Questo blog è stato pubblicato per la prima volta nel 2025 ed è stato aggiornato.
Il Digital Operational Resilience Act (DORA) è un obbligo di conformità già in vigore — la sua applicazione è entrata in vigore il 17 gennaio 2025 — che disciplina le modalità con cui gli istituti finanziari gestiscono, monitorano e si riprendono dalle interruzioni dei sistemi ICT. Per i CISO, tale normativa ridefinisce l’identità non più come uno strumento di accesso, ma come un controllo fondamentale per la resilienza operativa.
La conformità è spesso vista come un onere necessario in servizi finanziari—una serie di caselle da spuntare per evitare sanzioni o danni alla reputazione. Ma il Digital Operational Resilience Act (DORA) non è solo l’ennesima lista di requisiti da spuntare. Rappresenta un cambiamento più profondo nel modo in cui le autorità di regolamentazione si aspettano che le organizzazioni europee gestiscano il rischio digitale.
Che cos’è DORA?
Il Digital Operational Resilience Act (DORA) è il regolamento UE n. 2022/2554, che impone agli istituti finanziari di dimostrare di essere in grado di resistere alle interruzioni dei sistemi ICT, di reagire ad esse e di riprendersi. Il regolamento si articola in cinque pilastri: gestione dei rischi ICT, segnalazione degli incidenti, test di resilienza, gestione dei rischi di terze parti e condivisione delle informazioni.
Per i CISO e i responsabili dell'identità, il DORA rappresenta un'opportunità per trasformare la conformità in un fattore di riduzione del rischio e di resilienza a lungo termine. Per realizzare questa opportunità, dovranno iniziare dall'identità.
Il pilastro della gestione dei rischi ICT di DORA richiede specificatamente controlli di accesso rigorosi, autenticazione a più fattori e registri delle identità pronti per la revisione contabile, rendendo l’identità il fondamento operativo della conformità, non una funzione di supporto.
Ogni transazione digitale all’interno di un istituto finanziario inizia con una domanda di sicurezza fondamentale: chi sta richiedendo l’accesso? In un ambiente sempre più ibrido, connesso al cloud e orientato al lavoro da remoto, la verifica e il controllo dell’identità sono più complessi — e più cruciali — che mai.
DORA riconosce che senza sistemi di identità sicuri e resilienti, nessuna organizzazione può mantenere la continuità operativa durante una crisi. Se si perde il controllo dell'identità, si perde il controllo dell'azienda.
I sistemi di identità tradizionali non sono stati progettati per il panorama odierno delle minacce o per le aspettative normative. Spesso sono reattivi, basati su policy e dipendono in larga misura da password e processi manuali.
Le lacune più comuni includono:
- Criteri di accesso statici che non tengono conto del rischio contestuale
- Mancanza di visibilità nel comportamento identitario in tempo reale
- Risposta lenta agli incidenti a causa di strumenti di identità isolati
- Nessuna strategia di backup se i sistemi IAM vanno offline
Il DORA prevede di più. Si aspetta che gli istituti gestiscano in modo proattivo il rischio legato all’identità nell’ambito del proprio programma di resilienza operativa. Gli istituti finanziari che operano nell’UE devono ora conformarsi a tali requisiti, poiché il 17 gennaio 2025 ha segnato l’inizio delle fasi di applicazione del DORA.
Gestione dei rischi legati all'identità va oltre il controllo degli accessi basato su regole, valutando continuamente il livello di rischio di ciascun utente, dispositivo e tentativo di accesso e adeguando dinamicamente i requisiti di autenticazione in tempo reale sulla base di tali segnali.
Ad esempio:
- L'utente accede da una posizione nota su un dispositivo affidabile?
- Il loro comportamento è coerente con i modelli storici?
- C'è un aumento delle richieste all'help desk che potrebbe essere indice di social engineering?
Questi segnali aiutano a costruire un profilo di rischio in tempo reale che guida le decisioni di autenticazione e accesso.
Le soluzioni RSA soddisfano tutti i requisiti di DORA in materia di identità: dall’autenticazione resistente al phishing e al rilevamento dei rischi comportamentali fino al failover ibrido e alla reportistica di governance:
- Rischio AI analizza i segnali comportamentali per individuare e bloccare gli accessi a rischio
- Help Desk Verifica in diretta previene gli attacchi di social engineering nel momento dell'interazione umana
- Soluzioni senza password (tra cui soluzioni certificate FIDO2, OTP, biometria e altro ancora) riducono le violazioni legate alle credenziali
- Governance e ciclo di vita RSA semplifica l'applicazione delle politiche e i rapporti di conformità
- Failover ibrido garantisce che l'autenticazione continui anche quando i sistemi sono fuori uso
Insieme, questi strumenti consentono alle istituzioni di gestire l'identità come una funzione di rischio dinamica e guidata dai dati.
Il rispetto dei requisiti minimi di DORA rappresenta il livello minimo, non il massimo. Le organizzazioni che utilizzano DORA come motore per la modernizzazione della gestione delle identità otterranno un numero inferiore di violazioni, audit più rapidi e operazioni più resilienti rispetto a quelle che lo considerano solo un adempimento burocratico.
Investendo ora nella gestione del rischio di identità, i CISO possono:
- Ridurre la probabilità e l'impatto delle violazioni
- Ridurre i costi e la complessità degli audit
- Migliorare l'esperienza dell'utente grazie all'accesso adattivo e senza password
- Costruire una resilienza duratura in tutte le operazioni digitali
DORA è un campanello d'allarme per ripensare l'identità. Non solo come gatekeeper per l'accesso, ma come segnale di rischio critico e pietra angolare della resilienza.
Grazie a RSA, gli istituti finanziari possono affrontare questa sfida e utilizzare l’identità non solo per garantire la conformità, ma anche per assumere un ruolo di leadership.
Guardate il webinar di RSA, DORA e il rischio digitale: rafforzare la sicurezza dell'identità nei servizi finanziari, per scoprire cosa comporta realmente la conformità alla normativa DORA per la sicurezza delle identità, le migliori pratiche per prepararsi agli audit DORA e i principali obblighi di conformità relativi all’autorizzazione degli utenti, all’accesso, all’autenticazione e alla continuità operativa.
Il DORA (Digital Operational Resilience Act) è una normativa dell’Unione Europea che impone agli istituti finanziari e ai loro fornitori terzi di servizi ICT critici di dimostrare la propria resilienza alle interruzioni dei sistemi ICT attraverso cinque pilastri: gestione del rischio, segnalazione degli incidenti, test di resilienza, rischio di terze parti e condivisione delle informazioni. L’applicazione è entrata in vigore il 17 gennaio 2025, rendendolo un obbligo normativo effettivo per gli istituti che operano nell’UE.
Il regolamento DORA è entrato in vigore nel gennaio 2023 con un periodo di attuazione di due anni. La data di entrata in vigore era il 17 gennaio 2025, il che significa che gli istituti finanziari sono ora soggetti a obblighi di conformità e alla vigilanza attiva da parte delle autorità di regolamentazione finanziaria dell’UE.
Il pilastro della gestione dei rischi ICT previsto dal DORA richiede controlli di accesso rigorosi, autenticazione a più fattori e tracciati di audit completi per gli eventi relativi alle identità. Senza un sistema di gestione delle identità resiliente, le organizzazioni non sono in grado di dimostrare la continuità operativa richiesta dal DORA, né di difendersi dagli attacchi basati sulle credenziali che, nella maggior parte dei casi, danno origine alle segnalazioni di incidenti previste dal DORA.
Le autorità di regolamentazione dell’UE possono infliggere ammende fino a un importo pari a 1% del fatturato medio giornaliero a livello mondiale per violazioni continuate, oppure fino a 5 milioni di euro nei confronti di persone che ricoprono ruoli dirigenziali. Oltre alle sanzioni pecuniarie, le autorità di regolamentazione possono imporre alle istituzioni di sospendere le attività che violano i requisiti del DORA.
Gli audit DORA valutano se le istituzioni siano in grado di dimostrare la visibilità in tempo reale delle identità, controlli di accesso documentati e procedure di risposta agli incidenti collaudate. Le organizzazioni dovrebbero garantire la presenza di tracciati di audit completi per tutti gli eventi di autenticazione, revisioni periodiche degli accessi degli utenti e procedure di failover documentate per i sistemi di gestione delle identità prima dell'inizio del periodo di audit.
DORA richiede un'autenticazione a più fattori (MFA) resistente al phishing, un monitoraggio continuo dei comportamenti di accesso e un sistema di autenticazione che rimanga operativo anche in caso di interruzioni di servizio. Chiavi di sicurezza hardware, autenticazione basata sul rischio e funzionalità di failover ibrido, come quelle presenti in RSA ID Plus—sono stati appositamente progettati per soddisfare tali requisiti.
Il GDPR disciplina la protezione dei dati personali: le modalità di raccolta, conservazione e trattamento. Il DORA disciplina la resilienza operativa: la capacità degli istituti finanziari di mantenere in funzione i sistemi ICT e di riprendersi da eventuali interruzioni. I due quadri normativi si sovrappongono quando sono coinvolti i dati relativi all’identità, ma l’obiettivo principale del DORA è la continuità operativa, non il trattamento dei dati.
La gestione del rischio legato alle identità consiste nel valutare costantemente il livello di rischio associato a utenti, dispositivi e tentativi di accesso, adattando in tempo reale i requisiti di autenticazione sulla base di tali segnali. Nell’ambito del DORA, questo approccio è fondamentale per una gestione proattiva dei rischi ICT, in contrapposizione al modello reattivo, basato esclusivamente sulle politiche, offerto dagli strumenti IAM tradizionali.
