Sytuacja
Kasa kredytowa w Szawlach na Litwie: 45 pracowników, dwa oddziały i bankowość internetowa dla członków. Środowisko IT jest niewielkie: kilka serwerów, system bankowy hostowany przez zewnętrznego dostawcę oraz Microsoft 365 do poczty i dokumentów. Za IT odpowiada jedna osoba, która administrowała też częścią systemów biznesowych.
Rozporządzenie DORA (UE 2022/2554) obowiązuje od 17 stycznia 2025 r., a kasy kredytowe wchodzą w jego zakres. Podczas planowej kontroli organ nadzoru poprosił o dokumenty ram zarządzania ryzykiem ICT, proces rejestrowania incydentów oraz dowody testowania odporności. Kasa miała ocenę ryzyka z wcześniejszych lat, kilka polityk i kopie zapasowe, które były wykonywane, ale nigdy nie zostały odtworzone od zera.
Dyrektor finansowy przyszedł do nas z konkretnym pytaniem: co musimy mieć na papierze, a co w rzeczywistości, aby kontrola nie wykazała niezgodności? Termin wynosił trzy miesiące, przed kolejnym spotkaniem z nadzorcą.
Czego potrzebowano
- Rejestru ryzyka ICT powiązanego z procesami biznesowymi i systemami krytycznymi.
- Procesu zarządzania incydentami z klasyfikacją i terminami zgłaszania do organu nadzoru.
- Rejestru stron trzecich (dostawców ICT) z przeglądem umów i oceną ryzyka.
- Działającego planu odtwarzania: nie tylko kopii zapasowych, ale przetestowanego odtworzenia ze zmierzonym czasem.
- Programu testów odporności, który można powtarzać co roku bez zewnętrznych konsultantów.
- Wszystkiego tego w ramach zasobów małej organizacji i bez nowego zatrudnienia.
Co zrobiliśmy
Tygodnie 1–2: analiza luk
Zaczęliśmy od przeglądu istniejących dokumentów i infrastruktury względem mapy wymagań DORA. Sporządziliśmy listę funkcji krytycznych: księgowanie depozytów i pożyczek, płatności, obsługa członków oraz raporty dla organu nadzoru. Do każdej funkcji przypisaliśmy systemy, dostawców i osoby odpowiedzialne. Okazało się, że umowa z dostawcą systemu bankowego nie określała ani RTO, ani prawa do audytu, co stało się osobnym zadaniem realizowanym z prawnikiem kasy.
Tygodnie 3–5: rejestr ryzyka i procesy
Przeprowadziliśmy ocenę ryzyka według naszej metodyki, zgodnej z wymaganiami ISO 27001 i ramami zarządzania ryzykiem ICT z DORA. W rejestrze znalazło się 38 ryzyk, z czego 7 wysokich. Przygotowaliśmy procedurę zarządzania incydentami z klasyfikacją opartą na logice DORA dotyczącej zgłaszania poważnych incydentów oraz prosty formularz rejestrowania w tenancie Microsoft 365. Rejestr dostawców obejmuje 14 dostawców ICT, każdego z oceną krytyczności i wynikiem przeglądu umowy.
Równolegle przeszkoliliśmy pracowników: dwugodzinne sesje o rozpoznawaniu i rejestrowaniu incydentów oraz osobną sesję dla zarządu o jego roli podczas odtwarzania. Ma to znaczenie, ponieważ DORA wymaga nie tylko dokumentów, ale też dowodów, że ludzie wiedzą, co robić.
Tygodnie 6–8: odtwarzanie PlanB
Część techniczna to odtwarzanie infrastruktury PlanB w chmurze MDP CLOUD. Kopie zapasowe serwerów kasy były już wykonywane w Veeam, ale tylko na lokalnych zasobach. Dodaliśmy kopię w naszym centrum danych na Litwie (UE), a w środowisku PlanB przygotowaliśmy skonfigurowaną wcześniej sieć, VPN i kontroler domeny, aby podczas odtwarzania nic nie trzeba było budować od zera. Najbardziej skomplikowany okazał się system bankowy u zewnętrznego dostawcy: jego odtworzenie zależy od dostawcy, więc do planu włączyliśmy jego kontakty, ścieżkę eskalacji i umowne RTO.
Tygodnie 9–10: ćwiczenia
Przeprowadziliśmy dwa ćwiczenia odtwarzania. W pierwszym odtworzyliśmy serwer plików i kontroler domeny w środowisku PlanB. Zajęło to 5 godzin, z czego godzinę straciliśmy przez błędny rekord DNS. Poprawiliśmy procedurę i w drugim ćwiczeniu wszystkie systemy zarządzane przez kasę były dostępne w ciągu 4 godzin. Za każdym razem zapisaliśmy czas, uczestników, problemy i podjęte decyzje, czyli dokładnie taki raport, o jaki prosi nadzorca.
Wynik
Kasa przekazała organowi nadzoru zestaw dokumentów: rejestr ryzyka ICT, procedurę incydentów, rejestr dostawców z 14 ocenionymi dostawcami, plan ciągłości działania i odtwarzania oraz raporty z obu ćwiczeń. Na kolejnym spotkaniu nie zgłoszono uwag do zarządzania ryzykiem ICT. Umowa z dostawcą systemu bankowego została zmieniona o zobowiązanie do RTO i prawo do audytu. To trwało najdłużej, ale bez tego rejestr dostawców pozostałby formalnością.
Najważniejszą liczbą jest RTO wynoszące 4 godziny, które nie jest obietnicą, lecz zmierzonym wynikiem. Ćwiczenia odbywają się teraz dwa razy w roku według uzgodnionego kalendarza; następne jest już zaplanowane z osobą odpowiedzialną za IT, a my uczestniczymy w nim tylko jako obserwatorzy.
„Do tej pory mieliśmy kopie zapasowe i wierzyliśmy, że działają. Teraz mamy raport, który mówi, ile godzin to zajęło i co nie zadziałało.”
Pomiar jest prosty: raport z każdego ćwiczenia zapisuje rzeczywisty czas odtworzenia, a rejestr ryzyka jest przeglądany co kwartał razem z naszym konsultantem ds. DORA.
Co doradzilibyśmy w podobnej sytuacji
- Zacznij od funkcji krytycznych, a nie od szablonów dokumentów. Nadzorca pyta, co dzieje się z członkami, gdy system przestaje działać, a nie ile stron ma polityka.
- Sprawdź umowy z dostawcami ICT wcześnie. Brak RTO lub prawa do audytu negocjuje się miesiącami.
- Przetestuj odtwarzanie co najmniej dwa razy, zanim przekażesz dokumenty nadzorcy. Pierwsze ćwiczenie prawie zawsze ujawnia błąd, którego nie było w planie.
- Napisz raport z ćwiczenia tak, aby zrozumiał go zarząd: czas, co nie zadziałało, co zmieniono.
