Los responsables políticos europeos están cada vez más preocupados por los ciberataques contra las infraestructuras digitales críticas de la región.
Para garantizar que el sector financiero pueda afrontar mejor unas amenazas en constante evolución, la UE ha elaborado el Reglamento sobre la resiliencia operativa digital (DORA), que será aplicable a partir de enero de 2025.
El alcance de DORA es considerable, ya que abarca a más de 22.000 entidades financieras y a sus proveedores de servicios de TIC que operan en la UE. También afectará a aquellas entidades con sede fuera de la UE que interactúen con estas organizaciones.
En esencia, el cumplimiento de DORA constituye la base sobre la que las entidades de servicios financieros pueden desarrollar una estrategia de seguridad más sólida e integral que refleje los riesgos a los que deben hacer frente.
Aunque la mayoría de los bancos cuentan desde hace tiempo con rigurosas medidas de seguridad, DORA está concebido para reforzar las defensas de todo el ecosistema financiero mediante la inclusión de agentes más especializados, como entidades de crédito y de pago, proveedores de servicios de criptoactivos, depositarios centrales de valores y agencias de calificación crediticia. Exige a las entidades financieras que minimicen el riesgo de alteración o pérdida de datos, eviten accesos no autorizados y fallos técnicos que puedan obstaculizar la actividad empresarial, y garanticen la disponibilidad de sus sistemas de TIC.
Garantizar el cumplimiento normativo
Para las entidades financieras y, de hecho, para la mayoría de las empresas actuales, las aplicaciones y los datos son ahora esenciales para su actividad. Proteger plenamente estos activos con tecnologías como un firewall de aplicaciones web (WAF) robusto es fundamental, tanto para cumplir con DORA como para garantizar la continuidad de las operaciones durante un ataque distribuido de denegación de servicio (DDoS) y otros tipos de ataques.
DORA también exige a las entidades financieras que detecten rápidamente las actividades anómalas, incluidos los problemas de rendimiento de las redes de TIC y los incidentes relacionados, así como los posibles puntos únicos de fallo significativos. En caso de incidente grave, la entidad financiera debe notificarlo a los reguladores, clientes afectados y socios. A continuación, deberá informar sobre los avances en la resolución del incidente y elaborar un informe final en el que se analicen las causas raíz.
Para cumplir esos requisitos, las entidades financieras necesitan una visibilidad completa del rendimiento y el estado de seguridad de sus aplicaciones. Aquí es donde F5 Distributed Cloud Console puede desempeñar un papel fundamental. Diseñada para ofrecer una visibilidad integral y consolidada de todo el ecosistema de aplicaciones, entire permite cumplir la mayoría de los requisitos de resiliencia digital de DORA.
F5 Distributed Cloud Console también ayuda a cumplir algunos de los requisitos más específicos de DORA. Por ejemplo, las entidades financieras deben someter sus herramientas, sistemas y procesos de TIC a pruebas de penetración al menos cada tres años.
Hasta hace poco, este tipo de actividad era competencia de hackers éticos expertos y, a menudo, costosos. Esto ya no es así, y ahora es posible automatizar todo el proceso.
A principios de este año, F5 lanzó su solución Distributed Cloud Web App Scanning que permite a las organizaciones supervisar continuamente Internet, los repositorios públicos, los servidores expuestos y otras fuentes para centralizar los servicios de aplicaciones accesibles desde el exterior, los datos y las vulnerabilidades. Además, también pueden realizar pruebas de penetración automatizadas, identificar posibles vulnerabilidades, obtener pruebas de los problemas y recibir recomendaciones para solucionarlos con el fin de mejorar la seguridad y garantizar el cumplimiento normativo.
Una mayor automatización hace que resulte más rentable realizar pruebas de penetración continuas, en lugar de llevarlas a cabo proyecto por proyecto, para garantizar el lanzamiento puntual de nuevos productos y servicios.
Integración de la seguridad en la infraestructura TIC
Todas las empresas deberían aspirar a adoptar un enfoque integral de la seguridad digital, en lugar de intentar implantar soluciones específicas para cumplir con DORA. El aumento de la automatización, propiciado por los avances en IA, facilita enormemente la integración de la seguridad en el diseño, el desarrollo y el despliegue de infraestructuras, componentes y aplicaciones de TIC, así como de las interfaces de programación de aplicaciones (API) asociadas.
Las API, que hoy en día constituyen, en esencia, el sistema nervioso central de la economía digital, revisten especial importancia. Las organizaciones deben hacer todo lo posible por integrar la detección de vulnerabilidades en los procesos de desarrollo de aplicaciones, garantizando que se identifiquen los riesgos y se apliquen las políticas antes de que las API entren en producción.
Como respuesta directa a esta creciente necesidad, F5 Distributed Cloud Services ofrece la solución de seguridad de API más completa del sector y preparada para la IA. Atrás quedaron los días en que las empresas se veían obligadas a utilizar conjuntos de herramientas y funcionalidades dispares para proteger sus API durante su desarrollo y en tiempo de ejecución. F5 permite detectar vulnerabilidades y obtener observabilidad en el proceso de desarrollo de aplicaciones, lo que garantiza que los riesgos se identifiquen y las políticas se implementen antes de que las API entren en producción. En un momento en el que la seguridad de las API nunca ha sido tan importante ni tan compleja, F5 elimina la necesidad de que los clientes paguen por soluciones de seguridad de API independientes y tengan que gestionarlas. El descubrimiento y las pruebas de API, la gestión de la postura de seguridad y la protección en tiempo de ejecución —todo ello en una única plataforma— pueden suponer una gran ventaja para anticiparse a las complejidades inminentes de DORA.
En última instancia, DORA no debería verse como un quebradero de cabeza, sino como una gran oportunidad para perfeccionar y reforzar las medidas de seguridad esenciales en todas las organizaciones. No obstante, se trata de un proceso y es probable que algunos tengan que cambiar su percepción de lo que la seguridad realmente significa y de cómo se articula.
Afortunadamente para todos aquellos que se enfrentan a los retos que se avecinan, F5 cuenta con muchas de las herramientas necesarias tanto para cumplir los requisitos de supervisión y notificación de DORA como para reducir considerablemente los riesgos de sufrir ciberataques devastadores.
Sobre el autor
Artículos relacionados del blog
Cree servicios públicos seguros, resilientes y preparados para la IA con F5 y AWS
Descubre cómo las organizaciones del sector público pueden modernizar de forma segura sus aplicaciones y soluciones de IA, al tiempo que gestionan los sistemas heredados, el cumplimiento normativo y el riesgo operativo.
Protección de los sistemas de IA: por qué la seguridad debe avanzar al ritmo de la innovación
Desde acelerar avances revolucionarios en medicina y educación hasta transformar la vida cotidiana, la IA está cambiando nuestra forma de vivir y trabajar. Pero también ofrece grandes oportunidades a los ciberdelincuentes.
Avanzar hacia la optimización digital tras la transformación
Descubre estrategias de optimización digital para garantizar políticas de seguridad coherentes, impulsar la madurez de la transformación digital y superar los retos de la transformación.
Proyecto de código abierto destacado: mayor observabilidad con F5 Cloud Logger iApp
En el punto de mira del código abierto: cómo aumentar la observabilidad. Lee el blog de F5 para descubrir cómo exportar fácilmente la telemetría de BIG-IP a plataformas modernas de análisis en la nube.
El estado de la entrega de aplicaciones en 2018: la transformación digital impulsa la automatización y la multinube pese a las preocupaciones de seguridad
Descubre las principales conclusiones del cuarto informe anual de F5 sobre el estado de la entrega de aplicaciones.
Estado de la entrega de aplicaciones en 2017: automatización, API y DevOps
Descubre el informe sobre el estado de la entrega de aplicaciones de 2017. Lee el blog retrospectivo de F5 sobre los inicios del auge de las redes declarativas y los flujos de DevOps.