Requisiti di audit logging DORA e come soddisfarli

Il controllo

L'obbligo di logging non si trova in DORA di primo livello: è nell'art. 12 del Regolamento delegato (UE) 2024/1774, che elenca gli eventi da registrare, tra cui il controllo degli accessi logici e fisici, la gestione delle modifiche e le operazioni TIC, e impone la sincronizzazione degli orologi «su una fonte temporale di riferimento documentata e affidabile». Per chi fornisce servizi TIC a entità finanziarie italiane l'obbligo si presenta su due fronti: in via diretta, e attraverso le clausole che l'art. 30 di DORA impone di inserire nel contratto, tra cui i diritti di accesso, ispezione e audit a favore dell'entità e delle autorità competenti.

Cosa chiede un auditor

Un'ispezione, o la funzione rischi del vostro cliente, richiede un registro continuo e inalterabile delle operazioni TIC sull'intera finestra: chi ha avuto accesso a che cosa, che cosa è stato modificato, e la prova che il registro non sia stato toccato. Non una policy che dichiari che la registrazione avviene.

Requisito di conservazione

AuditRails conserva i log DORA per un minimo di 5 anni per impostazione predefinita. L'art. 12, par. 2, lett. a) del Regolamento delegato (UE) 2024/1774 non fissa una durata: impone all'entità di stabilirla e documentarla in funzione delle proprie finalità e dell'esito della valutazione dei rischi. La conservazione si estende automaticamente se è attivo anche un framework con un requisito più lungo.

Cosa registra AuditRails

Gli eventi di accesso registrano il contesto relativo ai fornitori terzi che le disposizioni di DORA sul rischio TIC derivante da terze parti presuppongono, non soltanto un record di accesso.

import { AuditRails } from '@auditrails/node';

const audit = new AuditRails({ apiKey: 'at_live_...' });

await audit.log({
  action: 'access.granted',
  actor_id: '...', // required
  resource: '...', // required
  metadata: {
    role: '...', // optional
    scope: '...', // optional
    is_third_party: '...', // optional
    contract_register_ref: '...', // optional
  }
});

Cosa si consegna all'auditor

Il pacchetto di evidenze generato per la finestra di audit è un archivio che contiene un report riassuntivo in PDF, il registro completo degli eventi in NDJSON e un manifest con i checksum SHA-256 di entrambi i file, oltre alla prova della catena di hash. È materiale consegnabile direttamente a un'autorità di vigilanza o alla funzione rischi del cliente, non una dichiarazione di policy da accettare sulla parola.

Errori comuni su questo controllo

• Registrare l'accesso ai sistemi senza distinguere l'accesso dei fornitori terzi da quello interno: le disposizioni di DORA sul rischio TIC derivante da terze parti presuppongono che la distinzione sia visibile nel registro.
• Nessun evento di rilevamento degli incidenti registrato, ma soltanto relazioni redatte a posteriori. La registrazione operativa deve essere la fonte da cui la relazione sull'incidente è costruita, non il contrario.
• Log conservati sulla stessa infrastruttura dei sistemi TIC che descrivono, senza garanzia di integrità indipendente. Alla domanda «questo record potrebbe essere stato alterato a posteriori?» non esiste una buona risposta.
• Un periodo di conservazione non stabilito e non documentato. L'art. 12, par. 2, lett. a) del Regolamento delegato (UE) 2024/1774 non impone una durata, ma impone di fissarla in funzione delle finalità del log e dell'esito della valutazione dei rischi, e di poterlo dimostrare.
• Nessun collegamento tra gli eventi registrati e il contratto o la voce del registro delle informazioni cui si riferiscono, il che rende difficile dimostrare anche la sorveglianza sul rischio di concentrazione che DORA richiede.

Domande frequenti

Questa pagina descrive obblighi normativi a fini informativi e non costituisce consulenza legale. Il perimetro di applicazione alla vostra organizzazione va verificato con i vostri consulenti.