La gobernanza de datos o data governance vuelve a estar de actualidad en el sector financiero y asegurador tras la finalización del periodo de adaptación al nuevo reglamento europeo DORA (Digital Operational Resilience Act). Sobre todo, por las obligaciones que recoge en materia de gestión y protección de los datos, así como los riesgos de seguridad relacionados con las tecnologías de la información y la comunicación.
Aunque DORA entró en vigor el 16 de enero de 2023, la UE concedió un periodo de adaptación de 2 años a las empresas y entidades financieras para fijar una serie de requisitos para la gestión de incidentes de ciberseguridad. Como suele ocurrir, es ahora cuando las empresas empiezan a preocuparse por el cumplimiento de DORA. Una normativa que busca proteger, detectar, contener, recuperar y reparar incidentes relacionados con las TIC y, en última instancia, conscientes de que los incidentes de ciberseguridad pueden poner en jaque al sector, garantizar la solidez del sector financiero europeo de forma que se pueda mantener su resiliencia en caso de sufrir movimientos operativos graves fruto de ciberamenazas.
DORA establece unos requisitos y obligaciones específicas para la gestión del riesgo:
- Gestión de riesgos de los datos en las infraestructuras TIC.
- Gestión, clasificación y notificación de incidentes relacionados con los datos en las infraestructuras TIC.
- Gestión del riesgo de las infraestructuras de datos TIC frente a terceros.
- Intercambio de información.
- Minimizar la presencia de datos que son innecesarios o datos ROT.
- Acelerar los tiempos de respuesta y establecer tiempos de notificación más exigentes.
- Responsabilidad directiva directas por no implementar las herramientas y procesos adecuados que exige la norma.
La normativa afecta a entidades bancarias y financieras, a compañías de seguros, a gestores de fondos, a sociedades de valores, a las plataformas de negociación (sobre todo a las plataformas electrónicas de intermediación con el auge de las criptodivisas), a los proveedores de servicios de compensación y liquidación de valores y a las agencias de calificación crediticia.
Seguridad del dato: retos del sector financiero
Directivos, reguladores y agentes del sector financiero y asegurador sitúan desde hace años la ciberseguridad como el principal riesgo al que se enfrentan por encima, incluso, de regulaciones, tipos de interés u otros factores de nicho. Según Statista, en 2023 se notificaron 3.348 ciber incidentes en el sector financiero en todo el mundo, frente a los 1.829 de 2022. Sólo en Estados Unidos, en 2024 el bróker National Public Data tuvo una fuga de 2.700 millones de registros.
Y es que el crecimiento exponencial de los datos, las obligaciones legales para velar por su protección y seguridad, así como la criticidad y sensibilidad de los datos hacen que las empresas financieras y aseguradores se enfrenten a cuatro grandes retos a la hora de garantizar la seguridad y protección del dato:
- La falta de resiliencia pone en peligro la continuidad del negocio en caso de un ciberataque. La recuperación de datos y sistemas puede llevar tiempo y afectar en la operativa. Esto perjudica significativamente a la entidad, a nivel técnico y reputacional.
- La protección de la información del cliente es fundamental. La recopilación y uso indebido de datos pueden desembocar en problemas de reputación y pérdida de confianza por parte de los clientes.
- Los sistemas de información suelen ser complejos y, en ocasiones, heredados. La integración de datos entre sistemas es un desafío, lo que lleva a la falta de visibilidad y coherencia en la información.
- Cumplir con normativas, diversas regulaciones y estándares (DORA, RGPD, NIS2, ISO 27001, ISO 27002…), se convierte en un desafío. No hacerlo puede traducirse en sanciones si no se implementan las medidas de seguridad adecuadas.
En este contexto, resulta imprescindible implementar políticas y herramientas de seguridad y gobierno del dato ágiles, seguras, confiables y flexibles para garantizar que los datos se mantienen seguros y protegidos en todo momento.
Ventajas de una plataforma DSPM para entidades financieras
La velocidad con la que se crean e intercambian datos en el sector financiero y asegurador, obliga a las entidades a ser muy ágiles a la hora de tener una mayor visibilidad y trazabilidad de los datos: ¿Dónde, cómo, cuándo y quién maneja los datos en una organización?, ¿Quién tiene permiso de acceso a qué datos y cómo son utilizados?, ¿Cuál es la postura de seguridad de la aplicación? ¿En qué sistema o dónde se encuentran almacenados los datos?…
Estas incertidumbres tienen su contrapartida positiva en las ventajas que ofrece una plataforma DSPM:
- Gestionar los riesgos de forma proactiva: mediante el seguimiento y el análisis continuos, los riesgos potenciales se pueden identificar y reducir en una etapa temprana.
- Aumentar la resiliencia: las soluciones DSPM ayudan a aumentar la resiliencia de los sistemas de TI contra ciberataques y otras interrupciones.
- Generar evidencias de cumplimiento: las soluciones DSPM pueden producir informes detallados sobre la situación de seguridad de los datos, que pueden servir como prueba del cumplimiento de los requisitos reglamentarios.
- Aumentar la agilidad: al automatizar tareas, los equipos de seguridad pueden trabajar de manera más eficiente y concentrarse en tareas estratégicas.
¿Qué ofrece Arexdata DSPM a las entidades financieras?
Las obligaciones de seguridad de la normativa DORA (que vienen a reforzar las normativas anteriores) nos están permitiendo poner en valor muchas de las funcionalidades de nuestra plataforma Arexdata DSPM a través de diversas pruebas de concepto e implantaciones que ya estamos haciendo tanto en entidades bancarias como en aseguradoras.
De cara al cumplimiento con DORA, con Arexdata DSPM nuestros clientes tienen dos ventajas añadidas:
- La capacidad de automatizar el descubrimiento y la clasificación de datos sensibles regulados en sus entornos SaaS, IaaS, y locales. Brindamos una precisión del 90-95 % y les ayudamos a garantizar que sepan qué datos críticos existen, dónde se encuentran, cómo se utilizan y a qué riesgos están expuestos actualmente.
- La capacidad de crear un inventario completo y una clasificación automatizada de datos en todos los almacenes de datos y correos electrónicos. Este es un requisito previo para realizar evaluaciones de riesgos y desarrollar medidas de protección adecuadas. Sólo identificando y clasificando continuamente los datos confidenciales pueden las instituciones financieras garantizar que estos datos estén adecuadamente protegidos.
Si eres una entidad financiera o aseguradora y estás preocupado por el cumplimiento normativo y la protección de los datos, contacta ahora con nuestros expertos para solicitar una demo de nuestros productos.
