Puntos clave: DORA introduce desafíos de cumplimiento para los equipos de mainframe en el sector financiero de EMEA, haciendo hincapié en la resiliencia operativa frente a las amenazas cibernéticas. Los puntos clave incluyen posibles sanciones por incumplimiento y la necesidad de evaluaciones independientes de seguridad.
- Las sanciones pueden alcanzar el uno por ciento de los ingresos anuales e implicar responsabilidad penal.
- Las organizaciones son adoptando soluciones de respaldo inmutables para reforzar la resiliencia cibernética.
Durante el último mes, he tenido la oportunidad de debatir sobre la Ley de Resiliencia Operativa Digital (DORA) de la Unión Europea con los equipos de mainframe de 14 de las mayores instituciones financieras de EMEA y Reino Unido. Aquí son mis principales conclusiones de esas conversaciones: está consenso general en que para los equipos de mainframe, los requisitos de DORA son diferentes a las directrices regulatorias anteriores:
- Las sanciones que incluyen el uno por ciento de los ingresos anuales y la responsabilidad penal son llamando la atención de los directivos y miembros del consejo
- Mientras DORA señala "toda infraestructura crítica", el foco está puesto en la infraestructura mainframe como nunca antes
- DORA requiere una prueba de penetración independiente/evaluación de seguridad de toda la infraestructura crítica. Solo algunos equipos de mainframe son siguiendo ese consejo.
- El mayor cambio en los requisitos al comparar DORA con otras normativas está la capacidad de demostrar que tu entidad financiera puede recuperarse de un ciberataque, lo cual es muy diferente a una recuperación ante desastres.
- Al menos la mitad de las instituciones financieras ya han participado en pruebas de estrés del Banco Central Europeo (BCE) para evaluar su capacidad organizativa de recuperación de un ciberataque.
- Está bastante preocupado por la "interpretación" de los requisitos técnicos/empresariales/de resiliencia de DORA, incluso después de la publicación del informe final de enero.
- La mayoría de las instituciones financieras ya son en proceso de implementar soluciones de respaldo inmutables para sus entornos mainframe, un paso clave hacia la resiliencia ante ciberataques.
- Para aquellas organizaciones que implementan copias de seguridad inmutables, casi todas reconocen el desafío de determinar qué copia de seguridad inmutable están adecuadas para utilizar en su recuperación.
- Muchas instituciones financieras reconocen que recuperarse de una copia de seguridad inmutable supone un problema crítico relacionado con la pérdida de datos, lo que podría hacer perder horas de transacciones financieras.
- La mayoría de las instituciones financieras han creado grupos de trabajo específicos para DORA para guiar a sus equipos de TI en las medidas adecuadas a tomar, pero incluso esos equipos tienen dificultades para traducir los requisitos regulatorios en directrices de TI.
En resumen: DORA presenta nuevos retos para los equipos de mainframe, no solo porque el escenario de ciberataque es nuevo, sino porque el BCE está colaborando activamente con instituciones financieras que operan en Europa para demostrar que cumplen con los nuevos objetivos. Conoce más sobre cómo las directrices de DORA ayudan a Lograr la resiliencia operativa en el pódcast "Mainframe Operational Resilience: DORA and Beyond."
Estas publicaciones son mías y no representan necesariamente la posición, estrategias u opinión de BMC.