¿Por qué DORA plantea un problema arquitectónico a los sistemas heredados?
DORA (Digital Operational Resilience Act) exige capacidades para las que las arquitecturas heredadas nunca fueron diseñadas.
La DORA ya no es un futuro ejercicio de cumplimiento normativo. Está en vigor, se aplica activamente y se centra en la resistencia operativa, la observabilidad y el control. Muchos entornos heredados pueden cumplir los requisitos de documentación, pero tienen dificultades para cumplir los de arquitectura.
El procesamiento por lotes, las dependencias no documentadas y las plataformas de un único proveedor crean lagunas que no pueden colmarse únicamente con mejoras de los procesos.
El DORA no es sólo un reto de cumplimiento normativo. Es un desencadenante de la modernización.
¿Por qué es tan difícil el inventario de activos TIC en entornos heredados?
En la mayoría de los entornos heredados, las dependencias críticas están integradas en el código, no en la documentación.
El DORA requiere un inventario continuamente preciso y auditable de los activos de TIC y sus interdependencias. En muchos entornos de mainframe, estas relaciones sólo existen en cadenas de lotes, programadores de trabajos y conocimientos informales de ingenieros veteranos.
El mapeo automatizado de dependencias es cada vez más la única forma creíble de cumplir este requisito y, al mismo tiempo, se convierte en la base de cualquier hoja de ruta de modernización realista.
¿Por qué los sistemas heredados no pueden cumplir los requisitos de notificación de incidentes en tiempo real?
Las arquitecturas heredadas detectan los incidentes demasiado tarde, a menudo una vez completados los ciclos por lotes.
DORA exige la detección y notificación de incidentes graves de TIC en cuestión de horas. Los sistemas basados en lotes retrasan la visibilidad hasta que finaliza el procesamiento programado, lo que dificulta o imposibilita una respuesta oportuna.
La observabilidad moderna, la supervisión en tiempo real, el rastreo y las alertas no pueden adaptarse de forma significativa a arquitecturas que nunca fueron diseñadas para ello. No se trata de una laguna de gobernanza. Es una limitación de diseño.
También explica por qué muchas iniciativas de IA fracasan en entornos heredados sin sistemas de observación y datos en tiempo real, lo que refuerza la necesidad de modernizar la IA.
¿Cómo cambia DORA el perfil de riesgo de las dependencias de mainframe?
Convierte las dependencias aceptadas desde hace tiempo en riesgos de concentración explícitos.
El DORA exige a las entidades que identifiquen y gestionen el riesgo de concentración de TIC de terceros. Sistemas centrales dependientes de:
- Un único proveedor de hardware
- Pila de middleware
- La reducción de la reserva de talentos entra ahora directamente en el ámbito de la supervisión.
Aunque el DORA no obliga a abandonar inmediatamente los mainframes, sí exige a las entidades que demuestren una gestión y reducción activas del riesgo a lo largo del tiempo.
Los esfuerzos de modernización, por lo tanto, pasan de ser una iniciativa de coste a una necesidad normativa.
