Como construir uma economia digital resiliente: o poder da identidade organizacional padronizada

Em um mundo cada vez mais digitalizado, os ataques cibernéticos têm-se tornado mais frequentes e complexos. Dado que toda a infraestrutura crítica depende amplamente de provedores terceirizados de serviços de TIC, é fundamental possibilitar a identificação consistente e clara desses provedores por meio de identificadores organizacionais padronizados e verificáveis, a fim de assegurar a confiança e a resiliência cibernética. A Lei de Resiliência Operacional Digital (DORA) da União Europeia estabelece um marco regulatório significativo ao tratar desse desafio no setor financeiro e deveria ser adotada globalmente para proteger todos os ecossistemas digitais ao redor do mundo.

---

---

Os ataques cibernéticos constituem uma ameaça crescente e urgente à estabilidade financeira global.

Um relatório de 2024 do Fundo Monetário Internacional (FMI) revelou que, ao longo dos últimos 20 anos, o setor financeiro sofreu mais de 20.000 ataques cibernéticos, ocasionando perdas diretas de US$ 12 bilhões, além dos custos indiretos associados aos danos à reputação.

Mas o pior ainda está por vir. O relatório do FMI destaca que os ataques cibernéticos dobraram desde a pandemia de COVID-19, com o aumento acelerado tanto na frequência quanto na sofisticação, representando “uma ameaça imediata à estabilidade macroeconômica e financeira, por meio da perda de confiança, interrupção de serviços essenciais e devido à interconexão tecnológica e financeira.”

A questão da “interconexão tecnológica” é particularmente preocupante. Embora as empresas do setor financeiro sejam amplamente vistas como líderes em segurança cibernética, a crescente digitalização dos serviços financeiros tem levado as instituições a dependerem cada vez mais de provedores terceirizados de serviços de TIC, os quais são fundamentais para apoiar funções críticas e oferecer serviços essenciais diretamente.

Uma análise realizada pelas três Autoridades Europeias de Supervisão revelou que cerca de 15.000 desses provedores prestam serviços para instituições financeiras exclusivamente na União Europeia. Isso traz desafios para a resiliência operacional em duas frentes. A dependência das instituições financeiras de múltiplos provedores pode gerar diversos pontos vulneráveis e fragmentar as operações. Além disso, pode gerar cadeias de suprimentos complexas e opacas, difíceis de desmascarar, especialmente em caso de um incidente de segurança cibernética. Por outro lado, a utilização generalizada de determinados provedores (como em serviços de computação em nuvem) eleva o risco de que ataques ou falhas isoladas se transformem em problemas sistêmicos.

Dado os riscos envolvidos, assegurar que os provedores de serviços de TIC estejam sujeitos a um nível adequado de supervisão regulatória é um objetivo central de políticas em diversas jurisdições. A União Europeia tem desempenhado um papel de liderança ao implementar a Lei de Resiliência Operacional Digital (DORA), que busca reforçar a resiliência operacional das entidades financeiras, aprimorando sua capacidade de lidar com os riscos associados às TIC.

Como reforçar a resiliência operacional por meio da identidade organizacional padronizada

Identificar os provedores de serviços de TIC utilizados por entidades financeiras é crucial para a gestão desses riscos, ressaltando a importância de identificadores organizacionais padronizados e verificáveis, como o Identificador de Entidade Jurídica (LEI).

Como um bem público global, o LEI é um identificador padronizado que pode ser utilizado para identificar todos os provedores terceirizados de TIC em qualquer lugar do mundo. Ao permitir a identificação consistente e inequívoca de entidades através das fronteiras, o LEI resolve a fragmentação e:

• Melhora a detecção da estrutura corporativa: O LEI possibilita a identificação dos vínculos corporativos entre provedores terceirizados de TIC, tanto dentro quanto fora da União Europeia. Isso auxilia instituições e supervisores a identificar interconexões e potenciais riscos operacionais que, de outra forma, poderiam ser ocultados por estruturas corporativas complexas.
• Liga os pontos: O LEI funciona como um conector de dados, facilitando a integração automatizada com outras fontes de dados essenciais, como autoridades de registro locais (por exemplo, registros comerciais, câmaras de comércio, etc.), provedores de serviços financeiros e mercados de valores mobiliários. Isso proporciona uma visão mais abrangente das dependências de TIC.
• Permite integração e automação digital: O ecossistema totalmente digital do LEI possibilita a reconciliação de dados de maneira contínua, por meio de acesso à API gratuita e downloads de arquivos completos. Essa estrutura digital elimina a necessidade de intervenção manual, permitindo a coleta e análise rápida de dados. Isso proporciona às instituições e supervisores as ferramentas essenciais para monitorar as dependências de TIC e tomar decisões mais embasadas e informadas.
• Simplifica a due diligence, a conformidade e os relatórios de incidentes: A identificação precisa baseada no LEI reduz erros nos relatórios, aprimora a qualidade dos dados e garante envios de conformidade mais confiáveis. Em caso de incidentes relacionados a TIC, os LEIs oferecem uma referência clara e padronizada para todas as partes envolvidas. Isso simplifica os relatórios de incidentes, assegura consistência e apoia os esforços para uma resolução rápida.

Como criar uma economia digital resiliente

É claro que a crescente velocidade e sofisticação dos ataques cibernéticos têm implicações que ultrapassam os serviços financeiros. A complexidade do mundo digitalizado atual implica que toda a infraestrutura crítica dependa significativamente de provedores de serviços de TIC. Assim, cadeias de suprimentos globais, serviços de saúde, energia e de utilidade pública, telecomunicações e transporte estão igualmente expostos a vulnerabilidades significativas.

A DORA proporciona uma estrutura para iniciar o enfrentamento desse desafio. Reconhecer a importância da identificação organizacional padronizada e verificável como um elemento essencial para a resiliência cibernética e a confiança nos ecossistemas digitais estabelece um precedente regulatório significativo, que deveria ser adotado em todas as áreas da economia global.

---