DORA năm thứ hai: SOC có nhìn thấy cuộc tấn công không?
"The article explains how the EU Digital Operational Resilience Act (DORA) is shifting from governance setup to proving operational visibility in practice, with emphasis on SOC detection and incident scoping. It argues that Network Detection and Response (NDR) can help financial entities meet DORA requirements for continuous monitoring, anomaly detection, and rapid incident reporting by exposing blind spots in network traffic and third-party activity; no specific CVE is mentioned."
Tăng khả năng phát hiện xâm nhập, khoanh vùng sự cố và báo cáo đúng thời hạn theo DORA; giảm nguy cơ bỏ sót hoạt động bất thường trong lưu lượng mạng và kết nối bên thứ ba.
Hỗ trợ tuân thủ DORA, giảm rủi ro gián đoạn vận hành và cải thiện năng lực điều tra sự cố; có thể phát sinh nhu cầu đầu tư thêm cho giám sát mạng và quy trình phản ứng.
Sau khi DORA có hiệu lực tại EU từ tháng 1/2025, nhiều tổ chức tài chính đã tập trung vào quản trị rủi ro, rà soát nhà cung cấp bên thứ ba và hoàn thiện quy trình xử lý sự cố. Sang năm thứ hai, trọng tâm chuyển sang chứng minh các biện pháp này hoạt động hiệu quả trong thực tế, đặc biệt là khả năng của SOC trong việc phát hiện, điều tra và khoanh vùng một cuộc xâm nhập đang diễn ra.
Bài viết cho rằng giám sát liên tục theo Điều 9 của DORA không chỉ là kiểm kê tài sản hay xem log hệ thống, mà còn cần quan sát được lưu lượng giữa các hệ thống để phát hiện hành vi bất thường, nhất là ở hạ tầng cũ, thiết bị chuyên dụng hoặc môi trường có telemetry endpoint hạn chế. Trong bối cảnh đó, NDR (Network Detection and Response) có thể bổ sung góc nhìn mạng để nhận diện lệch chuẩn về thời gian, khối lượng và hướng giao tiếp.
Ở Điều 10 và Điều 19, DORA yêu cầu phát hiện nhanh bất thường và báo cáo sự cố đúng hạn. Dữ liệu mạng giúp liên kết các tín hiệu rời rạc như EDR, đăng nhập đáng ngờ, command-and-control, lateral movement hay truyền dữ liệu bất thường, từ đó xác định phạm vi ảnh hưởng nhanh hơn. Với rủi ro từ bên thứ ba, lưu lượng thực tế cũng cho thấy kết nối có đi đúng đường được phê duyệt hay không.
Khuyến nghị: doanh nghiệp nên đánh giá lại mức độ quan sát của SOC, bổ sung NDR nếu còn khoảng trống, và kiểm tra khả năng thu thập bằng chứng để đáp ứng thời hạn báo cáo của DORA.