A Lei de Resiliência Operacional Digital (DORA) entrou em vigor em 17 de janeiro, trazendo diretrizes abrangentes e um marco regulatório detalhado sobre como todas as entidades de serviços financeiros que operam na União Europeia devem garantir a resiliência dos dados contra interrupções imprevistas.
A DORA também reconhece uma realidade amplamente aceita pelos profissionais de segurança cibernética: não se trata mais de saber se ocorrerá um ataque cibernético, mas sim quando. Essa legislação crucial traz um novo nível de rigor e responsabilidade ao setor de serviços financeiros, que continuará a evoluir para salvaguardar a estabilidade da UE e do ecossistema financeiro global.
Muitos setores do setor de serviços financeiros, além dos bancos tradicionais e das instituições de crédito, estão agora sujeitos à DORA, incluindo provedores de pagamentos, corretoras de valores, plataformas de negociação, seguradoras e prestadores terceirizados de serviços de tecnologia da informação e comunicação (TIC).
Aqueles que ainda não estão familiarizados com esse nível de regulamentação podem ter dificuldades para cumprir as exigências, conforme indicado pelo exercício de simulação “DORA” realizado pelos reguladores financeiros europeus.¹ Além disso, provavelmente enfrentarão um escrutínio adicional por parte de clientes, parceiros e outras partes interessadas interligadas, que o considerarão um novo risco operacional. O não cumprimento não significa mais apenas a possibilidade de uma multa muito elevada, mas também danos à reputação e responsabilidade civil para a empresa, seus diretores e seus parceiros.
While it remains to be seen how quickly financial regulators act, DORA represents a shift from guidelines for data readiness and cyber resilience to enforcement of it. Given the expansive nature of DORA, which significantly broadens the EU’s financial regulation of IT, regulators, lacking unlimited expertise and resources, may face challenges enforcing all aspects of DORA immediately. As a result, regulators are likely to adopt a targeted approach, focusing on the most critical and visible areas of noncompliance.
O que as instituições financeiras estão priorizando
Uma das principais prioridades para a conformidade com a DORA é a apresentação de registros de informações precisos e tecnicamente adequados. Os órgãos reguladores financeiros têm enfatizado que os registros serão o foco principal da fiscalização e esperam que as organizações os apresentem no início de 2025. Apresentar um registro preciso que detalhe os principais prestadores de serviços de TI da organização pode ser mais benéfico do que apresentar informações incompletas sobre todos os seus prestadores de serviços de TI.2
For data protection leaders and CIOs, DORA is a call to action to examine legacy systems and consider whether they are capable of withstanding today’s cyberthreats and can deliver the performance required for efficient, rapid service recovery.
Além de identificar e mapear os principais sistemas, aplicativos e cargas de trabalho junto aos respectivos provedores de TIC, as organizações devem considerar cuidadosamente os recursos essenciais que protegem, defendem e recuperam esses sistemas. Os recursos críticos incluem:
- Proteção de dados e Recovery cibernética
cibernética. Os recursos de recuperação rápida são essenciais no âmbito da DORA para minimizar o impacto operacional de um ataque. A única maneira de atingir o RTO mais rigoroso e ultracurto exigido para sistemas críticos é realizar a recuperação por meio de instantâneos imutáveis baseados em armazenamento. Esses instantâneos devem ser armazenados com segurança em um repositório isolado (ou virtualmente isolado do mundo externo). - Detecção de ameaças com alerta antecipado
antecipada de ameaças: Identificar e corrigir possíveis ameaças cibernéticas com antecedência é um aspecto importante da proteção de dados e da Readiness. A capacidade de analisar dados continuamente para detectar anomalias e identificar ameaças, como ransomware e malware, em tempo real, além de automatizar a correção, é essencial para conter um ataque mais rapidamente. - Ambientes de recuperação isolados (IRE) ou salas limpas para testes de resiliência
A criação de um IRE totalmente autônomo, no qual os dados possam ser restaurados para análise forense e de aplicativos e validados como livres de ameaças antes de retornarem à produção, agiliza a recuperação. Os IREs também permitem que as organizações testem e aprimorem continuamente as práticas de Recovery cibernética, garantindo a Readiness organizacional. - Escalabilidade e desempenho
As empresas continuarão a aprimorar seus serviços, a enfrentar novas exigências regulatórias e a lidar com ameaças cibernéticas emergentes. É importante levar em consideração a capacidade de uma solução de se adaptar à medida que as necessidades de dados mudam em ambientes distribuídos e híbridos, mantendo, ao mesmo tempo, altas velocidades de desempenho para a proteção e Recovery de dados.
Conformidade com confiança
As organizações que demorarem a estabelecer capacidades robustas para atender à DORA e a outras regulamentações de resiliência em constante evolução — como a PSD2, a NIS2, a APRA CPS 230 e a Lei Europeia de Resiliência Cibernética, que entrará em vigor em 2026 — poderão se deparar com desafios cada vez maiores a serem superados. Elas também poderão ficar em desvantagem competitiva em relação às empresas que conseguirem demonstrar sua capacidade de permanecer resilientes diante de perturbações no ecossistema financeiro global.
Trabalhar com parceiros que compreendem os requisitos de resiliência da regulamentação e implementar soluções robustas pode ajudar as organizações a estarem em conformidade e melhor preparadas para enfrentar novos desafios regulatórios e defender seu ambiente de dados contra ameaças emergentes.
A Pure Storage e a Commvault uniram-se para desenvolver uma solução conjunta, com design modular, que ajuda as instituições financeiras a aprimorar suas práticas de resiliência cibernética e a atender aos principais pilares da DORA no que diz respeito à resposta a incidentes e aos testes de resiliência. A solução foi desenvolvida por meio da integração dos recursos líderes em resiliência cibernética do Commvault® Cloud com a plataforma altamente segura e de alto desempenho da Pure Storage. Saiba mais sobre a solução e nosso compromisso com a resiliência cibernéticaSaiba mais no SHIFT 2025.
Você está preparado para a Readiness cibernética?
A prontidão reflete a resiliência cibernética madura, em que a tecnologia, as pessoas e os processos funcionam perfeitamente para permitir a continuidade dos negócios diante de qualquer desafio cibernético. Avalie a resiliência cibernética da sua organização coma Avaliação de Maturidade Cibernética.
1 Principais conclusões do exercício de simulação das ESAs de 2024, Autoridade Bancária Europeia, 17 de dezembro de 2024.
2 Contagem regressiva para a DORA — Quatro pontos importantes das declarações dos órgãos reguladores em dezembro, Skadden, Arps, Slate, Meagher & Flom, LLP, 3 de janeiro de 2025
