Lühidalt
DORA kohustab finantsüksusi ICT-riski juhtima, intsidente käsitlema, vastupidavust testima ja kolmandate osapoolte riske haldama. Audit ei ole sertifitseerimine: see on tõendite ja toimimise sõltumatu või sisemine ülevaatus. Hea audit vastab küsimusele, kas kontroll töötab ka siis, kui keegi ei vaata.
Auditi ulatus
- Juhtimine: rollid, kinnitused, riskiisu, juhatuse ülevaatus.
- ICT-risk: varad, sõltuvused, riskiregister, meetmed ja mõõdikud.
- Teaberegister: teenusepakkujad, lepingud, kriitilised funktsioonid ja väljumisplaanid.
- Intsidendid: tuvastamine, teavitamine, käsitlemine ja õppimine.
- Vastupidavus: varundus, taastetestid, kriisiõppus ja TLPT vajadus.
- Kolmandad osapooled: due diligence, lepinguklauslid, allhankijad ja järelevalve.
Milliseid tõendeid küsida
| Valdkond | Tõend |
|---|---|
| ICT-risk | Riskiregister, meetmete plaan, juhatuse otsused |
| Teaberegister | Lepingud, pakkujate loetelu, kriitiliste funktsioonide kaardistus |
| Intsidendid | Intsidendilogid, teavituste ajalugu, tabletop-harjutuse protokoll |
| Vastupidavus | Varunduse taastetesti tulemus, RTO/RPO, kriisiplaani test |
| Kolmandad osapooled | Due diligence, lepinguklauslid, allhankijate nimekiri, exit-plan |
Ilma omaniku, kuupäeva ja tõendiviiteta dokument on nõrk tõend. Audit eelistab väikest arvu kontrollitud tõendeid suurele dokumendikogule.
Register, audit ja TLPT: mis vahe on?
Teaberegister on üks DORA tõend, mis kirjeldab ICT-teenuse pakkujaid ja lepingulisi korraldusi. TLPT on ohupõhine vastupidavustest määratud üksustele. Tavaline DORA audit vaatab laiemat juhtimise, riski, intsidentide ja tõendite tervikut. Need täiendavad teineteist, kuid ei asenda teineteist.
Kuidas audit käib
- Skoop: üksused, süsteemid, protsessid ja kriitilised funktsioonid.
- Dokumendivaade: poliitikad, register, lepingud ja varasemad testid.
- Kontrollid: valimipõhine tõendite ja toimimise kontroll.
- Intervjuud: omanikud, tugi, juhtkond ja kolmandad osapooled.
- Raport: leiud, mõju, parandused ja järelkontroll.
Kui vajad enne auditit teaberegistri kontrolli, vaata teaberegistri juhendit.
Tüüpilised vead
- Register on olemas, kuid lepingud ja tegelikud teenused ei kattu.
- Intsidendiprotsess on kirjas, kuid teavituste ajalugu puudub.
- Varundus on testitud, kuid taastetesti tulemust ei ole salvestatud.
- Kõik teenused on märgitud mittekriitiliseks.
- Allhankijad puuduvad registrist.
- Juhatuse otsused ja riskiisu ei ole jälgitavad.
Küsimused DORA auditi kohta
Kas DORA nõuab ühte kohustuslikku auditit?
DORA ei sätesta ühte kohustuslikku sertifikaati ega auditivormi. Finantsüksus peab suutma tõendada ICT-riskijuhtimist, intsidentide käsitlemist, vastupidavusteste, kolmandate osapoolte juhtimist ja juhtimisstruktuuri.
Mida DORA audit sisaldab?
Tüüpiliselt ICT-riskiregistrit, teaberegistrit, lepinguid, intsidendiprotsessi, varundust ja taastetesti, vastupidavustestimise plaani, juhtimist ja tõendite jälgitavust.
Kas teaberegister on DORA audit?
Ei. Teaberegister on üks tõend, mis näitab ICT-teenuse pakkujaid ja lepingulisi korraldusi. Audit vaatab laiemat juhtimise, riski ja tõendite tervikut.
Kas DORA audit asendab TLPT-d?
Ei. TLPT on spetsiifiline ohupõhine vastupidavustest määratud üksustele. Tavaline DORA audit võib TLPT ettevalmistust toetada, kuid ei asenda seda.