SFC - Anexo Circular Externa 24 de 2021 (1)

SUPERINTENDENCIA FINANCIERA DE COLOMBIA CAPÍTULO XXVI REGLAS RELATIVAS A LA ACTIVIDAD DE LOS OPERADORES DE INFORMACIÓN DE LA PLANILLA INTEGRADA DE LIQUIDACIÓN DE APORTES -PILAPágina 6 f) Generar un soporte para el usuario al momento de la realización de cada operación. Dicho soporte deberá contener al menos la siguiente información: fecha, hora (hora y minuto) y número de la operación. Para el caso de Sistemas de Audio Respuesta (IVR) y dispositivos móviles se entenderá cumplido el requisito establecido en este numeral cuando se informe el número de la operación. 2.3. Obligaciones adicionales por tipo de canal 2.3.1. Oficinas Para la atención a los usuarios a través de oficinas, los Operadores de la Información de la PILA deberán cumplir, como mínimo, con los siguientes requerimientos: a) Los sistemas informáticos empleados para la prestación de servicios en las oficinas deben contar con soporte por parte del fabricante o proveedor. b) Los sistemas operacionales de los equipos empleados en las oficinas deben cumplir con niveles de seguridad adecuados que garanticen protección de acceso controlado. c) Disponer de los mecanismos necesarios para evitar que personas no autorizadas atiendan a los usuarios en nombre del Operador de Información de la PILA. d) Establecer procedimientos necesarios para atender de manera segura y eficiente a sus usuarios en todo momento. 2.3.2. Sistemas de audio respuesta (IVR) Los sistemas de audio respuesta deberán cumplir, como mínimo, con los siguientes requerimientos: a) Permitir al usuario confirmar la información suministrada en la realización de la operación. b) Permitir la transferencia de la llamada a una persona (una operadora), al menos en los horarios hábiles de atención al público.

2.3.3. Centro de atención telefónica (Call Center, Contact Center) Los centros de atención telefónica deberán cumplir, como mínimo, con los siguientes requerimientos: a) Destinar un área dedicada exclusivamente para la atención telefónica, la cual deberá contar con los recursos necesarios para la prestación del servicio, los controles físicos y lógicos que impidan el ingreso de personas no autorizadas, así como la extracción de la información manejada. b) Impedir el ingreso de dispositivos que permitan almacenar o copiar cualquier tipo de información, o medios de comunicación, que no sean suministrados por el Operador de la Información de la PILA. c) Dotar a los equipos de cómputo que operan en el centro de atención telefónica de los elementos necesarios que impidan el uso de dispositivos de almacenamiento no autorizados por el Operador de Información de la PILA. Igualmente, se deberá bloquear cualquier tipo de conexión a red distinta a la usada para la prestación del servicio. d) Garantizar que los equipos de cómputo destinados a los centros de atención telefónica sólo serán utilizados en la prestación de servicios por ese canal. e) En los equipos de cómputo usados en los centros de atención telefónica no se permitirá la navegación por Internet, el envío o recepción de correo electrónico, la mensajería instantánea, ni ningún otro servicio que permita el intercambio de información, a menos que se cuente con un sistema de registro de la información enviada y recibida. Estos registros deberán ser conservados por lo menos un (1) año o en el caso en que la información respectiva sea objeto o soporte de una reclamación, queja, o cualquier proceso de tipo judicial, hasta el momento en que sea resuelto. f) Los Operadores de la Información de la PILA también podrán prestar los servicios del Centro de atención telefónica

(Call Center, Contact Center) a través de colaboradores ubicados por fuera de las instalaciones exclusivas a las que hace referencia el literal a) del presente subnumeral, previo el análisis de riesgo y la implementación de las medidas de control para:

1. Preservar la confidencialidad, integridad y disponibilidad de la información. ii. Mitigar el riesgo de: i) extracción, almacenamiento o copia de la información manejada y ii) uso de dispositivos o medios de comunicación que no sean suministrados por los Operadores de la Información de la PILA para la prestación del servicio. iii. Impedir: i) el uso o conexión a redes distintas a las autorizadas para la prestación del servicio y ii) que se destinen los dispositivos y medios de comunicación para actividades distintas a la prestación de los servicios por este canal.

En aquellos eventos en que los equipos de cómputo permitan el envío o recepción de correo electrónico, mensajería instantánea, o cualquier otro servicio que permita el intercambio de información, los Operadores de la Información de la PILA deben contar con un sistema de registro de la información enviada y recibida, y conservar dichos registros por un periodo mínimo de 6 meses. En el caso en que la información respectiva sea objeto o soporte de una reclamación, queja o forme parte de un proceso judicial o una actuación extrajudicial, se deberá conservar hasta el momento en que la reclamación o queja se resuelva, o el proceso o actuación finalice. Para efectos del presente subnumeral, se entiende por colaboradores el personal que preste los servicios del Centro de atención telefónica (Call Center, Contact Center) en cualquiera de las modalidades contratadas por los Operadores de la Información de la PILA para la atención parcial o total de sus usuarios a través de este canal.

2.3.4. Internet Circular Externa 024 de 2021 Octubre de 2021

SUPERINTENDENCIA FINANCIERA DE COLOMBIA CAPÍTULO XXVI REGLAS RELATIVAS A LA ACTIVIDAD DE LOS OPERADORES DE INFORMACIÓN DE LA

PLANILLA INTEGRADA DE LIQUIDACIÓN DE APORTES -PILAPágina 6

Los Operadores de Información que presten sus servicios por Internet deberán cumplir con los siguientes requerimientos: Circular Externa 024 de 2021 Octubre de 2021 SUPERINTENDENCIA FINANCIERA DE COLOMBIA CAPÍTULO XXVI REGLAS RELATIVAS A LA ACTIVIDAD DE LOS OPERADORES DE INFORMACIÓN DE LA PLANILLA INTEGRADA DE LIQUIDACIÓN DE APORTES -PILAPágina 6-1 a) Implementar los algoritmos y protocolos necesarios para brindar una comunicación segura. b) Realizar como mínimo dos (2) veces al año una prueba de vulnerabilidad y penetración a los equipos, dispositivos y medios de comunicación usados en la realización de operaciones por este canal. Sin embargo, cuando se realicen cambios en la plataforma que afecten la seguridad del canal, deberá realizarse una prueba adicional. Circular Externa 024 de 2021 Octubre de 2021