Los servicios de seguridad de Aruba útiles para el Cumplimiento de DORA

Desde el 17 de enero de 2025, entrarán en vigor nuevos requisitos para fortalecer la resiliencia digital y la gestión de riesgos de las entidades financieras en toda la Unión Europea.

El marco DORA para la gestión de riesgos TIC en el sector financiero

El DORA (Reglamento UE 2022/2554) es el marco normativo europeo que establece un sistema para la gestión de los riesgos asociados a los servicios TIC en el sector financiero, con el objetivo de fortalecer su "resiliencia operativa digital". Este concepto se refiere a la fiabilidad de los servicios de TI y a la capacidad de garantizar la continuidad de las operaciones digitales incluso ante incidentes y perturbaciones.

El marco DORA se creó con la finalidad de preparar a los operadores y mercados financieros para enfrentar los riesgos derivados de la creciente dependencia de las tecnologías digitales, estableciendo estándares técnicos de referencia que deberán implementarse a partir del 17 de enero de 2025.

El Reglamento DORA está dirigido a todos los operadores del mercado financiero, tanto tradicionales (bancos, instituciones de pago, fondos de inversión, intermediarios financieros...) como no tradicionales (agencias de rating, plataformas de crowdfounding...).

Entidades financieras sujetas al Reglamento DORA (art. 2)

Entidades de crédito
Instituciones de pago
Proveedores de servicios de información sobre cuentas
Instituciones de dinero electrónico
Empresas de inversión
Proveedores de servicios de criptoactivos
autorizados y emisores de tokens vinculados
Depositarios centrales de valores
Contrapartes centrales
Mercados de negociación
Registros de operaciones

Gestores de fondos de inversión alternativos
Sociedades gestoras
Proveedores de servicios de comunicación de datos
Empresas de seguros y reaseguros
Intermediarios de seguros y reaseguros
Entidades de pensiones
Agencias de calificación crediticia (rating)
Administradores de índices de referencia críticos
Proveedores de servicios de crowdfunding
Registros de datos sobre titulizaciones

Los principales requisitos de DORA para garantizar niveles adecuados de seguridad

El reglamento DORA solicita a las entidades financieras gestionar de forma efectiva y cuidadosa todos los riesgos informáticos, con el fin de reducir al máximo sus posibles impactos.

Esto se logra mediante la definición de un marco de gestión de riesgos informáticos que cumpla con ciertos requisitos técnicos, con el fin de garantizar un nivel adecuado de seguridad.

Gestión del riesgo informático

El enfoque para la gestión del riesgo informático debe estructurarse en fases específicas: Identificación, Protección y Prevención, Detección, Respuesta y Recuperación, Aprendizaje y Evolución, Comunicación. En la práctica, las entidades financieras deben mapear las funciones comerciales respaldadas por los servicios TIC e identificar las críticas, evaluar las amenazas, implementar políticas de seguridad, monitorear actividades anómalas y garantizar la continuidad operativa con un enfoque dinámico y en constante mejora.

Notificación e informe de incidentes y amenazas

Se requiere que las entidades financieras monitoreen constantemente los servicios, evalúen los eventos anómalos y las amenazas informáticas, notificando a las autoridades competentes sobre los incidentes significativos y las amenazas relevantes. Los criterios considerados incluyen el número y la importancia de los clientes involucrados, las transacciones afectadas, el impacto sobre la reputación, la criticidad de los servicios, la duración y el alcance geográfico de los incidentes, así como los impactos económicos directos e indirectos.

Pruebas de resiliencia operativa digital

El Reglamento DORA obliga a las entidades financieras a definir y ejecutar anualmente un programa de pruebas de resiliencia operativa digital para evaluar la preparación frente a incidentes, perturbaciones y ataques externos en los sistemas TIC. Para los servicios TIC críticos, también se requiere la realización de pruebas de penetración basadas en amenazas (TLPT), que son pruebas avanzadas que imitan las tácticas de los atacantes reales y tienen como objetivo identificar vulnerabilidades de seguridad y mejorar la capacidad de respuesta.

Gestión del riesgo de terceros

DORA otorga un papel fundamental a los proveedores de servicios TIC, cuya fiabilidad no puede subestimarse si se quiere garantizar el objetivo de la resiliencia operativa digital. No solo el sector financiero en su conjunto se ha digitalizado en gran medida, sino que la digitalización ha aumentado las interconexiones y dependencias dentro del sector y con proveedores externos de infraestructuras y servicios. A las entidades financieras se les exige identificar a los proveedores clave para sus servicios comerciales, evaluarlos y asegurarse de que pueden garantizar los estándares de seguridad requeridos.

El apoyo de Aruba en el proceso de cumplimiento con el Reglamento DORA

Como principal proveedor italiano en el desarrollo de servicios y soluciones de TI para particulares, profesionales, empresas y Administración Pública en áreas de cloud, hosting, data center y servicios de confianza (trust services), Aruba está en condiciones de apoyar a sus clientes en todos los requisitos necesarios para cumplir con el Reglamento DORA.

Infraestructura de data center propia

La experiencia de Aruba a lo largo de muchos años en diseño y construcción de Data centers, ha permitido crear una red europea de excelencia con infraestructuras de propiedad que cumplen con la normativa Rating 4 ANSI/TIA. Gracias a este activo estratégico, Aruba ofrece una gama completa de servicios y plataformas tecnológicas basadas en las mejores prácticas en seguridad, con cobertura asegurada para los riesgos residuales.

Certificaciones de seguridad y Autoridades de Certificación acreditadas

Los servicios de Aruba están sujetos a auditorías internas frecuentes y verificaciones de terceros para garantizar el cumplimiento de estándares de seguridad como ISO 27001, ISO 27017, ISO 27018, ISO 27035, ISO 22301, ISO 9001 y CSA STAR Level 2. La experiencia en la oferta de servicios fiduciarios, a través de nuestras Autoridades de Certificación, Aruba PEC y Actalis, garantiza las calificaciones necesarias para operar en diversos ámbitos del sector de TI y ofrecer servicios certificados reconocidos a nivel europeo.

Gestión de riesgos, monitoreo y controles internos

Aruba considera la información un recurso fundamental y ha implementado un modelo de análisis de riesgos TIC orientado a protegerla. El monitoreo constante de tecnologías y amenazas emergentes, junto con la colaboración con entidades de investigación para integrar soluciones innovadoras, permite a Aruba contribuir activamente al sector de la seguridad informática a través de asociaciones y regulaciones.