Curso sobre la Ley de Resiliencia Operacional Digital (DORA)
Descripción: El curso proporciona una comprensión integral de la Ley de Resiliencia Operacional Digital (DORA) y su impacto en las instituciones financieras. Los participantes obtendrán conocimientos sobre el marco regulatorio de DORA, sus elementos clave y estrategias prácticas para garantizar el cumplimiento. A través de estudios de casos interactivos, discusiones grupales y ejercicios prácticos, los participantes aprenderán a implementar de manera efectiva los requisitos de DORA, mejorar la gestión de riesgos de TIC y fortalecer la resiliencia digital de sus organizaciones.
El curso proporciona a los participantes conocimientos prácticos y aplicaciones del mundo real para impulsar el cumplimiento de DORA en sus organizaciones.
Objetivos: El curso DORA pretende alcanzar los siguientes objetivos:
✔ Comprender el alcance y objetivos de DORA;
✔ Identificar y aplicar los componentes clave de la legislación;
✔ Implementar marcos de gestión de riesgos de TIC alineados con los requisitos de DORA;
✔ Desarrollar mecanismos de respuesta y notificación de incidentes;
✔ Fortalecer las estrategias de gestión de riesgos de terceros proveedores;
✔ Realizar pruebas de resiliencia operativa y actividades de supervisión.
Destinatarios:
✔ CISO, gerentes de riesgos y seguridad de TI;
✔ Oficiales de cumplimiento y asesores legales;
✔ Ejecutivos financieros y profesionales de gobernanza;
✔ Proveedores de TIC que trabajan con instituciones financieras.
1. Introducción a DORA (2h)
• Qué es DORA? Descripción general de la legislación de la UE y su relevancia;
• Objetivos de DORA: Fortalecer la resiliencia digital en el sector financiero;
• Alcance: Quién debe cumplir? Bancos, compañías de seguros, empresas de inversión, proveedores de servicios de pago y terceros proveedores de TIC.
• Componentes clave de DORA:
o gestión de riesgos de TIC;
o Notificación de incidentes;
o Pruebas de resiliencia operativa;
o Gestión de riesgos de terceros proveedores;
o Compartir información
Estudio de caso: Ejemplos de la vida real de instituciones financieras afectadas por fallas de TIC e incidentes cibernéticos.
2. Marco de Gestión de Riesgos TIC (3h)
• Construir una estrategia digital resiliente
o Identificación y gestión de riesgos TIC;
o Estructuras de gobernanza y rendición de cuentas;
o Políticas, procedimientos y controles;
• Cumplimiento de los requisitos de gestión de riesgos TIC de DORA
o Identificación, protección, detección, respuesta y recuperación de riesgos TIC;
o Artículos clave de DORA relacionados con la gestión de riesgos de TIC;
• Mejores prácticas para el seguimiento de riesgos
o Detección continua de amenazas y mitigación proactiva.
Discusión en grupo: Cómo gestiona actualmente su organización el riesgo de las TIC? Identificar brechas en la gobernanza.
3. Notificación y respuesta a incidentes (3h)
• Requisitos de notificación de incidentes de DORA
o Horarios y procedimientos para reportar incidentes TIC significativos;
o Papel del CERT-UE, Europol y autoridades nacionales de supervisión.
• Desarrollar un plan eficaz de respuesta a incidentes.
o Pasos a seguir antes, durante y después de un incidente cibernético;
o Procedimientos de detección y escalamiento de incidentes;
o Comunicación con las partes interesadas.
Estudio de caso: Violación de datos objetivo (2013): lecciones aprendidas sobre fallas en la gobernanza de la respuesta a incidentes.
4. Gestión de Riesgos de Terceros Proveedores (2h)
• Requisitos de DORA para la gestión de riesgos de proveedores externos
o Supervisión de proveedores críticos de TIC;
o Obligaciones contractuales y evaluación de riesgos;
o Seguimiento de proveedores y garantía de cumplimiento;
• Gestión de riesgos de proveedores
o Evaluación de proveedores e implementación de controles;
o Garantizar la resiliencia de los servicios de TIC subcontratados;
o Estrategias de salida de proveedores de alto riesgo.
Estudio de caso: Violación de datos de Marriott International (2018): fallas en la gobernanza de riesgos de proveedores externos.
Implementación práctica y pruebas
5. Prueba de Resiliencia Operacional (3h)
• Requisitos de prueba DORA
o Pruebas de penetración y evaluaciones de vulnerabilidad;
o Pruebas de penetración basadas en amenazas (Marco TIBER-UE);
o Pruebas de resiliencia basadas en escenarios.
• Desarrollo de un programa de pruebas de ciberresiliencia.
o Identificación de sistemas TIC críticos;
o Simulación de ciberataques;
o Evaluación de respuesta y recuperación de sistemas.
Ejercicio práctico: Los participantes diseñan y discuten un marco de pruebas de resiliencia para sus organizaciones.
6. Intercambio de Información e Inteligencia (2h)
• Papel del intercambio de información en el cumplimiento de DORA
o Colaboración entre organismos financieros y reguladores;
o Reducción del riesgo sistémico mediante el intercambio de información;
• Desafíos y consideraciones
o Cuestiones de privacidad;
o Equilibrar la transparencia y la seguridad; Panel de discusión: Cómo pueden beneficiarse las instituciones financieras al compartir inteligencia sobre amenazas cibernéticas?
7. Gobernanza y Responsabilidad en el Cumplimiento de DORA (3h)
• Funciones y responsabilidades de la alta dirección
o Requisitos de gobernanza de DORA (artículos 4 a 6);
o Papel de las juntas directivas y comités ejecutivos;
• Garantizar el cumplimiento y evitar sanciones
o Informes periódicos a la gerencia;
o Auditorías y evaluaciones regulatorias;
Estudio de caso: Fallos en la supervisión de la junta directiva en la gobernanza de la ciberseguridad y sus consecuencias.
8. Taller final: DORA en Acción (2h)
Estudio de caso interactivo: los participantes trabajarán en equipos para aplicar los principios de DORA a una institución financiera simulada que enfrenta riesgos de TIC. Desarrollarán un Plan de Cumplimiento, que cubrirá:
✔ estrategias de gestión de riesgos de TIC;
✔ Procedimientos de respuesta y notificación de incidentes;
✔ Medidas de mitigación de riesgos de proveedores externos;
✔ Programas de pruebas de resiliencia.
Los equipos presentarán sus planes de implementación de DORA, seguidos de comentarios de expertos.
El curso lo imparte Jelena Zelenovic Matone, una distinguida líder en ciberseguridad, conocida por su visión estratégica y sus impactantes contribuciones al campo de la ciberseguridad y la gestión de riesgos. Con una amplia experiencia en varios continentes, ha ocupado puestos de liderazgo senior en instituciones financieras globales y actualmente se desempeña como director senior y director de seguridad de la información (CISO) en el Banco Europeo de Inversiones.
A lo largo de su carrera, Jelena ha sido galardonada con numerosos premios prestigiosos, incluidos CISO del año en Luxemburgo (2019), CISO Sentinel World (2020) y CISO Europa (2021), que destacan su liderazgo ejemplar en el campo de la ciberseguridad. Es una apasionada defensora de la diversidad y la inclusión y fundó el capítulo de Luxemburgo de Women4Cyber y la asociación WomenCyberForce para promover la resiliencia y el crecimiento en el sector de la ciberseguridad.
Jelena, experta en mejores prácticas bancarias de la UE, gestión de riesgos y transformación tecnológica, se destaca por construir relaciones sólidas con los clientes, impulsar la innovación organizacional y brindar conocimientos estratégicos a niveles superiores. Su liderazgo se caracteriza por un compromiso de mejorar continuamente, fomentar la colaboración y guiar a los equipos en la gestión de desafíos complejos de ciberseguridad y riesgos en el panorama digital en rápida evolución actual.