SFC - Anexo Circular Externa 29 de 2019 (1)

SUPERINTENDENCIA FINANCIERA DE COLOMBIA 3.1. Contemplar dentro de su Sistema de Administraci(cid:243)n de Riesgo Operativo (SARO) la gesti(cid:243)n efectiva de los riesgos derivados de la utilizaci(cid:243)n de servicios computacionales en la nube, considerando, entre otros factores, el tipo de nube contratada, los sitios de procesamiento, los servicios contratados, el tipo de informaci(cid:243)n a procesar, los controles de seguridad para la protecci(cid:243)n de los datos en ambientes virtualizados y la protecci(cid:243)n de las aplicaciones de la entidad. 3.2. Establecer los criterios para seleccionar el proveedor de servicios de computaci(cid:243)n en la nube. 3.3. Evaluar la conveniencia de implementar en sus filiales y subsidiarias del exterior, en caso de que las tengan, las instrucciones de este Cap(cid:237)tulo. 3.4. Verificar que el proveedor de servicios en la nube cuente y mantenga vigente, al menos, la certificaci(cid:243)n ISO 27001, y de observancia a los estÆndares o buenas prÆcticas, tales como ISO 27017 y 27018. El proveedor puede certificarse con estÆndares o mejores prÆcticas que reemplacen, sustituyan o modifiquen las anteriores y debe disponer de informes de controles de organizaci(cid:243)n de servicios (SOC1, SOC2, SOC3). 3.5. Verificar que el proveedor ofrezca una disponibilidad de al menos el 99.95% en los servicios prestados en la nube en los modelos Iaas y PaaS. Para aquellos proveedores del servicio de computaci(cid:243)n en la nube en el modelo Saas, la

disponibilidad debe ser de al menos el 99.5%. 3.6. Gestionar los riesgos de las API o Servicios Web suministrados por el proveedor de servicios en la nube. 3.7. Verificar que las jurisdicciones en donde se procesarÆ la informaci(cid:243)n cuenten con normas equivalentes o superiores a las aplicables en Colombia, relacionadas con la protecci(cid:243)n de datos personales y penalizaci(cid:243)n de actos que atenten contra la confidencialidad, integridad y disponibilidad de los datos y de los sistemas informÆticos. 3.8. Establecer mecanismos que permitan contar con respaldo de la informaci(cid:243)n que se procesa en la nube, la cual debe estar a disposici(cid:243)n de la entidad cuando as(cid:237) lo requiera. 3.9. Garantizar la independencia de su informaci(cid:243)n y de sus copias de respaldo de la informaci(cid:243)n de las otras entidades que procesen en la nube. La independencia se puede dar a nivel l(cid:243)gico o f(cid:237)sico. 3.10. Mantener cifrada la informaci(cid:243)n clasificada como confidencial en trÆnsito o en reposo, usando estÆndares y algoritmos reconocidos internacionalmente que brinden al menos la seguridad ofrecida por AES, RSA o 3DES. 3.11. Tener bajo su control la administraci(cid:243)n de usuarios y de privilegios para el acceso a los servicios ofrecidos, as(cid:237) como a las plataformas, aplicaciones y bases de datos que operen en la nube, dependiendo del modelo de servicio contratado. 3.12. Monitorear los servicios contratados para detectar operaciones o cambios no deseados y/o adelantar las acciones

preventivas o correctivas cuando se requiera. 3.13. Establecer procedimientos para verificar el cumplimiento de los acuerdos y niveles de servicio establecidos con el proveedor de servicios en la nube y sus subcontratistas o partners, cuando sean estos quienes prestan el servicio. 3.14. Contar con canales de comunicaci(cid:243)n con el proveedor de servicios en la nube cifrados de extremo a extremo y que en lo posible usen rutas diferentes. 3.15. Contemplar dentro de los criterios para seleccionar las firmas que tendrÆn a su cargo la auditoria interna o externa de la entidad, las competencias tØcnicas necesarias para evaluar servicios en la nube. 3.16. Establecer las medidas necesarias para garantizar que, en el evento de toma de posesi(cid:243)n, la SFC, Fogaf(cid:237)n, Fogacoop, o quienes Østas designen, puedan acceder a la informaci(cid:243)n y a la administraci(cid:243)n de los sistemas de informaci(cid:243)n que operan en la nube.

4. ACUERDOS O CONTRATOS DE SERVICIOS Los acuerdos o contratos que suscriban las entidades para la prestaci(cid:243)n de servicios de computaci(cid:243)n en la nube deben contemplar como m(cid:237)nimo los siguientes elementos: 4.1. Las condiciones referentes a capacidad, disponibilidad, tiempos de recuperaci(cid:243)n, la existencia de planes de continuidad, resoluci(cid:243)n de incidentes y horarios de atenci(cid:243)n del proveedor del servicio, las cuales deben prever niveles de servicio que permitan cumplir, cuando menos, con las instrucciones seæaladas en el numeral 3 de este Cap(cid:237)tulo.

4.2. Las condiciones de seguridad de la informaci(cid:243)n y ciberseguridad de los servicios en la nube y las condiciones establecidas para proteger la privacidad y confidencialidad de los datos de los clientes, las cuales deben prever niveles de servicio que permitan cumplir, cuando menos, con las instrucciones seæaladas en el numeral 3 de este Cap(cid:237)tulo sobre la informaci(cid:243)n procesada en la nube. 4.3. La propiedad de la informaci(cid:243)n que se procese en los servicios de computaci(cid:243)n en la nube, haciendo claridad que los datos son propiedad de la entidad vigilada y que no se pueden usar para ningœn prop(cid:243)sito diferente al establecido en el contrato. 4.4. Las condiciones y limitaciones bajo las cuales se puede subcontratar parte del servicio o realizar cambios a los acuerdos establecidos con sus subcontratistas o partners. 4.5. Las causales de terminaci(cid:243)n del contrato por parte de la entidad, incluyendo, el incumplimiento de los acuerdos o niveles de servicio o el cambio de las condiciones que generen impacto negativo al servicio contratado. 4.6. La entrega a la entidad vigilada de informes y certificaciones que demuestren la calidad, desempeæo y efectividad en la gesti(cid:243)n de los servicios contratados, as(cid:237) como la vigencia de las certificaciones enunciadas en el numeral 3.4 de este Cap(cid:237)tulo. 4.7. La obligaci(cid:243)n del proveedor del servicio de informar, en cuanto le sea posible, a la entidad vigilada sobre cualquier evento o situaci(cid:243)n que pudiera afectar significativamente la prestaci(cid:243)n del servicio y, por ende, el cumplimiento por parte de

la vigilada de sus obligaciones frente a los consumidores financieros, a la SFC y a otras entidades. PARTE I – T˝TULO I – CAP˝TULO VI Circular Externa 029 de 2019 Diciembre de 2019