Soffid for Finance

DORA exige políticas formales de gestión de identidades y control de acceso alineadas con el principio de mínimo privilegio, procedimientos documentados de alta, baja y modificación de permisos, y revisión periódica de accesos, todo ello con capacidad de demostrarlo ante el supervisor mediante evidencias y trazabilidad, no solo con una política escrita en un cajón. La exigencia de fondo es poder responder, en cualquier momento, quién tiene acceso a qué y por qué motivo.

La integración se hace mediante conectores específicos que gestionan cuentas y permisos a nivel de gobierno de identidades, sin tocar los procesos batch nocturnos ni la lógica transaccional del core. Se añade una capa de control y auditoría por encima del sistema existente, en lugar de intervenir directamente sobre el corazón del banco.

El punto de partida es tener un registro centralizado y preciso de qué accesos y permisos tiene realmente cada proveedor sobre los sistemas de la entidad, que sirva de base objetiva para negociar y redactar las cláusulas de derecho de acceso, auditoría y cooperación con las autoridades que exige DORA. Sin ese inventario previo, revisar contratos existentes se convierte en un ejercicio a ciegas.

Una plataforma de identidad convergente que federa esos perfiles bajo una fuente única, sin rehacer cada sistema existente, aporta la vista consolidada y consistente de cada usuario que hoy falta cuando conviven sistemas de distintas épocas. Es precisamente el problema que resuelve sustituir varias herramientas de nicho por una única capa de gobierno de identidades.

Consolidar los eventos de acceso de todos los sistemas, estén o no conectados entre sí, en un repositorio central de auditoría es lo que permite reconstruir de forma fiable "quién hizo qué y cuándo" cuando llega una inspección o se prepara una auditoría de resiliencia operativa. Sin esa consolidación previa, cada petición de este tipo obliga a cruzar logs manualmente bajo presión de plazo.

Un flujo de autorización que conecta la solicitud del proveedor, la aprobación de negocio y la activación temporal del acceso privilegiado, con expiración automática al terminar la intervención, sustituye la coordinación manual entre RRHH, gestión de proveedores y control de accesos físico. El resultado es un proceso más rápido para el proveedor y más trazable para el banco.

Priorizar una implantación por fases, empezando por los controles que DORA exige de forma más directa (control de accesos, trazabilidad, gestión de privilegiados) sobre los sistemas críticos, permite mostrar cumplimiento progresivo en lugar de esperar años a un proyecto monolítico completo. Las integraciones menos urgentes pueden abordarse en fases posteriores sin bloquear los plazos regulatorios ya en vigor.

Lo habitual es que se centren primero en cuatro puntos: la existencia de cuentas huérfanas o con privilegios no justificados, la trazabilidad de accesos a sistemas críticos, el control sobre los accesos privilegiados de terceros y la evidencia de que se realizan revisiones periódicas de permisos. Tener esas cuatro áreas documentadas y con datos actualizados es la mejor preparación antes de cualquier inspección.