El ajuste de cuentas de DORA: de casilla de verificación de cumplimiento a imperativo estratégico en los servicios financieros de la UE

El panorama de la ciberseguridad y la gestión de riesgos tecnológicos en los servicios financieros de la UE ha cambiado fundamentalmente. La Ley de Resiliencia Operativa Digital (DORA), formalmente Reglamento (UE) 2022/2554, ha pasado de ser una fecha límite inminente a una expectativa de supervisión en vivo. Desde su aplicabilidad directa, las entidades financieras y sus proveedores de servicios críticos de TIC de terceros en toda la UE están navegando por una nueva era de requisitos vinculantes de resiliencia operativa. Los reguladores ya están recopilando activamente datos esenciales sobre incidentes, acuerdos de subcontratación y dependencias de terceros.

Lo que pasó

Durante gran parte de los últimos dos años, las empresas financieras de la UE se centraron intensamente en la implementación de DORA. Los consejos y los equipos ejecutivos priorizaron el cumplimiento de los plazos regulatorios, el establecimiento de controles integrales, la documentación de las estructuras de gobernanza y la garantía del cumplimiento. Esta fase inicial, aunque desafiante, tenía como objetivo que las empresas estuvieran "en vivo" con los nuevos mandatos. Sin embargo, el período de gracia ha terminado definitivamente, marcado por importantes acciones regulatorias y un escrutinio intensificado.

Las autoridades supervisoras han comenzado a publicar resúmenes de incidentes, lo que indica una aplicación activa. Los requisitos para los registros de proveedores de TIC de terceros están en vigor, exigiendo actualizaciones continuas, no solo una presentación única. Los proveedores de servicios críticos en la nube, incluidos los principales hiperescaladores, ahora están bajo supervisión directa de la UE, con varios proveedores de servicios de TI clasificados como terceros críticos, lo que altera fundamentalmente la dinámica de responsabilidad y negociación. Esta confluencia de eventos, incluido el avance simultáneo de otras regulaciones significativas de la UE, subraya un momento crucial en el que RegTech pasa de ser una categoría a una estrategia de supervivencia.

Por qué este patrón se repite

El patrón recurrente de empresas que luchan por ir más allá del cumplimiento de la casilla de verificación se deriva de la ambición inherente de DORA. La regulación fue diseñada para abordar una brecha crítica: si bien los sistemas digitales se volvieron centrales para todas las facetas de los servicios financieros, las reglas de riesgo cibernético y tecnológico seguían siendo desiguales entre los estados miembros. DORA eleva explícitamente el riesgo cibernético más allá de una preocupación de TI de back-office, colocando la responsabilidad directa de la supervisión del riesgo de TIC en los órganos de gestión. Este cambio fundamental requiere una transformación cultural y operativa que muchas organizaciones encuentran difícil de incorporar completamente después de la fecha límite.

Además, el alcance integral de DORA, que cubre bancos, aseguradoras, empresas de pago, empresas de inversión y los principales proveedores de TIC, significa que un ecosistema vasto y diverso debe adaptarse uniformemente. Los cinco pilares de DORA – gestión de riesgos de TIC, notificación de incidentes, pruebas de resiliencia operativa digital, gestión de riesgos de terceros de TIC e intercambio de información – exigen un esfuerzo integrado y continuo. Muchas instituciones solo han implementado parcialmente estos requisitos, preparando el escenario para una presión regulatoria continua. El cambio de obligaciones nacionales fragmentadas a un régimen vinculante en toda la UE significa que ya no hay lugar para la interpretación o el retraso.

El manual del atacante paso a paso

Si bien DORA tiene como objetivo fortalecer las defensas, la propia complejidad de los ecosistemas financieros presenta oportunidades para los atacantes. Su manual a menudo comienza con la explotación de debilidades en las cadenas de suministro de terceros, ahora bajo un intenso escrutinio de DORA. Los actores de amenazas se dirigen a proveedores de servicios de TIC menos maduros, utilizándolos como puertas de entrada a entidades financieras más grandes. La interconexión enfatizada por el pilar de gestión de riesgos de terceros de DORA se convierte en un arma de doble filo.

Los atacantes también capitalizan la superficie de ataque extendida creada por servicios y proveedores críticos. Buscan configuraciones erróneas o vulnerabilidades sin parches en sistemas que respaldan pagos, operaciones bursátiles, préstamos y servicio al cliente. Los períodos de cambio significativo, como las transiciones regulatorias, a veces pueden introducir nuevas vulnerabilidades a medida que las empresas implementan rápidamente soluciones sin endurecerlas por completo. Finalmente, el énfasis en la notificación de incidentes bajo DORA significa que cualquier violación exitosa, por menor que sea, tendrá implicaciones regulatorias inmediatas y significativas, lo que aumentará la presión sobre las empresas para divulgar y gestionar incidentes bajo plazos ajustados.

Lo que los defensores se perdieron

Muchas instituciones financieras, a pesar de una inversión significativa, inicialmente se centraron en cumplir la letra de la ley en lugar de su espíritu. La omisión crítica a menudo fue confundir un alto nivel de madurez de cumplimiento con una verdadera resiliencia operativa. El cumplimiento, por sí solo, simplemente prueba la adhesión a los estándares mínimos. No garantiza inherentemente que el liderazgo comprenda cómo una interrupción localizada en un proveedor de servicios de TIC crítico podría propagarse a través de procesos internos complejos y dependencias de terceros.

Otro elemento que se pasó por alto fue subestimar la naturaleza continua de DORA. Por ejemplo, el registro de proveedores de TIC de terceros no es un documento estático; debe mantenerse actualizado, y tratarlo como un ejercicio único dará lugar a fallas de auditoría. Además, las implicaciones de las pruebas de penetración dirigidas por amenazas, particularmente para las instituciones de importancia sistémica, que cubren toda la cadena de suministro de TIC, no fueron comprendidas ni preparadas completamente por todos. El alcance de estas pruebas se extiende mucho más allá de las evaluaciones de seguridad internas tradicionales.

El cambio de 'ponerse en marcha' a 'resiliencia demostrable' define la nueva realidad operativa para las empresas financieras de la UE bajo DORA.

Una lista de verificación defensiva práctica

Para ir más allá del mero cumplimiento y lograr una resiliencia demostrable, los CISO y los ingenieros de seguridad deben priorizar estas acciones:

• Actualizar continuamente los registros de terceros de TIC: Tratar el registro como un documento vivo y dinámico. Asegurar el monitoreo y la reevaluación continuos de todas las dependencias críticas de terceros, incluidos los proveedores de servicios en la nube.
• Exigir la supervisión del riesgo de TIC a nivel de la junta directiva: Asegurar que los órganos de gestión estén activamente involucrados y comprendan el riesgo de TIC. Esto no es solo un problema de TI, sino una preocupación central de resiliencia empresarial.
• Implementar pruebas de penetración dirigidas por amenazas: Prepararse y realizar pruebas de penetración avanzadas dirigidas por amenazas, extendiendo el alcance a toda la cadena de suministro de TIC, no solo a los sistemas internos.
• Fortalecer los marcos de notificación de incidentes: Refinar los procesos de notificación de incidentes para cumplir con los plazos estrictos y los requisitos detallados de DORA. Practicar escenarios de notificación para garantizar la eficiencia bajo presión.
• Desarrollar planes robustos de recuperación y respuesta: Más allá de la detección, centrarse en la capacidad de resistir y recuperarse rápidamente de interrupciones graves. Probar estos planes de forma rigurosa y regular.
• Gestionar proactivamente los riesgos de los proveedores de servicios en la nube: Colaborar directamente con los proveedores de servicios críticos en la nube para comprender sus estrategias de resiliencia y garantizar la alineación con los requisitos de DORA, aprovechando el nuevo marco de supervisión de la UE.
• Fomentar una cultura de resiliencia operativa: Impulsar un cambio cultural en el que la resiliencia esté integrada en todos los procesos, desde el desarrollo hasta las operaciones, en toda la organización.

Cómo las pruebas ofensivas modernas habrían detectado esto

Las insuficiencias de las evaluaciones de seguridad tradicionales frente a las demandas de DORA resaltan la necesidad de pruebas ofensivas avanzadas. Nuestra plataforma, con su enfoque en pruebas ofensivas autónomas y Pruebas de Concepto (PoC) ejecutables, habría sido fundamental. Una plataforma así va más allá del escaneo de vulnerabilidades o incluso de las pruebas de penetración manuales al simular continuamente técnicas de atacantes del mundo real en todo el entorno digital, incluidas las integraciones críticas de terceros.

Al generar PoC ejecutables, nuestra plataforma proporciona evidencia tangible de rutas explotables, demostrando no solo vulnerabilidades teóricas sino también un impacto real. Este enfoque habría revelado cómo una interrupción localizada en un servicio de TIC de terceros podría propagarse a través de los procesos críticos de una organización, ofreciendo información concreta sobre posibles fallas operativas. Habría identificado proactivamente las brechas en los planes de respuesta y recuperación de incidentes al simular ataques de múltiples etapas que imitan a actores de amenazas sofisticados, preparando a las empresas para las rigurosas pruebas de penetración dirigidas por amenazas ahora obligatorias por DORA.

Qué ver a continuación

El futuro inmediato verá un escrutinio regulatorio intensificado. Las autoridades supervisoras seguirán publicando resúmenes de incidentes, y los reguladores nacionales aclararán los requisitos para las pruebas de penetración dirigidas por amenazas. Las empresas financieras deben esperar directrices detalladas sobre la "supervisión efectiva" de las entidades relevantes, lo que dará forma aún más a las obligaciones de cumplimiento. El enfoque pasará de la fase de implementación inicial a un período sostenido de demostración y prueba de la resiliencia operativa. La pregunta ya no es "¿qué necesitamos construir?" sino "¿qué nos perdimos?" y, fundamentalmente, "¿cómo probamos continuamente nuestra resiliencia?". Esta evolución continua exige una vigilancia perpetua y una postura de seguridad proactiva, en lugar de reactiva.