Fortinet es nombrado Challenger en el Magic Quadrant™ de Gartner® de 2024 para Security Service Edge

Fortinet es reconocido en ocho informes del Cuadrante Mágico de Gartner® , basados ​​en la plataforma Fortinet Security Fabric

Fortinet es el único proveedor reconocido en los informes Gartner® Magic Quadrant ™ para Security Service Edge, SD-WAN, Single-Vendor SASE, Network Firewall e infraestructura de LAN inalámbrica y por cable empresarial. Las cinco ofertas de seguridad de red de Fortinet se basan exclusivamente en un sistema operativo, FortiOS, y se integran perfectamente en la plataforma Fortinet Security Fabric, para que los clientes puedan mitigar mejor el riesgo, reducir la complejidad y lograr una experiencia de usuario superior. Creemos que ser reconocido en cualquiera de estos informes significa una combinación excepcional de visión y ejecución; Recibir reconocimiento en ocho informes separados, incluidos los cinco que abordan elementos clave de seguridad de la red, es extraordinario.

- John Maddison, director de marketing de Fortinet

Resumen de noticias

Fortinet® (NASDAQ: FTNT), el líder mundial en ciberseguridad que impulsa la convergencia de redes y seguridad, anunció hoy que fue reconocido como Challenger en el Cuadrante Mágico™ de Gartner ® 2024 para Security Service Edge (SSE). Este es el octavo informe Magic Quadrant™ que reconoce a Fortinet, y la compañía cree que este reconocimiento más reciente es un testimonio de la fortaleza de FortiSASE , que ofrece seguridad integral basada en la nube con la conectividad más flexible de la industria, ya sea que los clientes requieran un agente unificado. , protección para dispositivos sin agentes o integración perfecta con puntos de acceso de Fortinet (FortiAP) o Fortinet Secure SD-WAN .

 

Seguridad basada en IA y proporcionada en la nube para proteger la red híbrida

Las organizaciones modernas requieren una seguridad consistente para todos los usuarios y los bordes de toda la red que no aumente la complejidad ni el costo. Debido a que FortiSASE se basa en el sistema operativo FortiOS de Fortinet y es parte de Fortinet Security Fabric , la plataforma de ciberseguridad de Fortinet, ofrece características de vanguardia que ayudan a los clientes a consolidar soluciones de seguridad y beneficiarse de la convergencia de redes y seguridad.  

• Seguridad superior basada en la nube y basada en IA para proteger a todos los usuarios y los bordes : FortiSASE incluye todos los componentes SSE necesarios para proteger la fuerza laboral híbrida: Firewall como servicio (FWaaS), puerta de enlace web segura (SWG), agente de seguridad de acceso a la nube (CASB) y acceso universal a la red de confianza cero (ZTNA), así como los servicios de seguridad impulsados ​​por IA de FortiGuard y capacidades avanzadas de confianza cero para proteger contra ataques sofisticados en toda la red.
• Agente unificado y administración en todos los casos de uso de SASE: FortiSASE incluye el agente unificado más completo de la industria , que abarca ZTNA, monitoreo de experiencia digital (DEM), protección de endpoints (EPP) y detección y respuesta de endpoints (EDR), así como capacidades de evaluación de vulnerabilidades. . También aprovecha una consola de administración unificada, para que los clientes tengan visibilidad y control profundos sin importar cómo utilicen la oferta.
• Una vía de acceso perfecta hacia SASE de un solo proveedor: debido a que FortiSASE se basa en FortiOS y es parte de Security Fabric, los clientes pueden integrarlo fácilmente con Fortinet Secure SD-WAN para SASE de un solo proveedor.  
• Red de ubicaciones SASE globales y escalables: FortiSASE aprovecha una red en la nube escalable y de alto rendimiento para ofrecer la mejor seguridad impulsada por IA y DEM de extremo a extremo de su clase para garantizar una experiencia de usuario positiva.
• Soporte para bordes delgados y microsucursales: los puntos de acceso de Fortinet y las ofertas de WAN inalámbrica se integran con FortiSASE para brindar seguridad de nivel empresarial entregada en la nube en todos los bordes, incluso aquellos sin soluciones de seguridad dedicadas o recursos de TI.

 Fuente: www.fortinet.com

eSIM swapping: qué es y cómo puede afectarte

 A diferencia de las tarjetas SIM físicas convencionales, la eSIM es un chip integrado en el dispositivo que permite al usuario activar el servicio digitalmente iniciando sesión en una aplicación o escaneando un código QR. ESET, compañía líder en detección proactiva de amenazas, advierte que teniendo en cuenta esta nueva tecnología, los atacantes mutaron sus técnicas de ataque. Una vez que logran el robo, les es fácil más obtener códigos de acceso y autenticación de dos factores para distintos servicios, incluidos la banca y la mensajería, lo que abre un abanico de oportunidades para que se implementen estafas.

Los cibercriminales logran acceder a las cuentas móviles de los usuarios usando credenciales robadas, forzadas o filtradas. El ataque inicial comienza mediante ingeniería social, phishing, y otros métodos de engaño, que irrumpen la cuenta del usuario y obtienen el código QR que les permite activar la eSIM en su propio dispositivo, secuestrando efectivamente el número de la víctima.

Pie de imagen: El SIM swapping -intercambio o clonado de tarjeta SIM- permite a los criminales secuestrar un número de teléfono al duplicar la tarjeta SIM.

Según alerta un informe de la empresa rusa de ciberseguridad F.A.C.C.T., el SIM swapping fue en aumento durante 2023, aprovechando la transición a tecnología eSIM. Ese año se registraron más de un centenar de intentos de acceder a las cuentas personales de los clientes en servicios en línea en una sola institución financiera, este tipo de instituciones son las apuntadas principalmente luego del clonado de eSIM.

Ser víctima del intercambio de eSIM puede tener graves consecuencias para la seguridad y privacidad de los usuarios. Algunas de las amenazas incluyen:

• Robo de identidad digital: Los ciberdelincuentes pueden obtener acceso a las cuentas digitales de la víctima, incluidos los correos electrónicos, las redes sociales y la banca, comprometiendo su identidad digital y exponiendo información personal y financiera.
• Fraude financiero: Con acceso a los servicios bancarios en línea de la víctima, los delincuentes pueden realizar transacciones, transfiriendo fondos ilegalmente y comprometiendo su estabilidad financiera.
• Extorsión y chantaje: Los ciberdelincuentes pueden utilizar el acceso a los mensajes y contactos de la víctima para llevar a cabo Extorsión o chantaje, amenazando con revelar información confidencial o comprometedora.
• Daño reputacional: En caso de que los ciberdelincuentes utilicen el acceso a la cuenta de la víctima para difundir información falsa o dañina, puede resultar en daños a la reputación personal y profesional.

ESET comparte algunas medidas que se pueden tomar para protegerse y evitar el robo del número de teléfono:

• Nunca utilizar la verificación en dos pasos a través de SMS: De todas las formas de proteger un eSIM, la cuenta de WhatsApp o las redes sociales, la verificación por SMS es desaconsejada. Con acceso al número, el ciberdelincuente podrá piratear sus otras cuentas con facilidad al recibir el código de seguridad por mensaje de texto. Se recomienda utilizar siempre aplicaciones de token de acceso para proteger las cuentas.
• Habilitar la verificación en dos pasos en WhatsApp: Abrir WhatsApp; Seleccionar "Menú" (los tres puntos) y luego en "Configuración"; Tocar "Cuenta", "Verificación en dos pasos"; Establecer un código PIN de seis dígitos, que se pedirá cuando se inicie sesión en WhatsApp. La aplicación solicita al usuario el código de vez en cuando, para asegurarse de que alguien más no lo esté usando; También se puede configurar una dirección de correo electrónico para recuperar el PIN en caso olvidarlo. En algunos casos, WhatsApp puede pedir agregar un correo electrónico de recuperación si se olvida el código. Es extremadamente importante que este correo electrónico también esté protegido por la verificación en dos pasos que no sea a través de SMS.
• Prestar atención al phishing: El intercambio de SIM se basa especialmente en estafas de phishing, como correos electrónicos y mensajes sospechosos. Dado que se trata de una estafa vinculada a la ingeniería social, es importante tener cuidado con los contactos extraños.

Fuente: www.eset.com

Stalkerware: qué es y cuáles son sus riesgos

 La tecnología se ha integrado tanto en nuestras vidas que a menudo pasamos por alto los riesgos asociados con su uso. Una de las amenazas preocupantes y perturbadoras que se ha dado en los últimos años es el stalkerware, un tipo de software malicioso diseñado para espiar y acechar a individuos sin su consentimiento. ESET, compañía líder en detección proactiva de amenazas, analiza qué es el stalkerware y cuáles son sus riesgos más allá de la ciberseguridad.

Este software de espionaje o spyware, es una forma invasiva de software que se instala en dispositivos móviles o computadoras sin el conocimiento del usuario. Su propósito principal es monitorear de manera encubierta las actividades de la víctima, desde mensajes de texto y llamadas telefónicas hasta ubicaciones GPS, correos electrónicos, historial de navegación y más. Lo alarmante es que a menudo es instalado por alguien cercano a la víctima, como un compañero íntimo, un familiar o un acosador.

“Hace unos años hablábamos del Stalkerware para Android como una amenaza cada vez más peligrosa con riesgos incluso para quienes espían. En aquel entonces, los datos de la telemetría ESET había detectado un aumento del stalkerware en estos sistemas operativos. Si bien ahora se identificó un descenso de la actividad de este tipo de software, esto no implica que su actividad este fuera de juego.”, comenta Mario Micucci, Investigador de Seguridad Informática de ESET Latinoamérica.

Pie de imagen: Datos de la telemetría ESET, detecciones de stalkerware.

Desde ESET destacan que el uso de stalkerwares tiene implicaciones graves para la privacidad, la seguridad y el bienestar emocional de las personas afectadas. Además de violar la intimidad, puede llevar a situaciones de acoso, manipulación, chantaje e incluso violencia física. Las víctimas pueden sentirse constantemente vigiladas, experimentar estrés emocional extremo e incluso ser coaccionadas debido a la información recopilada por el stalkerware.

Si bien detectar el stalkerware puede ser difícil, ya que a menudo opera en segundo plano, ocultándose entre las aplicaciones legítimas. Algunos signos comunes de presencia de stalkerware incluyen un rápido agotamiento de la batería, un rendimiento lento del dispositivo o el uso de datos inusualmente alto.

Para prevenir el stalkerware, desde ESET comparten las siguientes medidas:

• Mantener los dispositivos actualizados con software y aplicaciones de seguridad confiables.
• Evitar el jailbreak o el rooteo del dispositivo
• Utilizar contraseñas seguras
• Habilitar la autenticación de dos factores

“El uso del stalkerware plantea serios problemas éticos y legales. En muchos países, la instalación de stalkerware sin el consentimiento explícito de la persona monitoreada es ilegal y puede conllevar consecuencias legales para el perpetrador. Algunos gobiernos y organizaciones están tomando medidas para regular y penalizar el desarrollo, distribución y uso de este tipo de software.”, agrega Micucci de ESET.

Si fuiste víctimas de stalkerware, buscar apoyo es fundamental. Organizaciones dedicadas a la lucha contra la violencia doméstica y el acoso, así como los servicios de asesoramiento y líneas directas de ayuda, pueden proporcionarte orientación, recursos y asistencia para abordar esta situación tan delicada. Desde ESET aseguran que la concientización sobre el stalkerware y la promoción de la importancia del consentimiento digital son pasos fundamentales para combatir este problema.

Fuente: www.eset.com

APPGATE AMPLÍA EL PROGRAMA MSP A AMÉRICA LATINA

Los MSP pueden ofrecer acceso a la red Zero Trust líder en la industria para mejorar la seguridad del cliente y reducir la complejidad operativa.

 Appgate, una empresa de acceso seguro, anunció hoy el lanzamiento de su Programa de Proveedor de Servicios Administrados (MSP) en América Latina. El programa permite a los MSP mejorar sus carteras de seguridad administradas con Appgate SDP Zero Trust Network Access (ZTNA) líder en la industria que puede adaptarse para enfrentar desafíos complejos de ciberseguridad. 

El programa Appgate MSP crea un camino hacia una mayor rentabilidad para los MSP al permitirles ayudar a sus clientes a mejorar la seguridad de la red y reducir la complejidad operativa. El programa ofrece capacitación técnica integral y habilitación con soporte técnico dedicado las 24 horas, los 7 días de la semana. También presenta precios basados ​​en el uso que permiten a los socios adaptarse fácilmente a las necesidades comerciales cambiantes sin comprometer demasiado sus presupuestos.

Muchos MSP brindan servicios de seguridad y TI esenciales para organizaciones que no cuentan con la experiencia técnica interna o los recursos para asegurar de manera efectiva el acceso para todos los usuarios, dispositivos y cargas de trabajo ubicados en cualquier lugar de cualquier red. Appgate SDP está disponible para los MSP como una poderosa solución ZTNA como servicio que se puede implementar y administrar a escala y al mismo tiempo brindar seguridad de vanguardia a sus clientes.

"Estamos comprometidos a proporcionar a los MSP las herramientas y recursos que necesitan para enfrentar los desafíos cibernéticos actuales. Los MSP que se unen a nuestro programa pueden diferenciarse en un mercado competitivo al ofrecer una solución ZTNA de clase empresarial para proteger las redes y los datos confidenciales de sus clientes. así como los suyos propios", dijo Marcos Tabajara, director del programa MSP de Appgate para América Latina.

Las ventajas para los socios que se unen al programa Appgate MSP incluyen:

• Aumento de la rentabilidad de los MSP mediante la creación de nuevas oportunidades de generación de ingresos y el aumento de la participación de los clientes en la billetera con un amplio conjunto de casos de uso.
• Tiempo de obtención de ingresos más rápido con ZTNA entregado como servicio
• Mayor retención de clientes con tecnología innovadora y fácil de integrar para crear ofertas de seguridad coherentes.
• Portal de socios intuitivo con recursos de capacitación y habilitación
• Alcance y apoyo global para ayudar a los MSP a alcanzar sus objetivos

“Como custodios de la seguridad de sus clientes, los proveedores de servicios gestionados deben mejorar constantemente sus defensas contra las crecientes ciberamenazas. Estamos orgullosos de llevar el programa Appgate MSP a proveedores regionales de servicios gestionados, permitiéndoles proteger sus entornos internos y extender la seguridad mejorada y el control de acceso fluido de ZTNA universal a sus clientes”, añadió David López, vicepresidente de ventas de EE. UU./LATAM. en Appgate.

Acerca de Appgate SDP

Appgate SDP es la solución universal de acceso a red Zero Trust más completa de la industria. Se puede configurar para cumplir con requisitos exigentes de seguridad y cumplimiento independientemente de la topología o complejidad de la red y se basa en seis principios de diseño básicos:

• Infraestructura encubierta : una forma sofisticada de autorización de paquete único (SPA) hace que las redes sean invisibles sin puertos abiertos para que los piratas informáticos no puedan atacar lo que no pueden ver.
• Control de acceso basado en atributos : seguridad centrada en la identidad que adapta el acceso según el usuario, el dispositivo, la aplicación y el riesgo contextual, creando un perfil de identidad multidimensional antes de conceder el acceso.
• Acceso con privilegios mínimos : crea microfirewalls o perímetros basados ​​en sesiones, justo a tiempo, utilizando tecnología patentada de múltiples túneles para microsegmentar usuarios, cargas de trabajo y recursos y limitar el movimiento lateral dentro de la red.
• Dinámico y continuo : Continuo es un principio central de Zero Trust, pero los beneficios operativos se obtienen con derechos dinámicos en vivo que modifican automáticamente el acceso casi en tiempo real según el contexto y el riesgo, de modo que las amenazas a la seguridad se bloquean automáticamente.
• Flexible y ágil : tecnología extensible, 100% API que mejora y se integra con pilas de tecnología para crear seguridad directamente en los procesos y flujos de trabajo comerciales.
• Rendimiento y escalabilidad : la arquitectura distribuida y sin estado permite una escala horizontal y un rendimiento casi ilimitados.
• Fuente: www.appgate.com

Día de la Tierra 2024: Sophos apoya la campaña Planeta contra Plásticos de este año

Para conmemorar el Día de la Tierra el 22 de abril y su tema Planeta vs. Plásticos, se anima a los empleados de Sophos a utilizar sus horas de voluntariado de Sophos para participar en oportunidades prácticas para unirse a la lucha contra la contaminación plástica, así como a participar en una serie. de seminarios web sobre bienestar centrados en la sostenibilidad y la ansiedad climática.

El Día de la Tierra es un recordatorio anual de la importancia de la conservación y la sostenibilidad del medio ambiente, y una oportunidad para unirnos y tomar medidas para lograr un planeta más saludable y un futuro más brillante.

Aunque la prevalencia del plástico en nuestro entorno puede ser alarmante, todavía hay formas significativas en las que podemos marcar la diferencia, empezando aquí, dentro de nuestra propia comunidad. El programa de voluntariado para empleados de Sophos ofrece a todos los empleados hasta 40 horas por año calendario para actividades de voluntariado. Se anima a los empleados de Sophos a participar en la Gran Limpieza Global u otras oportunidades de voluntariado ambiental local en todo el mundo.

Sophos organiza dos seminarios web sobre sostenibilidad para empleados. En primer lugar, entendemos que las preocupaciones sobre el medio ambiente a veces pueden generar sentimientos de ansiedad o estrés. Por eso, nos hemos asociado con nuestro programa de Asistencia al Empleado para ofrecer un seminario web destinado a ayudar a nuestros equipos a gestionar la ansiedad climática. La sesión ayuda a los participantes a comprender la ecoansiedad, identificar los síntomas de ansiedad relacionados con el cambio climático y desarrollar estrategias para afrontarla. En segundo lugar, estamos organizando un seminario web de Sophos para brindar una descripción general de las acciones prácticas que podemos tomar para reducir nuestra huella de carbono, además de detallar las ventajas de utilizar productos orgánicos y naturales, y cómo aumentar la eficiencia térmica y ahorrar electricidad y dinero.

Finalmente, como parte de nuestro compromiso con un futuro sostenible, estamos donando a dos organizaciones benéficas comprometidas a abordar nuestra crisis global de contaminación plástica:

• The Surfrider Foundation , una organización de base sin fines de lucro dedicada a la protección y el disfrute de los océanos, las olas y las playas del mundo. Trabajan en diversos temas ambientales, incluida la contaminación plástica, a través de promoción, educación e iniciativas comunitarias.

• La Plastic Pollution Coalition , una alianza global de organizaciones, empresas y líderes de opinión que trabajan por un mundo libre de contaminación plástica y su impacto tóxico en los humanos, los animales, las vías fluviales, los océanos y el medio ambiente.

Fuente: news.sophos.com

Guía de Sophos sobre la Ley de Resiliencia Operacional Digital (DORA)

Orientación para apoyar a las entidades financieras en la UE afectadas por la Ley de Resiliencia Operacional Digital (DORA).

La Ley de Resiliencia Operacional Digital (Reglamento (UE) 2022/2554) (“DORA” o la “Ley”) es un reglamento de la Unión Europea destinado a garantizar la resiliencia digital de las entidades financieras 1 en la UE frente a las Tecnologías de la Información y las Comunicaciones (TIC) – incidentes relacionados e interrupciones operativas. La Comisión Europea completó DORA el 16 de enero de 2023. Sus requisitos entrarán en vigor y se aplicarán el 17 de enero de 2025. 

Alcance de DORA

DORA se aplica a todas las “entidades financieras” de la UE, incluidos bancos, empresas de inversión, instituciones de crédito, compañías de seguros, plataformas de financiación colectiva, así como a terceros críticos que ofrecen servicios relacionados con las TIC a instituciones financieras, como proveedores de software, proveedores de servicios en la nube y centros de datos. , proveedores de análisis de datos y más. El artículo 2 de (UE) 2022/2554 identifica las siguientes entidades financieras cubiertas por la Ley. 2

Lista de entidades financieras cubiertas por el reglamento:

• Entidades de crédito
• Instituciones de pago
• Proveedores de servicios de información de cuentas
• Entidades de dinero electrónico
• Empresas de inversión
• Proveedores de servicios de criptoactivos y emisores de tokens referenciados a activos
• Depositarios centrales de valores
• Contrapartes centrales
• Lugares de negociación
• Registros comerciales
• Sociedades gestoras
• Gestores de fondos de inversión alternativos
• Proveedores de servicios de informes de datos
• Empresas de seguros y reaseguros
• Intermediarios de seguros, intermediarios de reaseguros e intermediarios de seguros auxiliares
• Instituciones de previsión para la jubilación ocupacional
• Agencias de calificación crediticia
• Administradores de benchmarks críticos
• Proveedores de servicios de financiación colectiva

• ¿Por qué DORA?

  DORA “reconoce que los incidentes de TIC y la falta de resiliencia operativa tienen la posibilidad de poner en peligro la solidez de todo el sistema financiero, incluso si hay capital “adecuado” para las categorías de riesgo tradicionales”. 3 El marco regulatorio DORA establece requisitos que abordan la seguridad de las redes y sistemas de información de las entidades financieras para mejorar la ciberseguridad en todo el sector financiero de la UE. Esto ayuda a las entidades financieras a reducir el impacto potencial de las amenazas digitales en la continuidad de su negocio, su responsabilidad legal y sus pérdidas financieras y de reputación.

  Requisitos de DORA

  Para lograr un alto nivel común de resiliencia operativa digital, el presente Reglamento establece requisitos uniformes en materia de seguridad de las redes y los sistemas de información que respaldan los procesos comerciales de las entidades financieras 4 como sigue:

• 1. Gestión de riesgos de TIC: Las entidades financieras deberán contar con un marco de gestión de riesgos de TIC sólido, integral y bien documentado como parte de su sistema general de gestión de riesgos, que les permita abordar los riesgos de TIC de manera rápida, eficiente e integral y garantizar un alto nivel de operaciones digitales. resiliencia. 5
  2. Proceso de Gestión de Incidentes Relacionados con las TIC: Las entidades financieras deberán registrar todos los incidentes relacionados con las TIC y las amenazas cibernéticas significativas. Las entidades financieras establecerán procedimientos y procesos apropiados para asegurar un monitoreo, manejo y seguimiento consistente e integrado de los incidentes relacionados con las TIC, para asegurar que las causas fundamentales sean identificadas, documentadas y abordadas para prevenir la ocurrencia de tales incidentes. 6
  3. Pruebas de resiliencia operativa digital: para garantizar que las entidades financieras estén preparadas para abordar incidentes relacionados con las TIC, DORA define estándares comunes con un enfoque en las pruebas de resiliencia por parte de estas entidades, “como evaluaciones y escaneos de vulnerabilidad, análisis de código abierto, evaluaciones de seguridad de la red, brechas análisis, revisiones de seguridad física, cuestionarios y soluciones de software de escaneo, revisiones de código fuente cuando sea posible, pruebas basadas en escenarios, pruebas de compatibilidad, pruebas de rendimiento, pruebas de extremo a extremo y pruebas de penetración”. 7
  4. Gestión de riesgos de terceros de TIC (TPRM): Reconociendo la creciente importancia de los proveedores de servicios de TIC de terceros, DORA requiere que las entidades financieras “gestionen el riesgo de terceros de TIC como un componente integral del riesgo de TIC dentro de su marco de gestión de riesgos de TIC” 8 a través de acuerdos contractuales como accesibilidad, disponibilidad, integridad, seguridad y protección de datos personales; derechos de rescisión claros; y más.
  5. Intercambio de información e inteligencia: con el objetivo de aumentar la capacidad colectiva de las instituciones financieras para identificar y combatir los riesgos de las TIC, DORA las alienta a "intercambiar entre ellas información e inteligencia sobre amenazas cibernéticas, incluidos indicadores de compromiso, tácticas, técnicas y procedimientos, alertas de seguridad y herramientas de configuración, en la medida en que dicha información e inteligencia compartida:
     • tiene como objetivo mejorar la resiliencia operativa digital de las entidades financieras, en particular mediante la sensibilización en relación con las ciberamenazas, limitando o impidiendo la capacidad de propagación de las ciberamenazas, apoyando las capacidades de defensa, las técnicas de detección de amenazas, las estrategias de mitigación o las etapas de respuesta y recuperación;
     • tiene lugar dentro de comunidades confiables de entidades financieras;
     • se implementa a través de acuerdos de intercambio de información que protegen la naturaleza potencialmente sensible de la información compartida y que se rigen por normas de conducta que respetan plenamente la confidencialidad empresarial, la protección de datos personales de conformidad con el Reglamento (UE) 2016/679 y las directrices sobre la política de competencia." 9
  6. Marco de supervisión de terceros proveedores críticos de TIC: El Comité Mixto, de conformidad con el artículo 57, apartado 1, de los Reglamentos (UE) n.º 1093/2010, (UE) n.º 1094/2010 y (UE) n.º 1095/2010, establecerá el Foro de Supervisión como subcomité con el fin de apoyar el trabajo del Comité Conjunto y del supervisor principal a que se refiere el artículo 31, apartado 1, letra b), en el ámbito del riesgo de terceros en las TIC en todos los sectores financieros . El Foro de Supervisión preparará los proyectos de posiciones conjuntas y los proyectos de actos comunes del Comité Mixto en ese ámbito.

  El Foro de Supervisión debatirá periódicamente los avances pertinentes en materia de riesgos y vulnerabilidades de las TIC y promoverá un enfoque coherente en el seguimiento del riesgo de terceros de las TIC a nivel de la Unión. 10

  dora y nis 2

  DORA y NIS 2 son dos piezas fundamentales de la legislación de ciberseguridad de la UE. La Directiva NIS 2 (Directiva (UE) 2022/2555) es un acto legislativo que tiene como objetivo lograr un alto nivel común de ciberseguridad en toda la Unión Europea. 11

  La relación entre DORA y NIS 2 es que NIS 2 tiene como objetivo mejorar la ciberseguridad y proteger la infraestructura crítica en la UE, mientras que DORA aborda la creciente dependencia del sector financiero de la UE de las tecnologías digitales y tiene como objetivo garantizar que el sistema financiero siga siendo funcional incluso en caso de un ciberataque.

  Lo que es importante señalar es que NIS 2 es una directiva europea. A más tardar el 17 de octubre de 2024, los Estados miembros deben adoptar y publicar las medidas necesarias para cumplir con la Directiva NIS 2 11 . DORA es un reglamento europeo 12 que será de aplicación tal y como está en todos los países de la UE a partir del 17 de enero de 2025.

  El artículo 1, apartado 2, de DORA establece que, en relación con las entidades financieras cubiertas por la Directiva NIS 2 y sus correspondientes normas nacionales de transposición, DORA se considerará un acto jurídico sectorial de la Unión a efectos del artículo 4 de la Directiva NIS 2. . 12  DORA es “lex specialis” para NIS 2 13,14 para el sector financiero, un principio que establece que una ley específica tiene prioridad sobre una general. Por lo tanto, para las entidades financieras cubiertas por DORA, este texto prevalece sobre NIS 2. Sin embargo, esto no significa que las obligaciones de NIS 2 ya no sean aplicables a las entidades afectadas por ambos textos.

• Sanciones por incumplimiento de DORA

  Las sanciones potenciales asociadas con DORA pueden ser significativas y, a diferencia del GDPR y/o NIS 2, alientan a la empresa a cumplir imponiendo multas diariamente. Aquellas organizaciones consideradas incumplidoras por el órgano de supervisión correspondiente podrán verse sujetas a una multa coercitiva del 1% del volumen de negocios global diario promedio del año anterior, durante un máximo de seis meses, hasta que logren el cumplimiento. El órgano de control también podrá emitir órdenes de cese y desistimiento, avisos de terminación, medidas pecuniarias adicionales y avisos públicos 16 .

  Cronogramas de DORA

  DORA fue propuesta por primera vez por la Comisión Europea en septiembre de 2020. Entró en vigor el 16 de enero de 2023. Las entidades financieras y los proveedores externos de servicios de TIC tienen hasta el 17 de enero de 2025 para prepararse para DORA e implementarlo. El Lote 1 de las Normas Técnicas Regulatorias, o NTR, y las Normas Técnicas de Implementación (ITS), fueron publicados el 17 de enero de 2024. El Lote 2 de estas normas se encuentra en consulta.

  ---

  1 El énfasis en “entidades financieras” en lugar de “instituciones financieras” demuestra el enfoque de la UE para abordar la resiliencia operativa digital del sector financiero de manera holística, reconociendo la naturaleza interconectada y digital de los sistemas financieros actuales. Este enfoque garantiza que el marco regulatorio pueda adaptarse al panorama cambiante de los servicios financieros, donde los límites tradicionales entre diferentes tipos de actividades financieras se han vuelto cada vez más borrosos.

  2 Por el contrario, el apartado 3 de la sección 2 también identifica entidades a las que no se aplica DORA, incluidos gestores de fondos de inversión alternativos, empresas de seguros y reaseguros, instituciones de jubilación profesional que gestionan planes de pensiones, personas jurídicas exentas por otras leyes de la UE, seguros y reaseguros. e intermediarios de seguros auxiliares e instituciones de giro postal.

  3 https://www.digital-operative-resilience-act.com/#:~:text=DORA%20sets%20uniform%20requirements%20for,platforms%20or%20data%20analytics%20services .

  4 https://www.digital-operative-resilience-act.com/Article_1.html

  5 https://www.digital-operative-resilience-act.com/Article_6.html

  6 https://www.digital-operative-resilience-act.com/Article_17.html

  7 https://www.digital-operative-resilience-act.com/Article_25.html

  8 https://www.digital-operative-resilience-act.com/Article_28.html

  9 https://www.digital-operative-resilience-act.com/Article_45.html

  10 https://www.digital-operative-resilience-act.com/Article_32.html

  11 https://www.nis-2-directive.com/

  12 https://www.digital-operative-resilience-act.com/

  13 https://www.dora-info.eu/dora/recital-16/

  14https://www.ebf.eu/wp-content/uploads/2021/06/EBF-key-messages-on-NIS2-proposal.pdf

  15https://www.orrick.com/en/Insights/2023/01/5-Cosas-que-necesitas-saber-sobre-DORA

  Este documento no constituye asesoramiento legal ni refleja las opiniones de Sophos o sus empleados. Las empresas deben consultar a sus propios abogados para obtener orientación legal sobre las leyes y reglamentos.

• Fuente: news.sophos.com