El sector financiero está regulado y maneja una gran cantidad de datos confidenciales. Por lo tanto, se espera que tenga un mejor nivel de protección de los datos que otras organizaciones promedio.
¿Qué es DORA?
DORA, o Ley de Resiliencia Operativa Digital, es un reglamento de la Unión Europea (UE) que establece un marco vinculante para la gestión de los riesgos asociados a las tecnologías de la información y la comunicación (TIC) en el sector financiero. Este reglamento exige que las entidades financieras y sus proveedores críticos implementen normas técnicas antes del 17 de enero de 2025.
Antes de DORA, la normativa sobre gestión de riesgos en el sector financiero se centraba principalmente en garantizar que las empresas tuvieran suficiente capital para cubrir los riesgos operativos. Aunque algunos reguladores publicaron directrices sobre TIC y gestión de riesgos de seguridad, estas no se aplicaban a todas las entidades por igual y se basaban en principios generales.
DORA aplica a todas las instituciones financieras de la UE, incluyendo bancos, empresas de inversión, entidades de crédito, proveedores de servicios de criptoactivos y plataformas de crowdfunding.
¿Qué dicen las estadísticas?
Los datos públicos del sitio web de la ICO muestran que la seguridad de los datos no es necesariamente mejor en el sector financiero. Aunque el número total de filtraciones denunciadas disminuyó un 24% entre 2019 y 2022, el número de incidentes aumentó un 99%. En 2020-2022, el sector financiero fue el segundo más atacado, superado solo por el sector minorista y manufacturero.
Según el Informe sobre el costo de una filtración de datos de IBM de 2023, el costo promedio de una filtración en el sector financiero es de 5,9 millones de dólares (aproximadamente 4,7 millones de libras esterlinas), un 33% más que el promedio global.
Estos datos reflejan principalmente las tendencias del Reino Unido, pero también muestran que grandes bancos de la UE, como el Banco Europeo de Inversiones, el Deutsche Bank y el ING Bank, han sido blanco de ciberataques.
Requisitos de gestión de riesgos de TIC según DORA
DORA se introdujo considerando la dependencia general de la sociedad en los servicios financieros. Si estos se interrumpen, las actividades comerciales cotidianas no podrían completarse ni dentro del estado miembro ni a través de las fronteras.
Las instituciones financieras dependen en gran medida de las TIC para ofrecer sus servicios y suelen subcontratar estas funciones a proveedores externos. Por ello, es importante que la cadena de suministro también sea resiliente.
DORA establece tres requisitos fundamentales: gestión de riesgos, administración de incidentes y seguridad de la cadena de suministro.
El marco de gestión de riesgos debe ser estratégico, documentado y revisado al menos una vez al año. Las organizaciones deben identificar todos los activos relevantes, proteger la confidencialidad, integridad, disponibilidad y autenticidad de su información, detectar posibles problemas de rendimiento de la red e incidentes relacionados con las TIC, implementar una política integral de continuidad del negocio de TIC, tener medidas para restaurar rápidamente los sistemas y recuperar datos en caso de interrupción, y divulgar incidentes o vulnerabilidades importantes relacionadas con las TIC.
Estrategia de resiliencia operativa digital
La estrategia de resiliencia operativa digital está en el centro del pilar de gestión de riesgos de DORA. El reglamento busca garantizar que la infraestructura financiera de la UE, con su gran dependencia de las TIC, pueda hacer frente a perturbaciones inevitables.
Lograr resiliencia operativa significa poder recuperarse rápidamente de interrupciones y continuar brindando un nivel aceptable de servicio durante el período de recuperación.
¿Qué deberían hacer las organizaciones ahora?
DORA no se aplicará hasta el 17 de enero de 2025, por lo que las organizaciones tienen tiempo para cumplir plenamente. Sin embargo, es importante que pongan su casa en orden en cuanto a la gestión de riesgos y activos de TIC.
Las organizaciones deberían tratar los productos y servicios relacionados con las TIC como cualquier otro activo empresarial. Deben realizar un seguimiento de ellos en un inventario de activos y consultar ese inventario cuando identifiquen, evalúen y respondan a sus riesgos.
Las organizaciones pueden utilizar la misma metodología que ya utilizan para otros tipos de gestión de activos y riesgos. Deben considerar los riesgos para la confidencialidad, integridad, disponibilidad y autenticidad de cada activo TIC:
- Confidencialidad: El activo es accesible únicamente a personas autorizadas.
- Integridad: El activo está protegido contra modificaciones, destrucción y pérdidas no autorizadas.
- Disponibilidad: El activo está disponible para personas autorizadas cuando sea necesario.
- Autenticidad: No se puede negar la validez del activo.
Es muy fácil olvidar que las violaciones de seguridad no necesariamente involucran a un atacante malicioso. Simplemente perder el acceso a un activo, por ejemplo, puede ser igual de problemático.
Para ayudar a superar estos desafíos específicos de seguridad, las organizaciones pueden hacer referencia a estándares como ISO 27005, que ofrece orientación sobre la gestión de riesgos de seguridad de la información.