Mencapai Kepatuhan DORA untuk Penyedia Identitas di FinTech (ID)

Jangkauan Luas DORADORA memperluas pengawasan regulasi ke penyedia TIK pihak ketiga, termasuk layanan verifikasi identitas, membuat mereka bertanggung jawab langsung atas ketahanan operasional.

Pilar UtamaKepatuhan bergantung pada manajemen risiko TIK yang kuat, pelaporan insiden, pengujian ketahanan operasional digital, manajemen risiko pihak ketiga, dan berbagi informasi.

Dampak pada Verifikasi IdentitasPenyedia identitas harus menunjukkan ketahanan, keamanan, dan kemampuan untuk menjaga kelangsungan layanan, bahkan selama gangguan, yang memengaruhi cara FinTech memilih dan mengelola mitra IDV mereka.

Langkah-Langkah yang Dapat DilakukanFinTech perlu memetakan ketergantungan TIK mereka, melakukan uji tuntas menyeluruh pada penyedia IDV, menerapkan pengujian yang ketat, dan menetapkan rencana respons insiden yang jelas.

Sektor keuangan sedang mengalami transformasi digital yang mendalam, membawa kenyamanan yang belum pernah terjadi sebelumnya tetapi juga memperkenalkan risiko baru yang kompleks. Sebagai tanggapan, Uni Eropa memperkenalkan Digital Operational Resilience Act (DORA), regulasi terobosan yang dirancang untuk meningkatkan ketahanan operasional entitas keuangan dan penyedia teknologi informasi dan komunikasi (TIK) pihak ketiga yang kritis. Bagi FinTech dan layanan verifikasi identitas (IDV) yang mereka andalkan, memahami dan mencapai kepatuhan DORA untuk verifikasi identitas bukan hanya kewajiban regulasi tetapi juga keharusan strategis.

Apa itu DORA dan Mengapa Penting bagi FinTech?

DORA mulai berlaku pada 16 Januari 2023, dengan periode implementasi dua tahun, yang berarti entitas keuangan harus patuh pada 17 Januari 2025. Tujuan utamanya adalah untuk memastikan bahwa lembaga keuangan dapat bertahan, merespons, dan pulih dari semua jenis gangguan dan ancaman terkait TIK. Tidak seperti regulasi sebelumnya yang berfokus terutama pada stabilitas keuangan, DORA berpusat pada ketahanan operasional digital.

Bagi FinTech, DORA sangat penting karena model bisnis mereka secara inheren digital dan seringkali sangat bergantung pada ekosistem kompleks penyedia TIK pihak ketiga. Ini mencakup segala sesuatu mulai dari layanan cloud dan analitik data hingga, yang terpenting, solusi verifikasi identitas dan pemantauan anti-pencucian uang (AML). Di bawah DORA, penyedia pihak ketiga ini, jika dianggap kritis, akan diawasi langsung oleh otoritas keuangan Eropa. Ini adalah perubahan yang signifikan, memperluas pengawasan regulasi di luar entitas keuangan itu sendiri hingga ke rantai pasokannya.

Lima pilar utama DORA adalah:

1. Manajemen Risiko TIK: Menerapkan kerangka kerja komprehensif untuk mengidentifikasi, mengklasifikasikan, mengelola, dan melaporkan risiko TIK.
2. Manajemen, Klasifikasi, dan Pelaporan Insiden Terkait TIK: Menetapkan proses yang kuat untuk mendeteksi, mengelola, dan melaporkan insiden TIK yang signifikan.
3. Pengujian Ketahanan Operasional Digital: Menguji sistem TIK secara teratur, termasuk pengujian penetrasi berbasis ancaman tingkat lanjut untuk fungsi-fungsi kritis.
4. Mengelola Risiko Pihak Ketiga TIK: Mengembangkan dan mempertahankan pemahaman terperinci tentang ketergantungan pihak ketiga TIK dan memastikan pengaturan kontrak mendukung ketahanan.
5. Berbagi Informasi: Membangun kemampuan untuk berbagi intelijen ancaman siber dan informasi kerentanan.

Kepatuhan DORA dan Verifikasi Identitas di FinTech

Layanan verifikasi identitas adalah dasar bagi operasi FinTech, mulai dari orientasi pelanggan (KYC) dan pemantauan transaksi hingga pencegahan penipuan. Pemadaman atau pelanggaran keamanan pada penyedia IDV dapat memiliki konsekuensi bencana bagi FinTech, menyebabkan penghentian orientasi, kegagalan kepatuhan, kerugian finansial, dan kerusakan reputasi. Oleh karena itu, kepatuhan DORA verifikasi identitas menuntut agar layanan ini tidak hanya efektif tetapi juga sangat tangguh.

Bagi FinTech, ini berarti:

• Uji Tuntas yang Ditingkatkan: Memeriksa kerangka kerja ketahanan operasional, langkah-langkah keamanan, dan kemampuan respons insiden penyedia IDV secara lebih menyeluruh dari sebelumnya. Didit, misalnya, bersertifikasi SOC 2 Type II dan ISO 27001, menyediakan dasar yang kuat untuk kontrol keamanan dan operasional.
• Kejelasan Kontrak: Memastikan kontrak dengan penyedia IDV mencakup perjanjian tingkat layanan (SLA) yang jelas mengenai waktu aktif, pemberitahuan insiden, dan tujuan waktu pemulihan (RTO) serta tujuan titik pemulihan (RPO).
• Pemetaan Ketergantungan: Memahami bagaimana kegagalan layanan IDV akan memengaruhi operasi mereka sendiri dan ketahanan operasional FinTech secara keseluruhan.
• Pengujian: Memasukkan sistem IDV dalam program pengujian ketahanan operasional digital mereka, memastikan komponen kritis ini dapat menahan serangan dan gangguan yang disimulasikan.

Untuk penyedia identitas seperti Didit, DORA mengharuskan untuk menunjukkan dan membuktikan:

• Manajemen Risiko TIK yang Kuat: Mempertahankan kerangka kerja komprehensif untuk mengidentifikasi dan mengurangi risiko terhadap layanan mereka.
• Kemampuan Respons Insiden: Memiliki rencana yang jelas dan teruji untuk mengelola dan melaporkan insiden terkait TIK kepada klien FinTech mereka dan, jika dianggap kritis, langsung kepada regulator.
• Kelangsungan Bisnis dan Pemulihan Bencana: Memastikan platform mereka dirancang untuk ketersediaan tinggi dan pemulihan cepat, dengan sistem redundan dan pusat data yang tersebar secara geografis. Arsitektur Didit, misalnya, mencakup redundansi bawaan dan kemampuan orkestrasi yang memungkinkan perutean dinamis dan failover.
• Keamanan Berdasarkan Desain: Menerapkan kontrol keamanan yang kuat di seluruh siklus hidup verifikasi identitas, mulai dari pengambilan data hingga penyimpanan dan pemrosesan. Ini termasuk enkripsi yang kuat, kontrol akses, dan penilaian kerentanan rutin.

Membangun Ketahanan Operasional FinTech yang Kuat dengan DORA

Mencapai ketahanan operasional FinTech yang komprehensif di bawah DORA membutuhkan pendekatan holistik yang mengintegrasikan teknologi, proses, dan orang. Ini bukan proyek satu kali tetapi komitmen berkelanjutan.

Langkah-langkah praktis untuk FinTech meliputi:

1. Inventarisasi dan Peta Aset TIK: Pahami semua sistem TIK kritis, termasuk infrastruktur internal dan semua layanan pihak ketiga seperti platform IDV.
2. Melakukan Analisis Dampak Bisnis (BIA): Mengidentifikasi potensi dampak gangguan pada setiap layanan kritis terhadap operasi bisnis.
3. Melakukan Penilaian Risiko: Menilai risiko terkait TIK secara teratur, termasuk ancaman keamanan siber, kegagalan sistem, dan kesalahan manusia.
4. Menerapkan Tindakan Ketahanan: Ini dapat melibatkan diversifikasi penyedia IDV, menerapkan autentikasi multi-faktor, atau menggunakan sistem deteksi penipuan canggih yang tidak hanya bergantung pada satu sumber data.
5. Mengembangkan dan Menguji Rencana Respons Insiden: Memastikan prosedur yang jelas tersedia untuk mendeteksi, merespons, dan pulih dari insiden TIK, dengan latihan dan simulasi rutin.
6. Mengelola Risiko Pihak Ketiga Secara Proaktif: Menetapkan program manajemen vendor yang mencakup pemantauan berkelanjutan, audit rutin, dan perjanjian kontrak yang kuat dengan semua penyedia TIK kritis, terutama layanan verifikasi identitas.

Misalnya, FinTech yang menggunakan Didit untuk orientasi mungkin memiliki alur kerja yang mencakup Verifikasi Dokumen ID, Liveness Pasif, dan Pemantauan AML. Di bawah DORA, mereka perlu menunjukkan bahwa platform Didit cukup tangguh untuk menangani volume tinggi, aman terhadap ancaman siber, dan memiliki mekanisme pelaporan insiden yang jelas. Desain modular Didit dan pembangun alur kerja visual memungkinkan FinTech untuk membangun redundansi dan opsi fallback, meningkatkan ketahanan keseluruhan mereka.

Bagaimana Didit Membantu

Didit dibangun untuk memenuhi tuntutan lanskap regulasi modern, menyediakan fondasi yang kuat untuk kepatuhan DORA verifikasi identitas dan meningkatkan ketahanan operasional FinTech secara keseluruhan. Platform kami menawarkan:

• Verifikasi Identitas Komprehensif: IDV bertenaga AI yang mendukung 14.000+ jenis dokumen, deteksi liveness pasif dan aktif (bersertifikat iBeta Level 1), dan pencocokan wajah 1:1, semuanya penting untuk orientasi yang aman.
• Pemantauan AML Tingkat Lanjut: Pemantauan waktu nyata terhadap 1.300+ daftar pantauan global, dengan pemantauan berkelanjutan untuk mendeteksi perubahan dalam profil risiko pelanggan, memastikan kepatuhan berkelanjutan.
• Ketersediaan & Keandalan Tinggi: Primitif identitas inti dan lapisan orkestrasi yang dikembangkan sendiri dirancang untuk ketahanan, dengan sistem redundan dan infrastruktur yang kuat.
• Sertifikasi Keamanan & Kepatuhan: Bersertifikat SOC 2 Type II dan ISO 27001, sesuai GDPR, dan arsitektur privasi-by-default, memberikan jaminan untuk data pribadi yang sensitif.
• Orkestrasi Alur Kerja yang Fleksibel: Pembangun alur kerja visual memungkinkan FinTech untuk merancang alur orientasi yang tangguh, dengan logika kondisional dan opsi fallback, mengurangi titik kegagalan tunggal.
• Harga Transparan & Skalabilitas: Model bayar-per-berhasil tanpa minimum, memungkinkan FinTech untuk menskalakan operasi tanpa hambatan finansial, sambil memastikan mereka hanya membayar untuk verifikasi yang berhasil dan tangguh.

Siap untuk Memulai?

DORA menghadirkan tantangan yang signifikan tetapi juga peluang bagi FinTech untuk memperkuat ketahanan operasional digital mereka. Dengan bermitra dengan penyedia verifikasi identitas yang kuat seperti Didit, Anda dapat memastikan upaya kepatuhan Anda efektif dan tahan masa depan. Jelajahi kemampuan platform kami atau hubungi kami untuk mendiskusikan kebutuhan kepatuhan DORA spesifik Anda.

• Lihat Harga Didit
• Coba Demo
• Baca Dokumen Teknis Kami

FAQ

Apa itu kepatuhan DORA untuk verifikasi identitas?

Kepatuhan DORA untuk verifikasi identitas berarti bahwa penyedia identitas dan entitas keuangan yang menggunakannya harus memastikan sistem IDV mereka tangguh secara operasional, aman, dan mampu menahan, merespons, dan pulih dari gangguan terkait TIK. Ini membutuhkan manajemen risiko yang kuat, pelaporan insiden, dan pengujian rutin terhadap layanan kritis ini.

Kapan FinTech perlu patuh DORA?

Digital Operational Resilience Act (DORA) mulai berlaku pada 16 Januari 2023. Entitas keuangan, termasuk FinTech, dan penyedia TIK pihak ketiga yang kritis harus sepenuhnya patuh DORA pada 17 Januari 2025.

Bagaimana DORA memengaruhi ketahanan operasional FinTech?

DORA secara signifikan meningkatkan persyaratan untuk ketahanan operasional FinTech dengan mewajibkan kerangka kerja manajemen risiko TIK yang komprehensif, pelaporan insiden yang ketat, pengujian ketahanan operasional digital secara teratur (termasuk pengujian penetrasi berbasis ancaman), dan manajemen risiko TIK pihak ketiga yang kuat. Ini memastikan FinTech dapat mempertahankan fungsi kritis bahkan selama gangguan parah.

Bisakah DORA berlaku langsung untuk penyedia verifikasi identitas?

Ya, DORA dapat berlaku langsung untuk penyedia verifikasi identitas. Jika penyedia IDV dianggap sebagai penyedia layanan TIK pihak ketiga yang 'kritis' bagi entitas keuangan, maka ia akan berada di bawah pengawasan langsung otoritas keuangan Eropa. Ini berarti penyedia ini harus mematuhi persyaratan DORA untuk manajemen risiko TIK, pelaporan insiden, dan ketahanan operasional.