La norma más importante aprobada por la Sudeban es la prohibición de firmar contratos de servicios en la nube en el exterior, ya que según la Ley de Instituciones de la Industria Bancaria, la implementación de estas tecnologías sólo puede ser realizada por empresas nacionales.
La Superintendencia de Supervisión de Instituciones Bancarias (Sudeban) emitió una circular a todos los bancos nacionales con el objetivo de establecer un conjunto de estándares y requisitos que regirán la contratación de servicios de soporte y gestión de datos bancarios en la nube.
Los “servicios en la nube” son procesos para almacenar, administrar y procesar datos en servidores remotos con conexión a Internet. En lugar de hacerlo con los servidores locales de la empresa, se contrata una empresa especializada y el banco los gestiona a través de la red.
Para optimizar recursos y reducir costos, la industria bancaria ha comenzado a migrar paulatinamente hacia los servicios en la nube, por lo que Sudeban decidió intervenir para regular esta transición que consideran “beneficiosa”, pese a aceptar “el riesgo potencial de ciberataques”.
Por ello, la circular establece una serie de requisitos que deben cumplir los proveedores de servicios en la nube para externalizar la gestión de datos bancarios, gestionando así información sensible de miles de clientes.
La primera y más relevante norma establecida por la Sudeban es la aprobación, según lo establecido en la Ley de Instituciones Bancarias, de que la implementación de servicios de computación en la nube “debe garantizar que el proveedor del servicio opere el movimiento dentro del territorio nacional”. ». Es decir, los bancos no pueden contratar empresas especializadas en gestión de la nube en el extranjero.
De manera similar, el regulador requiere una lista de protocolos relacionados con la prestación de servicios, de modo que la empresa proveedora cuente con un marco de gestión de riesgos y un inventario de sus activos, además de una estrategia definida y una arquitectura de TI que demuestre seguridad. nube.
*Leer más: Sudeban pide a bancos fortalecer medidas de seguridad para uso de tarjetas sin contacto
Todos estos procesos van de la mano de diversos controles de calidad trimestrales o anuales, según corresponda, para demostrar la respuesta de la empresa ante imprevistos y emergencias. Además, está claro que la función del proveedor de servicios es puramente hosting y sólo el banco puede acceder y gestionar los datos de los clientes.
Como parte de todos estos protocolos, la Sudeban también exige la entrega de informes anuales de continuidad del negocio, pruebas de contingencia tecnológica y recuperación de desastres. También aclara que la relación entre el banco y sus proveedores está sujeta a la autorización previa de la institución.
Los contratos que establecen esta relación entre la entidad bancaria y el proveedor de servicios en la nube también están sujetos a una serie de normas que teóricamente aseguran la protección de los datos de los usuarios. En este sentido, los documentos firmados entre el banco y la empresa que almacena los datos en la nube deben contener aspectos como:
- Identificación de las partes, las especificaciones del servicio contratado y la ubicación física donde se tratarán los datos.
- Acuerdo de confidencialidad.
- Especificación de procedimientos para la atención y resolución de incidentes tecnológicos, así como políticas de seguridad de la información. Se debe indicar claramente la responsabilidad del proveedor en la aplicación de políticas, estándares y procedimientos de seguridad informática.
- Describir la arquitectura del servicio.
- Es obligación del proveedor realizar inspecciones de calidad al menos una vez al año y presentar informes de gestión trimestrales. Además, proporcione detalles sobre los controles de seguridad físicos y ambientales del dispositivo.
- Implementar cláusulas de daños y perjuicios. Al mismo tiempo, garantizar la suscripción obligatoria de un contrato de seguro con cobertura a todo riesgo que mantenga su vigencia durante toda la vigencia del contrato.
El regulador enfatizó que es “totalmente responsable” de verificar la efectividad de todas las medidas de control establecidas en el reglamento, por lo que pudo aprobar o denegar la solicitud.
Finalmente, aclarar que todos los bancos deben implementar esta regulación. Para quienes tengan relaciones contractuales vigentes con empresas de servicios en la nube, tendrán 20 días hábiles para realizar los cambios correspondientes para adaptarse a esta regulación.
*Con información de Banca y Negocios
Vistas de publicaciones: 39
