Trasferimento di file a supporto dei suoi obblighi DORA

Un fornitore TIC che non detiene nulla di leggibile

Con DORA il rischio informatico derivante da terzi è diventato materia di vigilanza per le entità finanziarie: ogni fornitore entra in un registro, ogni contratto deve contenere determinate clausole e Lei deve poter dimostrare di essere in grado di lasciare un fornitore. GCN.ONE cifra i documenti nel browser prima del caricamento, così il fornitore che iscrive nel registro detiene soltanto testo cifrato che non può leggere - e file che potrà aprire anche se domani non esistessimo più.

Invia un file adesso Vedi i prezzi

Che cos'è DORA, in breve

DORA - il regolamento sulla resilienza operativa digitale - è un regolamento europeo e si applica direttamente in tutti gli Stati membri dal 17 gennaio 2025. A differenza di una direttiva non richiede recepimento nazionale: vale così com'è scritto.

Riunisce in un unico quadro i requisiti sul rischio informatico del settore finanziario - per banche, assicurazioni, imprese di investimento, istituti di pagamento e di moneta elettronica, prestatori di servizi per le cripto-attività, gestori di fondi e altri - e attraverso di essi arriva anche ai fornitori TIC da cui dipendono.

Chi riguarda

Una ventina di categorie di entità finanziarie, dagli enti creditizi e assicurativi agli istituti di pagamento, alle imprese di investimento e ai prestatori di servizi per le cripto-attività. Indirettamente riguarda anche ogni fornitore terzo di servizi TIC che lavora con loro, e direttamente quelli designati come critici.

Gestione del rischio informatico

Il capo II richiede un quadro interno: inventario di asset e dipendenze, protezione e prevenzione (cifratura compresa), rilevamento degli incidenti, risposta e ripristino, backup e lezioni apprese da ciò che è accaduto. La responsabilità è dell'organo di gestione.

Segnalazione degli incidenti

Gli incidenti gravi connessi alle TIC vengono classificati secondo criteri comuni e segnalati all'autorità competente in tre fasi - notifica iniziale, relazione intermedia e relazione finale. Ciò significa poter ricostruire con precisione che cosa è successo e quando.

Rischio derivante da terzi e registro delle informazioni

Capo V: tenere un registro delle informazioni su tutti gli accordi contrattuali per servizi TIC, inserire nei contratti le clausole dell'articolo 30, valutare il rischio di concentrazione e disporre di strategie di uscita documentate, così che lasciare un fornitore sia davvero possibile.

Come la aiuta GCN.ONE

Se utilizza GCN.ONE, comparirà nel suo registro delle informazioni come fornitore di servizi TIC. L'obiettivo della nostra architettura è che quella voce sia breve e noiosa. Ecco che cosa ci scriverebbe.

Da noi c'è solo testo cifrato

Documenti, nomi dei file e messaggi vengono cifrati nel browser prima del caricamento, e le chiavi non ci raggiungono mai. Per la sua valutazione dei rischi informatici, la domanda sulla riservatezza presso questo fornitore ha quindi una risposta che viene dall'architettura, non da una clausola contrattuale.

Prove per la cronologia di un incidente

Ogni apertura del link e ogni download avviato vengono registrati con data e ora, e per ogni file consegnato si può emettere un certificato di consegna firmato crittograficamente che chiunque può verificare senza registrarsi. Utile quando il termine di segnalazione le impone di mostrare esattamente che cosa è stato inviato, dove e quando.

Documentazione pronta per il registro

Un accordo sul trattamento dei dati (DPA) che firma da sé, un elenco pubblico dei sub-responsabili e la documentazione tecnica del modello di cifratura. I campi del suo registro delle informazioni si compilano da documenti pubblicati, non dopo uno scambio di questionari.

Un'uscita che non dipende da noi

I file si scaricano e si decifrano con chiavi che possiede Lei, nel browser o tramite il nostro SDK. Non esiste alcun contenitore proprietario e per leggerli non serve nulla dalla nostra parte: andare via, in modo pianificato o no, non mette quindi i suoi dati fuori portata.

Conservazione che si fa rispettare da sola

Il trasferimento scade al download o alla data che ha impostato, e dopo i dati cifrati vengono eliminati definitivamente. Le regole su conservazione e cancellazione si dimostrano molto più facilmente quando sono il comportamento predefinito, non una policy che qualcuno deve ricordarsi.

Alla base, un registro che rivela ogni manomissione

Gli eventi di consegna finiscono in un registro di audit in cui si può solo aggiungere e in cui ogni voce è legata alla precedente da un hash. Il registro viene periodicamente consolidato e ancorato pubblicamente, così la registrazione dietro un certificato non può essere modificata in silenzio - né da noi né da nessun altro.

Veda come si presenta per banche e istituti finanziari

Due punti che la sua verifica toccherà di sicuro

Siamo un fornitore di un Paese terzo. La società dietro GCN.ONE è registrata nel Regno Unito, mentre i sistemi che conservano i suoi dati operano nell'Unione europea, quindi il trattamento resta soggetto al diritto europeo sulla protezione dei dati. Il suo registro delle informazioni e la sua valutazione del rischio di concentrazione dovrebbero riflettere entrambi i fatti - e preferiamo che li legga qui piuttosto che scoprirli più tardi.

Le clausole dell'articolo 30 si negoziano, non si scaricano dal sito. Le nostre condizioni standard disciplinano trattamento dei dati, sub-responsabili, conservazione e cancellazione e tempi di risposta dell'assistenza; la disponibilità del servizio è regolata dalle stesse condizioni, non da una garanzia di uptime separata. Se il suo ufficio acquisti richiede livelli di servizio contrattuali, clausole specifiche ai sensi dell'articolo 30 o un piano di uscita scritto, ce lo chieda prima di acquistare - è una richiesta normale e le risponderemo senza giri di parole.

Ci contatti per le condizioni contrattuali

Una voce breve nel suo registro

Invii subito un file cifrato, oppure guardi i prezzi per volumi maggiori.