Assolint la Conformitat amb DORA per a Proveïdors d'Identitat en FinTech (CA)

L'Ampliació de DORADORA estén la supervisió reguladora als proveïdors de TIC de tercers, inclosos els serveis de verificació d'identitat, fent-los directament responsables de la resiliència operativa.

Pilars ClauEl compliment depèn d'una gestió robusta del risc TIC, la notificació d'incidents, les proves de resiliència operativa digital, la gestió del risc de tercers i l'intercanvi d'informació.

Impacte en la Verificació d'IdentitatEls proveïdors d'identitat han de demostrar resiliència, seguretat i la capacitat de mantenir la continuïtat del servei, fins i tot durant les interrupcions, afectant com les FinTechs trien i gestionen els seus socis d'IDV.

Passos AccionablesLes FinTechs han de mapejar les seves dependències TIC, realitzar una diligència deguda exhaustiva als proveïdors d'IDV, implementar proves rigoroses i establir plans clars de resposta a incidents.

El sector financer està experimentant una profunda transformació digital, que aporta una comoditat sense precedents, però també introdueix riscos nous i complexos. En resposta, la Unió Europea va introduir la Llei de Resiliència Operacional Digital (DORA), una regulació innovadora dissenyada per millorar la resiliència operativa de les entitats financeres i els seus proveïdors de tecnologia de la informació i la comunicació (TIC) de tercers crítics. Per a les FinTechs i els serveis de verificació d'identitat (IDV) en els quals confien, entendre i assolir la conformitat DORA per a la verificació d'identitat no és només una obligació reguladora, sinó un imperatiu estratègic.

Què és DORA i per què és crítica per a les FinTechs?

DORA va entrar en vigor el 16 de gener de 2023, amb un període d'implementació de dos anys, la qual cosa significa que les entitats financeres han de complir-la abans del 17 de gener de 2025. El seu objectiu principal és garantir que les institucions financeres puguin resistir, respondre i recuperar-se de tot tipus d'interrupcions i amenaces relacionades amb les TIC. A diferència de les regulacions anteriors que es centraven principalment en l'estabilitat financera, DORA se centra en la resiliència operacional digital.

Per a les FinTechs, DORA és particularment crítica perquè els seus models de negoci són inherentment digitals i sovint depenen en gran mesura d'un ecosistema complex de proveïdors de TIC de tercers. Això inclou des de serveis al núvol i anàlisi de dades fins, crucialment, solucions de verificació d'identitat i de detecció de blanqueig de diners (AML). Segons DORA, aquests proveïdors de tercers, si es consideren crítics, seran supervisats directament per les autoritats financeres europees. Això és un canvi significatiu, que estén la supervisió reguladora més enllà de la pròpia entitat financera a la seva cadena de subministrament.

Els cinc pilars clau de DORA són:

1. Gestió del Risc TIC: Implementar un marc integral per identificar, classificar, gestionar i informar els riscos TIC.
2. Gestió, Classificació i Notificació d'Incidents Relacionats amb les TIC: Establir processos robustos per detectar, gestionar i informar incidents TIC significatius.
3. Proves de Resiliència Operacional Digital: Proves regulars dels sistemes TIC, incloses proves de penetració avançades basades en amenaces per a funcions crítiques.
4. Gestió del Risc de Tercers TIC: Desenvolupar i mantenir una comprensió detallada de les dependències de tercers TIC i garantir que els acords contractuals donin suport a la resiliència.
5. Intercanvi d'Informació: Establir capacitats per compartir intel·ligència d'amenaces cibernètiques i informació sobre vulnerabilitats.

Conformitat DORA i Verificació d'Identitat en FinTech

Els serveis de verificació d'identitat són fonamentals per a les operacions FinTech, des de l'incorporació de clients (KYC) i el seguiment de transaccions fins a la prevenció del frau. Una interrupció o una bretxa de seguretat en un proveïdor d'IDV pot tenir conseqüències catastròfiques per a una FinTech, provocant aturades en l'incorporació, fallades de compliment, pèrdues financeres i danys a la reputació. Per tant, la conformitat DORA per a la verificació d'identitat exigeix que aquests serveis no només siguin efectius sinó també altament resilients.

Per a les FinTechs, això significa:

• Diligència Deguda Millorada: Escudrinyar els marcs de resiliència operativa, les mesures de seguretat i les capacitats de resposta a incidents dels proveïdors d'IDV amb més exhaustivitat que mai. Didit, per exemple, té la certificació SOC 2 Type II i ISO 27001, proporcionant una base sòlida per als controls de seguretat i operatius.
• Claredat Contractual: Assegurar que els contractes amb els proveïdors d'IDV incloguin acords de nivell de servei (SLAs) clars sobre el temps d'activitat, la notificació d'incidents i els objectius de temps de recuperació (RTOs) i els objectius de punt de recuperació (RPOs).
• Mapatge de Dependències: Entendre com la fallada d'un servei d'IDV afectaria les seves pròpies operacions i la resiliència operativa FinTech en general.
• Proves: Incloure els sistemes IDV en els seus programes de proves de resiliència operativa digital, assegurant que aquests components crítics puguin resistir atacs i interrupcions simulades.

Per als proveïdors d'identitat com Didit, DORA fa necessari demostrar i provar:

• Gestió Robusta del Risc TIC: Mantenir un marc integral per identificar i mitigar els riscos dels seus serveis.
• Capacitats de Resposta a Incidents: Tenir plans clars i provats per gestionar i informar els incidents relacionats amb les TIC als seus clients FinTech i, si es considera crític, directament als reguladors.
• Continuïtat del Negoci i Recuperació de Desastres: Assegurar que les seves plataformes estan dissenyades per a una alta disponibilitat i una recuperació ràpida, amb sistemes redundants i centres de dades geogràficament dispersos. L'arquitectura de Didit, per exemple, inclou redundància integrada i capacitats d'orquestració que permeten un encaminament dinàmic i una fallada.
• Seguretat per Disseny: Implementar controls de seguretat forts al llarg de tot el cicle de vida de la verificació d'identitat, des de la captura de dades fins a l'emmagatzematge i el processament. Això inclou un xifratge robust, controls d'accés i avaluacions regulars de vulnerabilitats.

Construint una Resiliència Operacional FinTech Robusta amb DORA

Assolir una resiliència operacional FinTech integral sota DORA requereix un enfocament holístic que integri tecnologia, processos i persones. No és un projecte únic, sinó un compromís continu.

Els passos pràctics per a les FinTechs inclouen:

1. Inventariar i Mapejar Actius TIC: Comprendre tots els sistemes TIC crítics, inclosa la infraestructura interna i tots els serveis de tercers com les plataformes IDV.
2. Realitzar Anàlisis d'Impacte Empresarial (BIA): Identificar l'impacte potencial de les interrupcions de cada servei crític en les operacions empresarials.
3. Realitzar Avaluacions de Risc: Avaluar regularment els riscos relacionats amb les TIC, incloses les amenaces de ciberseguretat, les fallades del sistema i l'error humà.
4. Implementar Mesures de Resiliència: Això podria implicar diversificar els proveïdors d'IDV, implementar autenticació multifactor o utilitzar sistemes avançats de detecció de frau que no depenguin exclusivament d'una única font de dades.
5. Desenvolupar i Provar Plans de Resposta a Incidents: Assegurar que hi ha procediments clars per detectar, respondre i recuperar-se d'incidents TIC, amb simulacres i simulacions regulars.
6. Gestionar els Riscos de Tercers de Forma Proactiva: Establir un programa de gestió de proveïdors que inclogui un seguiment continu, auditories regulars i acords contractuals robustos amb tots els proveïdors de TIC crítics, especialment els serveis de verificació d'identitat.

Per exemple, una FinTech que utilitzi Didit per a l'incorporació podria tenir un flux de treball que inclogui la verificació de documents d'identitat, la detecció de vivacitat passiva i la detecció de blanqueig de diners. Segons DORA, haurien de demostrar que la plataforma de Didit és prou resilient per gestionar grans volums, segura contra amenaces cibernètiques i té mecanismes clars de notificació d'incidents. El disseny modular de Didit i el creador de fluxos de treball visual permeten a les FinTechs incorporar redundància i opcions de retrocés, millorant la seva resiliència general.

Com Ajuda Didit

Didit està construït per a les exigències del panorama regulador modern, proporcionant una base robusta per a la conformitat DORA per a la verificació d'identitat i millorant la resiliència operativa FinTech general. La nostra plataforma ofereix:

• Verificació d'Identitat Integral: IDV basada en IA que admet més de 14.000 tipus de documents, detecció de vivacitat passiva i activa (certificat iBeta Nivell 1) i coincidència facial 1:1, tot això crític per a una incorporació segura.
• Detecció AML Avançada: Detecció en temps real contra més de 1.300 llistes de vigilància globals, amb un seguiment continu per detectar canvis en els perfils de risc dels clients, garantint un compliment continu.
• Alta Disponibilitat i Fiabilitat: Els nostres primitius d'identitat bàsics i la capa d'orquestració desenvolupats internament estan dissenyats per a la resiliència, amb sistemes redundants i una infraestructura robusta.
• Certificacions de Seguretat i Compliment: SOC 2 Type II i ISO 27001 certificats, conformes amb el GDPR i arquitectura de privadesa per defecte, proporcionant seguretat per a dades personals sensibles.
• Orquestració Flexible del Flux de Treball: El creador de fluxos de treball visual permet a les FinTechs dissenyar fluxos d'incorporació resilients, amb lògica condicional i opcions de retrocés, reduint els punts únics de fallada.
• Preus Transparents i Escalabilitat: Model de pagament per èxit sense mínims, que permet a les FinTechs escalar operacions sense barreres financeres, alhora que garanteix que només paguen per verificacions reeixides i resilients.

Vols Començar?

DORA presenta un repte significatiu, però també una oportunitat per a les FinTechs de reforçar la seva resiliència operativa digital. En associar-te amb un proveïdor robust de verificació d'identitat com Didit, pots assegurar que els teus esforços de compliment siguin efectius i a prova de futur. Explora les capacitats de la nostra plataforma o contacta'ns per discutir les teves necessitats específiques de compliment de DORA.

• Veure Preus de Didit
• Provar una Demostració
• Llegir la Nostra Documentació Tècnica

Preguntes Freqüents

Què és la conformitat DORA per a la verificació d'identitat?

La conformitat DORA per a la verificació d'identitat significa que els proveïdors d'identitat i les entitats financeres que els utilitzen han d'assegurar que els seus sistemes IDV són operativament resilients, segurs i capaços de resistir, respondre i recuperar-se d'interrupcions relacionades amb les TIC. Requereix una gestió robusta del risc, la notificació d'incidents i proves regulars d'aquests serveis crítics.

Quan han de complir les FinTechs amb DORA?

La Llei de Resiliència Operacional Digital (DORA) va entrar en vigor el 16 de gener de 2023. Les entitats financeres, incloses les FinTechs, i els seus proveïdors de TIC de tercers crítics han de complir plenament amb DORA abans del 17 de gener de 2025.

Com afecta DORA la resiliència operativa FinTech?

DORA millora significativament els requisits de resiliència operativa FinTech mitjançant la imposició de marcs integrals de gestió del risc TIC, una notificació d'incidents rigorosa, proves regulars de resiliència operativa digital (incloent proves de penetració basades en amenaces) i una gestió robusta dels riscos de tercers TIC. Garanteix que les FinTechs puguin mantenir funcions crítiques fins i tot durant interrupcions greus.

Pot DORA aplicar-se directament als proveïdors de verificació d'identitat?

Sí, DORA pot aplicar-se directament als proveïdors de verificació d'identitat. Si un proveïdor d'IDV es considera un proveïdor de serveis TIC de tercers 'crític' per a les entitats financeres, estarà sota la supervisió directa de les autoritats financeres europees. Això significa que aquests proveïdors hauran de complir els requisits de DORA per a la gestió del risc TIC, la notificació d'incidents i la resiliència operativa.