La infraestructura de mercado enfrenta el mismo problema de evidencia
La infraestructura del mercado financiero, incluidas bolsas, cámaras de compensación y sistemas de pago, cada vez más está sujeta tanto a marcos de resiliencia física como a obligaciones de ciberseguridad al mismo tiempo. Un operador lo suficientemente relevante para ser designado como infraestructura crítica, en muchas jurisdicciones, también es lo suficientemente relevante como para estar sujeto simultáneamente a los requisitos de ciberseguridad para entidades esenciales. El aspecto físico recibe atención proporcional porque produce evidencia visible e inspeccionable. El aspecto cibernético suele quedarse atrás.
Si le preguntas a una cámara de compensación o a un operador de bolsa si sus sistemas son seguros, casi siempre responderán que sí. Pero si les pides que lo demuestren con registros en vez de solo con palabras, la confianza suele desvanecerse rápidamente. Este artículo analiza por qué la brecha de evidencia en la parte cibernética de la infraestructura financiera crítica es tan común y qué se necesita realmente para cerrarla.
Resumen ejecutivo
Los operadores de infraestructuras críticas de mercado enfrentan una superficie de cumplimiento que realmente se ha ampliado: ahora los requisitos de resiliencia física conviven con obligaciones de ciberseguridad que aplican porque el mismo operador califica como entidad esencial. El aspecto físico recibe atención proporcional porque produce evidencia visible e inspeccionable. El aspecto cibernético suele quedarse atrás, porque la evidencia que requiere —un registro continuo y consultable de accesos a datos y actividad del sistema— es mucho más difícil de producir a posteriori. Para los responsables de riesgo y cumplimiento en estos sectores, la prioridad práctica es cerrar la brecha de evidencia en la obligación que resulta más fácil descuidar precisamente porque el fallo ahí es invisible hasta que ocurre un incidente o un regulador lo hace visible.
Puntos clave
- La infraestructura financiera crítica ahora conlleva obligaciones físicas y cibernéticas al mismo tiempo. Un operador designado como crítico suele estar también clasificado como entidad esencial bajo la regulación de ciberseguridad.
- La resiliencia física es más fácil de demostrar que la cibernética porque es visible. Un centro de datos de respaldo o la rotación de guardias pueden inspeccionarse directamente; los controles de acceso no pueden verificarse simplemente recorriendo las instalaciones.
- Confiar en la resiliencia cibernética sin registros no es resiliencia, es una suposición. Un operador que no puede presentar un registro específico de quién accedió a qué, confía en la ausencia de incidentes en vez de en un control demostrado.
- Los reguladores esperan cada vez más evidencia continua, no una evaluación puntual. Una evaluación de riesgos presentada una vez no responde lo que una autoridad supervisora preguntará tras un incidente real.
- La evidencia que necesita un operador de infraestructura financiera crítica es la misma que toda entidad esencial necesita, solo que bajo mayor escrutinio.
Por qué la infraestructura financiera crítica ahora implica obligaciones físicas y cibernéticas
Los operadores que califican como infraestructura crítica encuentran cada vez más que su designación activa dos conjuntos de obligaciones paralelas y separadas, en vez de solo una.
La resiliencia física y la cibernética se regulan como obligaciones distintas
Los marcos de resiliencia física se centran en la continuidad de servicios esenciales ante desastres, sabotaje y alteraciones físicas: registro, evaluaciones de impacto, medidas de protección para la propia instalación. Las obligaciones de ciberseguridad, que aplican porque el mismo operador también está clasificado como entidad esencial, se enfocan en riesgos completamente distintos: reporte de incidentes, administración de riesgos en los sistemas de información y evidencia de medidas técnicas y organizativas de seguridad. Un operador puede cumplir rigurosamente con una y seguir expuesto en la otra.
El escrutinio aumenta más rápido que las prácticas de evidencia de la mayoría de los operadores
A medida que los umbrales de designación abarcan más infraestructura de mercado y la coordinación entre autoridades supervisoras físicas y cibernéticas aumenta, la expectativa práctica sobre los operadores crece en la misma medida: no basta con tener controles, hay que poder presentar un registro específico y con sello de tiempo de cómo funcionaron esos controles cuando ocurrió algo. Muchos operadores diseñaron sus prácticas de evidencia para un nivel de escrutinio menor y no se han puesto al día con lo que ahora se espera de ellos.
Por qué la evidencia física es fácil y la cibernética es difícil
La asimetría entre ambas obligaciones no radica en cuál se toma más en serio, sino en cuál produce evidencia de forma natural y cuál requiere un diseño deliberado para generar evidencia.
Puedes recorrer el perímetro, pero no puedes recorrer el registro de accesos
Una medida de seguridad física, un centro de datos de respaldo, una rotación de guardias, es algo que un inspector puede verificar observándolo directamente. La resiliencia cibernética no tiene un equivalente. Si el acceso a los sistemas de negociación y compensación realmente estuvo controlado, monitorizado y registrado como se afirma, solo puede verificarse examinando registros, y esos registros solo existen si los sistemas subyacentes fueron diseñados para capturarlos de forma continua desde el principio.
La ausencia de incidentes no es evidencia de control
Muchos operadores, en silencio, toman el hecho de que nada haya salido mal como sustituto de un control demostrado. Esto es una sustitución peligrosa, porque se desmorona en cuanto ocurre un incidente o una investigación regulatoria. Un operador al que se le pide mostrar exactamente qué pasó durante un periodo específico necesita que esa respuesta ya exista como registro.
Qué se necesita realmente para cerrar la brecha de evidencia cibernética
Cerrar esta brecha no es, principalmente, cuestión de redactar mejores políticas. Se trata de asegurar que los sistemas que manejan datos operativos y de clientes sensibles realmente generen la evidencia que una política afirma que existe.
Registro continuo en cada sistema que maneje datos sensibles
La brecha de evidencia de un operador rara vez se debe a falta de voluntad para cumplir. Se debe a registros configurados para la resolución operativa de problemas en vez de para evidencia regulatoria, limitados bajo carga o nunca correlacionados en un solo registro de lo ocurrido. Un registro continuo y completo en todos los canales que manejan datos sensibles convierte una investigación de incidentes en una simple recuperación de registros, en vez de una reconstrucción basada en suposiciones.
La evidencia debe estar lista antes de que el regulador la pida, no después
Una autoridad supervisora que investiga un incidente hará preguntas concretas: qué datos se accedieron, por quién, bajo qué autorización y qué controles había. Un operador que puede responder de inmediato, con registros existentes, está en una posición completamente diferente a quien tiene que explicar por qué los registros no existen o no pueden armarse a tiempo.
Construir la base de evidencia antes de necesitarla
La prioridad práctica para un operador de infraestructura crítica de mercado es auditar el aspecto cibernético de sus obligaciones con el mismo rigor que ya aplica a la resiliencia física: confirmar que el registro es continuo y completo en cada sistema que maneje datos sensibles, que el registro resultante puede consultarse rápidamente y que realmente satisfaría a una autoridad supervisora que pida detalles.
Cómo una capa de control de datos aporta la evidencia que necesita la infraestructura financiera crítica
Demostrar resiliencia cibernética, en vez de solo afirmarla, requiere una capa de gobernanza que capture cada acceso, envío, intercambio y descarga en todos los canales por los que circulan datos sensibles, de forma continua y en un formato consultable bajo demanda.
La Data Control Plane de Kiteworks aplica controles de confianza cero a cada acción en todos los canales y captura cada una en un registro de auditoría inalterable y sin limitaciones que se integra directamente con herramientas SIEM, dando a los operadores un registro continuo y consultable de exactamente qué ocurrió con los datos sensibles, cuándo y bajo la autorización de quién. La implementación single-tenant, en las instalaciones, en una nube autogestionada o como instancia dedicada alojada, significa que esta base de evidencia permanece bajo el control del propio operador.
Los operadores que quieran comprobar si sus propias prácticas de evidencia cibernética resistirían este nivel de escrutinio pueden agendar una demo personalizada para ver cómo la evidencia continua y transversal de auditoría aplica a su propio entorno de infraestructura crítica.
Preguntas frecuentes
Los operadores designados como infraestructura crítica suelen estar también clasificados como entidades esenciales bajo la regulación de ciberseguridad, lo que activa dos conjuntos paralelos de obligaciones: marcos de resiliencia física enfocados en la continuidad ante desastres y sabotaje, y requisitos de ciberseguridad que cubren reporte de incidentes, administración de riesgos y evidencia de medidas de seguridad.
Medidas físicas como centros de datos de respaldo o rotaciones de guardias pueden verificarse directamente con una inspección presencial. La resiliencia cibernética no tiene un recorrido equivalente; los controles de acceso y la actividad del sistema solo pueden confirmarse mediante registros continuos y consultables que deben estar diseñados deliberadamente en los sistemas.
Los operadores deben asegurar un registro continuo y completo en todos los sistemas que manejen datos sensibles, de modo que los registros de acceso, autorización y actividad ya existan y puedan recuperarse rápidamente. Así, las consultas regulatorias se resuelven presentando evidencia existente en vez de reconstruir eventos tras un incidente.
Una capa de control de datos aplica controles de confianza cero a cada acción en los canales y captura cada una en un registro de auditoría inalterable y sin limitaciones que se integra con herramientas SIEM, proporcionando un registro continuo y consultable de exactamente qué ocurrió con los datos sensibles, cuándo y bajo la autorización de quién.