Situacija
Kredito unija Šiauliuose, 45 darbuotojai, du skyriai ir internetinė bankininkystė nariams. IT ūkis nedidelis: keli serveriai, bankinė sistema pas išorinį tiekėją, Microsoft 365 el. paštui ir dokumentams. Už IT atsakingas vienas žmogus, kuris kartu administravo ir dalį verslo sistemų.
DORA reglamentas (ES 2022/2554) taikomas nuo 2025 m. sausio 17 d., ir kredito unijos patenka į jo apimtį. Priežiūros institucija per planinį patikrinimą paprašė pateikti IRT rizikų valdymo sistemos dokumentus, incidentų registravimo procesą ir atsparumo testavimo įrodymus. Unija turėjo rizikų vertinimą iš ankstesnių metų, keletą politikų ir rezervines kopijas, kurios buvo daromos, bet niekada neatstatytos nuo nulio.
Finansų vadovė kreipėsi į mus su konkrečiu klausimu: ką reikia turėti popieriuje ir ką reikia turėti iš tikrųjų, kad per patikrinimą nebūtų nustatyta neatitikčių. Terminas – trys mėnesiai iki pakartotinio priežiūros susitikimo.
Ko reikėjo
- IRT rizikų registro, susieto su verslo procesais ir kritinėmis sistemomis.
- Incidentų valdymo proceso su klasifikavimu ir pranešimo priežiūros institucijai terminais.
- Trečiųjų šalių (IRT tiekėjų) registro su sutarčių peržiūra ir rizikos vertinimu.
- Veikiančio atstatymo plano: ne tik kopijų, bet ir išbandyto atkūrimo su užfiksuotu laiku.
- Atsparumo testavimo programos, kurią galima kartoti kasmet be išorinių konsultantų.
- Viso to – nedidelės įmonės jėgomis, be naujo etato.
Ką padarėme
1–2 savaitė: spragų analizė
Pradėjome nuo esamų dokumentų ir infrastruktūros peržiūros pagal DORA reikalavimų žemėlapį. Sudarėme kritinių funkcijų sąrašą: indėlių ir paskolų apskaita, mokėjimai, narių aptarnavimas, ataskaitos priežiūros institucijai. Kiekvienai funkcijai priskyrėme sistemas, tiekėjus ir atsakingus žmones. Paaiškėjo, kad bankinės sistemos tiekėjo sutartyje nebuvo numatytas nei RTO, nei audito teisė – tai tapo atskiru darbu su unijos teisininku.
3–5 savaitė: rizikų registras ir procesai
Atlikome rizikų vertinimą pagal mūsų metodiką, suderintą su ISO 27001 reikalavimais ir DORA IRT rizikų valdymo sistema. Registre atsirado 38 rizikos, iš jų 7 aukštos. Parengėme incidentų valdymo procedūrą su klasifikacija, kuri atitinka DORA didelių incidentų pranešimo logiką, ir paprastą registravimo formą Microsoft 365 aplinkoje. Tiekėjų registre atsidūrė 14 IRT tiekėjų su kritiškumo įverčiu ir sutarčių peržiūros rezultatu.
Lygiagrečiai apmokėme darbuotojus: dviejų valandų mokymai apie incidentų atpažinimą ir registravimą, atskira sesija vadovybei apie jos vaidmenį atstatymo metu. Tai svarbu, nes DORA reikalauja ne tik dokumentų, bet ir įrodymų, kad žmonės žino, ką daryti.
6–8 savaitė: PlanB atstatymas
Techninė dalis – PlanB infrastruktūros atstatymas MDP CLOUD debesijoje. Unijos serverių kopijos jau buvo daromos su Veeam, bet tik į vietinę saugyklą. Pridėjome kopiją į mūsų duomenų centrą Lietuvoje, o PlanB aplinkoje paruošėme iš anksto sukonfigūruotą tinklą, VPN ir domeno kontrolerį, kad atstatymo metu nereikėtų nieko kurti nuo nulio. Sudėtingiausia buvo bankinė sistema pas išorinį tiekėją: jos atstatymas priklauso nuo tiekėjo, todėl į planą įtraukėme tiekėjo kontaktus, eskalavimo tvarką ir jo sutartinį RTO.
9–10 savaitė: pratybos
Atlikome dvi atstatymo pratybas. Pirmųjų metu atstatėme failų serverį ir domeno kontrolerį PlanB aplinkoje – prireikė 5 valandų, iš jų valanda prarasta dėl neteisingo DNS įrašo. Pataisėme procedūrą, ir antrųjų pratybų metu visos unijos valdomos sistemos buvo pasiekiamos per 4 valandas. Abu kartus fiksavome laiką, dalyvius, problemas ir priimtus sprendimus – būtent tokio protokolo prašo priežiūra.
Rezultatas
Unija priežiūros institucijai pateikė dokumentų rinkinį: IRT rizikų registrą, incidentų procedūrą, tiekėjų registrą su 14 įvertintų tiekėjų, verslo tęstinumo ir atstatymo planą bei dviejų pratybų protokolus. Pakartotinio susitikimo metu pastabų dėl IRT rizikos valdymo nebuvo. Bankinės sistemos tiekėjo sutartis papildyta RTO įsipareigojimu ir audito teise – tai užtruko ilgiausiai, bet be to tiekėjų registras būtų likęs formalus.
Svarbiausias skaičius – 4 valandų RTO, kuris yra ne pažadas, o išmatuotas rezultatas. Pratybos dabar vyksta du kartus per metus pagal sutartą kalendorių; kitas kartojimas jau suplanuotas su IT atsakingu, mums dalyvaujant tik kaip stebėtojams.
„Iki tol turėjome kopijas ir tikėjome, kad jos veikia. Dabar turime protokolą, kuriame parašyta, kiek valandų užtruko ir kas nesuveikė.“
Matavimas paprastas: kiekvienų pratybų protokole fiksuojamas faktinis atkūrimo laikas, o rizikų registras peržiūrimas kas ketvirtį kartu su mūsų DORA konsultantu.
Ką patartume panašioje situacijoje
- Pradėkite nuo kritinių funkcijų, ne nuo dokumentų šablonų. Priežiūra klausia, kas nutiks nariams, jei sistema sustos, o ne kiek puslapių turi politika.
- Patikrinkite IRT tiekėjų sutartis anksti. Trūkstamas RTO ar audito teisė sutartyje derinami mėnesiais.
- Atstatymą išbandykite bent du kartus prieš pateikdami priežiūrai. Pirmosios pratybos beveik visada atskleidžia klaidą, kurios nebuvo plane.
- Pratybų protokolą rašykite taip, kad jį suprastų valdyba: laikas, kas nesuveikė, kas pakeista.
