No es burocracia. Es una necesidad
“Para adaptarse a DORA hay que entender la norma y para eso celebramos esta jornada”. Así como explicando Álvaro Blanco, country manager de Formalize, el objetivo de su evento en la Semana del Seguro. Insistió en que no es un asunto baladí, puesto que el Seguro es uno de los sectores más afectados por la entrada en vigor de este reglamento.
“Quienes trabajáis en compliance tenéis que hacer una serie de comprobaciones repetitivas, enviando cuestionarios a todos vuestros proveedores. Esto es necesario porque ha cambiado la forma de enfrentarse entre países. Ahora es a través de guerras tecnológicas, ciberataques… Lo que se busca con DORA es que un sector estratégico como el del Seguro sea lo más resiliente posible ante un ciberataque”, afirmó Álvaro Blanco.
Por su parte. Jesús Yáñez, socio de ciberseguridad y privacidad de Écija, incidió en que Europa está poniendo el foco en las actividades esenciales. “Está pidiendo -comentó- que tengan resiliencia para evitar brechas de seguridad y que retomen su actividad normal en caso de producirse”
Además, recalcó que DORA no tiene que ver con la protección de datos, sino que lo que Europa quiere proteger ahora son los datos de negocio. Así pues, recordó que la adaptación a DORA es obligatoria para aseguradoras, reaseguradoras, gestoras de planes de pensiones e intermediarios de seguros.
Jesús Yáñez aclaró que el reglamento obliga a tener un sistema de gestión de riesgos de proveedores esenciales y de servicios tecnológicos. Para ello, debemos partir de la identificación de las funciones esenciales y no esenciales, con el fin de analizar los riesgos, definir una política de riesgos, preparar la respuesta y recuperación ante posibles brechas de seguridad, etc. Además, es preciso realizar pruebas y auditorías. Asimismo, DORA exige gestionar, clasificar y notificar incidentes en un plazo de 24 horas. Y también obliga a realizar una gestión de riesgos de terceros de TIC, llevando a cabo una adecuada gestión de los contratos con estos proveedores, que también deben ajustarse a las exigencias del reglamento. A este respecto, recalcó que “cuando un proveedor presta un servicio, la seguridad es parte de dicho servicio”, de modo que nos tiene que facilitar la trazabilidad de la misma.
Además, hizo hincapié en que “DORA no es burocracia, sino que es una necesidad que implica a todos los sectores esenciales de la sociedad”, como respuesta ante la necesidad de protegerse frente al auge de ciberataques como ransomware o phishing mediante ingeniería social, que están al alcance de la mano de los ciberdelincuentes y que son más sofisticados y difíciles de detectar por parte de sus víctimas.
Incluso mostró lo sencillo que es utilizar un kit para crear una campaña de phishing sólo con indicar el objetivo —robar credenciales, por ejemplo— e introducir la URL de la web que queremos atacar. De este modo, los ciberdelincuentes no sólo sustraen la contraseña, sino que obtienen todo tipo de información de su víctima y la ponen a la venta en la deep web.
Finalmente, puntualizó que “el 80% de los incidentes de seguridad no son internos, sino de proveedores”. Por ello, insistió en la importancia de proteger las credenciales, puesto que su robo puede dar acceso a los ciberdelincuentes a los sistemas corporativos, a la nube, etc.
Retos en la implementación
Álvaro Blanco explicó en qué consisten los estándares RTS e ITS de DORA, esenciales para asegurar la homogeneidad de los datos de todos los países de la UE, e identificó los ocho principales retos en la implementación de esta regulación: desconocimiento del reglamento, negociación contractual con proveedores, automatización de tareas clave, gestión de información, adaptación a los estándares RTS, reporte de incidentes según ITS, gestión de equipos y roles, y visualización de datos de cumplimiento.
Acompañamiento externo
A continuación, Valentina Borgia, product specialist de Formalize, explicó cómo el software y la inteligencia artificial pueden automatizar la gestión de riesgos y el registro de proveedores para cumplir con DORA. Realizó una demostración práctica de la herramienta desarrollada por la compañía, que permite tener total control de la gestión de riesgos, obtener registros de incidentes o automatizar el flujo de trabajo para la elaboración de informes de incidentes.
La jornada concluyó con una mesa redonda moderada por Álvaro Blanco, con la participación de Georgina García-Más, abogada senior de VidaCaixa, y Sara García, delegada de protección de datos de Legálitas. Una de las conclusiones fue que cada vez más departamentos están involucrados en el cumplimiento de DORA.
También destacaron que afectará en mayor o menor medida en función de la entidad, aplicando el principio de proporcionalidad; si bien apuntaron que el criterio no está demasiado claro, ya que son las propias entidades las que deben determinar la esencialidad de sus proveedores. Además, se puso de manifiesto que el acompañamiento externo para la adaptación a DORA es una opción muy habitual, debido a la complejidad para orquestar dicha transición.