La Ley de Resiliencia Operativa Digital (DORA) de la Unión Europea se introdujo para proteger a las empresas financieras de los principales riesgos de las tecnologías de la información y la comunicación (TIC).
DORA hace responsables de la seguridad de los proveedores tecnológicos que contratan a los grupos financieros, incluidas las compañías de seguros, dado que los terceros han incrementado la vulnerabilidad del sector.
Las calificaciones de riesgo cibernético son una solución tecnológica viable, conforme a DORA, que podría evaluar de manera objetiva la postura de ciberseguridad de una compañía de seguros.
El sector financiero europeo está entrando en una nueva era regulatoria. Como parte de un paquete digital para que el sector financiero europeo aproveche los beneficios de la tecnología y la innovación, la Unión Europea introdujo la Ley de Resiliencia Operativa Digital (DORA), adoptada recientemente por el Parlamento Europeo.
La Ley responde al impacto perjudicial de los principales incidentes de tecnologías de la información y la comunicación (TIC) y tiene como objetivo fortalecer la resiliencia operativa digital del sector financiero, incluidas las compañías de seguros. De hecho, su implementación en el sector asegurador tiene el potencial de revolucionar la forma en que las aseguradoras gestionan y mitigan los riesgos cibernéticos.
¿Cómo funciona DORA?
DORA se sustenta en cinco pilares principales:
Gestión del riesgo.
Notificación de incidentes.
Pruebas de resiliencia operativa digital.
Gestión del riesgo de terceros en TIC.
Intercambio de información e inteligencia.
En esencia, DORA hace responsables a los grupos financieros de la seguridad de los proveedores tecnológicos que contratan. Y se aplica a los terceros que prestan servicios críticos de TIC al sector asegurador, como servicios de computación en la nube, software (por ejemplo, plataformas de suscripción para negocios de comercio electrónico), servicios de análisis de datos y centros de datos.
Es una respuesta regulatoria a la creciente dependencia del sector de proveedores tecnológicos terceros, en la que la pérdida de un nodo afecta a todo el sistema. El Fondo Monetario Internacional ha señalado que la dependencia de servicios comunes de proveedores terceros significa que los ataques tienen una mayor probabilidad de generar implicaciones sistémicas y podrían hacer vulnerables sectores enteros; las pérdidas pueden ser elevadas y volverse macrocríticas.
Por ello, impone determinados requisitos a las empresas del sector, entre ellos la notificación rápida de incidentes de ciberseguridad, la visibilidad de las dependencias de terceros y la capacidad para responder a las solicitudes de auditoría.
A medida que nos acercamos a la implementación de DORA en 2023 y 2024, la pregunta crucial es: ¿qué herramientas adoptarán las aseguradoras para cumplir con DORA y considerará la Autoridad Europea de Seguros y Pensiones de Jubilación (EIOPA), principal institución reguladora del sector, las soluciones tecnológicas como parte de las normas técnicas de DORA?
¿Qué está haciendo el Foro Económico Mundial en materia de ciberseguridad?
El Centro para la Ciberseguridad ofrece una plataforma de confianza donde los líderes se reúnen para comprender los riesgos cibernéticos cambiantes y sus implicaciones sistémicas. Se centra en generar comprensión y confianza en un mundo digital cada vez más interconectado.
Al permitir la colaboración intersectorial y el intercambio de conocimientos, el Centro ayuda a los socios a fortalecer la ciberresiliencia y a abordar desafíos que requieren respuestas colectivas.
Las soluciones técnicas fortalecen la seguridad a gran escala
Una opción viable es las calificaciones de riesgo cibernético, que evalúan de manera objetiva la postura de ciberseguridad de una organización a partir de diversos factores, entre ellos la seguridad de las redes, la protección de datos y las capacidades de respuesta a incidentes. La gestión del riesgo cibernético en la cadena de suministro digital también es cada vez más crítica. Según la investigación conjunta de SecurityScorecard con el Cyentia Institute, el 98% de las organizaciones mantiene una relación con al menos un tercero que ha sufrido una brecha de seguridad en los últimos dos años.
Las aseguradoras ya utilizan las calificaciones de riesgo cibernético para evaluar el riesgo de un ciberataque y determinar el precio adecuado de la cobertura. Utilizar esta herramienta para gestionar el riesgo de sus propios terceros y cumplir con DORA es una progresión lógica. Al adoptar las calificaciones de riesgo cibernético, las aseguradoras pueden gestionar eficazmente los riesgos de sus terceros y tomar decisiones de suscripción fundamentadas. Dados los requisitos de DORA, la adopción de las calificaciones de riesgo cibernético resulta cada vez más vital, ya que las aseguradoras deben demostrar su capacidad para identificar, evaluar y gestionar los riesgos cibernéticos.
Dadas las implicaciones sistémicas del riesgo cibernético de terceros, la EIOPA debería introducir calificaciones de riesgo cibernético obligatorias en forma de normas técnicas. Estas normas pueden proporcionar directrices detalladas sobre los requisitos de TIC y las obligaciones de notificación que las aseguradoras deben cumplir para cumplir con DORA.
Existe un precedente con las normas técnicas de la Autoridad Bancaria Europea (EBA) para la Directiva de Servicios de Pago (PSD2) – introducidas para mejorar la protección del cliente durante las transacciones de pago y promover la innovación empresarial–, que describían en detalle cómo deben gestionarse las normas tecnológicas de autenticación, manteniendo la neutralidad tecnológica.
Es una tendencia mundial; la legislación exigirá calificaciones de riesgo cibernético en Francia. Además, la Ley francesa Cyberscore establece la obligación de contar con una certificación de ciberseguridad para las plataformas digitales destinadas al público. Entrará en vigor el 1 de octubre de 2023.
La Ley francesa Cyberscore debería servir de modelo para la EIOPA, que tiene un amplio margen para interpretar las normas técnicas de DORA. Por ejemplo, una investigación de IBM reveló que un compromiso en la cadena de suministro causó casi una quinta parte de las brechas de datos, y que estos compromisos hicieron que las brechas fueran más costosas y dieran lugar a ciclos de vida más largos.
La investigación también mostró que una brecha en la cadena de suministro tardó 26 días más en identificarse y contenerse que el promedio mundial. Este nivel de riesgo es inaceptable en servicios financieros de importancia sistémica, en particular en el sector asegurador.
Al incentivar a las aseguradoras a adoptar herramientas innovadoras como las calificaciones de riesgo cibernético y, potencialmente, al introducir normas técnicas obligatorias a través de la EIOPA, DORA fomenta un sector financiero más resiliente y seguro.
