Ante el aumento de la ciberamenaza, Europa ha reforzado su arsenal legislativo y su regulación contra el ciberdelito. Al mismo tiempo, este arsenal impone nuevas obligaciones y genera nuevos gastos para las empresas. Descifrado…
2022 definitivamente ha sido un año tumultuoso para el mundo digital. El estallido de la guerra en Europa del Este a principios de este año allanó el camino para una avalancha de ataques cibernéticos estatales, lo que obligó a las empresas de todo el mundo a reforzar sus estrategias de protección cibernética.
Ante el aumento de las amenazas y riesgos cibernéticos, la Unión Europea y Francia han trabajado en dos leyes destinadas a combatir los efectos de estos riesgos y limitar el daño potencial creado por el fortalecimiento del entorno regulatorio. ¿Pero es esta LA solución?
Volver a la Ley de resiliencia operativa digital (DORA)
Cuando la Comisión Europea (CE) presentó sus proyectos de ley sobre resiliencia operativa digital en septiembre de 2020, los calificó como una oportunidad para cerrar «la puerta a los ciberataques» y reforzar la «monitorización de los servicios externalizados». Esta última afirmación se refiere en particular al auge de la subcontratación en sectores sensibles como los servicios financieros. Así, la ley DORA pretendía “ garantizar que todos los actores del sistema financiero tengan las salvaguardas necesarias para mitigar las consecuencias de los ataques cibernéticos y otros riesgos Sucede también a la ley MiCA.
Por lo tanto, la legislación exigiría que las empresas se aseguren de que pueden soportar todo tipo de interrupciones y amenazas relacionadas con TI. DORA también introduciría un marco de monitoreo para los proveedores de TI, como los proveedores de servicios de computación en la nube, para garantizar que no » plantear riesgos operativos indebidos ».
DORA es una ley muy específicadiseñado para armonizar el enfoque de ciberseguridad de más de 22 000 entidades del sector financiero que están sujetas a múltiples organismos reguladores en toda la UE.
DORA también define un conjunto de requisitos detallados sobre cada aspecto de la ciberseguridad, incluido el monitoreo de las amenazas cibernéticas y el informe de los ataques cibernéticos. También se dedica un punto a los requisitos de copia de seguridad. Si bien no apunta a una solución específica, hasta ahora parece favorecer la copia de seguridad en las instalaciones sobre la nube. La ley DORA también contiene disposiciones interesantes sobre la relación contractual entre las instituciones financieras y los proveedores de TI. Requiere que las entidades financieras mantengan un registro de los arreglos contractuales con los proveedores de TI e incluyan disposiciones específicas en los contratos con los proveedores de TI.
¿Cuáles serán los próximos pasos? Es probable que la implementación de los requisitos establecidos en DORA genere costos adicionales a corto plazo para las instituciones financieras y los proveedores de TI.. Habrá costos asociados con la preparación para el cumplimiento de DORA y las inversiones relacionadas en sistemas de TI, así como con la revisión de los sistemas de TI existentes.
Pero también habrá importantes beneficios. Al armonizar las reglas, DORA eliminará la fragmentación regulatoria, lo que facilitará y hará más rentable a las entidades financieras que operan en una variedad de mercados diferentes, ya que solo tendrán que cumplir con un conjunto de regulaciones. A medio y largo plazo, la regulación abaratará costes para todo el sector mejorar la gestión de riesgos y desarrollar la resiliencia operativa frente a las interrupciones y amenazas de TI. Las empresas tardarán alrededor de dos años en cumplir con los requisitos contenidos en la directiva DORA, pero estarán en una posición mucho más fuerte en términos de gestión, y comunicación, de una interrupción, fuga, acceso no autorizado, pérdida de datos u otra computadora. ruptura.
Y mañana ? Ley CRA y cyber-score, nuevas obligaciones y oportunidades
Más recientemente, en septiembre de 2022, la Comisión Europea presentó una propuesta legislativa destinada a introducir requisitos de ciberseguridad regulados para los productos IoT (alrededor de 244 millones de objetos identificados en 2022 por ARCEP), que ha calificado como «productos con elementos digitales», con el fin de hacerlos más seguros. En ese momento, señaló que estos productos eran cada vez más vulnerables a los ciberataques.
Por lo tanto, la CE ha identificado dos problemas principales con IoT:
1- Un bajo nivel de seguridad, reflejado por vulnerabilidades generalizadas y la entrega insuficiente e inconsistente de actualizaciones de seguridad para abordarlas;
2- Insuficiente comprensión y acceso a la información por parte de los usuarios, que les impide elegir productos con adecuadas propiedades de seguridad o utilizarlos de forma segura.
Los cuatro objetivos principales de la regulación, conocida como Cyber Resilience Act (CRA), son:
1- Garantizar un marco de ciberseguridad coherente, facilitando el cumplimiento para los productores de hardware y software;
2- Mejorar la transparencia de las propiedades de seguridad de los productos que contienen elementos digitales;
3- Permitir que las empresas y los consumidores utilicen productos que contengan elementos digitales con total seguridad;
4- Asegurar que los fabricantes mejoren la seguridad de los productos que contienen elementos digitales desde la fase de diseño y desarrollo y durante todo el ciclo de vida.
Este punto hace referencia a la última innovación en estándares de ciberseguridad: la puntuación cibernética, que esta vez tiene como objetivo asegurar los datos de las plataformas digitales. Tanto para particulares como para profesionales.
Promulgada en marzo de 2022, va entrando en vigor paulatinamente y, sobre todo, los sitios buscan la máxima puntuación, garantizando una alta visibilidad de su sitio, analizada y verificada por los servicios gubernamentales. Aunque los criterios aún no se definieron a fines del año pasado, el puntaje cibernético es, sin embargo, una de las principales prioridades regulatorias que todos deben abordar. cumplir y ganar sostenibilidad.
Un año 2023 que promete estar lleno de desafíos para todas las empresas, incluidos los proveedores de soluciones de TI, quienes deberán cumplir con nuevas obligaciones. Continuará en unos meses…
____________________________
Par Javier Bourdeloisgerente de preventa en Commvault Francia
Lea también:
La ciberseguridad, ¿motivo de resiliencia para las empresas?
El “ciberscore” en espera de aclaración
Cyber-rating: ¿se ha vuelto imprescindible medir tu postura de ciberseguridad?
En el FIC, el director de ANSSI exige 5 minutos de cerebro a cada francés
ANSSI actualiza su certificación SecNumCloud
[
