Qué significa para usted la Ley de Resiliencia Operativa Digital

Nos encontramos en un momento crucial para la transformación digital. Todas las empresas, de una u otra forma, buscan adoptar e integrar tecnologías emergentes —ya sea inteligencia artificial, arquitecturas de nube híbrida o análisis de datos avanzados— para lograr una ventaja competitiva y alcanzar sus objetivos operativos clave. Sin embargo, si bien existe un gran entusiasmo y muchos cambios en marcha, los riesgos y vulnerabilidades de seguridad han seguido la misma línea que la innovación. Los ciberataques y las filtraciones de datos pueden causar estragos en los sistemas informáticos de una empresa, generando enormes costos para reparar los daños y un impacto duradero en los clientes que podría obstaculizar el crecimiento de la compañía durante años.

A medida que los riesgos de seguridad se vuelven más complejos, las agencias gubernamentales están haciendo hincapié en nuevas regulaciones para definir las medidas que las empresas deben tomar para proteger su infraestructura de TI, al tiempo que establecen estándares de seguridad informática. Leyes como la CCPA (Ley de Privacidad del Consumidor de California) o el Reglamento General de Protección de Datos (RGPD) ya han tenido un impacto significativo en la urgencia de priorizar la infraestructura de seguridad.

En este contexto, analicemos una de las políticas de seguridad más recientes que prometen transformar aún más nuestra concepción y enfoque de la seguridad informática: la Ley de Resiliencia Operativa Digital (DORA). Esta legislación de la Unión Europea (UE) exige que las empresas cumplan con la normativa antes de enero de 2025, lo que significa que disponen de poco menos de un año para garantizar su preparación.

Pero, ¿qué implica exactamente esta política para la seguridad informática? ¿Y cómo pueden las empresas asegurarse de estar preparadas?

¿Qué es DORA?

Introducida en 2020 y posteriormente promulgada en 2022, la DORA tiene como objetivo establecer un nivel uniforme y común de resiliencia operativa digital en las empresas de servicios financieros que operan en la UE o que mantienen relaciones comerciales con ella. El objetivo final es desarrollar un enfoque que fomente una estructura estandarizada de desarrollo tecnológico. El reglamento exige que las entidades financieras de la UE y sus proveedores de TIC críticas adopten capacidades integrales de gestión de riesgos de las tecnologías de la información y la comunicación (TIC) en sus procesos de seguridad. El cumplimiento de la DORA requerirá la adhesión plena a cinco áreas críticas clave descritas en el reglamento:

• Gestión de riesgos de las TIC: esta guía establece un marco estándar sobre lo que las organizaciones deben hacer en respuesta a un incidente de seguridad de las TIC.
• Notificación de incidentes graves relacionados con las TIC: la normativa define cómo deberán clasificar y notificar las organizaciones los incidentes de seguridad relacionados con las TIC en el futuro.
• Pruebas de resiliencia operativa digital: Establece directrices para probar las estrategias de recuperación existentes con el fin de identificar posibles vulnerabilidades.
• Intercambio de información e inteligencia: Requiere que las empresas compartan información sobre las ciberamenazas y vulnerabilidades a medida que se identifican.
• Gestión del riesgo de terceros en las TIC: Encomienda a las empresas la tarea de garantizar que cualquier proveedor externo esté alineado con sus capacidades de seguridad y resiliencia digital.

¿Quiénes deben cumplir con la DORA? Si bien se trata de una política de la UE con repercusiones para las empresas de la UE, su impacto sin duda afectará a empresas de todo el mundo. La DORA se centra principalmente en las organizaciones financieras de la UE —desde bancos hasta compañías de seguros—, pero no son las únicas que deberán cumplir con la política. Cualquier empresa que trabaje con bancos, aseguradoras u organizaciones financieras con sede en la UE también deberá mantener el cumplimiento, incluso si no tiene su sede física en la UE.

Prepararse

El tiempo se agota rápidamente para que las empresas preparen su infraestructura de seguridad de TI y de sistemas centrales para cumplir con las regulaciones especificadas en DORA. Por lo tanto, sin tiempo que perder, ¿por dónde deberían empezar? Existen varias áreas clave para mejorar la gestión de riesgos, entre ellas:

• Definir claramente las funciones y responsabilidades: DORA señala que se espera que los órganos de gestión mantengan un papel activo en la adaptación de su marco de gestión de riesgos de las TIC y su estrategia general de resiliencia operativa.
• Implementar una revisión periódica de la Política de Continuidad del Negocio de TIC y la Política de Recuperación ante Desastres de TIC: Implementar una cadencia de revisión regular para las políticas de continuidad del negocio de TIC y recuperación ante desastres es crucial para una supervisión eficaz de la gestión de riesgos. Según DORA, «las entidades financieras deben revisar periódicamente su Política de Continuidad del Negocio de TIC y su Plan de Recuperación ante Desastres de TIC, teniendo en cuenta los resultados de las pruebas realizadas de acuerdo con las recomendaciones derivadas de las auditorías o las revisiones de supervisión».
• Revisar periódicamente el presupuesto destinado a satisfacer las necesidades de resiliencia operativa digital: Prepararse para una nueva normativa requiere los recursos adecuados. Por ejemplo, DORA exige una función de gestión de crisis que implemente procedimientos claros para gestionar las comunicaciones internas y externas en situaciones de crisis.
• Implementar herramientas y procesos de seguridad de las TIC: Cualquier preparación centrada en DORA debe tener en cuenta las herramientas y los procesos. Las organizaciones deben considerar los sistemas heredados, como el mainframe, así como las vulnerabilidades que podrían exponer a la empresa a un riesgo excesivo.

En adelante, las empresas deberán analizar con mayor detenimiento los entornos de TI que utilizan. Las pruebas de penetración periódicas, las evaluaciones de integridad, las evaluaciones de cumplimiento y la gestión de vulnerabilidades, como el Rocket^® z/Assure^® Vulnerability Analysis Program, serán fundamentales para mantener el riguroso cumplimiento exigido por DORA. Con las soluciones y los procesos adecuados, las empresas pueden detectar de forma proactiva las vulnerabilidades en sus entornos de TI y abordarlas directamente antes de que se produzca una brecha de seguridad.

¿Está su infraestructura de seguridad informática preparada para las futuras regulaciones? Con Rocket Software, tenga la seguridad de que contará con la tecnología, la experiencia, los servicios y el soporte necesarios para una resiliencia operativa digital y una sólida supervisión de la gestión de riesgos.