SFC - Seguridad y calidad información confidencial Concepto No. 2008051364-001 del 14 de agosto de 2008 id2008051364

SEGURIDAD Y CALIDAD INFORMACIÓN CONFIDENCIAL Concepto 2008051364-001 del 14 de agosto de 2008.

Síntesis: La información personal que suministra un cliente a una entidad financiera es información confidencial y debe ser tratada como tal, para efectos de lo previsto por la Circular Externa 052 de 2007 que también establece requerimientos mínimos que deben ser observados en aras de la seguridad y calidad de la información que se maneja a través de los canales y medios de distribución de productos y servicios para clientes y usuarios.

El requerimiento del numeral 4.1.5. de dicha Circular se cumple si la entidad usa hardware de propósito específico, el cual podrá estar instalado en los equipos que manejan la seguridad, la conectividad o el enrutamiento de la información. La información confidencial que viaja de manera cifrada debe ser almacenada en los medios, formatos y estructuras que considere adecuada la entidad, siempre que los mismos brinden las medidas necesarias para dotar de seguridad a la información. «(…) plantea algunas inquietudes sobre el alcance de la Circular Externa 052 de 2007. A continuación nos permitimos absolver sus inquietudes, en el mismo orden en que fueron planteadas: 1.- Hasta que punto se pude considerar como información confidencial los datos que son procesados bajo el esquema de “carpeta única” descrito en su comunicación: 1.1.- El literal a) del numeral 2.1. de la Circular en comento, define el concepto de confidencialidad, en los siguientes términos: “Hace referencia a la protección de información cuya divulgación no está autorizada”. 1.2.- La disposición atrás trascrita debe interpretarse armónicamente con lo dispuesto

por el numeral 2.14. del mismo instructivo, que cita algunos ejemplos de información amparada por la reserva bancaria. Esta no es una enumeración taxativa. 1.3.- La información personal que suministra un cliente a una entidad financiera en virtud del formulario de vinculación, o para la apertura de nuevos productos es información confidencial1 y debe ser tratada como tal, para efectos de lo previsto por el numeral 3.2. de la Circular, tema al que se concreta su inquietud. 2.- El alcance estimado para el ítem “Dotar de seguridad la información confidencial de los clientes que se maneja en los equipos y redes de la entidad” se puede considerar como abarcado con un manejo de información cifrada a través de canales y cubiertos con medidas de seguridad tipo hardware como lo es un firewall: Sobre el particular, 1 Sobre el particular, resulta ilustrativo el concepto 2006017379-002 proferido por esta entidad el 9 de agosto de 2006, que puede consultar en el siguiente link: http://www.superfinanciera.gov.co/Normativa/Conceptos2006/2006017379.pdf nos permitimos manifestarle que: (i) la Circular Externa 052 de 2007 establece requerimientos mínimos que deben ser observados por las entidades vigiladas, en aras de la seguridad y calidad de la información que se maneja a través de los canales y medios de distribución de productos y servicios para clientes y usuarios. Para tal propósito, cada entidad establece la forma y medios que le permitan dar cumplimiento a los mismos. (ii) La anterior premisa se aplica también a lo previsto en el numeral 3.1.4., por lo cual, siempre que el esquema implementado por la entidad

cumpla con los requerimientos allí indicados, estará dando cumplimiento a lo señalado en la citada norma. (iii) Conviene anotar que no sólo se debe considerar la información que viaja a través de las redes, sino también a aquella almacenada en equipos servidores, portátiles, memorias USB, CD y en general, a cualquier dispositivo de almacenamiento. 3.- En el ítem que se indica como “ofrecer, cuando el cliente así lo exija, la posibilidad de manejar una contraseña diferente para cada uno de los canales”, el término “canales” a que hace referencia? El término se refiere a los canales de distribución de servicios financieros, al que se refiere el numeral 2.3. de la Circular. 4.- En el ítem que se indica “Implementar mecanismos de cifrado fuerte para el envío y recepción de información confidencial con los terceros contratados”, se puede considerar que la implementación de un algoritmo 3DES aplicado sobre la información enviada, cubre la necesidad acá expuesta? El numeral 3.2.5. de la Circular debe entenderse en concordancia con lo dispuesto por el numeral 2.6. de la misma. Toda vez que 3DES se encuentra citado en la norma como una “técnica de codificación para protección de información que utiliza algoritmos de robustez reconocidos internacionalmente”, la implementación descrita cumple con lo indicado en la norma. 5.- En el ítem que indica “la información que viaja entre las oficinas y los sitios centrales de las entidades deberá estar cifrada usando hardware de propósito específico, o software, o una combinación de los anteriores”, se entiende como Hardware la inclusión sobre un canal en fibra óptica la colocación de dispositivos tipo firewall o

enrutadores que se encargue (sic) de cifrar la información que viaja entre dependencias?: Esta Superintendencia considera que el requerimiento del numeral 4.1.5. de la Circular en comento se cumple si la entidad usa hardware de propósito específico, el cual podrá estar instalado en los equipos que manejan la seguridad, la conectividad o el enrutamiento de la información. En todo caso, la administración de los elementos de seguridad, entre ellos los usados para el cifrado de la información, deberá ser realizada por funcionarios diferentes e independientes a los encargados del enrutamiento y conectividad, configurando para ello, como mínimo, perfiles y accesos que permitan gestionar dichas funciones en forma separada. 6.- En el ítem que indica “Implementar los algoritmos y protocolos necesarios para brindar una comunicación segura” se puede considerar como la aplicación de algoritmo y protocolo la inclusión de certificados SSL para un servidor tipo Web en Internet? Si la comunicación se hace a nivel de intranet se requiere el uso de protocolos o algoritmos? La respuesta a su pregunta es afirmativa, siempre y cuando se empleen certificados de Servidor Seguro tipo SSL para el caso de Internet y se verifique la necesidad de tener puertos o protocolos disponibles para el uso de los servicios que provee la entidad. En el mismo sentido, en el caso de la intranet, la entidad debe tener control y monitoreo sobre los puertos y protocolos que están siendo usados y que los mismos tengan un propósito específico. 7.- En el ítem que indica “Estar basado en un hardware de propósito específico (appliance) totalmente separado e independiente de cualquier dispositivo de procesamiento de información, de comunicaciones y/o de seguridad informática”, se puede entender este hardware como un dispositivo tipo firewall o router, el cual

permita restringir acceso y sobre el cual se pueda analizar los procesos de conexión o los intentos fallidos de acceso? La respuesta a su pregunta es negativa. Un firewall o un enrutador cumplen funciones diferentes a las que realiza un sistema de análisis de vulnerabilidades. 8.- Cómo debe ser almacenada la información confidencial y que viaja de manera cifrada?: En los medios, formatos y estructuras que considere adecuada la entidad, siempre que los mismos brinden las medidas de seguridad necesarias para dotar de seguridad a la información. 9.- Cuando se cuenta con una topología a base de hardware que impide el acceso a la información, así como el uso de sistemas operativos base como de base de datos, a los cuales solo se puede ingresar por medio de una previa autenticación como el establecimiento de políticas claras de acceso, se puede considerar que la información se encuentra con las medidas necesarias de salvaguardado? Indudablemente los elementos señalados contribuyen a la seguridad de la información, pero ellos no son suficientes por si solos, deben estar acompañados de las demás medidas señaladas en la Circular Externa 052 y de las políticas, procedimientos y controles que defina la entidad para garantizar los criterios de seguridad y calidad de la información a que se refieren los numerales 2.1. y 2.2 del instructivo. (…).»