Llaves FIDO2 para cumplir DORA: lo que exige DORA

DORA, el Reglamento de Resiliencia Operativa Digital de la UE (Digital Operational Resilience Act), es el equivalente de NIS2 para el sector financiero, y ya es la base de referencia para bancos, aseguradoras, empresas de inversión y los terceros proveedores TIC críticos que les dan servicio. Nunca dice «FIDO2». Lo que sí exige es una gestión robusta del riesgo TIC, autenticación fuerte, control de mínimo privilegio de las cuentas privilegiadas y una resiliencia operativa demostrable. La autenticación FIDO2/WebAuthn resistente al phishing respalda las cuatro cosas, y por eso aparece en tantos planes de preparación para DORA.

El enfoque de DORA: autenticación fuerte más resiliencia

Dos temas de DORA empujan hacia FIDO2. Primero, la autenticación fuerte y la gestión de identidades y accesos: DORA espera que las entidades financieras impidan el acceso no autorizado a los sistemas TIC, y las credenciales FIDO2 ligadas al origen vencen los ataques de phishing y de adversario en medio que el OTP y la MFA por push no detienen. Segundo, la resiliencia operativa: DORA trata en el fondo de seguir operando bajo presión, y un programa de autenticación en el que cada usuario tiene dos o más autenticadores es por naturaleza más resistente a los bloqueos y a la pérdida de dispositivos que un esquema de un solo factor o de un solo dispositivo.

Cómo encaja FIDO2 con DORA

• Autenticación fuerte: FIDO2 es resistente al phishing por diseño: la respuesta más sólida y defendible a «¿cómo autenticáis el acceso a los sistemas financieros críticos?».
• Acceso privilegiado: las llaves de hardware ligadas al dispositivo para los operadores de la infraestructura de banca central, trading y pagos impiden el robo silencioso de credenciales desde los endpoints.
• Riesgo de terceros: DORA se extiende a los terceros proveedores TIC críticos; exigir FIDO2 para su acceso a tus sistemas es un control de terceros auditable.
• Resiliencia: varios autenticadores registrados por usuario reducen el riesgo de bloqueo y respaldan las expectativas de continuidad.

Un orden de despliegue alineado con DORA

1. Acceso privilegiado a los sistemas financieros. Llaves de seguridad de hardware para los administradores y operadores de las plataformas de banca central, pagos y trading.
2. Acceso remoto y de terceros. Exige FIDO2 en el proveedor de identidad para todo lo accesible desde fuera, incluidos los portales de proveedores.
3. Passkeys para toda la plantilla. Passkeys sincronizadas para el inicio de sesión principal en el IdP de todo el personal.
4. Resiliencia y limpieza. Dos autenticadores por usuario; elimina la alternativa por SMS u OTP en las cuentas reforzadas.

Pruebas que conservar

DORA se basa en pruebas. Conserva las cifras de cobertura de FIDO2 para las poblaciones privilegiada, de terceros y general; un registro de las cuentas que aún permiten una alternativa susceptible de phishing; y la tasa de cobertura de dos autenticadores. Se corresponden directamente con las preguntas sobre control de acceso y resiliencia que hará un examinador.

Consulta la evaluación de opciones de FIDO2 y passkeys más amplia y la guía de FIDO2 para NIS2; evalúa tu exposición de identidad con la herramienta de riesgo de identidad →

Preguntas frecuentes

¿DORA exige FIDO2? No: DORA es tecnológicamente neutral. Exige autenticación fuerte y una IAM robusta; FIDO2/WebAuthn es una de las principales formas resistentes al phishing de cumplirlo.

¿Por qué encaja FIDO2 con DORA? Ofrece acceso resistente al phishing, llaves ligadas al dispositivo para los operadores privilegiados y resiliencia frente a bloqueos cuando los usuarios tienen varios autenticadores.

¿DORA cubre a los terceros proveedores TIC? Sí: exigir FIDO2 para el acceso de terceros a tus sistemas es un control concreto alineado con DORA.

¿Por dónde empezamos? Por el acceso privilegiado a los sistemas financieros centrales con llaves de hardware, después el acceso remoto y de terceros, y después las passkeys para la plantilla.