Preparación para DORA: Perspectivas de 2 Expertos en Cumplimiento de Normas de Ciberseguridad

La Ley de Resiliencia Operacional Digital (DORA) de la Unión Europea está destinada a remodelar la industria de servicios financieros en enero de 2025. Establece un nuevo estándar para la ciberseguridad y la resiliencia operacional.

Si bien el cambio a DORA tiene sus desafíos, también ofrece una manera para que las organizaciones fortalezcan sus operaciones y se preparen para el complejo panorama de amenazas actual.

Entorno El segmento: un podcast de liderazgo de confianza cero, hablé con dos líderes de cumplimiento de normas de seguridad, Tristan Morgan, director gerente de ciberseguridad en BT, y Mark Hendry, socio de servicios digitales de Evelyn Partners, quienes compartieron sus conocimientos sobre cómo navegar por el cumplimiento de DORA.

Sobre Tristan Morgan y Mark Hendry

Tristan lidera ciberseguridad en BT que proporciona seguridad, nube y servicios de red a empresas multinacionales globales en todo el mundo. Su experiencia en ciberseguridad para el gobierno del Reino Unido y otros países le ha dado una sólida formación en la protección de ecosistemas digitales complejos y en garantizar el cumplimiento.

En Evelyn Partners, Mark guía a los clientes a través de complejos cumplimiento de la seguridad cibernética retos. Cuenta con amplia experiencia en espacios regulatorios digitales, incluyendo GDPR, y un enfoque en los programas de cambio regulatorio. Ofrece a los clientes información valiosa para navegar por la transformación digital y adaptarse a nuevas regulaciones como DORA.

DORA: Un enfoque holístico para la ciberresiliencia bancaria

DORA es un gran cambio en la forma en que el industria bancaria y financiera maneja la resiliencia, tanto en términos de operaciones como de ciberseguridad. En lugar de reglas separadas para cada país, DORA trata ciberresiliencia como un esfuerzo coordinado en toda la UE.

“DORA lleva la conversación sobre resiliencia a un nivel superior”, explicó Tristan. “Reconoce el impacto que puede ocurrir no solo a nivel de un país individual sino a un nivel geográfico más amplio”.

Mark señaló que la considera la “mayor intervención de resiliencia en servicios financieros desde después del desplome de 2008". Después de 2008, todo se trataba de resiliencia financiera y de mantener efectivo en el sistema, explicó Mark. Ahora, la economía mundial está cada vez más interconectada y la sociedad depende en gran medida de la infraestructura digital de la industria bancaria.

A medida que las instituciones financieras de la UE se conectan más, el riesgo de las amenazas cibernéticas y la interrupción que pueden causar crece rápidamente. DORA aborda esto fomentando una estrategia unificada, ayudando a las organizaciones a proteger sus operaciones críticas sin importar dónde se encuentren.

“Si tienes diferentes interpretaciones de ciberseguridad y resiliencia, entonces no tienes armonización, no te estás moviendo todos en la misma dirección”, dijo Tristan. “La seguridad es en gran medida un deporte de equipo, y hay que compartir información entre organizaciones para estar mejor juntos”.

Con DORA, las organizaciones financieras de la UE seguirán un conjunto de reglas. Esto ayuda a fortalecer la defensa general de la industria contra las brechas y los ataques de ransomware. También facilita que las empresas sigan cumpliendo con las normas a medida que la industria cambia y crece.

La resiliencia cibernética se trata de supervivencia, no solo de seguridad

La resiliencia es el foco principal de DORA. No se trata solo de detener las brechas, sino también de asegurarse de que las empresas puedan seguir funcionando si ocurre una violación.

Recientes ciberataques de la industria financiera han demostrado lo disruptivos que pueden ser y cómo pueden afectar a toda la industria e incluso al mundo.

“La resiliencia lo es todo”, dijo Tristan. “Cuando ocurre una brecha, no se trata de si el negocio se detendrá. Se trata de mantener las operaciones a pesar de la brecha”.

Con más amenazas cibernéticas ocurriendo, es importante que las empresas, especialmente en la banca, sigan funcionando sin problemas. Una brecha en el sector bancario puede afectar la vida y el empleo de las personas. La resiliencia cibernética se trata de sobrevivir, no solo de mantenerse seguro.

Uso de una estrategia de confianza cero para lograr el cumplimiento de DORA

DORA no menciona explícitamente cero confianza. Pero los principios subyacentes de la confianza cero se alinean estrechamente con los objetivos de DORA.

Para el punto de Mark, “si hiciste una búsqueda en DORA y buscaste términos como 'segmentación' o 'ruptura instantánea de elementos de la red para contener amenazas', la confianza cero está absolutamente ahí”.

Tristan explicó las cuatro áreas cruciales en las que una estrategia de confianza cero puede ayudarle a cumplir con los requerimientos de DORA:

• Identificar activos críticos y amenazas: Obtenga visibilidad en toda su red para que pueda comprender qué es lo más vulnerable y qué es lo que debe abordarse primero.

• Prepárese proactivamente para los ataques: Construir controles de seguridad que contener ataques antes de que puedan llegar a recursos y datos críticos.

• Privilegio mínimo: Un principio básico de confianza cero, privilegios mínimos garantiza que los usuarios, aplicaciones y servicios solo tengan el acceso mínimo que necesitan para desempeñar sus funciones. Esto ralentiza a los atacantes mientras intentan moverse a través de la red.

• Rápidamente responder y recuperar de incidentes: Cuando ocurre una violación, es crucial poder detectar, contener y responder lo más rápido posible. Soluciones de confianza cero como Illumio integrarse con plataformas de detección para automatizar este proceso.

Las reglas de DORA se alinean con las mejores prácticas de confianza cero, mostrando su enfoque con visión de futuro. Al incluir estos principios en sus reglas de cumplimiento de normas, DORA ayuda a los bancos a protegerse contra amenazas y a mantenerse en funcionamiento incluso durante un ataque.

¿Está atrasado en el cumplimiento de DORA? Esto es lo que debe hacer

Lograr Cumplimiento de DORA requerirá que las organizaciones financieras aborden el proceso de manera cuidadosa y estratégica. Tanto Tristan como Mark subrayaron que la planificación proactiva es esencial.

Enero estará aquí antes de que te des cuenta. Si le preocupa que su organización ya esté atrasada, marque recomendaciones en las que piense:

• Lo que más va a doler si hay un ataque

• Lo que necesitas priorizar ahora

• ¿Qué se puede introducir en la planificación del próximo año?

Las organizaciones deben enfocarse primero en áreas de alto impacto. Mapa elabore un plan de cumplimiento de normas a largo plazo que le brinde protección sostenible, no solo soluciones a corto plazo.

Escuche, suscríbase y revise El segmento: un podcast de liderazgo de confianza cero

¿Quieres saber más? Escucha el episodio completo en nuestro sitio web, Podcasts de Apple, Spotify, o donde sea que obtenga sus podcasts. También puedes leer la transcripción completa del episodio.

Descargue nuestro libro electrónico gratuito, Estrategias para el cumplimiento de DORA: papel clave de la segmentación de confianza cero, para obtener todo lo que necesitas saber sobre DORA.