A Recompensa do DORA: Da Conformidade à Imperativa Estratégica nos Serviços Financeiros da UE

O panorama da cibersegurança e da gestão de riscos tecnológicos nos serviços financeiros da UE mudou fundamentalmente. O Digital Operational Resilience Act (DORA), formalmente Regulamento (UE) 2022/2554, passou de um prazo iminente para uma expectativa de supervisão em tempo real. Desde a sua aplicabilidade direta, as entidades financeiras e os seus prestadores de serviços de TIC terceirizados críticos em toda a UE estão a navegar numa nova era de requisitos vinculativos de resiliência operacional. Os reguladores já estão a recolher ativamente dados essenciais sobre incidentes, acordos de terceirização e dependências de terceiros.

O que aconteceu

Durante grande parte dos últimos dois anos, as empresas financeiras da UE estiveram intensamente focadas na implementação do DORA. Conselhos de administração e equipas executivas priorizaram o cumprimento dos prazos regulamentares, o estabelecimento de controlos abrangentes, a documentação de estruturas de governação e a garantia da conformidade. Esta fase inicial, embora desafiadora, visava colocar as empresas "em funcionamento" com os novos mandatos. No entanto, o período de carência terminou definitivamente, marcado por ações regulatórias significativas e um escrutínio intensificado.

As autoridades de supervisão começaram a publicar resumos de incidentes, sinalizando a aplicação ativa. Os requisitos para registos de prestadores de serviços de TIC terceirizados estão em vigor, exigindo atualizações contínuas, não apenas uma submissão única. Os prestadores de serviços de cloud críticos, incluindo os principais hiperescaladores, estão agora sob supervisão direta da UE, com vários prestadores de serviços de TI classificados como terceiros críticos, alterando fundamentalmente a dinâmica de responsabilidade e negociação. Esta confluência de eventos, incluindo o avanço simultâneo de outras regulamentações significativas da UE, sublinha um momento crucial em que a RegTech transita de uma categoria para uma estratégia de sobrevivência.

Por que este padrão se repete

O padrão recorrente de empresas que lutam para ir além da conformidade de "caixa de seleção" decorre da ambição inerente do DORA. O regulamento foi projetado para abordar uma lacuna crítica: embora os sistemas digitais se tornassem centrais para todas as facetas dos serviços financeiros, as regras de cibersegurança e risco tecnológico permaneciam desiguais entre os estados-membros. O DORA eleva explicitamente o risco cibernético para além de uma preocupação de TI de "back-office", colocando a responsabilidade direta pela supervisão do risco de TIC nos órgãos de gestão. Esta mudança fundamental exige uma transformação cultural e operacional que muitas organizações consideram desafiadora de incorporar totalmente após o prazo.

Além disso, o âmbito abrangente do DORA, cobrindo bancos, seguradoras, empresas de pagamento, empresas de investimento e grandes fornecedores de TIC, significa que um ecossistema vasto e diversificado deve adaptar-se uniformemente. Os cinco pilares do DORA – gestão de risco de TIC, comunicação de incidentes, testes de resiliência operacional digital, gestão de risco de terceiros de TIC e partilha de informações – exigem um esforço integrado e contínuo. Muitas instituições implementaram apenas parcialmente esses requisitos, preparando o cenário para uma pressão regulatória contínua. A mudança de obrigações nacionais fragmentadas para um regime vinculativo em toda a UE significa que não há mais espaço para interpretação ou atraso.

O manual do atacante passo a passo

Embora o DORA vise reforçar as defesas, a própria complexidade dos ecossistemas financeiros apresenta oportunidades para os atacantes. O seu manual geralmente começa com a exploração de pontos fracos nas cadeias de suprimentos de terceiros, agora sob intenso escrutínio do DORA. Atores de ameaças visam prestadores de serviços de TIC menos maduros, usando-os como portas de entrada para entidades financeiras maiores. A interconexão enfatizada pelo pilar de gestão de risco de terceiros do DORA torna-se uma espada de dois gumes.

Os atacantes também capitalizam na superfície de ataque estendida criada por serviços e fornecedores críticos. Eles sondam configurações incorretas ou vulnerabilidades não corrigidas em sistemas que suportam pagamentos, negociação, empréstimos e atendimento ao cliente. Períodos de mudança significativa, como transições regulatórias, podem, por vezes, introduzir novas vulnerabilidades à medida que as empresas implementam rapidamente soluções sem as fortalecer completamente. Finalmente, a ênfase na comunicação de incidentes sob o DORA significa que qualquer violação bem-sucedida, por menor que seja, terá implicações regulatórias imediatas e significativas, adicionando pressão sobre as empresas para divulgar e gerir incidentes dentro de prazos apertados.

O que os defensores perderam

Muitas instituições financeiras, apesar de um investimento significativo, focaram-se inicialmente em cumprir a letra da lei e não o seu espírito. A supervisão crítica foi muitas vezes confundir um alto nível de maturidade de conformidade com a verdadeira resiliência operacional. A conformidade, por si só, apenas prova a adesão a padrões mínimos. Não garante inerentemente que a liderança compreenda como uma interrupção localizada num prestador de serviços de TIC crítico pode cascatear por processos internos complexos e dependências de terceiros.

Outro elemento perdido foi subestimar a natureza contínua do DORA. Por exemplo, o registo de prestadores de serviços de TIC terceirizados não é um documento estático; deve ser mantido atualizado, e tratá-lo como um exercício único levará a falhas de auditoria. Além disso, as implicações dos testes de penetração liderados por ameaças, particularmente para instituições sistemicamente importantes, cobrindo toda a cadeia de suprimentos de TIC, não foram totalmente compreendidas ou preparadas por todos. O âmbito desses testes vai muito além das avaliações de segurança internas tradicionais.

A mudança de 'entrar em funcionamento' para 'resiliência demonstrável' define a nova realidade operacional para as empresas financeiras da UE sob o DORA.

Uma lista de verificação defensiva prática

Para ir além da mera conformidade e atingir uma resiliência demonstrável, os CISOs e engenheiros de segurança devem priorizar estas ações:

• Atualizar continuamente os Registos de Terceiros de TIC: Tratar o registo como um documento vivo e dinâmico. Garantir o monitoramento e a reavaliação contínuos de todas as dependências críticas de terceiros, incluindo os prestadores de serviços de cloud.
• Mandatar a Supervisão de Risco de TIC ao Nível do Conselho: Assegurar que os órgãos de gestão estejam ativamente envolvidos e compreendam o risco de TIC. Esta não é apenas uma questão de TI, mas uma preocupação fundamental de resiliência empresarial.
• Implementar Testes de Penetração Liderados por Ameaças: Preparar e conduzir testes de penetração avançados liderados por ameaças, estendendo o âmbito a toda a cadeia de suprimentos de TIC, não apenas aos sistemas internos.
• Fortalecer os Quadros de Comunicação de Incidentes: Refinar os processos de comunicação de incidentes para cumprir os prazos rigorosos e os requisitos detalhados do DORA. Praticar cenários de comunicação para garantir a eficiência sob pressão.
• Desenvolver Planos Robustos de Recuperação e Resposta: Além da deteção, focar na capacidade de resistir e recuperar rapidamente de interrupções severas. Testar esses planos rigorosa e regularmente.
• Gerir Proativamente os Riscos dos Prestadores de Serviços de Cloud: Envolver-se diretamente com os prestadores de serviços de cloud críticos para compreender as suas estratégias de resiliência e garantir o alinhamento com os requisitos do DORA, aproveitando o novo quadro de supervisão da UE.
• Promover uma Cultura de Resiliência Operacional: Impulsionar uma mudança cultural onde a resiliência esteja incorporada em todos os processos, do desenvolvimento às operações, em toda a organização.

Como os testes ofensivos modernos teriam detetado isto

As inadequações das avaliações de segurança tradicionais face às exigências do DORA destacam a necessidade de testes ofensivos avançados. A nossa plataforma, com o seu foco em testes ofensivos autónomos e Provas de Conceito (PoCs) executáveis, teria sido fundamental. Tal plataforma vai além da análise de vulnerabilidades ou mesmo dos testes de penetração manuais, simulando continuamente técnicas de atacantes do mundo real em todo o ecossistema digital, incluindo integrações críticas de terceiros.

Ao gerar PoCs executáveis, a nossa plataforma fornece evidências tangíveis de vias exploráveis, demonstrando não apenas vulnerabilidades teóricas, mas impacto real. Esta abordagem teria revelado como uma interrupção localizada num serviço de TIC de terceiros poderia propagar-se pelos processos críticos de uma organização, oferecendo insights concretos sobre potenciais falhas operacionais. Teria identificado proativamente lacunas na resposta a incidentes e nos planos de recuperação, simulando ataques de várias fases que imitam atores de ameaças sofisticados, preparando as empresas para os rigorosos testes de penetração liderados por ameaças agora mandatados pelo DORA.

O que observar a seguir

O futuro imediato verá um escrutínio regulatório intensificado. As autoridades de supervisão continuarão a publicar resumos de incidentes, e os reguladores nacionais esclarecerão os requisitos para testes de penetração liderados por ameaças. As empresas financeiras devem esperar diretrizes detalhadas sobre "monitorização eficaz" de entidades relevantes, o que moldará ainda mais as obrigações de conformidade. O foco passará da fase de implementação inicial para um período sustentado de demonstração e prova de resiliência operacional. A questão já não é "o que precisamos construir?" mas "o que perdemos?" e, criticamente, "como provamos continuamente a nossa resiliência?". Esta evolução contínua exige vigilância perpétua e uma postura de segurança proativa, em vez de reativa.