SFC - Seguridad y calidad de información. Requerimientos mínimos y modelos tecnológicos Concepto 2011062919-001 del 6 de septiembre de 2011 id2011062919

SEGURIDAD Y CALIDAD DE INFORMACIÓN, REQUERIMIENTOS MÍNIMOS Y MODELOS TECNOLÓGICOS Concepto 2011062919-001 del 6 de septiembre de 2011.

Síntesis: La Circular Externa 022 de 2010 es la instrucción más reciente, en la cual se establecen medidas encaminadas a fortalecer la seguridad y la calidad en el manejo de la información de los clientes y usuarios de las entidades vigiladas. Éstas deben implementar los requerimientos mínimos de seguridad y calidad para la realización de operaciones, sin que sea exigible la aplicación de modelos tecnológicos, desarrollos o soluciones específicas; en virtud del principio de neutralidad tecnológica. La tecnología “token” es una que permite a las entidades cumplir, entre otros, con el requerimiento de reduciendo la posibilidad de que personas no autorizadas ingresen a los sistemas de las entidades financieras y realicen operaciones en nombre del titular de un determinado producto. «(…) encontramos pertinentes los siguientes comentarios, con posterioridad a los cuales nos referiremos a cada una de sus inquietudes, en el mismo orden en que éstas fueron planteadas y de manera general, impersonal y abstracta, esto es, sin que tengan relación o aplicación con hechos o personas concretos, ya que éstos no fueron objeto de la

mencionada comunicación: 1.- Consideraciones generales: 1.1. En relación con las entidades que vigila esta Superintendencia, resulta pertinente anotar que cada institución goza de autonomía y libertad para adoptar los mecanismos de seguridad que, a su juicio y por virtud del profesionalismo y conocimiento de los riesgos

que comporta la actividad que le es característica, estime suficientes para minimizar la ocurrencia de situaciones que afecten el normal desarrollo de sus operaciones o los intereses de sus clientes y usuarios. 1.2. Sin perjuicio de lo anterior esta Superintendencia, en desarrollo de sus facultades legales, ha expedido varios instructivos que propenden por la seguridad y calidad para la realización de operaciones. 1.3. La Circular Externa 022 de julio 30 de 2010 es la instrucción más reciente, en la cual se establecen una serie de medidas encaminadas a fortalecer la seguridad y la calidad en el manejo de la información de los clientes y usuarios de las entidades vigiladas por la Superintendencia Financiera de Colombia, bien sea que acudan a cualquiera de los instrumentos para la realización de operaciones (tarjetas débito, crédito, dispositivos móviles y órdenes electrónicas para la transferencia de fondos) o de los canales de distribución de servicios financieros (oficinas, cajeros automáticos, receptores de cheques, receptores de dinero en efectivo, POS, sistemas de audio respuesta –IVR-, centros de atención telefónica -Call Center, Contac Centersistemas de acceso remoto para clientes RAS, Internet y dispositivos móviles) a través de los cuales éstas prestan sus servicios. 1.4. Para su referencia, el texto completo de la Circular Externa 022 de julio 30 de 2010, se encuentra disponible en nuestra página Web: www.superfinanciera.gov.co siguiendo esta ruta: Normativa / Normas / Circulares Externas / 022 / Anexos. 1.5. La mencionada Circular establece una serie de obligaciones generales (numeral

3), que aplican a todos los canales, y otras específicas, según el tipo de canal. En relación con las operaciones realizadas a través de Internet (canal en que se centra su consulta), el numeral 4.9. del instructivo en comento indica que las entidades deben cumplir, como mínimo, con los siguientes requerimientos: • Implementar los algoritmos y protocolos necesarios para brindar una comunicación segura. • Realizar como mínimo dos veces al año una prueba de vulnerabilidad y penetración a los equipos, dispositivos y medios de comunicación usados en la realización de operaciones monetarias por este canal. Sin embargo, cuando se realicen cambios en la plataforma que afecten la seguridad del canal, deberá realizarse una prueba adicional. • Promover y poner a disposición de sus clientes mecanismos que reduzcan la posibilidad de que la información de sus operaciones monetarias pueda ser capturada por terceros no autorizados durante cada sesión. • Establecer el tiempo máximo de inactividad, después del cual se deberá dar por cancelada la sesión, exigiendo un nuevo proceso de autenticación para realizar otras operaciones. • Informar al cliente, al inicio de cada sesión, la fecha y hora del último ingreso a este canal. • Implementar mecanismos que permitan a la entidad financiera verificar constantemente que no sean modificados los enlaces (links) de su sitio Web, ni suplantados sus certificados digitales, ni modificada indebidamente la resolución de sus DNS. 1.6. Atendiendo al principio de “neutralidad tecnológica”1, en la referida Circular se establecen requisitos mínimos de seguridad y calidad en el manejo de información, pero no se indica la forma o modelo tecnológico a través del cual las entidades vigiladas deben

cumplir tales requisitos. 1.7. Los requerimientos mínimos de seguridad y calidad para la realización de operaciones deben ser adoptados por todas las entidades sometidas a la inspección y vigilancia de la Superintendencia Financiera de Colombia, con las excepciones señaladas en el numeral 1 del instructivo en comento; atendiendo la naturaleza, objeto social y demás características particulares de su actividad.

2. Respuesta a los interrogantes formulados: 1 Ver respuesta a derecho de petición del 28 de noviembre de 2007 – Radicación 177390, del Ministerio de Comunicaciones: “el marco legal debería permanecer neutro en cuanto a los tipos de tecnología y el desarrollo de las mismas, por demás cambiantes en forma constante, sin que se oriente a una determinada tecnología, inclusive respecto de las Entidades del Estado” 2.1. Primera pregunta: “¿Le es exigible a todo banco contar con el mecanismo de encriptación de clave conocido como token en los servicios de transacciones virtuales que ofrecen a las PYMES?” Respuesta: (i) las entidades vigiladas por esta Superintendencia deben implementar los requerimientos mínimos de seguridad y calidad para la realización de operaciones, sin que sea exigible la aplicación de modelos tecnológicos, desarrollos o soluciones específicas; en virtud del principio de neutralidad tecnológica, antes mencionado, (ii) la tecnología “token” es una de las que se encuentran disponibles en el mercado y que permite a las entidades cumplir, entre otros, con el requerimiento de que trata el numeral 4.9.3. de la Circular Externa 022 de 2010, antes transcrito, reduciendo la posibilidad de que personas no autorizadas ingresen a los sistemas de las entidades

financieras y realicen operaciones en nombre del titular de un determinado producto, (iii) un token, en sistemas de seguridad, es un pequeño dispositivo que muestra un código de identificación que cambia cada minuto o más, dependiendo de cómo se haya configurado. El usuario primero introduce una contraseña y luego el token muestra el código de identificación que puede ser usado para ingresar al sistema.2 Por lo explicado anteriormente, el token no es un dispositivo que tenga como propósito encriptar las claves. Finalmente, los requerimientos de que trata la Circular 022 no se dirigen a segmentos específicos de clientes (PYMES en los términos de su consulta). En conclusión, las entidades vigiladas deben ofrecer a sus clientes, que realicen operaciones por internet, las seguridades que estimen adecuadas, siempre y cuando las mismas cumplan con los requerimientos generales y específicos previstos en la Circular Externa 022 de 2010, para este tipo de canal. 2.2. Segunda pregunta: “Si no les es exigible, ¿en qué disposiciones normativas se apoya esta no obligatoriedad? Y si, por el contrario, les es exigible, ¿en cuales disposiciones normativas está respaldada esta obligación?” Respuesta: se reitera que, en virtud del principio de neutralidad tecnológica, el uso de una tecnología, desarrollo o solución específica no es exigible a las entidades vigiladas por esta Superintendencia, como si lo es el cumplimiento de los requerimientos mínimos de seguridad y calidad para la realización de operaciones establecidos en la Circular Externa 022 de 2010. 2.3. Tercera pregunta: “si les es exigible, ¿a partir de qué fecha está vigente esta obligación de entregarles a los clientes de la plataforma virtual del respectivo banco el

token correspondiente?” Respuesta: se reitera que no existe la obligación por usted indicada. No obstante, conviene anotar que los requerimientos mínimos de seguridad y calidad para la realización de operaciones, se implementaron en tres (3) etapas, la última de las cuales entró en vigencia a partir del 1° de enero de 2010. 2 Definición tomada de Webopedia: www.webopedia.com 2.4. Cuarta pregunta: “Le es exigible a todo banco contar con el mecanismo de seguridad conocido como certificados digitales en los servicios de transacciones virtuales que ofrecen a las PYMES?” Respuesta: (i) reiteramos que los requerimientos mínimos en materia de seguridad y calidad para la realización de operaciones por Internet son los que se relacionan en el numeral 4.9. de la Circular Externa 022 de 2010 y que se transcribieron anteriormente, entre los cuales no se encuentra, como obligación a cargo de las entidades vigiladas por esta Superintendencia, implementar el mecanismo por usted descrito; a través del cual, bien pueden satisfacer el cumplimiento de los mismos, y (ii) los requerimientos de que trata la Circular 022 no se dirigen a segmentos específicos de clientes (PYMES en los términos de su consulta). 2.5. Quinta pregunta: “Si no les es exigible, ¿en qué disposiciones normativas se apoya esta no obligatoriedad? y si, por el contrario, les es exigible, ¿en cuáles disposiciones normativas está respaldada esta obligación?” Respuesta: se reitera que, en virtud del principio de neutralidad tecnológica, el uso de una tecnología, desarrollo o solución específica no es exigible a las entidades vigiladas por esta Superintendencia, como si lo es el cumplimiento de los requerimientos

mínimos de seguridad y calidad para la realización de operaciones establecidos en la Circular Externa 022 de 2010. 2.6. Sexta pregunta: “Si les es exigible, ¿a partir de qué fecha está vigente esta obligación de implementar en su plataforma virtual el uso de estos certificados digitales?” Respuesta: se reitera que no existe la obligación por usted indicada. No obstante, conviene anotar que los requerimientos mínimos de seguridad y calidad para la realización de operaciones, se implementaron en tres (3) etapas, la última de las cuales entró en vigencia a partir del 1° de enero de 2010. (…).»