Blog ini pertama kali diterbitkan pada tahun 2025 dan telah diperbarui.
Ketika Digital Operational Resilience Act (DORA) diadopsi oleh Uni Eropa, hal ini menandakan pergeseran mendasar tentang bagaimana lembaga keuangan harus melakukan pendekatan terhadap keamanan siber, manajemen risiko, dan kelangsungan operasional. Untuk pertama kalinya, regulator tidak hanya menyebutkan keamanan identitas secara sepintas - mereka menyematkannya secara langsung ke dalam struktur kepatuhan.
Evolusi ini mengakui kenyataan yang telah diketahui oleh banyak profesional keamanan selama bertahun-tahun: bahwa identitas merupakan fondasi keamanan digital dan penopang ketahanan operasional. Mari kita lihat apa saja yang berubah, dampak DORA terhadap keamanan identitas, tantangan yang dihadapi lembaga keuangan, dan bagaimana CISO harus mempersiapkan diri untuk memastikan bahwa organisasi mereka memenuhi persyaratan DORA pada tenggat waktu 2025.
Di bawah DORA, setiap operasi digital dalam lembaga keuangan - mulai dari pembayaran, penerimaan pelanggan, hingga sistem perdagangan - harus aman, tangguh, dan terus tersedia. Dan hal ini menempatkan keamanan identitas sebagai hal yang utama. Karena jika Anda tidak dapat memverifikasi siapa yang mengakses apa, kapan, dan dari mana, strategi identitas Anda akan gagal.
Dalam realitas peraturan DORA yang baru, identitas tidak lagi menjadi fungsi TI back-office. Sekarang ini merupakan keharusan strategis yang dimiliki oleh para pemimpin risiko, petugas kepatuhan, dan eksekutif bisnis.
Beberapa pasal dalam DORA secara langsung atau implisit menuntut kemampuan manajemen identitas dan akses (IAM) yang kuat. Sebagai contoh:
- Kontrol akses dan tata kelola: DORA mengamanatkan agar institusi mengelola hak akses pengguna secara real time dan melakukan peninjauan akses secara berkala untuk mencegah terjadinya pergeseran hak dan akses yang tidak sah.
- Persyaratan otentikasi: Metode autentikasi yang kuat, seperti autentikasi multi-faktor (MFA), diharapkan dapat melindungi sistem dari akses yang tidak sah.
- Kesinambungan operasional: Institusi harus memastikan fungsi-fungsi penting tetap tersedia selama insiden, pemadaman, atau gangguan siber. Hal ini termasuk mempertahankan layanan identitas dalam keadaan darurat.
- Pemantauan dan deteksi anomali: Organisasi harus mendeteksi, merespons, dan pulih dari insiden cyber dengan cepat. Anomali terkait identitas, seperti pola akses yang tidak biasa, merupakan indikator penting.
Persyaratan ini menggarisbawahi perlunya program keamanan identitas yang modern dan sadar risiko.
Tahun 2025 menandai tahun di mana kepatuhan memasuki tahap penegakan, yang berarti organisasi yang tidak mematuhi DORA akan dikenakan denda sebesar 2% dari rata-rata omset global atau 1% dari rata-rata omset harian dengan tambahan denda harian yang dikenakan kepada organisasi yang tidak patuh hingga mencapai kepatuhan. Pertaruhannya sekarang tinggi.
Meskipun investasi dalam bidang keamanan telah meningkat, banyak lembaga keuangan masih bergelut dengan kesenjangan terkait identitas dalam fungsi keamanan dan operasional mereka, termasuk:
- Sistem IAM lama yang tidak memiliki kemampuan beradaptasi dan visibilitas
- Alat bantu identitas yang terkotak-kotak di seluruh lingkungan lokal dan cloud
- Metode autentikasi yang lemah yang rentan terhadap phishing
- Proses tata kelola manual yang membuat pelaporan kepatuhan menjadi lambat dan rentan terhadap kesalahan
Tantangan-tantangan ini membuat organisasi terekspos - tidak hanya pada penyerang, tetapi juga pada pengawasan peraturan dan denda kepatuhan.
CISO di sektor keuangan harus memimpin dalam menyelaraskan strategi identitas dengan DORA. Itu artinya:
- Mengadopsi akses berbasis risiko model yang menyesuaikan kontrol berdasarkan konteks dan perilaku
- Memastikan kesinambungan bisnis dengan failover hibrida untuk autentikasi dan akses
- Memperkuat tata kelola dengan penyediaan, tinjauan, dan sertifikasi akses otomatis
- Merangkul otentikasi tanpa kata sandi untuk membasmi vektor serangan yang umum
Bahasa peraturan dalam DORA memang jelas—namun pelaksanaannya bisa berbeda-beda tergantung pada ukuran, struktur, dan kondisi awal masing-masing organisasi. Skenario-skenario berikut ini menggambarkan bagaimana organisasi jasa keuangan dengan profil yang berbeda-beda menerapkan kepatuhan terhadap DORA dalam praktiknya.
Skenario 1: Bank besar di Eropa yang sedang mempersiapkan diri untuk DORA
Tantangan Sebuah bank ritel besar Uni Eropa yang beroperasi di dua belas negara menghadapi masalah umum: infrastruktur identitasnya telah berkembang melalui serangkaian akuisisi selama beberapa dekade, sehingga kini memiliki tujuh sistem IAM yang terpisah, kebijakan MFA yang tidak konsisten di seluruh unit bisnis, serta siklus peninjauan akses yang membutuhkan waktu hingga tiga puluh hari untuk diselesaikan. Berdasarkan persyaratan Pasal 9 DORA mengenai pengendalian akses dan tata kelola berkelanjutan, fragmentasi ini merupakan celah kepatuhan sekaligus risiko operasional.
Persyaratan DORA yang berlaku
- Pasal 9: Kerangka kerja manajemen risiko TIK, pengendalian akses, dan penerapan prinsip hak akses minimal
- Pasal 10: Deteksi aktivitas yang tidak wajar dan insiden terkait TIK
- Pasal 17: Proses pengelolaan insiden terkait TIK
Langkah-langkah pelaksanaan
- Menggabungkan sistem identitas ke dalam satu platform terpadu (RSA ID Plus) yang mendukung lingkungan cloud, on-premises, dan hybrid di seluruh anak perusahaan.
- Terapkan MFA yang tahan terhadap serangan phishing (Seri RSA iShield Key 2) untuk semua akun dengan hak istimewa dan akun administratif dalam waktu sembilan puluh hari.
- Otomatiskan alur kerja sertifikasi akses dan penyediaan layanan menggunakan Tata Kelola & Siklus Hidup RSA, menggantikan proses peninjauan manual berbasis spreadsheet.
- Aktifkan RSA Risiko AI untuk analisis perilaku berkelanjutan dan deteksi anomali secara real-time.
- Buat jejak audit IAM terpusat yang terintegrasi langsung ke dasbor pelaporan kepatuhan DORA.
Tolok ukur keberhasilan
- Siklus peninjauan akses dipersingkat dari tiga puluh hari menjadi tiga hari
- 100% akun berhak istimewa telah didaftarkan dalam sistem MFA yang tahan phishing dalam waktu enam puluh hari sejak peluncuran platform
- Laporan sertifikasi akses yang siap diaudit dihasilkan secara otomatis setiap tiga bulan sekali
- Tidak ada insiden terkait otentikasi yang teridentifikasi selama inspeksi regulasi DORA yang pertama
Pelajaran utama Konsolidasi bukan sekadar proyek kepatuhan—melainkan proyek ketahanan. Platform IAM terpadu menghilangkan titik-titik buta yang ada di celah-celah antara sistem yang terpisah, yang justru merupakan tempat para penyerang mencari celah.
Skenario 2: Perusahaan jasa keuangan berskala menengah yang mengelola infrastruktur hibrida
Tantangan Sistem perdagangan inti yang dioperasikan di lokasi, aplikasi yang berinteraksi dengan klien di Azure, serta berbagai alat SaaS yang digunakan di seluruh perusahaan. Ketika terjadi gangguan layanan cloud atau gangguan jaringan di lokasi, kegagalan otentikasi sebelumnya pernah membuat staf tidak dapat mengakses sistem-sistem penting selama berjam-jam—hal ini merupakan pelanggaran langsung terhadap persyaratan kelangsungan operasional DORA sebagaimana diatur dalam Pasal 11.
Persyaratan DORA yang berlaku
- Pasal 11: Kelangsungan bisnis TIK dan pemulihan bencana
- Pasal 9: Pengendalian akses jaringan dan sistem
- Pasal 30: Persyaratan kontrak bagi penyedia layanan pihak ketiga di bidang TIK
Langkah-langkah pelaksanaan
- Menerapkan Failover Hibrida RSA ID Plus untuk memastikan layanan otentikasi tetap tersedia jika komponen cloud atau on-premises mengalami kegagalan—dengan peralihan otomatis antar lingkungan dalam waktu kurang dari 60 detik.
- Menerapkan Kunci Ponsel RSA untuk menerapkan pemeriksaan kondisi perangkat bagi staf yang mengakses sistem perdagangan melalui perangkat seluler atau perangkat yang tidak dikelola.
- Mapping semua ketergantungan otentikasi pihak ketiga di bidang TIK dan memverifikasi kepatuhan kontrak terhadap DORA sesuai Pasal 30.
- Laksanakan simulasi pemulihan bencana setiap tiga bulan yang mencakup skenario kegagalan sistem otentikasi, serta mendokumentasikan sasaran waktu pemulihan (RTO) dan sasaran titik pemulihan (RPO) untuk ditinjau oleh pihak regulator.
Tolok ukur keberhasilan
- Ketersediaan otentikasi selama gangguan infrastruktur meningkat dari 67% menjadi 99,9%
- Waktu pemulihan operasional (RTO) untuk layanan identitas berkurang dari 4 jam menjadi kurang dari 3 menit
- Semua kontrak pihak ketiga di bidang TIK telah diperbarui untuk memasukkan ketentuan ketahanan yang diwajibkan oleh DORA dalam jangka waktu persiapan selama 12 bulan
- Hasil simulasi pemulihan telah didokumentasikan dan siap untuk ditinjau oleh otoritas yang berwenang
Pelajaran utama Kelangsungan operasional dalam kerangka DORA bukan sekadar mencegah serangan—melainkan juga menjaga kelancaran operasional selama serangan berlangsung. Failover hibrida untuk otentikasi sama pentingnya bagi kepatuhan terhadap DORA seperti halnya otentikasi yang kuat itu sendiri.
Skenario 3: Perusahaan pengelola investasi yang menanggapi insiden siber berdasarkan DORA
Tantangan Sebuah perusahaan pengelola aset yang berbasis di Uni Eropa dengan total aset yang dikelola (AUM) sebesar €40 miliar mengalami serangan berbasis kredensial yang menargetkan platform administrasi reksa dananya. Kampanye phishing dengan skema “adversary-in-the-middle” berhasil membobol akun layanan, sehingga memungkinkan pergerakan lateral di dalam jaringan. Berdasarkan kerangka kerja klasifikasi dan pelaporan insiden DORA, organisasi tersebut wajib memberitahukan otoritas yang berwenang dalam waktu 24 jam setelah mengklasifikasikan insiden tersebut sebagai “insiden besar” — serta menyerahkan laporan sementara dalam waktu 72 jam dan laporan akhir dalam waktu satu bulan.
Persyaratan DORA yang berlaku
- Pasal 17: Pengelolaan, klasifikasi, dan pelaporan insiden yang berkaitan dengan TIK
- Pasal 19: Kewajiban pelaporan insiden besar dan tenggat waktu
- Pasal 9: Otentikasi dan kontrol akses yang harus tetap beroperasi selama terjadinya insiden
Kronologi kejadian dan tanggapan
- Jam 0: RSA Risk AI mendeteksi perilaku otentikasi yang tidak wajar—akun layanan yang masuk dari lokasi geografis yang tidak biasa dan mengakses sistem di luar pola akses normalnya. Penangguhan akses otomatis pun diaktifkan sambil menunggu hasil penyelidikan.
- Jam ke-2: Tim keamanan mengonfirmasi terjadinya pelanggaran keamanan. Akun tersebut dinonaktifkan melalui RSA ID Plus dalam waktu kurang dari 60 detik. Pergerakan lateral berhasil diatasi.
- Jam ke-6: Klasifikasi internal menunjukkan bahwa hal ini memenuhi ambang batas “insiden besar” menurut DORA berdasarkan dampaknya terhadap ketersediaan sistem inti.
- Jam ke-18: Pemberitahuan awal yang diajukan kepada otoritas yang berwenang—sesuai dengan batas waktu 24 jam—termasuk jenis insiden, dasar klasifikasi, dan langkah-langkah penanggulangan segera yang telah diambil.
- Jam ke-60: Laporan sementara telah diserahkan—sesuai batas waktu 72 jam—yang memuat kronologi lengkap insiden, analisis akar masalah (otentikasi multi-faktor [MFA] yang rentan terhadap phishing pada akun yang diretas), sistem yang terdampak, serta langkah-langkah perbaikan.
- Minggu ke-4: Laporan insiden akhir telah diserahkan, termasuk tinjauan pasca-insiden, perbaikan sistem pengendalian yang telah diterapkan (MFA yang tahan terhadap serangan phishing telah diterapkan pada semua akun layanan), serta perubahan pada ambang batas pemantauan.
Tolok ukur keberhasilan
- Insiden berhasil diatasi dalam waktu 2 jam setelah terdeteksi
- Ketiga batas waktu pelaporan DORA telah dipenuhi—pelaporan awal dalam 24 jam, pelaporan antara dalam 72 jam, dan pelaporan akhir dalam 1 bulan
- Tidak terjadi gangguan sama sekali pada layanan administrasi dana selama insiden tersebut berkat sistem failover otentikasi
- Tindakan perbaikan segera: Akun layanan dengan kode 100% telah dimigrasikan ke sistem otentikasi yang tahan terhadap serangan phishing dalam waktu 30 hari sejak terjadinya insiden
Pelajaran utama Persyaratan pelaporan insiden DORA memberikan insentif kepada organisasi yang telah berinvestasi dalam sistem deteksi dan penanggulangan cepat. RSA Risiko AI Analisis perilaku berhasil memangkas waktu dari awal serangan hingga penanggulangan dari rata-rata potensial 254 hari (standar industri untuk pelanggaran kredensial) menjadi kurang dari 2 jam—sehingga mengubah narasi kepatuhan dari “kami mengalami pelanggaran” menjadi “kami mendeteksi, menanggulangi, dan melaporkannya sesuai kerangka kerja DORA.”
Di RSA, kami membantu lembaga keuangan mengoperasionalkan identitas sebagai pilar ketahanan. Platform identitas kami yang mengutamakan keamanan, RSA ID Plus, dibangun untuk lingkungan yang diatur seperti keuangan.
- RSA Risiko AI menganalisis sinyal perilaku dan kontekstual untuk menegakkan kebijakan akses adaptif
- Kunci Ponsel RSA melindungi akses pada perangkat yang tidak dikelola atau dikompromikan
- RSA iShield Seri Kunci 2 autentikator memungkinkan autentikasi FIDO dan OTP yang tahan phishing
- Tata Kelola & Siklus Hidup RSA mengotomatiskan tata kelola akses dan alur kerja kepatuhan
- Failover Hibrida RSA memastikan otentikasi tanpa gangguan selama pemadaman listrik
Bersama-sama, solusi ini memberikan kontrol yang diperlukan untuk menyelaraskan dengan DORA - dan memperkuat organisasi Anda lebih dari sekadar kepatuhan.
DORA menandai titik balik identitas dalam layanan keuangan. DORA meningkatkan IAM dari masalah teknis menjadi mandat peraturan - dan pendorong strategis ketahanan operasional.
Lembaga keuangan yang menerapkan strategi keamanan yang mengutamakan identitas tidak hanya akan memenuhi persyaratan DORA, tetapi juga mendapatkan keunggulan kompetitif dalam hal keamanan, ketangkasan, dan kepercayaan pelanggan. Sekaranglah waktunya untuk memikirkan kembali postur identitas Anda sebelum penerapan DORA dimulai.
Undang-Undang Ketahanan Operasional Digital (DORA) mulai berlaku pada tanggal 16 Januari 2023 dan mulai diterapkan sepenuhnya pada 17 Januari 2025 — tanggal di mana semua lembaga keuangan yang tercakup dan penyedia layanan TIK pihak ketiga yang kritis diwajibkan untuk mematuhi ketentuan tersebut, serta kewenangan penegakan hukum mulai diberlakukan di seluruh 27 negara anggota Uni Eropa. Tidak ada masa tenggang bagi lembaga yang belum memenuhi persyaratan; otoritas yang berwenang dapat memulai penyelidikan dan menjatuhkan sanksi mulai tanggal tersebut.
Bagi lembaga-lembaga yang masih berupaya mencapai kepatuhan penuh, prioritasnya adalah menunjukkan adanya program kepatuhan yang terdokumentasi dan terus berkembang—terutama untuk infrastruktur identitas warisan yang kompleks yang tidak dapat dimodernisasi dalam semalam.
DORA menetapkan sistem sanksi dua tingkatan. Lembaga keuangan dapat dikenai denda hingga 2% dari total omzet tahunan di seluruh dunia atau 1% dari rata-rata volume transaksi harian di seluruh dunia—mana pun yang berlaku berdasarkan penilaian otoritas yang berwenang—dengan tarif harian yang diterapkan sebagai denda berkelanjutan hingga kepatuhan tercapai. Para manajer senior yang dinyatakan bertanggung jawab atas pelanggaran tersebut dapat dikenai denda pribadi hingga €1,000,000.
Penyedia TIK pihak ketiga yang kritis (CTPP) yang ditetapkan oleh Otoritas Pengawas Eropa menghadapi risiko yang lebih besar: hingga €5,000,000 per pelanggaran, dengan denda per orang sebesar hingga €500,000, ditambah denda harian sebesar hingga 1% dari rata-rata volume perdagangan harian global selama maksimal enam bulan. Selain sanksi finansial, otoritas yang berwenang dapat mengumumkan secara terbuka pelanggaran terhadap DORA—sehingga menimbulkan risiko reputasi yang, bagi lembaga keuangan yang diawasi, dapat melebihi biaya finansial dari denda itu sendiri.
DORA berlaku bagi hampir seluruh sektor keuangan Uni Eropa. Entitas yang tercakup meliputi lembaga kredit, lembaga pembayaran dan uang elektronik, perusahaan investasi, penyedia layanan aset kripto (CASPs), lembaga penyimpanan sekuritas pusat, pihak penjamin sentral, tempat perdagangan, manajer dana investasi alternatif, perusahaan asuransi dan reasuransi, lembaga pemeringkat kredit, firma audit entitas kepentingan publik, serta penyedia layanan pendanaan massal.
Yang terpenting, cakupan DORA melampaui lembaga-lembaga yang berkantor pusat di Uni Eropa. Entitas keuangan non-UE yang beroperasi di wilayah UE, serta penyedia layanan pihak ketiga di bidang TIK—termasuk penyedia layanan cloud—yang menyediakan layanan kepada entitas keuangan yang tercakup dalam cakupan UE juga tunduk pada persyaratan DORA berdasarkan ketentuan kontrak dalam Pasal 30. Perusahaan jasa keuangan yang berbasis di AS dengan operasi di UE atau klien yang berbasis di UE tidak boleh menganggap bahwa mereka berada di luar cakupan peraturan ini.
DORA tidak menetapkan teknologi tertentu, namun persyaratan manajemen risiko dan pengendalian aksesnya sebagaimana tercantum dalam Pasal 9 dan 10 secara langsung mengharuskan adanya kemampuan IAM. Lembaga keuangan wajib menerapkan hal-hal berikut ini
- Otentikasi yang kuat Untuk semua sistem: Kebijakan dan protokol untuk otentikasi multi-faktor (MFA) wajib diterapkan, dengan metode yang tahan terhadap serangan phishing direkomendasikan untuk akses berhak istimewa dan berisiko tinggi.
- Kontrol akses dengan hak akses minimal: Pengguna dan sistem seharusnya hanya memiliki hak akses yang diperlukan untuk menjalankan fungsinya, yang ditinjau secara berkelanjutan dan disesuaikan secara real time.
- Tata kelola akses: Diperlukan peninjauan akses dan siklus sertifikasi yang rutin dan terdokumentasi, disertai dengan proses pemberian dan pencabutan akses secara otomatis untuk mencegah perluasan hak akses yang tidak terkendali.
- Deteksi anomali: Pemantauan berkelanjutan terhadap pola otentikasi dan akses memungkinkan untuk mendeteksi dan menanggapi aktivitas yang tidak biasa yang mengindikasikan adanya pelanggaran keamanan.
- Kelangsungan operasional layanan identitas: Infrastruktur otentikasi harus tetap tersedia selama terjadinya insiden siber dan gangguan layanan, dengan tujuan pemulihan yang terdokumentasi.
- Pemeliharaan jejak audit: Catatan yang lengkap dan tahan manipulasi mengenai semua peristiwa terkait identitas dan akses harus tersedia untuk keperluan peninjauan oleh pihak regulator dan penyelidikan insiden.
RSA ID Plus untuk Layanan Keuangan secara langsung sesuai dengan masing-masing persyaratan tersebut.
Direktif Layanan Pembayaran 2 (PSD2) secara khusus berfokus pada pengamanan pembayaran digital dan mewajibkan penyedia layanan pembayaran untuk melaporkan insiden besar kepada otoritas pengawas dalam waktu dua jam sejak insiden tersebut terdeteksi. DORA menggantikan aturan pelaporan insiden PSD2 bagi semua entitas yang tunduk pada kedua kerangka kerja tersebut—Otoritas Perbankan Eropa secara resmi mencabut pedoman pelaporan insiden besar PSD2 mulai 17 Januari 2025, dan menggantinya dengan kerangka kerja terpadu DORA.
Perbedaan utamanya terletak pada cakupan: PSD2 mencakup keamanan pembayaran; sedangkan DORA mencakup seluruh profil risiko TIK dari semua lembaga keuangan, untuk semua insiden operasional dan keamanan—bukan hanya yang terkait dengan pembayaran. Jadwal pelaporan insiden dalam DORA juga lebih terstruktur: 24 jam untuk pemberitahuan awal, 72 jam untuk laporan sementara, dan satu bulan untuk laporan akhir. DORA juga memperkenalkan kewenangan pengawasan langsung terhadap pihak ketiga di bidang TIK yang krusial, sebuah mekanisme pertanggungjawaban yang tidak memiliki padanan dalam PSD2.
Berdasarkan Pasal 17 dan 19 DORA, lembaga-lembaga wajib mengikuti proses penanggulangan dan pelaporan insiden yang telah ditetapkan. Pertama, insiden harus terdeteksi, dicatat, dan diklasifikasikan—DORA menetapkan kriteria mengenai apa yang dikategorikan sebagai insiden “besar” berdasarkan dampak terhadap ketersediaan layanan, jumlah klien yang terdampak, jangkauan geografis, dan dampak ekonomi. Setelah diklasifikasikan sebagai insiden besar, waktu pelaporan dimulai:
- Pemberitahuan awal kepada otoritas yang berwenang dalam waktu 24 jam terkait klasifikasi sebagai insiden besar
- Laporan sementara dalam 72 jam bersama dengan uraian terperinci mengenai insiden tersebut, langkah-langkah penanggulangan yang telah diambil, dan penilaian awal terhadap akar masalahnya
- Laporan akhir dalam satu bulan dari laporan sementara, termasuk analisis menyeluruh pasca-kejadian, langkah-langkah perbaikan permanen, dan pelajaran yang dipetik
Selama insiden berlangsung, layanan identitas dan otentikasi harus tetap beroperasi. DORA secara tegas mensyaratkan agar rencana kelangsungan bisnis mencakup infrastruktur TIK, termasuk sistem akses dan otentikasi—lembaga tidak boleh menggunakan insiden yang sedang berlangsung sebagai alasan ketidak Tersediaannya sistem otentikasi.
Ya, asalkan solusi berbasis awan dan ketentuan kontraknya memenuhi persyaratan DORA bagi penyedia TIK pihak ketiga sebagaimana diatur dalam Pasal 30. Penyedia identitas berbasis awan harus memberikan jaminan kontraktual terkait ketersediaan layanan, batas waktu pemberitahuan insiden, hak audit, dan portabilitas data. Lembaga yang hanya mengandalkan layanan otentikasi berbasis cloud tanpa kemampuan failover hibrida mungkin akan kesulitan untuk membuktikan kelangsungan operasional yang disyaratkan oleh DORA.
RSA ID Plus dirancang khusus untuk mengatasi tantangan ini: sistem ini mendukung otentikasi berbasis cloud, hybrid, dan on-premises dari satu platform, dengan kegagalan hibrida memastikan bahwa layanan otentikasi tetap tersedia jika konektivitas cloud terganggu. Hal ini berarti manfaat kepatuhan dari pengelolaan cloud—administrasi terpusat, pembaruan otomatis, dan skalabilitas—tanpa risiko titik kegagalan tunggal yang sedang diawasi ketat oleh pihak regulator.
DORA mewajibkan lembaga keuangan untuk menyimpan dan dapat menunjukkan atas permintaan:
- Dokumentasi kerangka kerja manajemen risiko TIK—kebijakan, prosedur, dan pengendalian yang disesuaikan dengan persyaratan DORA, yang ditinjau dan disetujui oleh badan pengelola setidaknya sekali setahun
- Mengakses catatan tinjauan—siklus sertifikasi akses yang terdokumentasi dan dilengkapi cap waktu, yang menunjukkan penerapan prinsip hak akses minimal serta pencabutan akses secara tepat waktu bagi staf yang telah keluar dan yang mengalami perubahan peran
- Daftar insiden—catatan lengkap mengenai semua insiden yang berkaitan dengan TIK, klasifikasinya, kronologi, tindakan penanggulangan, dan hasilnya
- Laporan insiden besar—semua pemberitahuan yang telah diajukan (awal, antara, akhir) terkait insiden apa pun yang memenuhi kriteria klasifikasi insiden besar DORA
- Kontrak TIK pihak ketiga—Perjanjian yang sesuai dengan Pasal 30 dengan semua penyedia layanan TIK, termasuk penyedia layanan otentikasi dan manajemen identitas berbasis cloud
- Rencana kelangsungan bisnis dan pemulihan bencana—rencana yang terdokumentasi dan telah diuji mengenai ketersediaan sistem otentikasi, beserta hasil RTO/RPO yang tercatat dari simulasi
Tata Kelola & Siklus Hidup RSA mengotomatiskan pembuatan dan pemeliharaan catatan tinjauan akses serta laporan kepatuhan, sehingga waktu yang dibutuhkan untuk menyiapkan dokumentasi yang siap diaudit dapat dipersingkat dari beberapa minggu menjadi beberapa jam.
