Die Einhaltung von Vorschriften wird im Finanzdienstleistungssektor oft als notwendige Belastung angesehen - eine Reihe von Kästchen, die man abhaken muss, um Geldstrafen oder Rufschädigung zu vermeiden. Aber der Digital Operational Resilience Act (DORA) ist nicht nur eine weitere Checkbox-Übung. Er steht für einen tiefgreifenden Wandel in der Art und Weise, wie die Regulierungsbehörden von europäischen Organisationen erwarten, dass sie digitale Risiken managen.
Für CISOs und Identitätsverantwortliche ist DORA eine Gelegenheit, die Einhaltung von Vorschriften in eine langfristige Risikominderung und Widerstandsfähigkeit zu verwandeln. Um diese Chance zu nutzen, müssen sie bei der Identität ansetzen.
Jede digitale Transaktion innerhalb eines Finanzinstituts beginnt mit einer grundlegenden Sicherheitsfrage: Wer bittet um Zugriff? In einer zunehmend hybriden, mit der Cloud verbundenen und ferngesteuerten Umgebung ist die Überprüfung und Kontrolle der Identität komplexer - und kritischer - denn je.
DORA hat erkannt, dass ohne sichere und belastbare Identitätssysteme kein Unternehmen in der Lage ist, die Betriebskontinuität während einer Krise aufrechtzuerhalten. Wenn man die Kontrolle über die Identität verliert, verliert man die Kontrolle über das Geschäft.
Herkömmliche Identitätssysteme wurden nicht für die heutige Bedrohungslandschaft oder die Erwartungen der Behörden konzipiert. Sie sind oft reaktiv, richtliniengesteuert und stark auf Passwörter und manuelle Prozesse angewiesen.
Häufige Lücken sind:
- Statische Zugangsrichtlinien die das kontextuelle Risiko nicht berücksichtigen
- Mangelnde Sichtbarkeit zum Echtzeit-Identitätsverhalten
- Langsame Reaktion auf Vorfälle aufgrund von isolierten Identitätswerkzeugen
- Keine Backup-Strategie wenn IAM-Systeme offline gehen
DORA erwartet mehr. Es erwartet von den Instituten ein proaktives Management des Identitätsrisikos als Teil ihres operativen Resilienzprogramms. Finanzorganisationen, die in der EU tätig sind, müssen sich nun über diese Anforderungen beschweren, da der 17. Januar 2025 den Beginn der Durchsetzungsphase von DORA markiert.
Identitätsrisikomanagement geht über die Durchsetzung von Zugangskontrollen hinaus. Es bedeutet, das Risiko, das von Benutzern, Geräten und Zugriffsversuchen ausgeht, kontinuierlich zu bewerten und die Sicherheitsmaßnahmen dynamisch anzupassen.
Zum Beispiel:
- Meldet sich ein Benutzer von einem bekannten Standort aus mit einem vertrauenswürdigen Gerät an?
- Entspricht ihr Verhalten den historischen Mustern?
- Gibt es einen Anstieg der Helpdesk-Anfragen, der auf Social Engineering hinweisen könnte?
Anhand dieser Signale lässt sich ein Echtzeit-Risikoprofil erstellen, das als Grundlage für Authentifizierungs- und Zugangsentscheidungen dient.
Die Identitätsplattform von RSA wurde speziell für die Identitätsrisikoanforderungen von DORA entwickelt.
- Risiko AI analysiert Verhaltenssignale, um riskante Zugriffe zu erkennen und zu blockieren
- Helpdesk Live-Überprüfung verhindert Social-Engineering-Angriffe am Punkt der menschlichen Interaktion
- Passwortlose Lösungen (einschließlich FIDO2-zertifizierter Lösungen, OTP, Biometrie und mehr) die Zahl der Sicherheitsverletzungen im Zusammenhang mit Zugangsdaten verringern
- RSA Governance & Lebenszyklus vereinfacht die Durchsetzung von Richtlinien und die Berichterstattung über die Einhaltung von Vorschriften
- Hybride Ausfallsicherung stellt sicher, dass die Authentifizierung auch dann fortgesetzt wird, wenn die Systeme ausfallen
Zusammen ermöglichen diese Tools den Institutionen, die Identität als dynamische, datengesteuerte Risikofunktion zu verwalten.
Die Einhaltung der Vorschriften ist der Ausgangspunkt. Aber Institutionen, die über die Mindestanforderungen von DORA hinausgehen, werden einen sichereren, flexibleren und vertrauenswürdigeren Betrieb aufbauen.
Wenn CISOs jetzt in das Identitätsrisikomanagement investieren, können sie:
- Verringerung der Wahrscheinlichkeit und der Auswirkungen von Verstößen
- Senkung der Kosten und der Komplexität von Prüfungen
- Verbessern Sie die Benutzerfreundlichkeit durch adaptiven, passwortlosen Zugriff
- Aufbau einer dauerhaften Widerstandsfähigkeit für alle digitalen Vorgänge
DORA ist ein Weckruf, Identität neu zu denken. Nicht nur als Zugangstor, sondern als kritisches Risikosignal und Eckpfeiler der Widerstandsfähigkeit.
Mit RSA können sich Finanzinstitute dieser Herausforderung stellen - und die Identität nicht nur zur Einhaltung von Vorschriften, sondern auch zur Führung nutzen.
Sehen Sie sich das RSA-Webinar an, DORA & Digital Risk: Strengthening Identity Security in Financial Services (DORA & digitales Risiko: Stärkung der Identitätssicherheit im Finanzdienstleistungssektor), um zu erfahren, was die Einhaltung von DORA für die Identitätssicherheit wirklich bedeutet, wie man sich am besten auf DORA-Audits vorbereitet und welche wichtigen Compliance-Verpflichtungen in Bezug auf Benutzerautorisierung, Zugang, Authentifizierung und Business Continuity bestehen.
