) per i servizi ICT, strategie di continuità per ogni funzione aziendale critica, obiettivi di tempo di ripristino (RTO) e obiettivi di punto di ripristino (RPO) per funzione, piani di continuità per scenari: attacco informatico, guasto di sistema, interruzione del data center, guasto di un fornitore di terze parti critico, disastro naturale, pandemia, piani di comunicazione (interna, clienti, autorità competenti, pubblico), ruoli e responsabilità durante un evento di continuità, criteri di attivazione del piano e procedure di escalation, requisiti di test (frequenza, ambito, tipi di test), ciclo di manutenzione e revisione del piano (almeno annuale). Fai riferimento ai requisiti dell'Articolo 11 della DORA in tutto il documento."

2. Sviluppa le procedure di disaster recovery:

   "Crea Piani di Disaster Recovery ICT per la nostra [tipo di entità] che coprano [elenca i sistemi critici]. Per ogni sistema critico, documenta: descrizione del sistema e funzioni aziendali supportate, team di ripristino e dettagli di contatto, procedure di ripristino (passo-passo), meccanismi di failover e siti di elaborazione alternativi, procedure di ripristino dei dati dai backup, verifica dell'integrità dopo il ripristino, requisiti di comunicazione durante il ripristino, criteri per dichiarare il ripristino completato, e procedure di revisione post-ripristino. Allinea RTO e RPO con la nostra politica di continuità operativa."

3. Stabilisci politiche e procedure di backup (Articolo 12):

   "Crea politiche e procedure complete di backup e ripristino per l'Articolo 12 della DORA. Includi: ambito del backup (tutti i dati, configurazioni, software necessari per ripristinare le operazioni), frequenza del backup per classificazione dei dati e RPO, metodi di backup (completo, incrementale, differenziale), requisiti di archiviazione sicura (sito secondario geograficamente separato come previsto dall'Articolo 12(1)), crittografia dei dati di backup, procedure e frequenza di test dell'integrità dei backup, procedure di test di ripristino (almeno annuale come previsto dall'Articolo 12(2)), monitoraggio e alerting dei backup, requisiti di documentazione e registrazione, e procedure per il backup dei sistemi ospitati da fornitori di terze parti. Specifica i requisiti per il sito di backup fisicamente e logicamente separato."

Comunicazione di crisi (Articolo 14)

L'Articolo 14 richiede piani di comunicazione di crisi dedicati. Genera questi utilizzando ISMS Copilot:

"Sviluppa un piano di comunicazione di crisi ICT per l'Articolo 14 della DORA. Includi: governance della comunicazione (chi autorizza le comunicazioni esterne), matrice di comunicazione con gli stakeholder (organo di gestione, dipendenti, clienti, controparti, autorità competenti, media, pubblico), modelli di comunicazione per diversi livelli di gravità degli incidenti, politica di divulgazione responsabile per le vulnerabilità ICT, procedure per il coordinamento con le autorità competenti durante gli incidenti, protocolli per i social media e le pubbliche relazioni, portavoce designato e sostituto, e registrazione e conservazione delle comunicazioni. Fornisci modelli di messaggi per scenari di incidenti ICT gravi."

Passo 6: Apprendimento ed evoluzione (Articolo 13)

Processo di revisione post-incidente

L'Articolo 13 richiede alle entità finanziarie di imparare dagli incidenti ICT, dai risultati dei test e dalle vulnerabilità. Questo crea un ciclo di miglioramento continuo che rafforza il tuo framework nel tempo.

1. Stabilisci il processo di revisione post-incidente:

   "Crea una procedura di revisione post-incidente per l'Articolo 13 della DORA. Includi: criteri di attivazione (quali incidenti richiedono una revisione formale), tempistica della revisione (entro [X] settimane dalla chiusura dell'incidente), partecipanti alla revisione (responsabili della risposta agli incidenti, gestione del rischio, aree aziendali interessate, management), modello di revisione che copra: timeline dell'incidente, analisi delle cause radice (tecniche e organizzative), valutazione dell'efficacia dei controlli, lacune nel rilevamento o nella risposta, impatto su clienti e funzioni aziendali, accuratezza della segnalazione regolamentare, lezioni apprese e azioni di miglioramento, tracciamento delle azioni (responsabile, scadenza, priorità), requisiti di reporting all'organo di gestione, e integrazione delle lezioni nel framework di gestione del rischio ICT. Fornisci un modello di rapporto di revisione post-incidente."

2. Costruisci il programma di miglioramento continuo:

   "Progetta un programma di miglioramento continuo per il framework di gestione del rischio ICT secondo l'Articolo 13 della DORA. Includi: input per il ciclo di miglioramento (revisioni post-incidente, risultati dei test, risultanze degli audit, linee guida regolamentari, threat intelligence, cambiamenti tecnologici), governance delle azioni di miglioramento (come le azioni vengono priorizzate, approvate, tracciate), metriche per l'efficacia del framework (tendenze degli incidenti, tempi di rilevamento, tempi di ripristino, maturità dei controlli), processo di revisione annuale del framework per l'organo di gestione, e integrazione con i programmi di formazione e sensibilizzazione come previsto dall'Articolo 13(6). Fornisci un modello per il rapporto di revisione annuale del framework."

Consapevolezza e formazione sulla sicurezza ICT

L'Articolo 13(6) richiede programmi obbligatori di consapevolezza sulla sicurezza ICT e formazione sulla resilienza operativa digitale. Sviluppali con ISMS Copilot:

"Crea un programma di consapevolezza e formazione sulla sicurezza ICT per l'Articolo 13(6) della DORA. Includi: analisi dei bisogni formativi per ruolo (organo di gestione, personale ICT, tutti i dipendenti, contractor di terze parti), argomenti di formazione (consapevolezza del rischio ICT, obblighi di segnalazione degli incidenti, politiche di sicurezza, ingegneria sociale, requisiti specifici della DORA), metodi di erogazione e frequenza, curriculum di formazione sul rischio ICT per l'organo di gestione (come previsto dall'Articolo 5(4)), valutazione dell'efficacia della formazione, registrazione e tracciamento della conformità, e piano di formazione annuale. Differenzia tra consapevolezza generale e formazione tecnica specifica per ruolo."

Passo 7: Integrare e validare il framework completo

Riferimenti incrociati tra i componenti del framework

Una volta sviluppati tutti i componenti del framework, usa ISMS Copilot per validare completezza e coerenza:

"Esamina i seguenti componenti del framework di gestione del rischio ICT per la completezza della conformità alla DORA: [elenca o carica il tuo documento del framework, politiche, procedure, modelli]. Per ogni Articolo 5-16 della DORA, conferma: se il requisito è affrontato, quale documento lo affronta, se il trattamento è adeguato per un [tipo di entità] della nostra dimensione, eventuali lacune o incongruenze tra i documenti, e eventuali requisiti degli Standard Tecnici Regolamentari (RTS) secondo l'Articolo 15 che non sono ancora stati affrontati. Fornisci una matrice di conformità."

Preparazione all'esame regolamentare

Le autorità competenti esamineranno il tuo framework di gestione del rischio ICT come area di focus principale. Prepara il tuo pacchetto di evidenze:

"Crea una checklist di preparazione all'esame della gestione del rischio ICT DORA per un [tipo di entità]. Per ogni Articolo 5-16, elenca: le domande regolamentari attese, i documenti di evidenza da avere pronti, le metriche e i KPI chiave da presentare, le comuni carenze riscontrate e come evitarle, e i requisiti di dimostrazione per l'organo di gestione (registri di formazione, verbali delle riunioni, evidenze di approvazione). Dai priorità in base alla probabilità di focus dell'esame."

Prossimi passi

Ora disponi di un framework completo di gestione del rischio ICT che copre tutti i requisiti degli Articoli 6-16 della DORA:

• Documento del framework con struttura di governance e strategia di rischio ICT
• Inventario degli asset ICT con classificazione e mappatura delle dipendenze
• Misure di protezione e prevenzione con suite di politiche di sicurezza
• Capacità di rilevamento con strategia e procedure di monitoraggio
• Procedure di risposta e ripristino con BCP, DRP e politiche di backup
• Programma di apprendimento ed evoluzione con revisione post-incidente e formazione

Continua con le prossime guide di questa serie DORA:

• Come implementare la segnalazione degli incidenti DORA utilizzando l'AI -- Sviluppa le tue capacità di rilevamento e risposta con i requisiti specifici di classificazione e segnalazione degli incidenti della DORA
• Come pianificare i test di resilienza DORA utilizzando l'AI -- Progetta il tuo programma di test per validare i controlli e le procedure che hai stabilito in questo framework
• Come gestire il rischio ICT di terze parti DORA utilizzando l'AI -- Estendi il tuo framework di gestione del rischio per coprire i fornitori ICT di terze parti identificati nel tuo inventario degli asset

Per prompt pronti all'uso che coprono ogni aspetto della gestione del rischio ICT, consulta la DORA Compliance Prompt Library. Per una panoramica regolamentare completa, fai riferimento alla DORA Compliance Guide for Financial Entities.

Richiedere assistenza

Per ulteriore supporto nella costruzione del tuo framework di gestione del rischio ICT:

• Chiedi a ISMS Copilot: Usa il tuo spazio di lavoro DORA per lo sviluppo e la revisione iterativa delle politiche
• Carica politiche esistenti: Ottieni un'analisi mirata delle lacune caricando la documentazione attuale sul rischio ICT per il confronto con i requisiti della DORA
• Riferimenti incrociati tra framework: Mappa i controlli esistenti ISO 27001 o EBA Guidelines agli Articoli 6-16 della DORA per sfruttare il lavoro precedente
• Valida gli output: Rivedi i documenti del framework generati dall'AI rispetto al testo del regolamento DORA e agli Standard Tecnici Regolamentari pertinenti prima dell'approvazione da parte dell'organo di gestione