DORA w praktyce dla IT, QA i ryzyka ICT: testowanie odporności cyfrowej i dostawcy ICT, szkolenie online w czasie rzeczywistym

1. DORA w pigułce: kogo dotyczy i co zmienia

• Rozporządzenie (UE) 2022/2554: stosowanie od 17 stycznia 2025 roku, bezpośrednio w każdym państwie UE
• Podmioty finansowe objęte DORA: banki, ubezpieczyciele, instytucje płatnicze, firmy inwestycyjne
• Dostawcy usług ICT: obowiązki przez umowę z podmiotem finansowym
• Pięć filarów: ryzyko ICT, incydenty, testy, dostawcy, wymiana informacji
• Rola KNF jako organu nadzoru w Polsce

2. Ramy zarządzania ryzykiem ICT i rola zespołów technicznych

• Odpowiedzialność organu zarządzającego i obowiązek regularnych szkoleń
• Funkcje krytyczne lub istotne: jak je wskazać i dlaczego to pierwszy krok
• Inwentarz systemów, aplikacji i zależności
• Gdzie w ramach ryzyka ICT pojawiają się testy i ich wyniki
• Ćwiczenie: mapa funkcji krytycznych przykładowego banku

3. Program testowania operacyjnej odporności cyfrowej

• Co musi zawierać program testów i kto za niego odpowiada
• Podejście oparte na ryzyku: proporcjonalność do wielkości i profilu podmiotu
• Niezależność testujących: zespół wewnętrzny czy firma zewnętrzna
• Coroczne testy systemów wspierających funkcje krytyczne lub istotne
• Ćwiczenie: szkielet programu testów na rok

4. Katalog testów z rozporządzenia w praktyce zespołu QA

• Oceny i skany podatności, przegląd kodu źródłowego, oceny bezpieczeństwa sieci
• Testy wydajnościowe, end-to-end i kompatybilności jako element odporności
• Testy oparte na scenariuszach i testy penetracyjne
• Jak dobrać rodzaj testu do ryzyka i systemu
• Co możecie wykorzystać z istniejących testów regresji i automatyzacji

5. TLPT: zaawansowane testy penetracyjne pod kątem zagrożeń

• Kogo dotyczy TLPT i kto o tym decyduje
• Częstotliwość i zakres: systemy produkcyjne wspierające funkcje krytyczne
• Testerzy wewnętrzni i zewnętrzni: wymagania z rozporządzenia
• Etapy testu i rola organizacji oraz dostawców ICT
• Jak przygotować się do TLPT, zanim przyjdzie wskazanie

6. Dokumentacja testowa jako dowód

• Plan testów, raport i rejestr ustaleń: minimalny zestaw dokumentów
• Klasyfikacja ustaleń i priorytety ich usuwania
• Ślad audytowy: od ustalenia do poprawki i testu potwierdzającego
• Raport dla organu zarządzającego: co pokazać, a czego nie zasypywać
• Ćwiczenie: raport z testu w wersji dla zespołu i dla zarządu

7. Dostawcy usług ICT: ryzyko, rejestr i umowa

• Strategia wobec ryzyka ze strony zewnętrznych dostawców ICT
• Rejestr informacji o umowach z dostawcami: po co i co w nim jest
• Obowiązkowe postanowienia umowne: audyt, dostęp, testy, szkolenia, strategia wyjścia
• Udział dostawcy w testach i w TLPT przy usługach wspierających funkcje krytyczne
• Ćwiczenie: lista wymagań testowych do umowy z dostawcą oprogramowania

8. Perspektywa dostawcy IT dla sektora finansowego

• Czego bank i ubezpieczyciel będą oczekiwać od software house'u
• Testy i dokumentacja, które warto mieć przed rozmową z klientem
• Testy niezależne od producenta oprogramowania: kiedy mają znaczenie
• Współpraca przy incydencie i przy testach klienta
• Jak opisać swoje praktyki testowe w ofercie i w odpowiedzi na ankietę dostawcy

9. Ciągłość działania, incydenty i wnioski z testów

• Plany ciągłości działania ICT i plany odtwarzania: jak je testować
• Klasyfikacja i zgłaszanie poważnych incydentów związanych z ICT
• Jak wnioski z incydentów i testów zmieniają program testów
• Ćwiczenie scenariuszowe: awaria dostawcy w dniu wypłat
• Mierniki odporności, które zespół może raportować regularnie

10. Warsztat podsumowujący na przykładach uczestników

• Wasze systemy i dostawcy: wstępne przypisanie do funkcji krytycznych
• Luki w obecnych testach i dokumentacji
• Szkic programu testów na najbliższe 12 miesięcy
• Lista pytań do działu prawnego, ryzyka i dostawców
• Pytania do trenera i podsumowanie dnia

Uczestnicy szkolenia otrzymają materiały szkoleniowe w formie elektronicznej, obejmujące:

• checklistę wspierającą analizę bezpieczeństwa aplikacji i identyfikację najczęściej występujących podatności,
• materiały dotyczące kodów odpowiedzi HTTP wykorzystywanych podczas testowania aplikacji webowych i usług sieciowych,
• materiał wprowadzający do narzędzia OWASP ZAP wraz z przykładami jego wykorzystania podczas testów bezpieczeństwa,
• przykładowy raport z testów bezpieczeństwa prezentujący sposób dokumentowania wyników oraz zgłaszania wykrytych podatności,
• materiały edukacyjne dotyczące rodzajów ataków oraz najczęściej występujących podatności bezpieczeństwa w aplikacjach i systemach informatycznych,
• zestaw ćwiczeń praktycznych realizowanych podczas szkolenia.

Uczestnicy otrzymają również dostęp do materiałów wykorzystywanych podczas warsztatów praktycznych oraz przykładowych scenariuszy związanych z analizą bezpieczeństwa aplikacji i systemów IT.

Usługa dostępna dla uczestników projektu „Małopolski Pociąg do Kariery – sezon 1” oraz „Nowy Start w Małopolsce z EURESem”. Realizacja możliwa z wykorzystaniem bonów szkoleniowych zgodnie z zasadami projektu.

Usługa realizowana będzie w formie zdalnej w czasie rzeczywistym z wykorzystaniem platformy szkoleniowej ClickMeeting.

Uczestnik powinien dysponować:

• komputerem lub laptopem wyposażonym w mikrofon oraz głośniki lub słuchawki,
• stabilnym dostępem do Internetu,
• aktualną przeglądarką internetową (Google Chrome, Microsoft Edge, Mozilla Firefox lub równoważną),
• aktywnym adresem e-mail umożliwiającym otrzymywanie materiałów szkoleniowych oraz informacji organizacyjnych.

Ze względu na praktyczny charakter szkolenia uczestnik powinien posiadać możliwość instalacji bezpłatnego oprogramowania wykorzystywanego podczas zajęć, w szczególności:

• narzędzia OWASP ZAP lub równoważnego oprogramowania wspierającego analizę bezpieczeństwa aplikacji,
• przeglądarki internetowej umożliwiającej wykonywanie ćwiczeń praktycznych,
• oprogramowania umożliwiającego korzystanie z materiałów szkoleniowych udostępnianych przez trenera.

Przed rozpoczęciem szkolenia uczestnicy otrzymają:

• link do platformy szkoleniowej ClickMeeting,
• instrukcję logowania i udziału w zajęciach,
• informacje organizacyjne dotyczące realizacji usługi,
• listę niezbędnego oprogramowania wykorzystywanego podczas warsztatów praktycznych,
• dostęp do materiałów szkoleniowych w formie elektronicznej.

Uczestnik powinien posiadać podstawowe umiejętności obsługi komputera oraz możliwość aktywnego udziału w ćwiczeniach praktycznych związanych z identyfikacją zagrożeń, analizą podatności oraz oceną bezpieczeństwa aplikacji i systemów informatycznych.