Preparándose para DORA en medio de la ambigüedad de los controles técnicos

COMENTARIO

Enero de 2025 es un gran mes para la industria financiera y el tiempo corre. La Ley de Resiliencia Operacional Digital (DORA) tiene como objetivo influir en la forma en que las empresas financieras como bancos, compañías de seguros y empresas de valores manejan su infraestructura de TI y la seguridad de los datos. Según el artículo 3 (1), este Reglamento “mejorará la capacidad de una entidad financiera para establecer, garantizar y verificar su integridad operativa y confiabilidad”.

Si bien la seguridad de TI y la resiliencia digital son parte de las reformas posteriores a la crisis financiera de 2008, con el paso de los años han pasado a un segundo plano. DORA tiene como objetivo contrarrestar la creciente amenaza cibernética.

Los estados miembros de la Unión Europea tienen hasta enero para cumplir con esta nueva regulación o correr el riesgo de sufrir consecuencias graves. Una infracción puede dar lugar a multas de hasta el 2 % de la facturación global anual total de una organización o hasta el 1 % de la facturación global diaria promedio de la empresa.

A pesar del llamado urgente a la acción, los retrasos dificultan la preparación de las instituciones. Si bien los modelos de alcance y armonización debían presentarse a la Comisión en julio, su publicación es incierta. Actualmente no existen controles ni normas técnicas. Entonces, ¿cómo deberían prepararse los afectados para esto?

Sin embargo, a medida que se acaba el tiempo, las instituciones financieras no pueden darse el lujo de observar y esperar. Sin una guía real, lo mejor para ellos es tomar el asunto en sus propias manos y hacer lo que puedan con la información que tienen.

El tamaño es igual a la complejidad

Como ocurre con muchas regulaciones nuevas, uno de los mayores desafíos es la complejidad, y DORA lleva esto a un nivel completamente nuevo con seis capítulos y más de 280 artículos. Introduce una serie de nuevos estándares y controles que las empresas deben cumplir y pueden requerir una reestructuración completa de los procesos.

Recuerde que DORA es un reglamento, no un marco. Por lo tanto, comprender los numerosos requisitos es la tarea número uno de las empresas. Para garantizar el cumplimiento, las empresas necesitan una visibilidad completa de todos los recursos de la empresa. Esto permite a las empresas monitorear continuamente todos los sistemas e identificar y remediar posibles vulnerabilidades de seguridad.

No puedes proteger lo que no puedes ver

La tecnología es una entidad ilimitada; DORA exige total transparencia, a pesar de la multitud de dispositivos interconectados que utilizan las empresas. La nueva regulación se centra en gran medida en los datos y en proporcionar pruebas claras y procesables. DORA pone especial énfasis en los riesgos de terceros, la resiliencia y las pruebas, áreas que actualmente no cuentan con un marco existente y que se vuelven más vulnerables cada año.

Por ejemplo, los estándares de seguridad PCI se centran exclusivamente en proteger la información de las tarjetas de crédito. El Marco de Ciberseguridad del NIST cubre ciertos elementos de recuperación y llena el vacío dejado por PCI, pero aún no cubre los informes. DORA, por otro lado, no se centra tanto en pruebas de penetración sino más bien en pruebas basadas en amenazas, que requieren que las empresas emulen una amenaza en lugar de realizar un escaneo de vulnerabilidades.

Entonces, en lugar de monitorear las vulnerabilidades de ciberseguridad existentes, las nuevas regulaciones requieren que las empresas presten atención a las vulnerabilidades potenciales y las identifiquen y remedien antes de que puedan crear riesgos innecesarios. Este enfoque minimiza el riesgo de desarrollar vulnerabilidades y garantiza que las empresas conozcan su estado de seguridad en tiempo real.

¿Qué pueden hacer las empresas en esta etapa?

DORA reconoce el enfoque en los resultados y la necesidad de un monitoreo continuo de las amenazas. Esta regulación no debe tomarse a la ligera. Según DORA, las autoridades tienen la autoridad para solicitar datos y ejercer la autoridad para evaluar el cumplimiento de una empresa con estas regulaciones.

Como primer paso, las empresas deberían realizar un análisis exhaustivo de las deficiencias para identificar áreas de mejora, tanto dentro de su propia organización como en sus cadenas de suministro. Para enero, las empresas deben asegurarse de que sus estrategias de gestión de riesgos estén actualizadas. Ya sea correcto o incorrecto, DORA supone que las empresas tienen un marco adecuado de gestión de riesgos. Se espera lo mismo de las partes en la cadena de suministro, aunque aún no se ha determinado hasta qué punto se encuentran en la cadena.

Todas las partes involucradas deben obtener y mantener un conocimiento detallado de todos los activos críticos en todo momento. Las herramientas que monitorean continuamente todos los activos brindan información crítica en tiempo real sobre los procesos en toda la organización. Sólo a través de un monitoreo continuo pueden las empresas identificar dónde existen sus vulnerabilidades de seguridad y garantizar que se aborden adecuadamente.

Independientemente de los retrasos, DORA está llegando y las empresas deben estar preparadas. Las empresas que vean esta próxima regulación como algo más que otro impulso para el cumplimiento, sino más bien como una plataforma desde la cual realmente pueden mejorar su postura de seguridad, obtendrán esta ventaja competitiva crítica. A través de un monitoreo continuo y una gestión eficaz de las amenazas, las empresas logran un nuevo nivel de protección para toda su red.