Como construir um framework de gestão de risco ICT da DORA usando IA

Visão geral

Você aprenderá como construir um framework abrangente de gestão de risco ICT que atende aos Artigos 6-16 da DORA usando IA. Este guia cobre a estrutura completa do framework, desde governança e identificação de riscos até proteção, detecção, resposta, recuperação e melhoria contínua, com prompts específicos do ISMS Copilot para gerar cada componente.

Para quem é este guia

Este guia é para:

• CISOs e gestores de risco de TI que estão construindo ou aprimorando frameworks de gestão de risco ICT para conformidade com a DORA
• Oficiais de conformidade responsáveis por documentar políticas e procedimentos de gestão de risco ICT
• Consultores que desenvolvem frameworks compatíveis com a DORA para clientes do setor financeiro
• Membros de comitês de risco e membros do órgão de gestão que supervisionam a governança de risco ICT
• Auditores internos que avaliam a adequação dos arranjos de gestão de risco ICT

Antes de começar

Você precisará de:

• Uma conta no ISMS Copilot (teste gratuito disponível)
• Conclusão das etapas fundamentais em Como começar a implementação da DORA usando IA, incluindo avaliação de escopo e análise de lacunas
• Sua documentação existente de gestão de risco ICT (políticas, registros de risco, inventários de ativos) para comparação de lacunas
• Compreensão do seu cenário ICT (aplicações, infraestrutura, serviços em nuvem, topologia de rede)
• Acesso a stakeholders-chave: CISO, CRO, operações de TI, gestor de continuidade de negócios

Entendendo os requisitos de gestão de risco ICT da DORA

Análise artigo por artigo

O Capítulo II da DORA (Artigos 5-16) estabelece os requisitos mais detalhados de gestão de risco ICT na regulamentação de serviços financeiros da UE. Compreender as demandas específicas de cada artigo é essencial antes de construir o seu framework:

Article

Title

Key requirements

Key deliverables

Art 5

Governance and organisation

Management body defines, approves, oversees ICT risk framework

Board mandate, governance charter, training program

Art 6

ICT risk management framework

Comprehensive, documented framework with strategies, policies, procedures

Framework document, ICT risk strategy, annual review process

Art 7

ICT systems, protocols, tools

Reliable and resilient ICT systems maintained and updated

System standards, update policies, capacity management

Art 8

Identification

Identify, classify, document all ICT assets, risks, and dependencies

ICT asset register, risk register, dependency maps

Art 9

Protection and prevention

ICT security policies, access controls, encryption, patch management

Security policy suite, access control procedures, encryption standards

Art 10

Detection

Mechanisms to detect anomalous activities and ICT incidents

Monitoring strategy, SIEM configuration, alert procedures

Art 11

Response and recovery

ICT business continuity policy, disaster recovery plans, communication plans

BCP, DRP, crisis communication plan, backup strategy

Art 12

Backup policies and procedures

Backup and restoration policies, testing of backups, separate recovery sites

Backup policy, restoration procedures, test records

Art 13

Learning and evolving

Post-incident reviews, mandatory training, vulnerability disclosures

Post-incident review process, training program, lessons learned register

Art 14

Communication

Crisis communication plans, responsible disclosure policies

Communication policy, disclosure procedures, public notification templates

Art 15

Further harmonisation of ICT risk management tools

Regulatory Technical Standards specifying details of the framework

RTS compliance mapping, technical implementation

Art 16

Simplified ICT risk management framework

Proportionate requirements for qualifying small entities

Simplified framework document (if applicable)

A estrutura do framework

A DORA exige que o seu framework de gestão de risco ICT siga um ciclo de vida específico: Identificar, Proteger, Detectar, Responder, Recuperar, Aprender. Isso espelha frameworks de cibersegurança estabelecidos (como o NIST CSF), mas adiciona requisitos específicos da DORA em torno de governança, proporcionalidade e reporte regulatório.

Use o ISMS Copilot para entender como o seu framework existente se mapeia a este ciclo de vida:

"Compare o ciclo de vida de gestão de risco ICT da DORA (Identificar, Proteger, Detectar, Responder, Recuperar, Aprender) dos Artigos 6-16 com o nosso framework existente [ISO 27001 / NIST CSF / EBA Guidelines]. Para cada fase do ciclo de vida, identifique: quais controles existentes já atendem à DORA, onde a DORA adiciona requisitos específicos além do nosso framework atual, e quais novas documentações ou processos precisamos criar."

Passo 1: Estabelecer o documento do framework de gestão de risco ICT

Estrutura e governança do framework

O Artigo 6 exige um framework de gestão de risco ICT abrangente e documentado. Este é o documento principal que reúne todas as políticas, procedimentos e processos ao longo do ciclo de vida.

1. Abra o seu espaço de trabalho da DORA em ISMS Copilot

2. Gere o documento do framework:

   "Crie um documento abrangente de Framework de Gestão de Risco ICT para um [tipo de entidade] que atenda ao Artigo 6 da DORA. Inclua: propósito e escopo, estrutura de governança (vinculando às responsabilidades do órgão de gestão do Artigo 5), estratégia e objetivos de gestão de risco ICT, níveis de apetite e tolerância ao risco, componentes do framework (identificação, proteção, detecção, resposta, recuperação, aprendizado), integração com a gestão de risco empresarial geral, papéis e responsabilidades (CISO, CRO, função de risco ICT, primeira/segunda/terceira linha), procedimentos de revisão e atualização (pelo menos anual, e após incidentes graves conforme Artigo 6(5)), e métricas de eficácia do framework. Referencie artigos específicos da DORA para cada seção."

3. Defina a estratégia de risco ICT:

   "Elabore uma estratégia de risco ICT para o nosso [tipo de entidade] conforme exigido pelo Artigo 6(8) da DORA. Inclua: objetivos estratégicos de risco ICT alinhados à estratégia de negócios, limites de tolerância ao risco aprovados pelo órgão de gestão, abordagem para a metodologia de avaliação de risco ICT, estratégia de alocação de recursos para segurança ICT, indicadores-chave de risco (KRIs) e frequência de reporte, e integração com iniciativas de transformação digital. Torne-o adequado para aprovação pelo órgão de gestão."

Função de auditoria ICT interna

O Artigo 6(6) exige que o framework de gestão de risco ICT seja auditado regularmente por auditores ICT. Use o ISMS Copilot para estabelecer essa função:

"Defina os requisitos da função de auditoria ICT interna para o Artigo 6(6) da DORA. Inclua: carta de auditoria ICT, requisitos de independência e objetividade, universo de auditoria cobrindo todos os componentes do framework de gestão de risco ICT, metodologia de planejamento de auditoria baseada em risco, frequência de auditoria (pelo menos anual para áreas-chave), reporte ao órgão de gestão e comitê de auditoria, e procedimentos de acompanhamento de achados de auditoria. Forneça um exemplo de plano anual de auditoria ICT."

Passo 2: Identificação e classificação de ativos ICT (Artigo 8)

Construindo o inventário de ativos ICT

O Artigo 8 exige que você identifique, classifique e documente todos os ativos ICT, recursos e suas interconexões. Este inventário forma a base para a avaliação de riscos, classificação de incidentes e gestão de risco de terceiros.

1. Gere a estrutura do inventário de ativos:

   "Crie um modelo de inventário de ativos ICT que atenda aos requisitos do Artigo 8 da DORA. Inclua colunas para: ID do ativo, nome e descrição do ativo, categoria do ativo (hardware, software, dados, rede, serviço em nuvem, serviço de terceiros), proprietário do ativo, função de negócio suportada, classificação de criticidade (crítico, importante, padrão), requisitos de confidencialidade/integridade/disponibilidade, localização física e lógica, interconexões e dependências de outros ativos, provedores ICT terceirizados de suporte, objetivo de tempo de recuperação (RTO) e objetivo de ponto de recuperação (RPO), data da última revisão. Forneça critérios de classificação para cada campo e exemplos de entradas para um [tipo de entidade]."

2. Mapeie as dependências dos ativos ICT:

   "Crie uma metodologia de mapeamento de dependências ICT para o Artigo 8(1) da DORA. Nossas funções críticas de negócio incluem [listar funções]. Para cada função, ajude-nos a identificar: os sistemas e aplicações ICT que a suportam, componentes de infraestrutura (servidores, redes, armazenamento), fluxos de dados e repositórios de dados, serviços e provedores ICT terceirizados, pontos únicos de falha e riscos de concentração. Forneça um modelo para documentar essas dependências visualmente e em formato tabular."

3. Classifique os ativos ICT por criticidade:

   "Defina critérios de classificação de ativos ICT para conformidade com a DORA. Crie um esquema de classificação com níveis (Crítico, Importante, Padrão) com base em: impacto na entrega de serviços financeiros se houver interrupção, obrigações de reporte regulatório acionadas, número de clientes/contrapartes afetados, sensibilidade dos dados, requisitos de tempo de recuperação e interconexão com outros ativos críticos. Forneça árvores de decisão e exemplos para um [tipo de entidade]."

Identificação e avaliação de riscos ICT

Com o seu inventário de ativos completo, conduza uma avaliação sistemática de riscos em relação aos ativos ICT identificados:

"Crie uma metodologia e modelo de avaliação de risco ICT alinhados ao Artigo 8 da DORA. Para cada ativo ICT crítico e importante, avalie: cenários de ameaças (ataques cibernéticos, falhas de sistema, desastres naturais, erro humano, falhas de terceiros), vulnerabilidades (técnicas, procedimentais, organizacionais), controles existentes e sua eficácia, probabilidade de ocorrência (escala de 1-5 com critérios), impacto nas funções de negócio, clientes e conformidade regulatória (escala de 1-5 com critérios), pontuação de risco residual e nível de risco, proprietário do risco e decisão de tratamento (mitigar, aceitar, transferir, evitar), ações de tratamento e cronograma. Inclua pontos de integração com o nosso registro de risco empresarial."

Passo 3: Medidas de proteção e prevenção (Artigo 9)

Desenvolvendo políticas de segurança ICT

O Artigo 9 determina que as entidades financeiras desenvolvam e documentem políticas de segurança ICT abrangendo gestão de acesso, criptografia, segurança de rede e gestão de mudanças. Essas políticas devem ser proporcionais ao seu perfil de risco.

1. Gere o conjunto de políticas de segurança ICT:

   "Crie uma política abrangente de segurança ICT para um [tipo de entidade] que atenda ao Artigo 9 da DORA. Estruture a política para cobrir: governança e objetivos de segurança da informação, controle de acesso e gestão de identidade (incluindo acesso privilegiado, autenticação multifator e princípio do menor privilégio), segurança de rede (segmentação, proteção de perímetro, prevenção de intrusões), criptografia e controles criptográficos (dados em repouso, em trânsito, gestão de chaves), gestão de mudanças ICT (testes, aprovação, procedimentos de rollback), prazos de gestão de patches e remediação de vulnerabilidades, segurança física e ambiental para ativos ICT, requisitos do ciclo de vida de desenvolvimento seguro, proteção de endpoints e gestão de dispositivos móveis, e medidas de prevenção contra vazamento de dados. Para cada área, referencie o artigo específico da DORA e forneça orientações de implementação proporcionais a uma organização de [tamanho da entidade]."

2. Crie procedimentos de controle de acesso:

   "Desenvolva procedimentos detalhados de controle de acesso para o Artigo 9(4) da DORA. Inclua: fluxos de trabalho de provisionamento e desprovisionamento de usuários, design de controle de acesso baseado em funções (RBAC), requisitos de gestão de acesso privilegiado (PAM), procedimentos de revisão de acesso (frequência, escopo, documentação), padrões de autenticação (requisitos de MFA, políticas de senha), controles de segurança para acesso remoto, gestão de contas de serviço e requisitos de registro e monitoramento de acesso. Forneça modelos de procedimentos com instruções passo a passo."

3. Estabeleça procedimentos de gestão de patches:

   "Crie uma política e procedimento de gestão de patches ICT para conformidade com a DORA. Inclua: frequência de varredura de vulnerabilidades, classificação de patches (crítico, alto, médio, baixo) com prazos correspondentes de remediação, procedimentos de teste antes da implantação, processo de aplicação de patches de emergência para vulnerabilidades de dia zero, rastreamento de patches e reporte de conformidade, gestão de exceções para sistemas que não podem ser corrigidos e integração com o seu processo de gestão de mudanças. Forneça KPIs para reporte de conformidade de patches ao órgão de gestão."

Padrões e resiliência de sistemas ICT (Artigo 7)

O Artigo 7 exige que os sistemas ICT sejam resilientes, confiáveis e tenham capacidade suficiente. Use o ISMS Copilot para desenvolver os padrões de suporte:

"Crie padrões e requisitos de sistemas ICT para o Artigo 7 da DORA. Inclua: metas de confiabilidade e disponibilidade de sistemas para funções críticas, procedimentos de gestão de capacidade (monitoramento, planejamento, escalabilidade), políticas de atualização e manutenção de sistemas, gestão de obsolescência tecnológica, padrões de gestão de configuração, separação de ambientes (produção, teste, desenvolvimento) e requisitos para sistemas que suportam funções críticas ou importantes. Forneça em formato de checklist de conformidade."

Passo 4: Capacidades de detecção (Artigo 10)

Construindo sua estratégia de detecção e monitoramento

O Artigo 10 exige mecanismos para detectar prontamente atividades anômalas, incluindo problemas de desempenho de rede ICT e incidentes ICT. Suas capacidades de detecção devem ser proporcionais à importância dos ativos ICT sendo monitorados.

1. Projete a estratégia de detecção:

   "Crie uma estratégia abrangente de detecção e monitoramento ICT para um [tipo de entidade] que atenda ao Artigo 10 da DORA. Inclua: arquitetura de monitoramento (componentes SIEM, EDR, NDR, UEBA), fontes de dados a monitorar (tráfego de rede, logs de sistema, logs de aplicação, eventos de autenticação, atividade de banco de dados, logs de serviços em nuvem), casos de uso de detecção priorizados por risco (acesso não autorizado, exfiltração de dados, malware, DDoS, ameaças internas, anomalias de terceiros), classificação e níveis de severidade de alertas, regras de correlação e baselines comportamentais, requisitos de cobertura de monitoramento 24/7 e integração com a classificação de incidentes sob o Artigo 17 da DORA. Forneça prioridades de implementação para uma organização de [tamanho]."

2. Defina procedimentos de detecção de anomalias:

   "Desenvolva procedimentos operacionais para detecção de anomalias ICT sob o Artigo 10 da DORA. Inclua: como as anomalias são identificadas (alertas automatizados, revisão manual, feeds de inteligência de ameaças), processo de triagem inicial (quem revisa, metas de tempo de resposta, critérios de escalonamento), gestão de falsos positivos, requisitos de documentação para anomalias detectadas, procedimentos de transferência para a equipe de resposta a incidentes e ajuste contínuo das regras de detecção com base em mudanças no cenário de ameaças. Forneça um modelo de procedimento com funções e responsabilidades."

Passo 5: Procedimentos de resposta e recuperação (Artigos 11-12)

Gestão de continuidade de negócios ICT

Os Artigos 11 e 12 estabelecem requisitos detalhados para continuidade de negócios, recuperação de desastres e gestão de backups. Estes devem cobrir cenários incluindo interrupções graves de ICT, ataques cibernéticos e falhas de provedores terceirizados.

1. Crie a política de continuidade de negócios ICT:

   "Desenvolva uma Política de Continuidade de Negócios ICT para um [tipo de entidade] que atenda ao Artigo 11 da DORA. Inclua: objetivos e escopo da política, governança (requisito de aprovação pelo órgão de gestão), metodologia de análise de impacto nos negócios (BIA) para serviços ICT, estratégias de continuidade para cada função crítica de negócio, objetivos de tempo de recuperação (RTO) e objetivos de ponto de recuperação (RPO) por função, planos de continuidade para cenários: ataque cibernético, falha de sistema, interrupção de data center, falha de provedor terceirizado crítico, desastre natural, pandemia, planos de comunicação (internos, clientes, autoridades competentes, público), funções e responsabilidades durante um evento de continuidade, critérios de ativação do plano e procedimentos de escalonamento, requisitos de teste (frequência, escopo, tipos de testes), ciclo de manutenção e revisão do plano (pelo menos anual). Referencie os requisitos do Artigo 11 da DORA ao longo do documento."

2. Desenvolva procedimentos de recuperação de desastres:

   "Crie Planos de Recuperação de Desastres ICT para o nosso [tipo de entidade] cobrindo [listar sistemas críticos]. Para cada sistema crítico, documente: descrição do sistema e funções de negócio suportadas, equipe de recuperação e detalhes de contato, procedimentos de recuperação (passo a passo), mecanismos de failover e sites alternativos de processamento, procedimentos de restauração de dados a partir de backups, verificação de integridade após a restauração, requisitos de comunicação durante a recuperação, critérios para declarar a recuperação concluída e procedimentos de revisão pós-recuperação. Alinhe os RTOs e RPOs com a nossa política de continuidade de negócios."

3. Estabeleça políticas e procedimentos de backup (Artigo 12):

   "Crie políticas e procedimentos abrangentes de backup e restauração para o Artigo 12 da DORA. Inclua: escopo do backup (todos os dados, configurações, software necessários para restaurar operações), frequência de backup por classificação de dados e RPO, métodos de backup (completo, incremental, diferencial), requisitos de armazenamento seguro (site secundário geograficamente separado conforme Artigo 12(1)), criptografia de dados de backup, procedimentos e frequência de teste de integridade de backup, procedimentos de teste de restauração (pelo menos anual conforme Artigo 12(2)), monitoramento e alerta de backup, requisitos de documentação e registro, e procedimentos para backup de sistemas hospedados por provedores terceirizados. Especifique requisitos para o site de backup fisicamente e logicamente separado."

Comunicação de crise (Artigo 14)

O Artigo 14 exige planos dedicados de comunicação de crise. Gere estes usando o ISMS Copilot:

"Desenvolva um plano de comunicação de crise ICT para o Artigo 14 da DORA. Inclua: governança de comunicação (quem autoriza comunicações externas), matriz de comunicação com stakeholders (órgão de gestão, funcionários, clientes, contrapartes, autoridades competentes, mídia, público), modelos de comunicação para diferentes níveis de severidade de incidentes, política de divulgação responsável de vulnerabilidades ICT, procedimentos para coordenação com autoridades competentes durante incidentes, protocolos de mídia social e relações públicas, porta-voz designado e backup, e registro e manutenção de registros de comunicação. Forneça modelos de mensagens para cenários de incidentes ICT graves."

Passo 6: Aprendizado e evolução (Artigo 13)

Processo de revisão pós-incidente

O Artigo 13 exige que as entidades financeiras aprendam com incidentes ICT, resultados de testes e vulnerabilidades. Isso cria um ciclo de melhoria contínua que fortalece o seu framework ao longo do tempo.

1. Estabeleça o processo de revisão pós-incidente:

   "Crie um procedimento de revisão pós-incidente para o Artigo 13 da DORA. Inclua: critérios de gatilho (quais incidentes exigem revisão formal), cronograma de revisão (dentro de [X] semanas após o encerramento do incidente), participantes da revisão (respondedores de incidentes, gestão de risco, áreas de negócio afetadas, gestão), modelo de revisão cobrindo: linha do tempo do incidente, análise de causa raiz (técnica e organizacional), avaliação da eficácia dos controles, lacunas na detecção ou resposta, impacto em clientes e funções de negócio, precisão do reporte regulatório, lições aprendidas e ações de melhoria, acompanhamento das ações (responsável, prazo, prioridade), requisitos de reporte ao órgão de gestão e integração das lições no framework de gestão de risco ICT. Forneça um modelo de relatório de revisão pós-incidente."

2. Construa o programa de melhoria contínua:

   "Projete um programa de melhoria contínua para o framework de gestão de risco ICT sob o Artigo 13 da DORA. Inclua: entradas para o ciclo de melhoria (revisões pós-incidente, resultados de testes, achados de auditoria, orientações regulatórias, inteligência de ameaças, mudanças tecnológicas), governança das ações de melhoria (como as ações são priorizadas, aprovadas, acompanhadas), métricas de eficácia do framework (tendências de incidentes, tempos de detecção, tempos de recuperação, maturidade dos controles), processo de revisão anual do framework pelo órgão de gestão e integração com programas de treinamento e conscientização conforme Artigo 13(6). Forneça um modelo para o relatório de revisão anual do framework."

Conscientização e treinamento em segurança ICT

O Artigo 13(6) exige programas obrigatórios de conscientização em segurança ICT e treinamento em resiliência operacional digital. Desenvolva estes com o ISMS Copilot:

"Crie um programa de conscientização e treinamento em segurança ICT para o Artigo 13(6) da DORA. Inclua: análise de necessidades de treinamento por função (órgão de gestão, equipe de ICT, todos os funcionários, contratados terceirizados), tópicos de treinamento (conscientização sobre risco ICT, obrigações de reporte de incidentes, políticas de segurança, engenharia social, requisitos específicos da DORA), métodos de entrega e frequência, currículo de treinamento em risco ICT para o órgão de gestão (conforme Artigo 5(4)), avaliação da eficácia do treinamento, manutenção de registros e acompanhamento de conformidade, e plano anual de treinamento. Diferencie entre conscientização geral e treinamento técnico específico para cada função."

Passo 7: Integrar e validar o framework completo

Referenciamento cruzado dos componentes do framework

Depois de desenvolver todos os componentes do framework, use o ISMS Copilot para validar a completude e consistência:

"Revise os seguintes componentes do framework de gestão de risco ICT para completude de conformidade com a DORA: [liste ou carregue seu documento do framework, políticas, procedimentos, modelos]. Para cada Artigo 5-16 da DORA, confirme: se o requisito é abordado, qual documento o aborda, se o tratamento é adequado para um [tipo de entidade] do nosso tamanho, quaisquer lacunas ou inconsistências entre documentos, e quaisquer requisitos das Normas Técnicas Regulatórias (RTS) sob o Artigo 15 que ainda não foram abordados. Forneça uma matriz de conformidade."

Preparando-se para a inspeção regulatória

As autoridades competentes examinarão o seu framework de gestão de risco ICT como uma área de foco principal. Prepare o seu pacote de evidências:

"Crie uma checklist de preparação para exame de gestão de risco ICT da DORA para um [tipo de entidade]. Para cada Artigo 5-16, liste: as perguntas regulatórias esperadas, documentos de evidência para ter pronto, métricas e KPIs chave para apresentar, achados comuns de deficiências e como evitá-los, e requisitos de demonstração pelo órgão de gestão (registros de treinamento, atas de reuniões, evidências de aprovação). Priorize pela probabilidade de foco no exame."

Próximos passos

Agora você tem um framework abrangente de gestão de risco ICT cobrindo todos os requisitos dos Artigos 6-16 da DORA:

• Documento do framework com estrutura de governança e estratégia de risco ICT
• Inventário de ativos ICT com classificação e mapeamento de dependências
• Medidas de proteção e prevenção com conjunto de políticas de segurança
• Capacidades de detecção com estratégia e procedimentos de monitoramento
• Procedimentos de resposta e recuperação com BCP, DRP e políticas de backup
• Programa de aprendizado e evolução com revisão pós-incidente e treinamento

Continue com os próximos guias desta série sobre a DORA:

• Como implementar o reporte de incidentes da DORA usando IA -- Construa sobre suas capacidades de detecção e resposta com os requisitos específicos de classificação e reporte de incidentes da DORA
• Como planejar testes de resiliência da DORA usando IA -- Projete o seu programa de testes para validar os controles e procedimentos que você estabeleceu neste framework
• Como gerenciar o risco ICT de terceiros da DORA usando IA -- Estenda o seu framework de gestão de risco para cobrir os provedores ICT terceirizados identificados no seu inventário de ativos

Para prompts prontos para uso cobrindo todos os aspectos da gestão de risco ICT, consulte a Biblioteca de Prompts de Conformidade com a DORA. Para a visão geral regulatória completa, consulte o Guia de Conformidade com a DORA para Entidades Financeiras.

Obtendo ajuda

Para suporte adicional na construção do seu framework de gestão de risco ICT:

• Pergunte ao ISMS Copilot: Use o seu espaço de trabalho da DORA para desenvolvimento e revisão iterativa de políticas
• Carregue políticas existentes: Obtenha análise de lacunas direcionada carregando a documentação atual de risco ICT para comparação com os requisitos da DORA
• Referencie frameworks cruzados: Mapeie os controles existentes da ISO 27001 ou das Diretrizes da EBA para os Artigos 6-16 da DORA para aproveitar trabalhos anteriores
• Valide saídas: Revise os documentos do framework gerados por IA em relação ao texto da regulamentação DORA e às Normas Técnicas Regulatórias relevantes antes da aprovação pelo órgão de gestão