1 https://www.bankingsupervision.europa.eu/press/interviews/date/2024/html/ssm.in240328~e66e047ea7.en.html

En los últimos años, la Ley de Resiliencia Operativa Digital (DORA, por sus siglas en inglés) ha sido un tema recurrente en artículos, blogs, charlas, eventos y seminarios web. Es difícil imaginar que alguien en el sector financiero desconozca esta regulación de la Unión Europea, y aún más improbable que no haya reflexionado sobre cómo podría impactar su trabajo.

Sin embargo, a pocos meses de que DORA entre en vigor, muchas compañías aún no han definido cómo abordar esta normativa. Todos reconocen que se necesitan nuevas regulaciones debido a la dependencia acelerada de la industria de las TI, el aumento de las superficies de ataque digitales y la mayor exposición a las ciberamenazas.

Los datos son contundentes: en 2023, los incidentes en el sector bancario de la UE se duplicaron respecto a 20221.

Más allá de la seguridad: las implicaciones más amplias de DORA

1

Ante esta realidad, es natural que las empresas reconozcan la urgencia de adaptarse. Aun así, muchas siguen enfrentándose a dudas y preocupaciones sobre las implicaciones más amplias de DORA. La amplitud de la normativa significa que hay mucho más que simplemente reforzar la defensa.

Con esto en mente, y a menos de 150 días para la entrada en vigor de DORA, estos son los siete desafíos qué más preocupan a los responsables de seguridad (CISO) en la actualidad:

1. Cadena de suministro DORA subraya la necesidad de gestionar los riesgos de terceros para mejorar la excelencia operativa. Uno de los aspectos más desafiantes de la regulación es que las organizaciones financieras serán responsables de la seguridad de toda su cadena de suministro.

Esto significa que las empresas deberán ser extremadamente rigurosas con sus proveedores. En muchos casos, eso requerirá el uso de criterios de exclusión, donde cualquier proveedor que no pueda demostrar el estándar de protección adecuado será eliminado del panorama. Aunque este enfoque puede generar disrupciones, los riesgos se consideran demasiado altos como para ignorarlos.

2. Cultura DORA también señala la necesidad de un profundo cambio cultural dentro de la industria de servicios financieros. Por lo general, las empresas del sector rara vez revelan incidentes de ciberseguridad con un grado real de voluntad. Después de todo, hacerlo suele implicar el riesgo de dañar la reputación y proporcionar a otros atacantes una señal de vulnerabilidad.

Eso cambiará con la nueva regulación, que exige que cualquier incidente grave se haga público. Ese tipo de apertura es contrario a algunos comportamientos muy arraigados dentro de la industria y puede resultar más difícil de superar que cualquier otro desafío en esta lista.

3. Informes Hacer públicos los ataques no será el único cambio relacionado con las comunicaciones que se producirá debido a DORA. Según las nuevas regulaciones, las compañías de servicios financieros también tendrán la obligación de informar sobre cualquier incidente de este tipo a un “organismo competente” dentro de su gobierno.

Esto también presenta desafíos, porque ese proceso depende en gran medida de la madurez tecnológica del mercado en cuestión. No todos los países tienen un organismo tan competente como la Oficina del Comisionado de Información (Reino Unido) o la Comisión Federal de Comercio (EE. UU.), por ejemplo, y eso podría conducir en última instancia a una mayor confusión en el futuro.

150 Faltan días para que DORA

entre en vigor

2

4. Equipo rojo El trabajo en equipo, que está diseñado para probar la ciberseguridad de una organización de la misma manera que lo haría durante un ataque real, ya es algo habitual en muchas compañías de servicios financieros. El problema es que estos ejercicios no siempre imitan un ataque real, y se centran más en actividades de “captura de la bandera” en diferentes servidores que en probar la cadena interconectada de servicios de la que depende una empresa.

Además, dado que DORA exige que las entidades financieras realicen pruebas avanzadas de penetración basadas en amenazas (TLPT) al menos cada tres años, la demanda de expertos en ciberseguridad aumentará. Ya escasean, por lo que es probable que eso tenga un efecto dominó en el coste para quienes buscan sus servicios.

5. Simulacros de ciberseguridad DORA también incluye requisitos relacionados con simulacros de. Sin embargo, al igual que con la nota sobre el trabajo en equipo mencionada anteriormente, el enfoque actual de muchos de estos simulacros se centra en departamentos específicos en lugar de en la organización en su conjunto.

Una vez más, se trata de una cuestión de cambio cultural: las percepciones deben alejarse de la protección de áreas de responsabilidad individual y dirigirse hacia la entidad organizadora en su conjunto.

6. Documentación Los requisitos de documentación son una parte clave de DORA. La idea es que los proveedores de servicios financieros tengan planes sólidos a los que recurrir en caso de que ocurra un incidente TI importante.

Por ello, las empresas deben demostrar que están preparadas mediante la creación de documentos que describan los procesos de gestión de incidentes y las relaciones con los proveedores de servicios TI externos. Esto puede ser un desafío para cualquier compañía

que no tenga experiencia previa en un incidente de ciberseguridad. Sin el conocimiento adecuado, identificar los contactos clave en caso de una filtración puede ser complicado.

7. Responsabilidad personal Una mayor responsabilidad personal siempre ha sido un objetivo esencial de DORA. Ordena a los Estados miembros que establezcan la responsabilidad civil individual de los miembros de la junta directiva para que estos puedan ser considerados responsables de no cumplir con sus obligaciones en virtud de DORA.

Las regulaciones también van un paso más allá. No analizan explícitamente la posible responsabilidad penal, pero sí mantiene la opción de responsabilidad penal individual para los miembros de la junta directiva. Si bien no se establece explícitamente en DORA, los Estados miembros deben decidir si imponen sanciones penales.

Independientemente de la decisión, es probable que esta condición haga que DORA ocupe un lugar destacado en la agenda de los altos ejecutivos y plantee a los directores de seguridad de la información algunas preguntas potencialmente incómodas de sus colegas.

DORA representa un gran avance con respecto a los requisitos anteriores en materia de ciberseguridad dentro de la industria de servicios financieros. Y, por más tentador que pueda resultar suponer que, como sucedió con el RGPD, habrá un retraso antes de que se impongan multas, nadie puede decir con certeza cuándo se producirá una infracción que pueda dar lugar a acciones legales.

De todos modos, a medida que se acerca la fecha límite de implementación, es importante recordar que —si todavía estás enfrentando algunos de los desafíos más significativos que presenta DORA— no estás solo.

© 2024 Check Point Software Technologies Ltd. Reservados todos los derechos. 3