Resiliencia (DORA) a nivel de lectura

DORA se organiza en capítulos que un equipo técnico reconoce enseguida: gestión del riesgo de las TIC, gestión y notificación de incidentes, pruebas de resiliencia operativa digital, gestión del riesgo de terceros proveedores de TIC e intercambio de información. Se aplica a las entidades financieras de la Unión Europea y, a través de ellas, a sus proveedores críticos de servicios de TIC.

El punto práctico para un equipo de entrega: DORA obliga a mantener un registro de información de los acuerdos contractuales con proveedores de TIC y a saber qué funciones críticas dependen de cada uno.

Un registro de acuerdos con terceros sirve cuando se cruza con la pregunta correcta. Aquí: de los proveedores que soportan una función crítica y no tienen plan de salida (una forma ordenada de salir de la relación sin interrumpir el servicio), ¿cuál tiene el contrato que vence primero? Es el que obliga a decidir pronto: renovar sin plan de salida repite el problema por otros años.

Lee el registro y responde.

Los criterios para clasificar un incidente como grave los fijan el propio reglamento y sus normas técnicas, con umbrales concretos. Los criterios que lees aquí son internos y ficticios, solo sirven para ejercitar la lectura: no son los umbrales de DORA, y en el trabajo real se aplican los vigentes. Lo que sí es real es el método: tabla de incidentes, criterios por escrito y aplicación sin excepciones.

Aplica los criterios internos de Calden a los incidentes del trimestre y cuenta los que se escalan.

Un incidente corto y pequeño puede ser grave si compromete datos; otro largo y con muchos clientes afectados puede serlo por el servicio que tocó. Los criterios A y B de Calden cubren esas dos formas. Distinguir por qué criterio se escala cada incidente importa porque determina a quién se avisa y qué evidencia se conserva.

El registro de acuerdos con proveedores no es un documento que se hace una vez: cambia con cada contrato nuevo, cada renovación y cada subcontratación. Un registro desactualizado engaña a quien lo consulta durante una crisis. La práctica sana es atarlo a un evento del proceso, de modo que se actualice al firmar o renovar y se verifique con una revisión periódica.