Perú · SBS · Res. 504-2021
El reglamento de gestión de la seguridad de la información y la ciberseguridad exige a las entidades supervisadas un sistema de gestión con alcance definido, sometido a evaluaciones, revisiones y pruebas periódicas para determinar su efectividad; y a toda empresa con presencia en el ciberespacio, un programa de ciberseguridad de carácter permanente. La diferencia con un proyecto está en la prueba: hay que poder mostrar que el control operó todo el período, no que existió el día de la revisión.
Disponible hoy Exigible desde el 1 de julio de 2021.
Qué exige
El reglamento está construido sobre la lógica de un sistema de gestión: alcance, riesgos, controles, operación y revisión.
Confidencialidad, integridad y disponibilidad, con alcance definido, responsables asignados y evaluaciones, revisiones y pruebas periódicas para determinar su efectividad. El reglamento pide además que el sistema sea proporcional al tamaño, la naturaleza y la complejidad de las operaciones.
Toda empresa con presencia en el ciberespacio debe mantener, con carácter permanente, un programa de ciberseguridad. Ese programa exige un diagnóstico y un plan de mejora de las capacidades, apoyados en un marco de referencia internacional que cubra identificación, protección, detección, respuesta y recuperación.
El reglamento no exige certificar el sistema de gestión completo contra un estándar internacional, pero sí obliga a elegir un marco de referencia internacional para el programa de ciberseguridad, y vuelve sobre ellos en las APIs y en los servicios en nube. Para un servicio en nube significativo de procesamiento de datos hay que evidenciar cada año que el proveedor mantiene vigentes ISO/IEC 27001, 27017 y 27018 y cuenta con un reporte SOC 2 tipo 2 u otros equivalentes.
El reglamento alcanza a las empresas de los artículos 16 y 17 de la Ley General y a las AFP, y también al Banco de la Nación, al Banco Agropecuario, a COFIDE, al Fondo MIVIVIENDA y a las Derramas y Cajas de Beneficios bajo control de la Superintendencia. No les exige lo mismo a todas: el artículo 4 reparte el sistema de gestión en tres regímenes según el tipo de empresa.
Las empresas del artículo 1 que no figuran en ninguna de las dos primeras listas pueden establecer el sistema de gestión conforme al reglamento, sin estar obligadas a hacerlo. A las corredoras de seguros del segmento 1 les es exigible sólo el párrafo 26.1 del artículo 26 —las actividades mínimas anuales del régimen simplificado—, no el resto de ese régimen. Rige desde el 1 de julio de 2021; el subcapítulo de autenticación tuvo plazo de adecuación hasta el 1 de julio de 2022.
Lo que viene después
Una resolución posterior de la SBS incorporaría deberes de comunicación de incidentes hacia los usuarios del sistema financiero, con plazos propios y entrada en vigencia diferida. Cuando rija, el sistema de gestión dejará de ser un asunto interno.
Las fechas y los plazos exactos de esa resolución posterior no los reproducimos acá: preferimos que los lea en la fuente. Lo exigible hoy, y lo que esta página describe, es la 504-2021.
Cómo ayuda Andin
Un programa permanente se prueba con evidencia de todo el período. Andin la produce mientras el equipo trabaja, en vez de reunirla antes de la visita.
Disponible hoy
El sistema de gestión como proceso vivo: registro por acto, mapeo a la cláusula y al control, y evidencia disponible el día de la revisión —no la víspera.
Disponible hoy
Cada proveedor crítico con su evaluación, su responsable interno y su historial. La cadena se muestra completa y fechada.
Disponible hoy
El motor de riesgo trabaja sobre la telemetría que la entidad ya opera: observa, normaliza y produce evidencia legible para el área de riesgo y el directorio.
Andin genera y ordena la evidencia. La conformidad la evalúa la SBS; Andin sostiene el registro con el que usted responde.
Preguntas frecuentes
Es una base muy fuerte: la estructura del sistema de gestión coincide. Lo que suele faltar es la evidencia continua del período completo y el detalle propio que pide el supervisor, que es donde trabaja Andin.
El equipo conserva la operación. Andin ordena el registro y la evidencia del trabajo que ese equipo hace, para que la postura de seguridad sea demostrable además de real.
Por regla general el sujeto es la entidad supervisada, y la exigencia le llega a usted por el contrato: cuando el servicio provisto es de gestión de tecnología de la información, de gestión de seguridad de la información o de procesamiento de datos, el artículo 22 obliga a la entidad a asegurar que el arreglo contractual con usted le permita cumplir el reglamento. La excepción importa: si usted es una empresa de servicios complementarios y conexos comprendida en los artículos 16 y 17 de la Ley General, el reglamento le aplica de forma directa, y el artículo 4 define cuál de los tres regímenes le corre —si su empresa no figura en las listas de los párrafos 4.2 y 4.3, puede establecer el sistema de gestión conforme al reglamento sin estar obligada a hacerlo. En todos los casos el trabajo de sostener y mostrar el control es el mismo.
Sí. La autoevaluación de ciberseguridad que la CMF exige cada año a las aseguradoras y reaseguradoras y el programa de la SBS piden la misma materia prima: control vigente, responsable y fecha. El registro se lleva una vez. Ver el marco chileno →
Conversemos
Si su entidad opera bajo supervisión de la SBS, la evidencia del período se junta mientras el equipo trabaja. Conversemos sobre cómo dejar ese registro corriendo.