Por qué los directores de sistemas de información deben situar el DORA en el centro de su estrategia de centros de datos

Al igual que muchos cambios normativos, la DORA (Ley de Resiliencia Operativa Digital) ha transformado radicalmente la forma en que los responsables del sector tecnológico y de los servicios financieros conciben la infraestructura tecnológica crítica y la recuperación ante desastres. 

Esta normativa, que la UE pondrá en marcha en enero de 2025, es un tema de conversación que surge una y otra vez cuando me reúno con clientes actuales y potenciales en nuestras sedes europeas, incluido el centro de datos DC North, aquí en Croacia. Como es lógico, los responsables de TI quieren saber en qué consiste, cómo asegurarse de que cumplen con la normativa y, lo que es más importante, qué implicaciones tiene para la estrategia de su centro de datos. 

Mi respuesta simplificada suele empezar así: DORA no se pregunta, en esencia, si dispones de un plan de copias de seguridad y recuperación de datos, sino si puedes demostrar que dicho plan está implantado y funciona. En la práctica, esto significa si puedes mantener las funciones esenciales de la empresa durante un ciberataque o una interrupción del sistema. Cambia radicalmente la forma en que los directores de sistemas de información (CIO) deben plantearse las interrupciones: se pasa de «¿cómo protejo la empresa?» a «es probable que se produzcan interrupciones, ¿cómo podemos ser resilientes y recuperarnos rápidamente?». También cambia la importancia de las copias de seguridad y la resiliencia de los datos: deja de ser un mero trámite burocrático en algún rincón del departamento de TI para convertirse en un asunto de la junta directiva con implicaciones financieras y legales muy reales. 

Mi consejo para cualquier director de sistemas de información (CIO) de un banco, una aseguradora, una empresa de inversión, un proveedor de servicios de pago o cualquiera de las aproximadamente veinte categorías de entidades financieras que menciona la DORA es que la DORA es un requisito normativo que debe abordarse de forma integral y urgente como una cuestión de continuidad del negocio. Sin embargo, y lo que es quizás aún más importante, dada la naturaleza del diseño de la normativa, debería situarse en el centro de la estrategia de su centro de datos, como forma de garantizar y mantener la soberanía y el control digitales a largo plazo. 

Se trata de un ámbito que está recibiendo cada vez más atención en toda la Unión Europea. Las tensiones geopolíticas y las sofisticadas amenazas cibernéticas están ejerciendo una mayor presión sobre las instituciones financieras críticas para que mantengan el control tecnológico y reduzcan la dependencia de proveedores que puedan estar sujetos a legislaciones ajenas a la región. Plantearse preguntas como«¿dónde se encuentran legalmente nuestros datos y bajo qué jurisdicción, y no solo en qué país?», es un buen punto de partida para que los directores de sistemas de información (CIO) empiecen a abordar tanto el cumplimiento de la DORA como la soberanía digital a la hora de evaluar a los proveedores externos críticos (CTPP) actuales o potenciales. 

En lo que respecta a la estrategia de los centros de datos, la mayoría de las empresas quieren saber cómo asegurarse de que un posible socio reduzca el riesgo en lugar de aumentarlo. Es una cuestión importante y una sobre la que, personalmente, me preguntan cada vez con más frecuencia. 

La respuesta sincera es que depende de lo que figure en el contrato y de lo que muestre el registro de auditoría.

En el contrato, los directores de sistemas de información (CIO) deben buscar niveles de servicio claros, derechos de auditoría, obligaciones de cooperación bien definidas durante un incidente y una vía de salida probada. Un proveedor sin un plan de salida real no reduce tu riesgo, sino que se convierte simplemente en una carga de dependencia que la DORA espera que ya hayas tenido en cuenta en el precio. Del mismo modo, en lo que respecta a la auditoría, lo que los directores de sistemas de información deben solicitar es evidencia, no garantías. Un buen ejemplo de ello es asegurarse de que tu proveedor pueda compartir registros de restauración físicos, no solo teóricos.  

También recomiendo preguntar si se puede acceder a la entidad matriz del proveedor en virtud de la legislación de una jurisdicción extranjera, independientemente de dónde se encuentren físicamente los servidores. Es una ampliación de la pregunta que planteé anteriormente, pero resulta importante, dado que la residencia y la soberanía no son lo mismo. Una consecuencia lógica es, entonces, comprobar quién controla el acceso al propio entorno de copia de seguridad; al fin y al cabo, la inmutabilidad protege los datos frente a la alteración, pero no aclara quién tiene las claves.

Un socio capaz de responder a estas preguntas sin dudar está reduciendo tu exposición al riesgo, mientras que uno que no pueda hacerlo la está aumentando, por muy tranquilizadora que suene la conversación de ventas.

Desde que la DORA entró en vigor hace 18 meses, ha quedado claro que se ha diseñado para premiar a aquellas organizaciones que consideran a sus socios de infraestructura como parte de su estrategia de cumplimiento normativo y continuidad del negocio, en lugar de como una partida presupuestaria al margen de la misma (como se ha hecho tradicionalmente).

Para quienes estén preocupados por si cumplen con la normativa o no sepan muy bien por dónde empezar, hay algunos pasos iniciales que pueden seguir para asegurarse de que van por el buen camino. Entre ellos se incluyen: 

1. Analízalo adecuadamente. Averigua exactamente qué partes de tu entorno entran dentro del ámbito de aplicación de la DORA y si alguna de ellas también se encuentra dentro del ámbito de aplicación de la NIS2. Colabora con tus equipos jurídico y de cumplimiento normativo para garantizar la claridad y la coherencia al respecto, antes de pasar a examinar tu capa de infraestructura.
2. Pon a prueba lo que ya tienes. Realiza una restauración completa en condiciones reales, no un simulacro basado en teorías. La diferencia entre el tiempo de reanudación de las operaciones que has establecido y el tiempo de recuperación real es uno de los datos más útiles que puedes obtener.
3. Reevalúa dónde se almacenan tus datos de recuperación. La residencia no equivale a soberanía. Si, en virtud de la legislación extranjera, se puede actuar legalmente contra la empresa matriz de tu proveedor, es una cuestión que conviene resolver ahora, de forma deliberada, en lugar de aceptar la respuesta derivada de una decisión tomada años antes de que existiera la DORA.

Sabemos que, ante cualquier cambio normativo, hay mucho que aprender y comprender. Hemos elaborado una guía exhaustiva que puedes consultar aquí. Incluye una descripción detallada de las normativas DORA y NIS2, junto con consejos prácticos sobre cómo cumplir con ellas, que puedes encontrar aquí.