La Ley de Resiliencia Operativa Digital (DORA, por sus siglas en inglés) es un conjunto de regulaciones que la Unión Europea (UE) adoptó para ayudar a garantizar la resiliencia operacional digital de las instituciones financieras y los proveedores de servicios.
Nota
El Modelo de Responsabilidad Compartida de MongoDB Atlas define los deberes complementarios de MongoDB y sus clientes en el mantenimiento de un entorno de datos seguro y resiliente. Bajo este marco, MongoDB gestiona la seguridad y la integridad operativa de la plataforma subyacente, mientras que los clientes son responsables de la configuración, gestión y políticas de datos de sus implementaciones específicas. Para obtener un desglose detallado de la propiedad en materia de seguridad y excelencia operativa, consulta Modelo de responsabilidad compartida.
DORA se aplica a un amplio rango de proveedores de servicios financieros regulados dentro de la UE, tales como bancos, instituciones de crédito, instituciones de pago, empresas de inversión y empresas de gestión de activos. También abarca entidades como proveedores de servicios de criptoactivos, lugares de negociación y agencias de calificación crediticia.
Los requisitos clave para DORA se dividen en cinco pilares: gestión de riesgos de tecnología de la información y la comunicación (TIC), reporte de incidentes relacionados con las TIC, pruebas de resiliencia operativa digital, gestión de riesgos de TIC por terceros y uso compartido de información.
Importante
Para obtener más información sobre cómo MongoDB puede ayudarte con el cumplimiento de DORA, incluyendo información sobre acuerdos contractuales, consulta la página Reglamento de Resiliencia Operacional Digital de la UE (DORA) del Centro de Confianza de MongoDB.
Pilar 1: Gestión de riesgos TIC
DORA requiere que las empresas reguladas establezcan un marco para identificar, evaluar y mitigar los riesgos TIC. Este marco incluye la realización de evaluaciones regulares de riesgos, la implementación de controles para abordar los riesgos identificados y la existencia de un plan de respuesta ante incidentes.
Las siguientes funcionalidades de MongoDB Atlas apoyan el cumplimiento en esta área.
Alta disponibilidad, que incluye replicación de bases de datos y conmutación por error automática.
Recuperación ante desastres, que incluye copias de seguridad en la nube, copias de seguridad continuas en la nube, distribución de instantáneas multirregión, política de cumplimiento de copias de seguridad, objetivos de punto de recuperación y objetivos de tiempo de recuperación.
Funcionalidades para apoyar el cumplimiento de estándares externos incluyendo ISO/IEC 27001, SOC2 Tipo II y PCI DSS.
Seguridad de la red, incluyendo cifrado TLS/SSL, listas de acceso IP, configuración de cortafuegos y nodos privados.
Autenticación que incluye autenticación de contraseña de interfaz de usuario, base de datos, API, federada, rol de AWS IAM, multifactorial y SCRAM. Esta funcionalidad y la orientación también incluyen certificados X.509, claves de API y gestión de secretos.
Autorización incluyendo Control de Acceso Basado en Roles (RBAC), roles predefinidos, proveedores de identidad federados y acceso justo a tiempo.
Auditoría, incluido la auditoría de bases de datos, la creación y habilitación de filtros de auditoría, y los eventos de auditoría recomendados.
Registro de eventos que incluye acceso a registros de auditoría manual y programáticamente.
Cifrado de datos, incluyendo cifrado en tránsito (TLS), en reposo (AES-256, BYOK, llave maestra de cliente, KMS o TDE) y en uso (CSFLE, aleatorio y Queryable Encryption).
Pilar 2: Gestión de Incidentes Relacionados con las TICs
DORA requiere que las empresas reguladas cuenten con procesos para detectar, notificar e investigar incidentes relacionados con las TIC. Estos procesos incluyen contar con canales de reporte claros, procedimientos para clasificar incidentes según la gravedad y notificación oportuna a las autoridades pertinentes.
MongoDB Atlas ofrece soporte para los siguientes aspectos de este pilar:
Localización de datos.
Seguridad de la plataforma.
Arquitectura distribuida.
El(los) proveedor(es) de nube elegido(s) admite(n) el siguiente aspecto de este pilar:
Seguridad física.
Pilar 3: Pruebas de Resiliencia Operativa Digital
DORA requiere que las empresas reguladas realicen pruebas periódicas de sus sistemas de tecnologías de la información y medidas de resiliencia.
Las siguientes funciones de MongoDB Atlas respaldan el cumplimiento en esta área:
Pilar 4: Gestión de Riesgos de Terceros en las Tecnologías de la Información y la Comunicación (TIC)
Las empresas reguladas por DORA deben realizar la debida diligencia sobre terceros, contar con acuerdos contractuales que describan las expectativas de seguridad y supervisar su desempeño.
Las siguientes funciones de MongoDB Atlas respaldan el cumplimiento en esta área:
Sincroniza datos en entornos de clústeres:
Mongosync (Cluster-to-Cluster Sync).
Pilar 5: Uso compartido de información
DORA fomenta la colaboración y el uso compartido de información sobre amenazas cibernéticas entre las empresas reguladas. Esto puede implicar participar en foros de la industria, y el uso compartido de inteligencia de amenazas y realizar ejercicios conjuntos.