Un paso hacia una gestión integral de los riesgos de las aplicaciones y el cumplimiento de la Ley de Resiliencia Operativa Digital (DORA)

En el mundo cada vez más digital de hoy, donde las empresas dependen en gran medida de la tecnología para sus operaciones principales, la Ley de Resiliencia Operativa Digital (DORA) de la Unión Europea establece un marco integral para gestionar los riesgos relacionados con las tecnologías de la información y la comunicación (TIC), y garantizar la continuidad del negocio de las instituciones financieras y los proveedores de servicios críticos. Los amplios requisitos de DORA reflejan la creciente dependencia de las tecnologías digitales en las organizaciones modernas. Como las aplicaciones son la columna vertebral de estas operaciones, las prácticas sólidas de seguridad de las aplicaciones se convierten en un elemento fundamental para cumplir con DORA. Dado que los ciberdelincuentes atacan las vulnerabilidades de las aplicaciones para interrumpir los servicios, DORA obliga a las instituciones financieras a priorizar la seguridad de sus aplicaciones, infraestructura y proveedores de servicios.

DORA representa un cambio de paradigma: deja atrás las medidas de seguridad reactivas y adopta un enfoque proactivo basado en la resiliencia operativa. En el centro de esta estrategia está la seguridad de las aplicaciones: la práctica de protegerlas durante todo su ciclo de vida, desde el desarrollo hasta la implementación y el mantenimiento.

Por qué las aplicaciones son objetivos prioritarios de las interrupciones operativas digitales

Las empresas modernas dependen en gran medida de las aplicaciones para llevar a cabo operaciones críticas. Estas aplicaciones son el «latido» digital de una organización: transportan datos confidenciales, conectan con clientes, empleados y socios, y facilitan flujos de trabajo esenciales. Por eso, se convierten en objetivos prioritarios para los ciberdelincuentes que buscan explotar vulnerabilidades e interrumpir las operaciones.

Veamos más de cerca los factores que hacen vulnerables a las aplicaciones:

• Complejidad del software: Las aplicaciones modernas son ecosistemas complejos compuestos por distintos elementos: código, bibliotecas, frameworks e integraciones de terceros. Esta complejidad amplía la superficie de ataque y crea más oportunidades para que existan vulnerabilidades.

• Desarrollo acelerado: La presión por lanzar funciones rápidamente puede hacer que se pase por alto la seguridad durante el ciclo de desarrollo. Los desarrolladores pueden introducir vulnerabilidades sin darse cuenta debido a errores de programación, configuraciones incorrectas o bibliotecas de terceros que no se evaluaron adecuadamente.

• Adopción de asistentes de programación con IA: Estudios recientes muestran que más del 90 % de las organizaciones usan asistentes de programación con IA en sus equipos de desarrollo. Sin embargo, la mayoría tiene políticas o controles muy poco desarrollados para regular su uso, lo que aumenta considerablemente el riesgo de introducir código inseguro.

• Cambios en el panorama de amenazas: Los ciberdelincuentes evolucionan constantemente sus tácticas y desarrollan nuevos exploits para atacar vulnerabilidades conocidas. Por eso, es necesario mantener una postura de seguridad continua que permita identificar y corregir las vulnerabilidades antes de que se exploten.

Los cinco pilares del cumplimiento de DORA

DORA define cinco áreas clave que las instituciones financieras y los proveedores de servicios esenciales deben abordar para cumplir con la normativa y fortalecer la resiliencia operativa digital:

1. Gestión de riesgos de TIC: DORA exige establecer, mantener y actualizar periódicamente un marco sólido de gestión de riesgos de las TIC (tecnologías de la información y la comunicación). Este marco debe identificar, evaluar, priorizar y mitigar los riesgos relacionados con las TIC en toda la organización.

2. Notificación de incidentes: DORA exige notificar a las autoridades pertinentes los incidentes importantes relacionados con la ciberseguridad y las TIC. Esto no solo ayuda a mejorar la transparencia del mercado, sino que también permite a las autoridades comprender mejor las amenazas emergentes y responder a ellas.

3. Pruebas de resiliencia operativa digital: Para comprender qué tan bien puede resistir una organización los ciberataques, es fundamental probar periódicamente los sistemas de TIC, incluidas las pruebas de penetración y las evaluaciones de vulnerabilidades. DORA destaca la importancia de realizar estas pruebas con frecuencia y aplicar lo aprendido para mejorar la resiliencia general.

4. Gestión de riesgos de terceros: Las instituciones financieras suelen depender de proveedores de servicios externos para realizar operaciones críticas. DORA exige gestionar y monitorear los riesgos relacionados con las TIC que plantean estos terceros, incluidos los servicios de computación en la nube y los proveedores de software.

5. Intercambio de información: DORA fomenta que las entidades financieras compartan información e inteligencia sobre ciberamenazas. Este enfoque colaborativo puede mejorar considerablemente la postura general de ciberseguridad del sector financiero, ya que permite detectar y responder con mayor rapidez a las amenazas emergentes.

Algunos de estos requisitos pueden resultar familiares, como los marcos de gestión de riesgos, mientras que otros plantean nuevos desafíos y exigen un esfuerzo considerable para cumplir con la normativa. La buena noticia es que abordar muchos de estos requisitos también responde a las necesidades de otras regulaciones orientadas a los servicios financieros.

DORA y el énfasis en la seguridad de las aplicaciones

Al establecer los requisitos para cumplir con DORA, los reguladores reconocieron el papel fundamental de las aplicaciones en las operaciones digitales y los riesgos inherentes a sus vulnerabilidades. Estos requisitos establecen un marco amplio y también algunas medidas específicas para crear prácticas integrales de seguridad de las aplicaciones, a fin de que las instituciones financieras y los proveedores de servicios esenciales mantengan una gestión sólida de los riesgos de las aplicaciones.

Estas son algunas disposiciones clave de DORA que destacan la importancia de la seguridad de las aplicaciones:

• Análisis obligatorio de la seguridad de las aplicaciones: DORA exige que las organizaciones analicen periódicamente la seguridad de sus aplicaciones. Esto incluye identificar las vulnerabilidades cuanto antes para que los desarrolladores puedan corregirlas antes de que lleguen a producción, donde podrían explotarse.

• Enfoque en las aplicaciones de terceros: DORA reconoce que muchas organizaciones dependen de aplicaciones de terceros para sus operaciones. También es necesario evaluar estas aplicaciones y sus dependencias para detectar vulnerabilidades y reducir al mínimo la superficie de ataque general.

• Gestión y priorización de riesgos: DORA destaca la importancia de contar con prácticas sólidas de gestión de riesgos. Esto incluye identificar, evaluar y priorizar las vulnerabilidades según su posible impacto.

Estos requisitos específicos y el marco más amplio de gestión de riesgos de DORA son áreas en las que una plataforma de seguridad que prioriza a los desarrolladores, como Snyk, puede desempeñar un papel fundamental.

Cómo puede ayudarte Snyk a cumplir con DORA

Snyk ayuda a las organizaciones a crear y mantener aplicaciones seguras, en plena sintonía con el énfasis de DORA en la seguridad de las aplicaciones. Así es como Snyk puede ayudarte a cumplir con la normativa en varias áreas clave que establece DORA:

Gestión de riesgos de TIC:

• Gestión y corrección de vulnerabilidades en aplicaciones: DORA exige un marco sólido de gestión de riesgos de las TIC, que incluya identificar, evaluar y mitigar los riesgos relacionados con las TIC. Snyk contribuye en este ámbito al analizar automáticamente las bases de código, las dependencias y los contenedores para detectar vulnerabilidades, además de revisar las configuraciones de infraestructura como código (IaC) para encontrar errores que no se ajusten a las prácticas recomendadas, como los benchmarks CIS y los marcos Well-Architected de los proveedores de nube, entre otros. Esta identificación proactiva permite a las empresas gestionar los riesgos antes de que se exploten e incorporarlos al marco general de gestión de riesgos de las TIC. Además de ayudar a identificar de forma proactiva las vulnerabilidades de software, Snyk tiene una capacidad única para facilitar la colaboración entre los equipos de AppSec y desarrollo, a fin de encontrar, priorizar y corregir vulnerabilidades.

• Análisis de composición de software (SCA): Las capacidades de SCA de Snyk ofrecen información detallada sobre la postura de seguridad de la cadena de suministro de software de una organización e identifican vulnerabilidades en bibliotecas de código abierto y componentes de terceros. Esto responde directamente a la necesidad de evaluar los riesgos de terceros e integrarlos en el marco general de gestión de riesgos de las TIC. Snyk Open Source no solo ayuda a identificar dependencias vulnerables, sino que también ahorra un tiempo valioso de desarrollo al permitir que los desarrolladores aborden los problemas mientras programan en su IDE o CLI. Así, reduce el impacto operativo de cumplir con la normativa.

Notificación de incidentes:

• Informes de cumplimiento y programas de seguridad de aplicaciones: DORA exige notificar los incidentes cibernéticos importantes. Snyk ofrece funciones para generar informes y documentación de cumplimiento que pueden ayudar a demostrar que se cumplen los requisitos normativos, incluidos los establecidos en DORA. Esto puede simplificar la notificación de incidentes y las auditorías que exige la ley. Además de facilitar el cumplimiento y la notificación de incidentes, las capacidades de análisis de datos de Snyk AppRisk ofrecen a los equipos de AppSec una vista general de su programa, lo que facilita el seguimiento, la medición y la elaboración de informes sobre el desempeño del programa y los indicadores clave de riesgo.

Pruebas de resiliencia operativa digital:

• Integración de análisis de seguridad: DORA destaca la importancia de probar periódicamente los sistemas de TIC. Snyk se integra sin problemas con las herramientas de pruebas de seguridad existentes y brinda a los desarrolladores comentarios continuos sobre las vulnerabilidades detectadas durante los análisis. Su capacidad para integrarse con plataformas de integración continua y entrega continua (CI/CD) permite probar la resiliencia desde las primeras etapas del ciclo de desarrollo de software, antes de que las vulnerabilidades críticas lleguen a producción. Este enfoque iterativo fortalece la resiliencia general de los sistemas de TIC.

Gestión de riesgos de terceros:

• Seguridad de la cadena de suministro de software: DORA exige gestionar los riesgos que plantean los proveedores de servicios externos. Snyk analiza las dependencias de terceros para detectar vulnerabilidades, lo que permite a las organizaciones identificar y abordar posibles debilidades en su cadena de suministro de software. Además, Snyk permite generar e incorporar listas de materiales de software (SBOM). Esto reduce la superficie de ataque general y minimiza los riesgos asociados con los proveedores externos.

• Monitoreo continuo: Snyk ofrece capacidades de monitoreo continuo que permiten a las organizaciones mantenerse al tanto de las vulnerabilidades en sus dependencias y aplicaciones de terceros. Este enfoque proactivo garantiza que los riesgos potenciales se identifiquen y aborden rápidamente, y mejora la resiliencia operativa digital ante el descubrimiento de nuevas vulnerabilidades de día cero o de nuevos exploits para vulnerabilidades existentes.

Más allá del cumplimiento: crear una cultura de seguridad y gestión de riesgos

Si bien cumplir con DORA es fundamental, también es importante fomentar una cultura de seguridad de las aplicaciones y gestión de riesgos en tu organización. Snyk va más allá de ofrecer herramientas: brinda capacitación y recursos para desarrolladores que promueven prácticas de programación segura. Así, los desarrolladores pueden escribir código seguro desde el inicio, lo que reduce aún más la superficie de ataque y fortalece la resiliencia operativa digital general. Esto se alinea con el objetivo de DORA de mejorar la resiliencia operativa digital general mediante mejores prácticas y mayor concientización en las entidades financieras.

El enfoque de DORA en la gestión de riesgos también promueve una cultura de evaluación de todas las amenazas, incluidas las vulnerabilidades de las aplicaciones, desde la perspectiva de la seguridad y el riesgo empresarial. No todas las vulnerabilidades representan el mismo nivel de amenaza. Snyk ayuda a priorizar las vulnerabilidades en función de su reachability, la probabilidad de explotación y el impacto potencial. Así, las organizaciones pueden concentrar sus recursos en los problemas más críticos y reportar oportunamente las vulnerabilidades de alto riesgo a las autoridades correspondientes. Con Snyk AppRisk, la visibilidad y el descubrimiento de aplicaciones, la gestión de la cobertura de seguridad y la priorización basada en riesgos permiten que los equipos de seguridad y desarrollo colaboren de forma más eficaz en la gestión de los riesgos de las aplicaciones de su organización.

Otro elemento de la cultura organizacional es el nivel de compromiso con el ciclo de vida del desarrollo de software seguro (SDLC) y el enfoque de DevSecOps. Este compromiso implica integrar prácticas de seguridad en el pipeline de DevOps para garantizar que se realicen verificaciones de seguridad en cada etapa del proceso de desarrollo de software. Este enfoque permite detectar y corregir vulnerabilidades de manera temprana, reducir el riesgo de incidentes de seguridad y fortalecer la resiliencia operativa.

DevSecOps no consiste solo en integrar herramientas y tecnologías: también implica fomentar una cultura de seguridad en la organización, promoviendo la colaboración entre los equipos de desarrollo, operaciones y seguridad, e impulsando la responsabilidad compartida por la seguridad en toda la organización. Al adoptar un enfoque de DevSecOps, las organizaciones pueden garantizar que la seguridad sea un componente fundamental de sus prácticas de desarrollo, en lugar de una consideración de último momento.

Conclusión

DORA representa un avance significativo para garantizar la resiliencia de las operaciones digitales de las instituciones financieras y los proveedores de servicios esenciales. Al reconocer la importancia de la seguridad de las aplicaciones, DORA contribuye a una infraestructura digital más resiliente, en un contexto en el que las empresas dependen cada vez más del desarrollo de aplicaciones como pilar de la innovación. Con su plataforma de seguridad diseñada para desarrolladores, Snyk ayuda a las organizaciones no solo a cumplir con DORA, sino también a fomentar una cultura de seguridad que proteja sus aplicaciones y operaciones críticas. También es importante reconocer que adoptar el enfoque adecuado para los aspectos de seguridad de las aplicaciones contemplados en DORA sienta las bases para cumplir con otras normativas actuales y futuras. Normativas y marcos consolidados, como ISO 27001, SOC 2 y PCI DSS, coinciden en la necesidad de evaluar y gestionar los riesgos a lo largo del SDLC.

Al asociarse con Snyk, las organizaciones pueden incorporar los requisitos de DORA a sus programas de seguridad de aplicaciones y a una gestión de cumplimiento más amplia, para garantizar la continuidad del negocio y proteger sus activos más valiosos.