АНАЛІЗ ВПЛИВУ ВИМОГ DIGITAL OPERATIONAL RESILIENCE ACT (DORA) НА ПРОЦЕС БЕЗПЕЧНОЇ РОЗРОБКИ ПРОГРАМНОГО ЗАБЕЗПЕЧЕННЯ

Анотація

У статті здійснено комплексний аналіз впливу Регламенту Європейського Союзу Digital Operational Resilience Act (DORA) на безпечний життєвий цикл розробки програмного забезпечення (Secure Software Development Life Cycle, Secure SDLC) у фінансовому секторі. В умовах стрімкої цифрової трансформації банківських, страхових та інвестиційних послуг, DORA формує нову обов’язкову нормативну основу цифрової операційної стійкості, що охоплює широкий спектр напрямів, зокрема управління ризиками, пов’язаними з інформаційно-комунікаційними технологіями (ІКТ), обов’язкове звітування про серйозні кіберінциденти, регулярне тестування безпеки, контроль постачальників ІТ-послуг, а також координацію обміну інформацією про загрози між суб’єктами фінансового ринку. У роботі детально розглянуто п’ять ключових вимог DORA, визначених у тексті Регламенту, з акцентом на їх послідовну інтеграцію в усі етапи Secure SDLC — від ініціалізації, планування, аналізу вимог і проєктування архітектури до реалізації, тестування, впровадження, технічної підтримки, модернізації та виведення з експлуатації. Окрема увага приділяється питанням впровадження інструментів автоматизованого тестування безпеки (SAST, DAST, IAST), використанню систем виявлення аномальної активності (SIEM, UEBA), впровадженню Software Bill of Materials (SBOM) для підвищення прозорості компонентів, а також розробці та впровадженню планів реагування на інциденти (IRP) і планів забезпечення безперервності бізнесу (BCP). Запропоновано таблицю узгодження ключових статей DORA з відповідними фазами життєвого циклу SDLC, що дозволяє ідентифікувати критичні точки відповідності, зменшити прогалини у безпеці та оптимізувати впровадження вимог цифрової стійкості. У дослідженні розглянуто сучасні підходи до інтеграції безпекових практик у CI/CD-процеси, важливість підвищення обізнаності працівників щодо актуальних кіберзагроз, а також формування культури безпеки, орієнтованої на проактивний захист навіть після розгортання ПЗ. Зазначається, що дотримання вимог DORA не слід розглядати виключно як відповідь на регуляторний тиск, а як основу для довгострокової трансформації корпоративної цифрової безпеки у фінансових установах. Результати дослідження становлять інтерес для розробників програмного забезпечення, спеціалістів з інформаційної безпеки, фахівців з управління ризиками, регуляторів та внутрішніх і зовнішніх аудиторів, які прагнуть забезпечити відповідність новим нормативним вимогам і посилити цифрову стійкість організацій у високоризиковому середовищі.