La infraestructura de mercado enfrenta el mismo problema de evidencia

La infraestructura del mercado financiero, incluidas bolsas, cámaras de compensación y sistemas de pago, está cada vez más sujeta tanto a marcos de resiliencia física como a obligaciones de ciberseguridad al mismo tiempo. Un operador lo suficientemente relevante como para ser designado infraestructura crítica es, en muchas jurisdicciones, también lo bastante importante como para estar sujeto simultáneamente a los requisitos de ciberseguridad para entidades esenciales. El aspecto físico recibe la atención proporcional porque genera evidencia visible e inspeccionable. El aspecto cibernético suele quedarse atrás.

Si preguntas a una cámara de compensación o a un operador de bolsa si sus sistemas son seguros, casi siempre responderán que sí. Pero si les pides que lo demuestren con registros en vez de simples garantías, la confianza suele desvanecerse rápidamente. Este artículo analiza por qué la brecha de evidencia en la parte cibernética de la infraestructura financiera crítica es tan común y qué se necesita realmente para cerrarla.

Resumen ejecutivo

Los operadores de infraestructuras críticas de mercado enfrentan una superficie de cumplimiento que realmente se ha ampliado: ahora los requisitos de resiliencia física se suman a las obligaciones de ciberseguridad que aplican porque el mismo operador califica como entidad esencial. El aspecto físico recibe la atención proporcional porque genera evidencia visible e inspeccionable. El aspecto cibernético suele quedarse atrás, porque la evidencia que requiere —un registro continuo y consultable del acceso a los datos y la actividad del sistema— es mucho más difícil de producir a posteriori. Para los líderes de riesgo y cumplimiento en estos sectores, la prioridad práctica es cerrar la brecha de evidencia en el lado de la obligación en el que es más fácil invertir poco, precisamente porque el fallo ahí es invisible hasta que ocurre un incidente o un regulador lo hace visible.

Puntos clave

1. La infraestructura financiera crítica ahora tiene obligaciones físicas y cibernéticas al mismo tiempo. Un operador designado como crítico suele estar también clasificado como entidad esencial bajo la regulación de ciberseguridad.
2. La resiliencia física es más fácil de demostrar que la cibernética porque es visible. Un centro de datos de respaldo o la rotación de guardias pueden inspeccionarse directamente; los controles de acceso no pueden verificarse simplemente recorriendo el sitio.
3. Confiar en la resiliencia cibernética sin registros no es resiliencia, es una suposición. Un operador que no puede presentar un registro específico de quién accedió a qué está confiando en la ausencia de incidentes en vez de en un control demostrado.
4. Los reguladores esperan cada vez más evidencia continua, no una evaluación puntual. Una evaluación de riesgos presentada una sola vez no responde a lo que una autoridad supervisora pregunta tras un incidente real.
5. La evidencia que necesita un operador de infraestructura financiera crítica es la misma que requiere cualquier entidad esencial, solo que bajo un escrutinio más estricto.

Por qué la infraestructura financiera crítica ahora implica obligaciones físicas y cibernéticas

Los operadores que califican como infraestructura crítica descubren cada vez más que su designación activa dos conjuntos de obligaciones separadas y paralelas en vez de una sola.

La resiliencia física y la cibernética se regulan como obligaciones distintas

Los marcos de resiliencia física se centran en la continuidad de servicios esenciales frente a desastres, sabotajes y alteraciones físicas: registro, evaluaciones de impacto, medidas de protección para la instalación en sí. Las obligaciones de ciberseguridad, que aplican porque el mismo operador también se clasifica como entidad esencial, se enfocan en riesgos completamente diferentes: reporte de incidentes, administración de riesgos de sistemas de información y evidencia de medidas técnicas y organizativas de seguridad. Un operador puede cumplir a fondo con una y aun así estar expuesto en la otra.

El escrutinio aumenta más rápido que las prácticas de evidencia de la mayoría de los operadores

A medida que los umbrales de designación incluyen más infraestructuras de mercado y la coordinación entre autoridades supervisoras físicas y cibernéticas crece, la expectativa práctica sobre los operadores aumenta en consecuencia: no basta con tener controles, sino que deben poder presentar un registro específico y con sello de tiempo de cómo funcionaron esos controles cuando ocurrió algo. Muchos operadores desarrollaron sus prácticas de evidencia para un nivel de escrutinio más bajo y no se han puesto al día con lo que ahora se espera de ellos.

Por qué la evidencia física es fácil y la cibernética es difícil

La asimetría entre ambas obligaciones no tiene que ver con cuál se toma más en serio, sino con cuál produce evidencia de forma natural y cuál requiere un diseño deliberado para generarla.

Puedes recorrer el perímetro, pero no puedes recorrer el registro de accesos

Una medida de seguridad física, un centro de datos de respaldo, una rotación de guardias, es algo que un inspector puede verificar observándolo directamente. La resiliencia cibernética no tiene un equivalente. Si el acceso a los sistemas de negociación y compensación realmente estuvo controlado, monitorizado y registrado como se afirma, solo puede verificarse examinando los registros, y esos registros solo existen si los sistemas subyacentes fueron diseñados para capturarlos de forma continua desde el principio.

La ausencia de incidentes no es evidencia de control

Muchos operadores, en silencio, toman el hecho de que nada haya salido mal aún como sustituto de un control demostrado. Esta es una sustitución peligrosa, porque se desmorona en cuanto ocurre un incidente o una investigación regulatoria. Un operador al que se le pide mostrar exactamente qué sucedió en un periodo específico necesita que esa respuesta ya exista como registro.

Qué se necesita realmente para cerrar la brecha de evidencia cibernética

Cerrar esta brecha no es principalmente cuestión de redactar mejores políticas. Se trata de asegurar que los sistemas que gestionan datos operativos y de clientes sensibles realmente generen la evidencia que la política afirma que existe.

Registro continuo en cada sistema que maneja datos sensibles

La brecha de evidencia de un operador rara vez se debe a falta de voluntad para cumplir. Se trata de registros configurados para la resolución de problemas operativos en vez de para evidencia regulatoria, limitados bajo carga o nunca correlacionados en un solo registro de lo que ocurrió. El registro continuo y completo en todos los canales que manejan datos sensibles convierte una investigación de incidentes en una simple recuperación de registros en vez de una reconstrucción basada en conjeturas.

La evidencia debe estar lista antes de que la pida el regulador, no después

Una autoridad supervisora que investiga un incidente hará preguntas específicas: qué datos se accedieron, por quién, bajo qué autorización y qué controles había implementados. Un operador que puede responder de inmediato, con registros existentes, está en una posición completamente diferente a quien tiene que explicar por qué los registros no existen o no pueden armarse en el tiempo disponible.

Construir la base de evidencia antes de que sea necesaria

La prioridad práctica para un operador de infraestructura crítica de mercado es auditar el aspecto cibernético de sus obligaciones con el mismo rigor que ya aplica a la resiliencia física: confirmar que el registro es continuo y completo en todos los sistemas que manejan datos sensibles, que el registro resultante puede consultarse rápidamente y que realmente satisfaría a una autoridad supervisora que pida detalles específicos.

Cómo una Data Control Plane proporciona la evidencia que necesita la infraestructura financiera crítica

Demostrar resiliencia cibernética, en vez de simplemente afirmarla, requiere una capa de gobernanza que capture cada acceso, envío, uso compartido y descarga en todos los canales por los que circulan datos sensibles, de forma continua y en un formato consultable bajo demanda.

La Data Control Plane de Kiteworks aplica controles de confianza cero a cada acción en todos los canales y registra cada una en un registro de auditoría inalterable y sin limitaciones que se integra directamente con herramientas SIEM, brindando a los operadores un registro continuo y consultable de exactamente qué ocurrió con los datos sensibles, cuándo y bajo la autorización de quién. La implementación single-tenant, en las instalaciones, en una nube autogestionada o como instancia dedicada alojada, significa que esta base de evidencia permanece bajo el control del propio operador.

Los operadores que quieran comprobar si sus propias prácticas de evidencia cibernética resistirían este nivel de escrutinio pueden agendar una demo personalizada para recorrer cómo la evidencia de auditoría continua y multicanal se aplica a su entorno de infraestructura crítica.