Preparación para DORA: Perspectivas de 2 expertos en cumplimiento de ciberseguridad

La Ley de Resiliencia Operativa Digital (DORA) de la Unión Europea está lista para remodelar la industria de servicios financieros en enero de 2025. Establece un nuevo estándar para la ciberseguridad y la resiliencia operativa.

Si bien el cambio a DORA tiene sus desafíos, también ofrece una forma para que las organizaciones fortalezcan sus operaciones y se preparen para el complejo panorama de amenazas actual.

En The Segment: A Zero Trust Leadership Podcast, hablé con dos líderes de cumplimiento de seguridad: Tristan Morgan, director general de ciberseguridad de BT, y Mark Hendry, socio de servicios digitales de Evelyn Socios, quienes compartieron sus ideas sobre cómo navegar por el cumplimiento de DORA.

Acerca de Tristan Morgan y Mark Hendry

Tristan lidera la ciberseguridad en BT , que proporciona servicios de seguridad, nube y red a compañías multinacionales globales en todo el mundo. Su experiencia en ciberseguridad para el gobierno del Reino Unido y otros países le dio una estable formación en la seguridad de ecosistemas digitales complejos y en la garantía del cumplimiento.  

En Evelyn Socios, Mark guía a los clientes a través de complejos desafíos de cumplimiento de ciberseguridad . Tiene una amplia experiencia en espacios regulatorios digitales, incluido GDPR, y un enfoque en programas de cambio regulatorio. Ofrece a los clientes información valiosa sobre cómo navegar por la transformación digital y adaptar a nuevas regulaciones como DORA.

DORA: Un enfoque holístico de la ciberresiliencia bancaria

DORA es un gran cambio en la forma en que la industria bancaria y financiera maneja la resiliencia, tanto en términos de operaciones como de ciberseguridad. En lugar de normas separadas para cada país, el DORA trata la ciberresiliencia como un esfuerzo coordinado en toda la UE.

"DORA lleva la conversación sobre la resiliencia a un nivel superior", explicó Tristan. "Reconoce el impacto que puede ocurrir no solo a nivel de país individual, sino a un nivel geográfico más amplio".

Mark señaló que la considera la "mayor intervención de resiliencia en los servicios financieros desde luego del colapso de 2008". Luego de 2008, se trataba de resiliencia financiera y de mantener el efectivo en el sistema, explicó Mark. Ahora, la economía global está cada vez más interconectada y la sociedad depende en gran medida de la infraestructura digital de la industria bancaria.

A medida que las instituciones financieras de la UE están más conectadas, el riesgo de ciberamenazas y las perturbaciones que pueden causar aumentan rápidamente. DORA aborda esto fomentando una estrategia unificada, ayudando a las organizaciones a proteger sus operaciones críticas sin importar dónde se encuentren.

"Si tienes diferentes interpretaciones de la ciberseguridad y la resiliencia, entonces no tienes armonización, no te estás moviendo todos en la misma dirección", dijo Tristan. "La seguridad es en gran medida un deporte de equipo, y tienes que compartir información entre organizaciones para ser mejores juntos".

Con DORA, las organizaciones financieras de la UE seguirán un conjunto de reglas. Esto ayuda a fortalecer la defensa general de la industria contra infracciones y ataques de ransomware. También facilita que las compañías cumplan con las normas a medida que la industria cambia y crece.

La resiliencia cibernética se trata de supervivencia, no solo de seguridad

La resiliencia es el enfoque principal de DORA. No se trata solo de detener las infracciones, sino también de cerciorar de que las compañías puedan seguir funcionando si ocurre una infracción.

Los recientes ciberataques a la industria financiera demostraron lo disruptivos que pueden ser y cómo pueden afectar a toda la industria e incluso al mundo.

"La resiliencia lo es todo", dijo Tristan. "Cuando ocurre una infracción, no se trata de si el negocio se detendrá. Se trata de mantener las operaciones a pesar de la infracción".  

Con más amenazas cibernéticas, es importante que las compañías, especialmente en la banca, sigan funcionando sin problemas. Una brecha en el sector bancario puede afectar la vida y el trabajo de las personas. La resiliencia cibernética se trata de supervivencia, no solo de mantener seguro.

Uso de una estrategia de confianza cero para lograr el cumplimiento de DORA

DORA no menciona explícitamente la confianza cero. Pero los principios subyacentes de confianza cero se alinean estrechamente con los objetivos de DORA.  

Para el punto de Mark, "Si hiciera una búsqueda en DORA y buscara términos como 'segmentación' o 'corte instantáneo de elementos de la red para contener amenazas', la confianza cero está absolutamente ahí".

Tristan explicó las cuatro áreas cruciales en las que una estrategia de confianza cero puede ayudarlo a cumplir con los requisitos de DORA:

• Identificar activos críticos y amenazas: obtenga visibilidad en toda su red para que pueda comprender qué es lo más vulnerable y qué debe abordar primero.

• Preparar de forma proactiva para los ataques: cree controles de seguridad que contengan los ataques antes de que puedan llegar a los recursos y datos críticos.

• Privilegios mínimos: un principio básico de confianza cero y privilegios mínimos garantiza que los usuarios, las aplicaciones y los servicios solo tengan el acceso mínimo que necesitan para desempeñar sus funciones. Esto ralentiza a los atacantes mientras intentan mover a través de la red.

• Rápidamente Responder y recuperar De incidentes: Cuando ocurre una infracción, es crucial poder detectar, contener y responder lo más rápido posible. Las soluciones de confianza cero como Illumio se integran con plataformas de detección para automatizar este proceso.

Las reglas de DORA se alinean con las mejores prácticas de confianza cero, mostrando su enfoque con visión de futuro. Al incluir estos principios en sus reglas de cumplimiento, DORA ayuda a los bancos a proteger contra amenazas y mantener en funcionamiento incluso durante un ataque.

¿Atrasado en el cumplimiento de DORA? Esto es lo que debe hacer

Lograr el cumplimiento de DORA requerirá que las organizaciones financieras aborden el proceso de manera cuidadosa y estratégica. Tanto Tristan como Mark subrayaron que la planeación proactiva es esencial.  

Enero llegará antes de que te des cuenta. Si le preocupa que su organización ya esté atrasada, marque las recomendaciones en las que piensa:

• ¿Qué es lo que más va a doler si hay un ataque?

• Lo que necesitas priorizar ahora

• ¿Qué se puede poner en marcha en la planeación del próximo año?

Las organizaciones deben centrar primero en áreas de alto impacto. Diseñe un plan de cumplimiento a largo plazo que le brinde protección sostenible, no solo soluciones a corto plazo.

Escuche, suscribir y revise El segmento: un podcast de liderazgo de confianza cero

¿Quieres saber más? Escuche el episodio completo en nuestro sitio web, Apple Podcasts, Spotify o donde sea que obtenga sus podcasts. También puedes leer la transcripción completa del episodio.

Descargue nuestro libro electrónico gratis, Strategies for DORA Compliance: Key Role of Zero Trust Segmentation, para obtener todo lo que necesita saber sobre DORA.