DORA Artículo 25 Explicado: Pruebas de Herramientas y Sistemas de TIC

Introducción

En el paisaje en rápida evolución de los servicios financieros, donde la tecnología juega un papel central, el Acta de Resiliencia Operativa Digital (DORA) de la Unión Europea ha sido introducido para asegurar la estabilidad, seguridad y confiabilidad de las entidades financieras. Dentro de la ley, el Artículo 25 aborda específicamente las pruebas de las herramientas y sistemas de Tecnologías de la Información y la Comunicación (TIC). Este artículo sirve como una guía completa para que las entidades financieras entiendan y cumplan con el Artículo 25, resaltando su importancia en la mantenimiento de la resiliencia operativa digital.

Requisitos Clave

El Artículo 25 de DORA establece los siguientes requisitos clave para las entidades financieras:

Pruebas Basadas en Riesgo: Las entidades deben implementar un enfoque basado en riesgos para probar herramientas y sistemas de TIC.
Frecuencia de las Pruebas: Se deben realizar pruebas periódicas para garantizar la continuidad y confiabilidad de las herramientas y sistemas de TIC.
Análisis de Escenario: Implementar un análisis de escenario para anticipar posibles interrupciones y sus impactos.
Pruebas de Servicios de Terceros: Ampliar las pruebas para incluir servicios de TIC de terceros que son críticos para las operaciones de la entidad.
Informes: Mantener registros de las pruebas y los informes para demostrar el cumplimiento con los requisitos regulatorios.

Guía de Implementación

Para asegurar el cumplimiento con el Artículo 25 de DORA, las entidades financieras deben llevar a cabo los siguientes pasos prácticos:

Evaluación de Riesgos de TIC: Comience realizando una evaluación exhaustiva de los riesgos de TIC, incluidas las violaciones de seguridad de datos, fallos del sistema y interrupciones de servicios de terceros.
Desarrollo de Marcos de Prueba: Desarrolle marcos para las pruebas que abarquen varios escenarios, como fallos del sistema, ataques cibernéticos y desastres naturales.
Horarios de Pruebas Regulares: Establezca horarios de pruebas regulares que se alineen con el perfil de riesgo de la entidad y la criticidad de los sistemas de TIC.
Inclusión de Todos los Interesados: Asegúrese de que todos los interesados relevantes, incluidos los proveedores de terceros, participen en el proceso de pruebas.
Documentación e Informes: Mantenga registros detallados de todas las pruebas realizadas, incluida la fecha, alcance, resultados y acciones de corrección tomadas.
Mejora Continua: Utilice las perspectivas obtenidas de las pruebas para mejorar continuamente la resiliencia de los sistemas de TIC.

Trucos Comunes

Al implementar los requisitos del Artículo 25 de DORA, las entidades financieras deben evitar los siguientes errores comunes:

Descuidar los Riesgos de Terceros: No probar los servicios de TIC de terceros puede resultar en vulnerabilidades significativas en la resiliencia operativa de la entidad.
Documentación Insuficiente: Un mantenimiento de registros pobre puede resultar en dificultades cuando se demuestra el cumplimiento con los requisitos regulatorios.
Falta de Actualizaciones Regulares: No actualizar los procedimientos y horarios de pruebas puede llevar a pruebas obsoletas e ineficaces.
Ignorar las Lecciones Aprendidas: No incorporar las lecciones aprendidas de las pruebas anteriores en las estrategias de gestión de riesgos continuas puede dificultar la resiliencia de la entidad.

Cómo Matproof Ayuda

La plataforma de gestión de cumplimiento de Matproof ofrece una serie de herramientas diseñadas para automatizar el seguimiento y la recopilación de evidencia del proceso para los requisitos del Artículo 25 de DORA. Al utilizar Matproof, las entidades financieras pueden asegurarse de que sus procedimientos de prueba están actualizados, completos y cumplen con los últimos estándares regulatorios.