Từ ngày 17/01/2025, Digital Operational Resilience Act (DORA) chính thức được áp dụng trên toàn Liên minh Châu Âu. Đây là một khung pháp lý quan trọng nhằm tăng cường khả năng phục hồi số (digital resilience) của toàn bộ hệ thống tài chính trước những rủi ro xuất phát từ công nghệ thông tin và truyền thông (ICT).

Không chỉ giới hạn trong các ngân hàng hay tổ chức tài chính truyền thống, DORA còn mở rộng phạm vi tới các nhà cung cấp dịch vụ công nghệ, bao gồm cloud, fintech, và các bên thứ ba liên quan – những mắt xích quan trọng trong chuỗi giá trị tài chính hiện nay.

Những Yêu Cầu Chính Của DORA

DORA yêu cầu các tổ chức trong phạm vi điều chỉnh phải:

• Xây dựng và duy trì khung quản lý rủi ro ICT toàn diện.

• Chuẩn hóa quy trình phát hiện, báo cáo và xử lý sự cố an ninh mạng.

• Thường xuyên kiểm thử khả năng resilience của hệ thống.

• Quản lý chặt chẽ rủi ro phát sinh từ các đối tác công nghệ và nhà cung cấp dịch vụ.
  

5 Trụ Cột Của DORA

1. ICT Risk Management – Quản lý rủi ro công nghệ ở mọi cấp độ vận hành.

2. Incident Reporting – Chuẩn hóa báo cáo sự cố, tăng khả năng phản ứng và giám sát.

3. Digital Resilience Testing – Định kỳ kiểm thử để đảm bảo hệ thống có thể chống chịu và phục hồi.

4. Third-Party Risk Oversight – Kiểm soát rủi ro từ nhà cung cấp dịch vụ, đặc biệt là cloud providers.

5. Information Sharing – Tăng cường hợp tác, chia sẻ dữ liệu mối đe dọa (threat intelligence) để cùng nâng cao năng lực phòng thủ.
   

Tại Sao DORA Mang Tính Chiến Lược?

Trong bối cảnh các vụ tấn công mạng ngày càng gia tăng, một sự cố ICT có thể nhanh chóng làm gián đoạn cả hệ thống tài chính. DORA tạo ra một chuẩn mực chung trên toàn EU, thay thế cho nhiều quy định phân tán trước đây, giúp doanh nghiệp:

• Hạn chế rủi ro pháp lý khi hoạt động tại châu Âu.

• Tăng độ tin cậy và minh bạch trong vận hành.

• Đảm bảo tính ổn định cho khách hàng và nhà đầu tư.
  

Tại sao CTI lại quan trọng đối với tuân thủ DORA

DORA không chỉ là một quy định mang tính hình thức — mà là một khung làm việc được thiết kế để xây dựng khả năng chống chịu trước các mối đe dọa mạng ngày càng tinh vi. Cyber Threat Intelligence (CTI) giúp tổ chức:

• Dự đoán rủi ro: Có cái nhìn chủ động về bức tranh đe dọa, cho phép nhận diện và giảm thiểu rủi ro sớm.

• Giám sát nhà cung cấp và bên thứ ba: Duy trì khả năng quan sát rủi ro chuỗi cung ứng, đảm bảo mối quan hệ với bên thứ ba không trở thành gánh nặng.

• Phản ứng nhanh chóng và hiệu quả: Cải thiện khả năng báo cáo sự cố và thời gian phản ứng nhờ vào tình báo khả thi và bối cảnh chi tiết.

• Bảo vệ bề mặt tấn công: Lập bản đồ và bảo vệ toàn bộ dấu chân số, giảm thiểu nguy cơ từ các mối đe dọa bên ngoài.
  

KELA: Giải pháp toàn diện cho tuân thủ DORA

Với nền tảng tiên tiến của KELA, tổ chức của bạn sẽ có được:

• Cyber Threat Intelligence: Thông tin toàn diện về các mối đe dọa nhắm vào tổ chức.

• Khám phá bề mặt tấn công bên ngoài: Tầm nhìn đầy đủ về dấu chân số.

• Quản lý rủi ro bên thứ ba: Giám sát liên tục nhà cung cấp và rủi ro trong chuỗi cung ứng.

• Tình báo lỗ hổng bảo mật: Ưu tiên theo thời gian thực những điểm yếu đang bị khai thác.

• Hồ sơ tác nhân đe dọa: Hiểu sâu về chiến thuật, kỹ thuật và quy trình của đối thủ.

• Mô phỏng và kiểm chứng tấn công: Kiểm tra và xác thực các kiểm soát bảo mật dựa trên các kịch bản tấn công thực tế.

Kết Luận

DORA là một bước tiến quan trọng trong nỗ lực xây dựng hệ thống tài chính châu Âu an toàn, resilient và minh bạch hơn. Đối với các tổ chức có liên quan đến thị trường EU, việc chuẩn bị sớm không chỉ để đáp ứng quy định, mà còn là cơ hội để củng cố nền tảng CNTT, tăng độ tin cậy và duy trì tăng trưởng lâu dài.