Este blog foi publicado pela primeira vez em 2025 e foi atualizado.
A Lei de Resiliência Operacional Digital (DORA) é uma obrigação de conformidade já em vigor — cuja aplicação teve início em 17 de janeiro de 2025 — que abrange a forma como as instituições financeiras gerenciam, monitoram e se recuperam de interrupções nas tecnologias da informação e comunicação (TIC). Para os CISOs, ela redefine a identidade não como uma ferramenta de acesso, mas como um controle essencial da resiliência operacional.
A conformidade é frequentemente vista como um fardo necessário em serviços financeiros—uma série de itens a serem cumpridos para evitar multas ou danos à reputação. Mas a Lei de Resiliência Operacional Digital (DORA) não é apenas mais um exercício de preenchimento de formulários. Ela representa uma mudança mais profunda na forma como os órgãos reguladores esperam que as organizações europeias gerenciem os riscos digitais.
O que é o DORA?
A Lei de Resiliência Operacional Digital (DORA) é o Regulamento (UE) n.º 2022/2554, que exige que as instituições financeiras demonstrem ser capazes de resistir a interrupções nas tecnologias da informação e comunicação (TIC), responder a elas e se recuperar delas. Ela abrange cinco pilares: gestão de riscos de TIC, notificação de incidentes, testes de resiliência, gestão de riscos de terceiros e compartilhamento de informações.
Para os CISOs e os líderes de identidade, o DORA é uma oportunidade de transformar a conformidade em um impulsionador da redução de riscos e da resiliência a longo prazo. Para aproveitar essa oportunidade, eles precisarão começar pela identidade.
O pilar de gestão de riscos de TIC da DORA exige, especificamente, controles de acesso robustos, autenticação multifatorial e registros de identidade prontos para auditoria — tornando a identidade a base operacional da conformidade, e não uma função de apoio.
Toda transação digital em uma instituição financeira começa com uma pergunta básica de segurança: quem está solicitando acesso? Em um ambiente cada vez mais híbrido, conectado à nuvem e com trabalho remoto, verificar e controlar a identidade é mais complexo — e mais crítico — do que nunca.
A DORA reconhece que, sem sistemas de identidade seguros e resilientes, nenhuma organização pode manter a continuidade operacional durante uma crise. Se você perder o controle da identidade, perderá o controle dos negócios.
Os sistemas de identidade tradicionais não foram projetados para o atual cenário de ameaças ou para as expectativas regulatórias. Em geral, eles são reativos, orientados por políticas e dependem muito de senhas e processos manuais.
As lacunas comuns incluem:
- Políticas de acesso estático que não levam em conta o risco contextual
- Falta de visibilidade em comportamento de identidade em tempo real
- Resposta lenta a incidentes devido a ferramentas de identidade em silos
- Sem estratégia de backup se os sistemas IAM ficarem off-line
A DORA exige mais. Ela exige que as instituições gerenciem proativamente os riscos de identidade como parte de seu programa de resiliência operacional. As instituições financeiras que operam na UE devem agora estar em conformidade com esses requisitos, uma vez que o dia 17 de janeiro de 2025 marcou o início das fases de aplicação da DORA.
Gestão de riscos de identidade vai além do controle de acesso baseado em regras, avaliando continuamente o nível de risco de cada usuário, dispositivo e tentativa de acesso — e ajustando dinamicamente os requisitos de autenticação em tempo real com base nesses sinais.
Por exemplo:
- Um usuário está fazendo login de um local conhecido em um dispositivo confiável?
- O comportamento deles é consistente com os padrões históricos?
- Há um aumento nas solicitações de help desk que pode indicar engenharia social?
Esses sinais ajudam a criar um perfil de risco em tempo real que orienta as decisões de autenticação e acesso.
As soluções da RSA atendem a cada um dos requisitos de identidade da DORA — desde a autenticação resistente a phishing e a detecção comportamental de riscos até o failover híbrido e os relatórios de governança:
- IA de risco analisa sinais comportamentais para detectar e bloquear acessos de risco
- Help Desk Live Verify impede ataques de engenharia social no ponto de interação humana
- Soluções sem senha (incluindo soluções com certificação FIDO2, OTP, biometria e muito mais) reduzem as violações relacionadas a credenciais
- Governança e ciclo de vida da RSA simplifica a aplicação de políticas e os relatórios de conformidade
- Failover híbrido garante que a autenticação continue mesmo quando os sistemas estão fora do ar
Juntas, essas ferramentas permitem que as instituições gerenciem a identidade como uma função de risco dinâmica e orientada por dados.
Atender aos requisitos mínimos da DORA é o ponto de partida, não o limite máximo. As instituições que utilizarem a DORA como impulsionadora da modernização da identidade terão menos violações de segurança, auditorias mais rápidas e operações mais resilientes do que aquelas que a tratam apenas como um exercício de preenchimento de formulários.
Ao investir no gerenciamento de risco de identidade agora, os CISOs podem:
- Reduzir a probabilidade e o impacto das violações
- Reduzir o custo e a complexidade das auditorias
- Melhore a experiência do usuário por meio de acesso adaptável e sem senha
- Crie uma resiliência duradoura em todas as operações digitais
O DORA é um alerta para repensar a identidade. Não apenas como um guardião de acesso, mas como um sinal de risco crítico e uma pedra angular da resiliência.
Com a RSA, as instituições financeiras podem enfrentar esse desafio — e utilizar a identidade não apenas para cumprir as normas, mas para assumir a liderança.
Assista ao webinar da RSA, DORA e Risco Digital: Fortalecendo a segurança da identidade nos serviços financeiros, para saber o que a conformidade com a DORA realmente significa para a segurança de identidade, as melhores práticas para se preparar para auditorias da DORA e as principais obrigações de conformidade relacionadas à autorização, acesso e autenticação de usuários, além da continuidade dos negócios.
A DORA — Lei de Resiliência Operacional Digital — é uma legislação da União Europeia que exige que as instituições financeiras e seus prestadores terceirizados de TIC essenciais demonstrem resiliência contra interrupções nas TIC em cinco pilares: gestão de riscos, notificação de incidentes, testes de resiliência, risco de terceiros e compartilhamento de informações. A aplicação da lei teve início em 17 de janeiro de 2025, tornando-a uma obrigação regulatória vigente para as instituições que operam na UE.
A DORA entrou em vigor em janeiro de 2023, com um prazo de implementação de dois anos. A data de entrada em vigor foi 17 de janeiro de 2025, o que significa que as instituições financeiras estão agora sujeitas a requisitos obrigatórios de conformidade e à supervisão ativa dos órgãos reguladores financeiros da UE.
O pilar de gestão de riscos de TIC da DORA exige controles de acesso robustos, autenticação multifatorial e trilhas de auditoria completas para eventos relacionados à identidade. Sem um sistema de identidade resiliente, as organizações não conseguem demonstrar a continuidade operacional exigida pela DORA — nem se defender contra os ataques baseados em credenciais que, na maioria das vezes, desencadeiam os relatórios de incidentes exigidos pela DORA.
Os órgãos reguladores da UE podem aplicar multas de até 1% do faturamento médio diário mundial em caso de violações contínuas, ou de até € 5 milhões para pessoas físicas que ocupam cargos de gestão. Além das penalidades financeiras, os órgãos reguladores podem exigir que as instituições suspendam as atividades que violem os requisitos da DORA.
As auditorias DORA avaliam se as instituições são capazes de comprovar a visibilidade da identidade em tempo real, controles de acesso documentados e procedimentos testados de resposta a incidentes. As organizações devem garantir trilhas de auditoria completas para todos os eventos de autenticação, revisões regulares do acesso dos usuários e procedimentos documentados de failover para os sistemas de identidade antes do início do período de auditoria.
O DORA exige autenticação multifatorial (MFA) resistente a phishing, monitoramento contínuo do comportamento de acesso e autenticação que permaneça operacional durante interrupções no serviço. Chaves de segurança de hardware, autenticação baseada em risco e recursos híbridos de failover — como os presentes em RSA ID Plus—foram projetados especificamente para atender a esses requisitos.
O GDPR regulamenta a privacidade dos dados pessoais: como eles são coletados, armazenados e processados. A DORA regulamenta a resiliência operacional: se as instituições financeiras conseguem manter os sistemas de TIC em funcionamento e se recuperar de interrupções. Os dois marcos normativos se sobrepõem no que diz respeito aos dados de identidade, mas o foco principal da DORA é a continuidade dos negócios, e não o tratamento de dados.
A gestão de riscos de identidade consiste em avaliar continuamente o nível de risco de usuários, dispositivos e tentativas de acesso — e adaptar os requisitos de autenticação em tempo real com base nesses sinais. No âmbito da DORA, essa abordagem é fundamental para a gestão proativa de riscos de TIC, em vez do modelo reativo, baseado exclusivamente em políticas, oferecido pelas ferramentas tradicionais de IAM.
