Del cumplimiento a la defensa continua: cómo la regulación de la ciberseguridad se adapta a la realidad en el sector financiero

Regulaciones como 23 NYCRR 500, la Ley de Resiliencia Operativa Digital (DORA) de la UE y PCI DSS 4.0 marcan una transición del cumplimiento estático a la defensa dinámica para las instituciones financieras. Son una respuesta a un panorama cibernético en constante evolución, donde los ataques devastadores ocurren con mayor rapidez y afectan a una mayor variedad de objetivos. Esto es especialmente crítico durante periodos de alto riesgo, como las vacaciones, cuando el teletrabajo, la escasez de personal y el alto nivel de estrés pueden abrir más puertas a los atacantes.

Mientras la regulación se adapta a esta realidad dinámica, las organizaciones más inteligentes no esperan mandatos. Dado el aumento del riesgo, las instituciones ya no pueden permitirse esperar una auditoría anual o una lista de verificación de cumplimiento para demostrar su seguridad. En cambio, las utilizan como palanca para captar la aceptación y construir sistemas de ciberseguridad dinámicos y adaptables que monitoreen, midan y mejoren continuamente su postura en tiempo real.

Cómo ha cambiado la ciberseguridad

Durante años, las instituciones financieras basaron sus programas de ciberseguridad principalmente en la aprobación de auditorías. Se aseguraron de que se redactaran las políticas correctas, se implementaran los controles adecuados y pudieran demostrarlo con las casillas correctas en una lista de verificación. Pero hoy en día, el panorama de amenazas es mucho más dinámico de lo que este enfoque permite. Los atacantes investigan continuamente, se adaptan al instante y explotan las brechas en cuestión de horas o minutos. Los picos estacionales de actividad digital, como las transacciones de fin de año y los picos del comercio electrónico, solo amplifican estas vulnerabilidades.

Estos riesgos ya no se limitan a las grandes empresas. Como se destaca en la Evaluación de Amenazas Nacionales de 2024, las instituciones financieras medianas se han convertido en objetivos de alto valor: ricas en datos, pero a menudo carentes de defensas de nivel empresarial. Los atacantes conocen y explotan estos desequilibrios, aprovechando la expansión digital para pasar desapercibidos durante más tiempo. La temporada navideña agrava el problema, ya que los empleados frustrados o con exceso de trabajo pueden, inadvertidamente (o intencionalmente), crear nuevas oportunidades para los actores de amenazas.

Los reguladores reconocen ahora esta realidad cambiante con una legislación que se centra en la preparación en lugar de solo en las defensas. Saben que no existe un conjunto de estándares que puedan crear para garantizar la seguridad de todos, por lo que han adaptado su enfoque para impulsar defensas tanto proactivas como reactivas: desde el análisis y la aplicación de parches de vulnerabilidades con regularidad hasta ensayos de respuesta en tiempo real y procesos de respaldo verificados.

El ajuste regulatorio en especie

La evolución de los estándares regulatorios no se trata simplemente de ajustar las reglas. Es, más bien, reconocer que el cumplimiento estático no puede proteger un mundo digital dinámico. Así es como esto se traduce en la regulación del sector financiero en 2025:

23 NYCRR 500 (EE. UU. | Nueva York | Finanzas)

Las enmiendas finales a la legislación 23 NYCRR 500 entran en vigor con la última fecha límite de implementación el 1 de noviembre de 2025, y exigen que las organizaciones demuestren una gobernanza continua y una preparación casi en tiempo real. Para cumplir con estas expectativas, las instituciones financieras ahora deben demostrar:

• Monitoreo continuo efectivo o, como mínimo, pruebas de penetración periódicas y evaluaciones de vulnerabilidad.
• Uso de autenticación multifactor (MFA) en todos los puntos de acceso.
• Mantenimiento de un inventario completo de activos.
• Informe de incidentes de seguridad significativos a los reguladores dentro de las 72 horas.

Si opera en el sector financiero de Nueva York, esta legislación le afecta directamente. Pero incluso si no lo hace, Nueva York es un epicentro del sector financiero, y lo que ocurre allí es un probable indicador de lo que ocurrirá en otros lugares. Esto indica una tendencia más amplia hacia una resiliencia demostrable y auditable, en lugar de depender únicamente de estrategias de respuesta reactivas y predefinidas.

Ley de Resiliencia Operativa Digital (DORA) (UE | Finanzas)

A partir de enero de 2025, DORA exige que las entidades financieras gestionen la resiliencia cibernética y operativa como parte de la continuidad empresarial principal mediante:

• Estandarizar cómo las instituciones clasifican y reportan los incidentes TIC.
• Establecer plazos para notificar a los reguladores.
• Introducción de pruebas de resiliencia periódicas.
• Establecer una supervisión más estricta sobre los proveedores de tecnología de terceros críticos.

El objetivo es un testimonio de la tendencia de resiliencia identificada: crear una norma armonizada a nivel de la UE que garantice que las instituciones financieras puedan resistir y recuperarse de una disrupción digital en caso de que ocurra lo peor. Ya no basta con aislarse de un ataque y esperar que todo salga bien.

Estándares de seguridad de datos de la industria de tarjetas de pago (PCI DSS) 4.0 (Global | Finanzas)

A partir de marzo de 2025, la última versión de PCI DSS moderniza la forma en que las organizaciones protegen los datos de los titulares de tarjetas. En lugar de depender de controles rígidos y uniformes, PCI DSS 4.0 introduce un enfoque personalizado basado en el riesgo. Este cambio permite flexibilidad para cumplir con los objetivos de seguridad.

En lugar de requisitos estándar, se prioriza la validación continua y la recopilación de evidencia. Es una notable diferencia con respecto a versiones anteriores, ya que reconoce que cada entorno es diferente y que el verdadero cumplimiento implica demostrar que las defensas funcionan en la práctica, no solo en teoría.

Todos estos marcos de ciberseguridad comparten un hilo conductor: convertir la ciberseguridad en una disciplina viva y dinámica que evoluciona a medida que lo hacen las amenazas.

Implicaciones más amplias para el sector financiero mundial

Los equipos directivos deben reconocer cómo la nueva realidad regulatoria impone una carga de prueba más rigurosa y continua. Para demostrar que cumplen con los estándares regulatorios, las instituciones ahora deben demostrar:

• Linaje: dónde residen los datos, cómo se mueven, quién accede a ellos y cuándo.
• Capacidad de respuesta: la rapidez con la que los sistemas detectan, aíslan y responden a las amenazas.
• Resiliencia: con qué eficacia puede la empresa recuperarse, no sólo si puede hacerlo.
• Gobernanza: que el liderazgo supervise activamente el riesgo cibernético y no lo delegue en TI.

Los reguladores ya no quieren pruebas de seguridad en un documento estático; ese enfoque ya no es suficiente. Ahora quieren pruebas de que su postura de seguridad utiliza un enfoque permanente, verificado por la resiliencia posterior a una brecha de seguridad tanto como, o incluso más, la preparación previa a la brecha.

La rendición de cuentas de los altos ejecutivos y el rol cambiante del CISO

El aumento de ataques en todos los sectores en 2025, no solo en las instituciones financieras, subraya que la ciberseguridad ya no es una preocupación aislada de TI. En 2026, los CIO y CISO deben evolucionar de operadores técnicos a líderes estratégicos de negocio. Los CEO, a su vez, deben redefinir el rol del CISO para convertirlo en un rol de toma de decisiones estratégicas con línea directa a la junta directiva.

Este cambio transforma la ciberseguridad, que pasa de ser un factor de costos defensivo a un factor facilitador del negocio que protege la reputación de la marca, el valor para los accionistas y la confianza del cliente. Como destaca una investigación reciente, la inversión en ciberseguridad ocupa ahora un lugar prioritario en la agenda de los altos ejecutivos. Esta priorización debe traducirse en estrategias empresariales integradas que vinculen la seguridad con la resiliencia, la gestión de identidades y la gobernanza de datos en todas las funciones de la empresa.

Por qué esto es algo bueno

Si bien esto puede parecer una presión adicional (y lo es), también representa una gran oportunidad para los líderes de TI y datos que están listos para modernizar sus sistemas. La transición hacia la defensa continua impulsa a las organizaciones a:

• Reemplace la documentación estática con monitoreo en tiempo real y recopilación automatizada de evidencia.
• Integre la gestión de riesgos y la estrategia empresarial para que la ciberseguridad se convierta en un motor de confianza en todos los departamentos, no solo en TI.
• Genere confianza con clientes, socios y reguladores mostrando transparencia y control.

Todo esto se logra fácilmente mediante soluciones de infraestructura más resilientes, interconectadas y bien gobernadas. Este cambio crea una oportunidad para que los líderes de TI que han tenido dificultades para conseguir presupuesto o apoyo interno en ciberseguridad reconsideren su infraestructura y la expansión tecnológica desde cero. Además, eleva el liderazgo en ciberseguridad.

A medida que más juntas directivas reconocen que la seguridad es intrínseca a la continuidad y la reputación del negocio, los CISOs están ganando espacio en la mesa estratégica. Esta evolución fomenta una colaboración más estrecha entre las unidades de tecnología, operaciones y negocio, garantizando que las decisiones de seguridad impulsen activamente el crecimiento, la confianza y la resiliencia, en lugar de simplemente protegerse contra pérdidas.

Qué puede hacer al respecto: Construir una defensa continua

Las regulaciones surgen en respuesta a las crisis; son reactivas por naturaleza. Por lo tanto, si bien las regulaciones son un punto de referencia útil para la ciberseguridad, el objetivo real siempre debe ser la seguridad real. Implementar herramientas y mejores prácticas para sistemas integrales de seguridad le protegerá mejor, como siempre lo ha hecho, que simplemente seguir la ley al pie de la letra.

Los siguientes pasos reflejan las mejores prácticas que mantienen a las organizaciones seguras durante períodos de mayor riesgo, como las vacaciones, cuando los ataques oportunistas son más comunes, lo que permite resiliencia durante todo el año:

1. Audite su superficie de ataque. Desde los centros de datos internos hasta las aplicaciones en la nube y los dispositivos físicos que utilizan los empleados en todo el mundo, revise toda su superficie de ataque en cada punto de entrada potencial. Implemente procedimientos de verificación, elimine la expansión innecesaria, controle el riesgo y aplique controles y gobernanza de forma consistente.

2. Implemente un cumplimiento continuo. Analice su estrategia de seguridad desde cero. Implemente plataformas o procesos que automaticen la validación de controles, monitoreen los cambios y le alerten sobre anomalías de forma continua y en tiempo real en toda la organización, en lugar de depender de evaluaciones trimestrales o anuales. Esto es especialmente crucial en épocas de mucho estrés, como la temporada navideña, cuando las amenazas aumentan y el personal es más propenso a tomarse vacaciones, lo que convierte la visibilidad de sus sistemas en una prioridad clave.

3. Amplíe la visibilidad de su ecosistema. A continuación, analice la situación desde dentro hacia fuera. Los riesgos de terceros y de la nube son ahora prioridades regulatorias. Evalúe continuamente la postura de seguridad de los proveedores y exija pruebas de sus prácticas de MFA, sus capacidades de respuesta a incidentes y sus estándares de gestión de datos.

4. Pruebe y ensaye la resiliencia. No espere a un ataque para comprobar la resistencia de sus sistemas de respuesta: simule escenarios de ransomware, vulneración de credenciales y violación de proveedores una vez que haya implementado sus nuevos sistemas y procedimientos. Asegúrese de que todos conozcan sus funciones y responsabilidades, y mida los tiempos de respuesta y recuperación para estar preparados cuando sea necesario.

5. Comunique estos esfuerzos a los clientes. La transparencia genera confianza, y esto es especialmente cierto en los servicios financieros. Capacite a los clientes sobre las mejores prácticas para interactuar de forma segura con sus sistemas.

Reflexiones finales

La regulación de la ciberseguridad se está adaptando a la realidad, donde las amenazas y los ataques son continuos y están en expansión. Sin embargo, la regulación siempre irá a la zaga de la innovación y la evolución de las amenazas. Por eso, el objetivo no puede ser solo cumplir, sino también estar preparado. A medida que la temporada de compras navideñas incrementa el volumen de transacciones y el riesgo cibernético, las instituciones financieras no pueden permitirse esperar.

Pero cuando el cumplimiento se convierte en una consecuencia de la defensa continua, se pasa del cumplimiento estricto a un enfoque holístico que protege a las personas, la información y la confianza en tiempo real. Haga clic aquí para obtener más información sobre cómo Rocket Software puede ayudarle a actualizar su infraestructura de TI para lograr resiliencia en tiempo real sin interrupciones.