SFC - Circular Externa 33 de 2020

SUPERINTENDENCIA FINANCIERA DE COLOMBIA CIRCULAR EXTERNA 033 DE 2020 ( Noviembre 17 )

Señores

REPRESENTANTES LEGALES Y REVISORES FISCALES DE LAS ENTIDADES SUJETAS A

LA INSPECCIÓN Y VIGILANCIA DE LA SUPERINTENDENCIA FINANCIERA Y

OPERADORES DE INFORMACIÓN DE LA PILA.

Referencia: Instrucciones relacionadas con la Taxonomía Única de Incidentes Cibernéticos – TUIC, el formato para el reporte de métricas de seguridad de la información y ciberseguridad y el protocolo de etiquetado para el intercambio de

información Traffic Light Protocol (TLP) Respetados señores: Con el fin de continuar promoviendo la adopción de mejores prácticas en materia de gestión del riesgo de ciberseguridad y seguridad de la información, y en desarrollo de las instrucciones contenidas en la Circular Externa 007 de 2018, mediante la cual se imparten instrucciones sobre los requerimientos mínimos para la gestión de la seguridad de la información y la ciberseguridad y con el propósito de estandarizar el reporte de métricas e incidentes relacionados con la seguridad de la información y la ciberseguridad; esta Superintendencia, en ejercicio de sus facultades legales, en especial las conferidas en el numeral 5 del artículo 97 de Estatuto Orgánico del Sistema Financiero, literal a del numeral 3 del artículo 326 del Estatuto Orgánico del Sistema Financiero y los numerales 4 y 5 del artículo 11.2.1.4.2. del Decreto 2555 de 2010, imparte las siguientes instrucciones: PRIMERA: Adicionar el numeral 5 al Capítulo V del Título IV de la Parte I de la Circular Básica

Jurídica “Requerimientos mínimos para la gestión de la seguridad de la información y la ciberseguridad”, con el fin de definir la taxonomía única para el reporte de incidentes de Ciberseguridad y adoptar el protocolo Traffic Light Protocol (TLP) para el reporte de incidentes cibernéticos a esta Superintendencia.

SEGUNDA: Crear el Formato 408 (Proforma F.000-164) para el reporte de métricas de Seguridad de la información y Ciberseguridad.

TERCERA: Para asegurar la correcta transmisión de la información del Formato 408, a que se refiere la presente Circular, las entidades destinatarias deben realizar pruebas obligatorias entre el 18 y 22 de enero de 2021, con la información con corte al 31 de diciembre de 2020. Las pruebas deben efectuarse hasta lograr una transmisión exitosa de la información.

CUARTA: La primera transmisión oficial de la información se realizará con corte al 31 de marzo de 2021, de acuerdo con el instructivo correspondiente.

QUINTA: Los incidentes de seguridad de la información y de ciberseguridad se deben seguir reportando desde el buzón riesgooperativosfc@entidadvigilada.com al buzón

riesgooperativo@superfinanciera.gov.co, empleando el protocolo de etiquetado de información y la taxonomía definidos en la presente circular. La información correspondiente a la Taxonomía Única Incidentes Cibernéticos – TUIC y Protocolo de Comunicación e intercambio de información, puede consultarse en la página web de esta Superintendencia (www.superfinanciera.gov.co) en la sección Interés del Vigilado / Reportes / Índice de reportes de información a la Superintendencia Financiera / Guías para el

reporte de información / Taxonomía Única Incidentes Cibernéticos – TUIC y Protocolo de Comunicación e intercambio de Información.

SEXTA: La presente circular rige a partir de su publicación.

Cordialmente,

JORGE CASTAÑO GUTIÉRREZ

Superintendente Financiero de Colombia 50000