Was ist DORA?

Der Digital Operational Resilience Act (DORA) der Europäischen Union trat am 16. Januar 2023 in Kraft, Organisationen hatten jedoch bis zum 17. Januar 2025 Zeit, die Anforderungen zu erfüllen. Finanzinstitute, darunter Banken, Versicherungsgesellschaften und Investmentfirmen, müssen die strengen gesetzlichen Vorschriften hinsichtlich Cybersicherheit – einschließlich Schutz-, Erkennungs-, Eindämmungs-, Wiederherstellungs- und Reparaturmaßnahmen – einhalten, andernfalls drohen ihnen Strafen.

Welche Rolle spielt DORA im Zusammenhang mit der SaaS-Sicherheit?

DORA wurde von der EU ins Leben gerufen, um die operative Resilienz ihrer Finanzinstitute zu stärken. Die EU hat erkannt, dass die digitale Transformation in der Finanzdienstleistungsbranche eine beispiellose Abhängigkeit von Technologie mit sich brachte. Finanzdienstleistungen wären betroffen, wenn diese Technologie durch einen Cyberangriff kompromittiert würde. DORA befasst sich mit Informations- und Kommunikationstechnologie (IKT), zu der auch cloudbasierte SaaS-Anwendungen gehören.

Welche Anforderungen stellt DORA an Finanzdienstleistungsunternehmen?

DORA umfasst fünf Hauptbereiche, die für das reibungslose Funktionieren digitaler Abläufe im Finanzdienstleistungssektor von entscheidender Bedeutung sind:

• IKT-Risikomanagement: Strategien und Protokolle zur Identifizierung, Bewertung und Minderung von Risiken im Zusammenhang mit Informations- und Kommunikationstechnologie-Systemen (IKT).
• Berichterstattung: Verfahren und Standards für eine umfassende Berichterstattung über operative Resilienz und Risikomanagementaktivitäten.
• Prüfung der digitalen Betriebsresilienz: Testmethoden und -rahmen zur Bewertung der Resilienz und Zuverlässigkeit digitaler Betriebsabläufe unter verschiedenen Stressszenarien.
• Management von Drittparteirisiken: Praktiken und Protokolle für den Umgang mit Risiken, die von Drittanbietern, Lieferanten und Partnern im digitalen Ökosystem ausgehen.
• Informations- und Wissensaustausch: Mechanismen für den Austausch wichtiger Informationen und Erkenntnisse zu Cyberbedrohungen, Schwachstellen und Incidents zwischen den relevanten Akteuren.

Finanzdienstleister müssen in den folgenden Schlüsselbereichen ihre Leistungsfähigkeit unter Beweis stellen, um die Compliance mit den DORA-Vorschriften sicherzustellen und die betriebliche Resilienz zu wahren:

• Identifizierung: die Möglichkeit, alle Benutzer, ihre Rollen und ihre Verantwortlichkeiten innerhalb der Anwendung zu dokumentieren.
• Schutz und Prävention: Es müssen Richtlinien entwickelt und Tools eingesetzt werden, die die Konfigurationen überwachen, um die Ausfallsicherheit und die kontinuierliche Verfügbarkeit der Anwendung zu gewährleisten.
• Erkennung: unmittelbare Überwachung des Nutzerverhaltens, um Anzeichen für eine Kompromittierung (Indications of Compromise, IOC) der Anwendung zu erkennen.
• Lernen und Weiterentwickeln: Aufbau eines Audit-Trails zum Zweck der Analyse nach einer Kompromittierung im Anschluss an jeden Cybersicherheits-Incident.
• Risiken durch Drittanbieter verwalten: Sicherstellen, dass alle integrierten Anwendungen denselben Sicherheitsstandards entsprechen, die auch für die SaaS-Anwendungen des Hubs gelten.

Welche Auswirkungen hat DORA auf die SaaS-Sicherheit?

SaaS-Sicherheit ist ein Teilbereich des IKT-Risikomanagements, der sich auf die Absicherung von SaaS-Anwendungen und -Plattformen konzentriert, die im Finanzdienstleistungssektor eingesetzt werden. Organisationen, die auf die DORA-Konformität hinarbeiten, müssen diese Anwendungen vor allen bekannten Angriffsvektoren schützen.

Konfigurationsfehler

Organisationen müssen Maßnahmen ergreifen, um Einstellungen zu identifizieren, die schlecht konfiguriert sind und zu Datenschutzverletzungen und Serviceausfällen führen können.

Identitätssicherheit

Sicherheitsteams müssen alle Benutzer überwachen und verwalten und sicherstellen, dass die Berechtigungen dem Least-Privilege-Prinzip folgen. Darüber hinaus müssen Organisationen in der Lage sein, Benutzer zu identifizieren, die nach Beendigung ihres Arbeitsverhältnisses weiterhin Zugriff haben, sowie inaktive Benutzerkonten und Konten externer Benutzer.

Geräte

Jedes Benutzergerät birgt ein gewisses Risiko für die SaaS-Anwendung. Sicherheitsteams müssen dieses Risiko beseitigen, indem sie risikoreiche Geräte identifizieren und diese eindeutigen Benutzern zuordnen.

Sicherheit von Anwendungen von Drittanbietern

Viele Anwendungen fordern Zugriffsrechte an, die über das für ihre Funktionalität erforderliche Maß hinausgehen, wodurch das Unternehmen potenziellen bösartigen Anwendungen oder legitimen Anwendungen ausgesetzt ist, die von einem Bedrohungsakteur übernommen wurden.

Datenverwaltung

Organisationen müssen Dokumente und andere digitale Assets durch Zugriffskontrollen und Freigabeberechtigungen sichern. Dokumente, die beispielsweise über einen Link für jedermann zugänglich gemacht wurden, können nicht gesichert werden, ohne die Freigabeeinstellungen zu ändern.

Darüber hinaus schreibt DORA vor, dass Finanzinstitute über Mechanismen verfügen müssen, um ungewöhnliche Aktivitäten zu erkennen und wesentliche einzelne Ausfallquellen zu identifizieren. Diese Mechanismen müssen eine mehrstufige Kontrolle ermöglichen und zu Aktivitäten der Incident Response führen.

Welche Tools sichern den SaaS-Stack und entsprechen den DORA-Vorgaben?

Organisationen, die die DORA-Compliance anstreben, sollten eine Plattform für SaaS Security Posture Management (SSPM) und Application Security Posture Management (ASPM) einsetzen. Das SSPM überprüft automatisch die Anwendungseinstellungen und benachrichtigt die Beteiligten, wenn Konfigurationsabweichungen auftreten. Dank der Anwendungsübersicht im Dashboard können App-Administratoren und Sicherheitsteams die Anwendung schützen.

SSPMs überprüfen auch Benutzerprotokolle. Sie können Benutzer mit übermäßigen Berechtigungen identifizieren, inaktive Konten aufspüren, externe Benutzer überwachen und sicherstellen, dass ausgeschiedene Mitarbeiter vollständig von Unternehmensanwendungen abgemeldet werden. Sie können außerdem Geräte mit Benutzern verknüpfen, wodurch es einfacher wird, risikoreiche Geräte aufzufinden, die von Konten mit hohen Berechtigungen verwendet werden. 

Die Erkennung und Überwachung von Drittanbietern ist eine weitere wichtige Funktion von SSPM. SSPMs überprüfen verbundene Apps, identifizieren solche, die sich anomal verhalten oder übermäßige Gültigkeitsbereiche haben, und ermöglichen es Benutzern, die Anwendung zu entkoppeln. 

Kann ein SSPM Bedrohungen erkennen?

SSPMs mit Funktionen zur Erkennung und Reaktion auf Identitätsbedrohungen (Identity Threat Detection, ITDR) nutzen Daten aus dem gesamten SaaS-Stack, um Bedrohungen zu erkennen und Sicherheitsteams zu alarmieren. Das ITDR spürt Anomalien im Benutzerverhalten auf und durchsucht Audit-Protokolle, um Indikatoren für Kompromittierung (Indicators of Compromise, IOC) und Bedrohungen zu erkennen.

Bedrohungen können auf einer Vielzahl von Faktoren basieren, die von IP-Daten bis hin zum Verhalten der Benutzer reichen. Die Daten stammen aus dem gesamten SaaS-Stack und liefern so einen wesentlich umfassenderen Datensatz sowie mehr Kontext zum Bedrohungsbild. Diese Art der Bedrohungserkennung entspricht in der Regel den DORA-Anforderungen.

Bewährte Verfahren für SaaS-Anbieter

Zu den bewährten Verfahren für SaaS-Anbieter gehören:

• Sicherheitsplattformen nutzen: Setzen Sie umfassende Sicherheits- und Compliance-Plattformen ein, die auf die besonderen Bedürfnisse von SaaS-Anwendungen im Finanzsektor zugeschnitten sind. Diese Plattformen können Identitätsmanagement, Konfigurationsfehlermanagement, Bedrohungserkennung und Datenmanagement erleichtern und so die Übereinstimmung mit den DORA-Anforderungen sicherstellen.
• regelmäßige Belastbarkeitstests: Führen Sie regelmäßig Tests zur digitalen Resilienz durch, einschließlich Szenarien, in denen ein Cloud-Service-Anbieter ausfällt. Dies gewährleistet die nötige Vorbereitung und die Fähigkeit, Übergänge reibungslos durchzuführen, um Auswirkungen auf Kunden zu minimieren.
• robuste Datensicherung und -wiederherstellung: Implementieren Sie Datensicherungsrichtlinien und -verfahren, die sicherstellen, dass die Daten vor Risiken geschützt sind, die sich aus der Datenverwaltung ergeben, einschließlich menschlicher Fehler. Testen Sie diese Verfahren regelmäßig, um eine schnelle Wiederherstellung nach IKT-bedingten Störungen zu gewährleisten.