Las entidades financieras están preocupadas por los ataques basados en la IA: esto es lo que DORA espera que hagas

Las amenazas cibernéticas basadas en la inteligencia artificial ya no son solo teoría. Las entidades financieras de toda Europa están evaluando activamente las implicaciones de unas herramientas cada vez más potentes que pueden identificar y aprovechar vulnerabilidades a gran escala, y los reguladores están muy atentos a todo esto.

El Banco Central Europeo ha dejado claro que los ciberataques suponen una amenaza grave y creciente para los bancos y las infraestructuras de los mercados financieros, y que, dado el alto nivel de interconexión que existe en el sector financiero, un solo ataque puede poner en peligro la estabilidad de todo el ecosistema. Para las organizaciones que operan en este entorno, preocuparse no es suficiente. Según la DORA, hay que pasar a la acción.

¿Por qué el sector financiero está en alerta?

Los bancos y las entidades financieras se enfrentan a una combinación específica de riesgos: entornos informáticos complejos, una gran dependencia de terceros y un perfil que los convierte en objetivos muy valiosos. La introducción de la IA en este panorama amplifica cada uno de estos riesgos. Las vulnerabilidades se detectan más rápido, los ataques se llevan a cabo de forma más automatizada y las barreras para los atacantes son más bajas que nunca. El resultado es un entorno más volátil e impredecible, para el que las revisiones de seguridad tradicionales y periódicas nunca se diseñaron.

La respuesta de DORA: resiliencia operativa

DORA se diseñó precisamente para este tipo de entorno. En lugar de fijar unos requisitos mínimos que haya que cumplir una sola vez, establece un marco para la preparación continua, basado en cinco áreas clave:

1. Gestión de riesgos de las TIC
2. Notificación de incidentes
3. Pruebas de resiliencia operativa digital
4. Gestión de riesgos de terceros
5. Intercambio de información

Todo esto, en conjunto, implica la obligación de estar preparados; no solo de contar con políticas, sino de demostrar que funcionan.

De la concienciación a la responsabilidad

Uno de los cambios más importantes que trae DORA es quién asume la responsabilidad. Se espera que los órganos de dirección se hagan cargo de la gestión de riesgos, garanticen que se aplican los controles adecuados y supervisen las medidas de cumplimiento. No se trata de un asunto de TI que se pueda delegar a un equipo técnico. Es una responsabilidad del equipo directivo, y los reguladores esperarán que se demuestre que así es.

El reto de la implementación

Entender DORA es una cosa. Ponerla en práctica es otra muy distinta. A muchas organizaciones les cuesta convertir los requisitos normativos en controles prácticos, mantener la documentación al día y coordinarse de forma coherente entre equipos y sistemas. Sin una estructura clara, los esfuerzos de cumplimiento se vuelven reactivos, algo que se aborda antes de una auditoría en lugar de mantenerse como una disciplina continua. Ese enfoque conlleva un riesgo real, tanto a nivel operativo como en cuanto a la exposición normativa.

Crear una base sólida

Para cumplir con los requisitos de DORA, hace falta tener una visión clara de los riesgos y los controles, contar con procesos definidos para la respuesta ante incidentes, llevar a cabo un seguimiento y una evaluación continuos, y disponer de una documentación y unos informes centralizados. No se trata solo de cumplir con los organismos reguladores; es lo que permite que una organización funcione de verdad con confianza cuando algo sale mal.

Una referencia cambiante

La IA está subiendo el listón de lo que significa la seguridad. Las entidades financieras ya no pueden limitarse a revisiones periódicas o a medidas aisladas. Las organizaciones que saldrán airosas de este entorno serán aquellas que incorporen a sus operaciones diarias una visibilidad continua, una actuación coordinada y un control demostrable, y no las que traten el cumplimiento normativo como un mero trámite que hay que marcar en una casilla.

En el marco DORA, la resiliencia no se da por sentada. Hay que construirla, mantenerla y demostrarla. Para los equipos directivos que asumen la responsabilidad personal en virtud de la normativa DORA, contar con las herramientas adecuadas no es opcional. Trustlinks te ofrece la supervisión, la documentación y la confianza necesarias para liderar el cumplimiento normativo, y no solo para informar sobre él.