Банк може перенести частину ІТ-інфраструктури в хмару, але не може передати постачальникові всю відповідальність за пов’язані з цим ризики. Якщо через збій дата-центру перестануть працювати платежі чи клієнтський застосунок, фінансовій організації доведеться розбиратися не лише з наслідками аварії, а й з тим, як вона керувала ризиками та готувалася до такого сценарію.
DORA (Digital Operational Resilience Act) — регламент ЄС про цифрову операційну стійкість фінансового сектору. Він застосовується з 17 січня 2025 року й встановлює вимоги до фінансових організацій, зокрема щодо управління ризиками, пов’язаними із зовнішніми постачальниками ІТ-послуг.
Договір із провайдером як інструмент управління ризиками
DORA поширюється на широке коло фінансових організацій ЄС. Конкретні вимоги залежать від категорії організації та передбачених регламентом винятків.
Фінансова організація має оцінювати ризики, пов’язані з ІТ-постачальниками, і зберігає відповідальність за дотримання вимог DORA, навіть якщо користується зовнішніми послугами. Критичність функції впливає на додаткові вимоги до договору та контролю постачальника. Водночас постачальник ІТ-послуг не підпадає під прямий нагляд DORA лише тому, що обслуговує фінансову компанію. Прямий нагляд поширюється на постачальників, яких європейські наглядові органи офіційно визнали критично важливими. Це не скасовує договірних вимог і оцінки ризиків з боку клієнта.
Локація, резервні копії та дії під час інциденту
Перше, що варто уточнити, — географія інфраструктури. Для ІТ-послуг, що підтримують критичні або важливі функції, договір має визначати регіони чи країни, де надаються послуги й обробляються дані, зокрема місця зберігання. У ньому також передбачається попереднє повідомлення клієнта про заплановану зміну цих місць.
Важливо знати й те, які сторонні організації беруть участь у наданні послуги. Якщо від субпідрядників залежить робота критичних систем, фінансовій організації потрібно розуміти характер цієї залежності та пов’язані з нею ризики.
Після аварії може з’ясуватися, що для відновлення платіжного сервісу потрібні не лише резервні копії, а й мережеві налаштування, сертифікати, конфігурації застосунків і доступ до зовнішніх систем. Тому варто уточнити, що саме резервується, як перевіряється відновлення і хто за нього відповідає. Для критично важливих сервісів потрібно також узгодити цільові показники RPO та RTO: допустимий обсяг втрати даних і цільовий час відновлення.
Клієнтові важливо знати, куди звертатися в разі збою, як провайдер повідомляє про хід робіт і які дії має виконати власна ІТ-команда. Крім умов SLA, варто перевірити порядок реагування на інциденти, канали зв’язку, доступність технічної підтримки та правила інформування про проблеми. Для послуг, що підтримують критичні або важливі функції, DORA передбачає додаткові договірні умови, зокрема вимоги до рівнів сервісу та повідомлення про події, які можуть суттєво вплинути на надання послуги.
DORA не вимагає від фінансових організацій відмовлятися від хмарних послуг чи розміщення інфраструктури за кордоном. Регламент вимагає оцінювати ризики, пов’язані з ІТ-постачальниками, і закріплювати необхідні умови в договорах. Тому під час вибору хмарного провайдера важливо розуміти, де надається послуга, як влаштований ланцюг постачальників і що станеться в разі збою.
