DORA Foundation

Dieci domande di esempio tratte dall'esame

Una per area di competenza, esattamente come nel simulatore.

1. Dominio 2: Requisiti DORA per la gestione dei rischi TIC

   Le entità finanziarie devono tenere un registro delle informazioni. Che cosa contiene e a quali livelli è tenuto?

   1. Tutti gli accordi contrattuali per l'utilizzo di servizi TIC, registrati a livello di entità, subconsolidato e consolidato.
   2. Un registro delle risorse TIC classificate come essenziali, tenuto da ciascuna unità, riesaminato annualmente e consegnato al revisore.
   3. Un registro degli incidenti notificati, tenuto a livello di entità e archiviato con i conti annuali e la relazione sulla gestione.
   4. Un registro delle vulnerabilità rilevate durante i test, tenuto dal soggetto incaricato dei test e condiviso con l'autorità competente e il revisore, con requisiti equivalenti per sistemi interni, servizi esternalizzati e accordi conclusi con fornitori infragruppo.

2. Dominio 1: Rischio TIC e resilienza operativa digitale

   Un'entità finanziaria è identificata come soggetto essenziale ai sensi delle norme nazionali che recepiscono la direttiva (UE) 2022/2555. Come si pone DORA rispetto a tale direttiva?

   1. DORA sospende integralmente la direttiva per il settore finanziario, cosicché nessun obbligo da essa derivante si applica all'entità finanziaria.
   2. DORA opera come atto giuridico settoriale dell'Unione e sostituisce le corrispondenti disposizioni della direttiva.
   3. DORA si applica quando l'entità non è soggetta a obblighi ai sensi della direttiva, circostanza valutata caso per caso dall'autorità competente.
   4. DORA si cumula integralmente con la direttiva, imponendo all'entità finanziaria due quadri indipendenti e due canali di notifica.

3. Dominio 2: Requisiti DORA per la gestione dei rischi TIC

   Per quali servizi TIC un'entità finanziaria deve predisporre strategie di uscita e che cosa devono consentire tali strategie?

   1. I servizi TIC che supportano funzioni essenziali o importanti, con un'uscita ordinata che eviti perturbazioni e pregiudizi alla clientela.
   2. Per ogni servizio affidato a un fornitore stabilito fuori dell'Unione, affinché dati e copie siano rimpatriati entro trenta giorni.
   3. Per i servizi il cui costo annuo supera la soglia della politica di acquisto e appalto, affinché il prezzo possa essere rinegoziato, con comunicazione ai clienti, alle controparti e alle funzioni aziendali coinvolte prima dell'attuazione della misura.
   4. Per i servizi prestati da un fornitore infragruppo, affinché il gruppo possa riassegnare la funzione a un'altra controllata o succursale.

4. Dominio 1: Rischio TIC e resilienza operativa digitale

   Il capo II di DORA non si applica con la stessa intensità a tutte le entità finanziarie. Quali fattori determinano il grado di rigore per una specifica entità?

   1. Il fatturato annuo, il totale di bilancio consolidato e il numero di dipendenti, confrontati con le soglie previste per le microimprese.
   2. Dimensioni, profilo di rischio complessivo, natura, portata e complessità dei servizi, delle attività e delle operazioni.
   3. Il numero di fornitori terzi contrattualizzati, la loro ubicazione e le loro dimensioni, dati che determinano l'esposizione dell'entità.
   4. La categoria di vigilanza assegnata ogni anno dall'autorità competente, che classifica ciascuna entità finanziaria a rischio basso, medio o alto.

5. Dominio 2: Requisiti DORA per la gestione dei rischi TIC

   Perché l'articolo 24, paragrafo 1, impone a determinate entità finanziarie di istituire, mantenere e riesaminare un programma di test nell'ambito del proprio quadro?

   1. Per valutare la preparazione agli incidenti, individuare carenze nella resilienza operativa digitale e porvi rimedio senza ritardo.
   2. Per ottenere dall'autorità competente una certificazione da esibire successivamente ai clienti e ai revisori, con aggiornamento dopo un incidente, un cambiamento contrattuale o una modifica significativa delle infrastrutture.
   3. Per dimostrare al fornitore che i suoi servizi raggiungono i livelli stabiliti dall'accordo contrattuale in vigore, coinvolgendo il fornitore, il subappaltatore e la funzione aziendale responsabile della continuità.
   4. Per sostituire l'audit interno del quadro, che diventa superfluo una volta che il programma è operativo, applicando la misura ai dati, alle risorse TIC e ai processi aziendali che dipendono dal servizio.

6. Dominio 1: Rischio TIC e resilienza operativa digitale

   Durante un'interruzione di vasta portata in uno dei suoi centri dati, una banca mantiene operativo il servizio di pagamento e poi ripristina il normale funzionamento. Quale concetto del regolamento descrive tale condotta?

   1. La sicurezza delle reti, intesa come protezione dei sistemi informativi da qualsiasi accesso non autorizzato.
   2. Il rischio di concentrazione delle TIC, inteso come dipendenza derivante dal ricorso a un fornitore per un servizio che supporta una funzione essenziale o importante, comprendendo obiettivi quantitativi, livelli di servizio e responsabilità operative formalizzate nel contratto.
   3. L'analisi dell'impatto sulle attività, intesa come valutazione preventiva delle gravi perturbazioni dell'operatività.
   4. La resilienza operativa digitale, intesa come capacità di continuare a prestare servizi durante le perturbazioni.

7. Dominio 2: Requisiti DORA per la gestione dei rischi TIC

   Il quadro per la gestione dei rischi informatici deve comprendere una strategia di resilienza operativa digitale. Che cosa deve stabilire tale strategia?

   1. L'inventario delle risorse TIC che supportano funzioni essenziali o importanti, il fornitore che le gestisce e la classe assegnata a ciascuna, nel quadro per la gestione dei rischi informatici e nella strategia di resilienza operativa digitale.
   2. La politica retributiva del personale TIC, allineata alle prestazioni dei sistemi e delle applicazioni amministrati.
   3. I modelli per notificare i gravi incidenti TIC, i termini applicabili e il canale di trasmissione.
   4. Le modalità di attuazione del quadro, compresi il livello di tolleranza per il rischio informatico e chiari obiettivi di sicurezza.

8. Dominio 1: Rischio TIC e resilienza operativa digitale

   Un gruppo di sicurezza apprende che un'organizzazione criminale prepara una campagna contro istituzioni dello stesso tipo, sebbene non sia ancora accaduto nulla. Come qualifica il regolamento questa situazione?

   1. Come incidente connesso alle TIC, poiché l'informazione è pervenuta all'entità affinché fosse registrata.
   2. Come grave incidente TIC, poiché una campagna settoriale avrebbe ripercussioni negative.
   3. Come minaccia informatica, poiché descrive una circostanza potenziale capace di causare un danno non ancora verificatosi.
   4. Come attacco informatico, poiché l'autore della minaccia ha già scelto come bersaglio le entità finanziarie di quel sottosettore.

9. Dominio 2: Requisiti DORA per la gestione dei rischi TIC

   Quando un'entità finanziaria ripristina i dati di backup mediante i propri sistemi, che cosa impone DORA ai sistemi utilizzati per il ripristino?

   1. Che siano gestiti da un fornitore stabilito nell'Unione, mediante un contratto scritto e con pieni diritti di accesso e audit.
   2. Che siano ubicati in un altro Stato membro, affinché una perturbazione nazionale o regionale non colpisca il centro primario e quello secondario.
   3. Che siano fisicamente e logicamente separati dal sistema di origine e protetti dall'accesso non autorizzato o dal deterioramento.
   4. Che siano certificati da un organismo di accreditamento, previamente testati e soggetti alle regole di accesso ai dati di produzione o storici.

10. Dominio 1: Rischio TIC e resilienza operativa digitale

    Un'entità rileva che un gateway di accesso remoto privo di patch potrebbe consentire a un gruppo criminale di raggiungere la banca dati dei clienti. In termini di rischio, che cos'è il gateway privo di patch?

    1. La vulnerabilità, perché è il punto debole che potrebbe essere sfruttato.
    2. La minaccia, perché è ciò che potrebbe danneggiare le operazioni dell'entità finanziaria, attraverso modelli armonizzati, termini coerenti e un canale di trasmissione definito per il settore.
    3. La risorsa, perché è il bene di valore che l'entità intende proteggere.
    4. La ripercussione, perché è la conseguenza che l'entità dovrebbe sostenere.

Risponda alle stesse dieci domande nel simulatore e legga la spiegazione di ogni opzione, anche di quelle errate. Si apre senza registrazione →

Sull'esame ufficiale: formato, durata e numero di domande sono stabiliti dall'organismo di certificazione e possono cambiare; li verifichi nei suoi documenti prima di iscriversi. Questo materiale allena sulla norma, non sull'esame di un organismo specifico, e per questo è utile anche per certificarsi altrove.