SFC - Anexo Circular Externa 33 de 2020 (1)

SUPERINTENDENCIA FINANCIERA DE COLOMBIA

PARTE I

INSTRUCCIONES GENERALES APLICABLES A LAS ENTIDADES VIGILADAS

T˝TULO IV

DEBERES Y RESPONSABILIDADES CAP˝TULO V: REQUERIMIENTOS M˝NIMOS PARA LA GESTI(cid:211)N DE LA SEGURIDAD DE LA INFORMACI(cid:211)N Y LA

CIBERSEGURIDAD

CONTENIDO 1. `MBITO DE APLICACI(cid:211)N

2. DEFINICIONES

3. OBLIGACIONES GENERALES EN MATERIA DE CIBERSEGURIDAD

4. ETAPAS 4.1. Prevenci(cid:243)n 4.2. Protecci(cid:243)n y Detecci(cid:243)n 4.3. Respuesta y Comunicaci(cid:243)n 4.4. Recuperaci(cid:243)n y Aprendizaje

5. REPORTE DE INFORMACI(cid:211)N A LA SFC PARTE I – T˝TULO IV – CAP˝TULO V P`GINA Circular Externa 033 de 2020 Noviembre de 2020

SUPERINTENDENCIA FINANCIERA DE COLOMBIA 4.1.7. Realizar pruebas del plan de continuidad del negocio que simulen la materializaci(cid:243)n de ataques cibernØticos. 4.1.8. Contar con herramientas o servicios que permitan hacer correlaci(cid:243)n de eventos que puedan alertar sobre incidentes de seguridad, tal como un SIEM. 4.1.9. De acuerdo con la estructura, canales de atenci(cid:243)n, volumen transaccional y nœmero de clientes, monitorear diferentes

fuentes de informaci(cid:243)n tales como sitios web, blogs y redes sociales, con el prop(cid:243)sito de identificar posibles ataques cibernØticos contra la entidad. 4.1.10. Colaborar con las autoridades que hacen parte del modelo nacional de gesti(cid:243)n de ciberseguridad en los proyectos que se adelanten con el prop(cid:243)sito de fortalecer la gesti(cid:243)n de la ciberseguridad en el sector financiero y a nivel nacional. 4.1.11. Informar a los consumidores financieros de la entidad sobre las medidas de seguridad y recomendaciones que deberÆn adoptar para su ciberseguridad. 4.2. Protecci(cid:243)n y detecci(cid:243)n Las entidades deben desarrollar e implementar actividades apropiadas para identificar la ocurrencia de un evento de ciberseguridad. La funci(cid:243)n de protecci(cid:243)n y detecci(cid:243)n permite el descubrimiento oportuno de eventos e incidentes de ciberseguridad y c(cid:243)mo protegerse ante los mismos. Las entidades deben: 4.2.1. Adoptar procedimientos y mecanismos para identificar y analizar los incidentes de ciberseguridad que se presenten. 4.2.2. Gestionar las vulnerabilidades de aquellas plataformas que soporten activos de informaci(cid:243)n cr(cid:237)ticos y que estØn expuestos en el ciberespacio. 4.2.3. Realizar un monitoreo continuo a su plataforma tecnol(cid:243)gica con el prop(cid:243)sito de identificar comportamientos inusuales que puedan evidenciar ciberataques contra la entidad. 4.3. Respuesta y comunicaci(cid:243)n Aœn con las medidas de seguridad adoptadas, las entidades deben desarrollar e implementar actividades para mitigar los

incidentes relacionados con ciberseguridad. Para hacerle frente a esta situaci(cid:243)n las entidades deben: 4.3.1. Establecer procedimientos de respuesta a incidentes cibernØticos tales como: desconexi(cid:243)n automÆtica de equipos, cambios de contraseæas, actualizar la base de firmas del antivirus, bloqueo de direcciones IP o cualquier otro que determine la entidad. 4.3.2. Evaluar los elementos de la red para identificar otros dispositivos que pudieran haber resultado afectados. 4.3.3. Establecer los procedimientos para reportar, cuando se considere pertinente, al Grupo de Respuesta a Emergencias CibernØticas de Colombia (COLCERT) o quien haga sus veces, directamente o a travØs de CSIRT sectoriales, los ataques cibernØticos que requieran de su gesti(cid:243)n. 4.3.4. Adoptar los mecanismos necesarios para recuperar los sistemas de informaci(cid:243)n al estado en que se encontraban antes del ataque cibernØtico. 4.3.5. En la medida de lo posible, preservar las evidencias digitales para que las Æreas de seguridad o las autoridades puedan realizar las investigaciones correspondientes. 4.4. Recuperaci(cid:243)n y aprendizaje Desarrollar e implementar actividades apropiadas para mantener los planes de resiliencia y restaurar cualquier capacidad o servicio que se haya deteriorado debido a un incidente de ciberseguridad. Las entidades deben: 4.4.1. Ajustar sus sistemas de gesti(cid:243)n de riesgo y de seguridad de la informaci(cid:243)n como consecuencia de los incidentes presentados, adoptando los controles que resulten pertinentes. 4.4.2. Socializar, cuando la entidad lo considere pertinente, las lecciones aprendidas al interior de la organizaci(cid:243)n y con las

entidades de su sector.

5. REPORTE DE INFORMACI(cid:211)N A LA SFC El reporte de incidentes a la SFC se debe realizar utilizando la taxonom(cid:237)a œnica de incidentes cibernØticos (TUIC), que se encuentra definida y publicada en la pÆgina web de esta Superintendencia. Con el prop(cid:243)sito de consolidar el modelo nacional de seguridad digital, las entidades excluidas del presente cap(cid:237)tulo tambiØn podrÆn reportar sus incidentes al ColCERT usando dicha taxonom(cid:237)a.

As(cid:237) mismo, todas las comunicaciones, reportes de incidentes, alertas tempranas y boletines informativos relacionados con seguridad de la informaci(cid:243)n y ciberseguridad se deben etiquetar usando el protocolo Traffic Light Protocol (TLP), el cual se encuentra publicado en la pÆgina web de esta Superintendencia. Dichas comunicaciones se deben remitir desde las cuentas de correo configuradas para este fin. Las entidades tambiØn lo podrÆn usar para el env(cid:237)o de otro tipo de informaci(cid:243)n.

PARTE I – T˝TULO IV – CAP˝TULO V P`GINA 5

Circular Externa 033 de 2020 Noviembre de 2020