Corso sul Digital Operational Resilience Act (DORA)
Descrizione: Il corso fornisce una comprensione completa del Digital Operational Resilience Act (DORA) e del suo impatto sulle istituzioni finanziarie. I partecipanti acquisiranno conoscenze sul quadro normativo di DORA, sui suoi elementi chiave e sulle strategie pratiche per garantire la conformità.
Attraverso studi di caso interattivi, discussioni di gruppo ed esercizi pratici, i partecipanti impareranno a implementare efficacemente i requisiti di DORA, migliorare la gestione del rischio ICT e rafforzare la resilienza digitale delle loro organizzazioni.
​
Il corso garantisce ai partecipanti conoscenze pratiche e applicazioni reali per guidare la conformità a DORA nelle loro organizzazioni.
​
Obiettivi: Il corso DORA mira a raggiungere i seguenti obiettivi:
✔ Comprendere l’ambito di applicazione e gli obiettivi di DORA;
✔ Identificare e applicare i componenti chiave della normativa;
✔ Implementare quadri di gestione del rischio ICT allineati ai requisiti di DORA;
✔ Sviluppare meccanismi di segnalazione e risposta agli incidenti;
✔ Rafforzare le strategie di gestione del rischio dei fornitori terzi;
✔ Condurre test di resilienza operativa e attività di supervisione.
​
Destinatari:
✔ CISOs, IT Security & Risk Managers;
✔ Responsabili della conformità e consulenti legali;
✔ Dirigenti finanziari e professionisti della governance;
✔ Fornitori ICT che lavorano con istituzioni finanziarie.
​
​
​
1. Introduzione a DORA (2h)
-
Cos’è DORA? Panoramica sulla normativa dell’UE e sulla sua rilevanza;
-
Obiettivi di DORA: Rafforzare la resilienza digitale nel settore finanziario;
-
Ambito di applicazione: Chi deve essere conforme? Banche, compagnie assicurative, società di investimento, fornitori di servizi di pagamento e fornitori terzi di ICT.
-
Componenti chiave di DORA:
-
Gestione del rischio ICT;
-
Segnalazione degli incidenti;
-
Test di resilienza operative;
-
Gestione del rischio dei fornitori terzi;
-
Condivisione delle informazioni
-
Studio di caso: Esempi reali di istituzioni finanziarie colpite da guasti ICT e incidenti informatici.
​
2. Quadro di Gestione del Rischio ICT (3h)
-
Costruire una strategia digitale resiliente
-
Identificazione e gestione dei rischi ICT;
-
Strutture di governance e responsabilità;
-
Politiche, procedure e controlli;
-
-
Conformità ai requisiti di gestione del rischio ICT di DORA
-
Identificazione, protezione, rilevamento, risposta e ripristino dai rischi ICT;
-
Articoli chiave di DORA relativi alla gestione del rischio ICT;
-
-
Migliori pratiche per il monitoraggio del rischio
-
Rilevamento continuo delle minacce e mitigazione proattiva.
-
Discussione di gruppo: Come la tua organizzazione gestisce attualmente il rischio ICT? Identifica le lacune nella governance.
​
3. Segnalazione e Risposta agli Incidenti (3h)
-
Requisiti di segnalazione degli incidenti di DORA
-
Tempi e procedure per la segnalazione di incidenti ICT significativi;
-
Obblighi di segnalazione interni ed esterni;
-
Ruolo di CERT-EU, Europol e autorità di vigilanza nazionali.
-
-
Sviluppo di un piano di risposta agli incidenti efficace
-
Passaggi da intraprendere prima, durante e dopo un incidente informatico;
-
Procedure di rilevamento ed escalation degli incidenti;
-
Comunicazione con le parti interessate.
-
Studio di caso: Violazione dei dati Target (2013) – Lezioni apprese sui fallimenti nella governance della risposta agli incidenti.
4. Gestione del Rischio dei Fornitori Terzi (2h)
-
Requisiti di DORA per la gestione del rischio dei fornitori terzi
-
Supervisione dei fornitori ICT critici;
-
Obblighi contrattuali e valutazione dei rischi;
-
Monitoraggio dei fornitori e garanzia di conformità;
-
-
Gestione del rischio dei fornitori
-
Valutazione dei fornitori e implementazione di controlli;
-
Assicurare la resilienza dei servizi ICT esternalizzati;
-
Strategie di uscita per fornitori ad alto rischio.
-
Studio di caso: Violazione dei dati Marriott International (2018) – Fallimenti nella governance del rischio dei fornitori terzi.
​
Implementazione Pratica e Test
​
5. Test di Resilienza Operativa (3h)
-
Requisiti di test di DORA
-
Test di penetrazione e valutazioni delle vulnerabilità;
-
Test di penetrazione guidati dalle minacce (TIBER-EU Framework);
-
Test di resilienza basati su scenari.
-
-
Sviluppo di un programma di test di resilienza informatica
-
Identificazione dei sistemi ICT critici;
-
Simulazione di attacchi informatici;
-
Valutazione della risposta e del recupero dei sistemi.
-
Esercizio pratico: I partecipanti progettano e discutono un quadro di test di resilienza per le loro organizzazioni.
​
6. Condivisione delle Informazioni e dell’Intelligence (2h)
-
Ruolo della condivisione delle informazioni nella conformità a DORA
-
Collaborazione tra enti finanziari e regolatori;
-
Riduzione del rischio sistemico attraverso lo scambio di informazioni;
-
-
Sfide e considerazioni
-
Problemi di riservatezza;
-
Bilanciare trasparenza e sicurezza;
-
Discussione di gruppo: Come possono le istituzioni finanziarie beneficiare della condivisione delle informazioni sulle minacce informatiche?
​
7. Governance e Responsabilità nella Conformità a DORA (3h)
-
Ruoli e responsabilità del senior management
-
Requisiti di governance di DORA (Articoli 4-6);
-
Ruolo dei consigli di amministrazione e dei comitati esecutivi;
-
-
Garantire la conformità ed evitare sanzioni
-
Report periodici alla direzione;
-
Audit e valutazioni normative;
-
Studio di caso: Fallimenti della supervisione del consiglio di amministrazione nella governance della sicurezza informatica e le loro conseguenze.
​
8. Workshop Finale: DORA in Azione (2h)
Studio di caso interattivo: I partecipanti lavoreranno in team per applicare i principi di DORA a un'istituzione finanziaria simulata che affronta rischi ICT. Svilupperanno un Piano di Conformità, che copre:
✔ Strategie di gestione del rischio ICT;
✔ Procedure di risposta e segnalazione degli incidenti;
✔ Misure di mitigazione del rischio dei fornitori terzi;
✔ Programmi di test di resilienza.
I team presenteranno i loro Piani di Implementazione DORA, seguiti da feedback degli esperti
Il corso è tenuto da Jelena Zelenovic Matone è un'illustre leader della cybersecurity, nota per la sua visione strategica e per i suoi contributi d'impatto nel campo della sicurezza informatica e della gestione del rischio. Con una vasta esperienza che spazia in più continenti, ha ricoperto ruoli di leadership di primo piano in istituzioni finanziarie globali, ricoprendo attualmente il ruolo di Senior Head e Chief Information Security Officer (CISO) presso la Banca Europea per gli Investimenti.
Nel corso della sua carriera, Jelena è stata insignita di numerosi premi prestigiosi, tra cui CISO dell'anno in Lussemburgo (2019), CISO Sentinel World (2020) e CISO Europe (2021), che sottolineano la sua leadership esemplare nel campo della cybersecurity. È un'appassionata sostenitrice della diversità e dell'inclusione e ha fondato il capitolo lussemburghese di Women4Cyber e l'associazione WomenCyberForce per promuovere la resilienza e la crescita nel settore della sicurezza informatica.
Esperta di best practice bancarie dell'UE, di gestione del rischio e di trasformazione tecnologica, Jelena eccelle nella costruzione di solide relazioni con i clienti, nel guidare l'innovazione organizzativa e nel fornire intuizioni strategiche a livelli senior. La sua leadership è caratterizzata dall'impegno a migliorare continuamente, a promuovere la collaborazione e a guidare i team nella gestione delle complesse sfide della cybersecurity e del rischio nell'attuale panorama digitale in rapida evoluzione.