SFC - Servicios en la nube. Contratación de servicios de terceros Concepto 2015019296-001 del 16 de abril de 2015 id2015019296

SERVICIOS EN LA NUBE, CONTRATACIÓN DE SERVICIOS DE TERCEROS Concepto 2015019296-001 del 16 de abril de 2015

Síntesis: En nuestra legislación financiera no existe norma que de manera específica regule la “…contratación por parte de instituciones financieras de servicios en la nube”. Sobre ese particular, cabe señalar que la Ley 1341 de 2009 consagra los principios sobre “la sociedad de la información y la organización de las Tecnologías de la Información y las Comunicaciones”, entre ellos, el de neutralidad tecnológica previsto en numeral 6, artículo 2°. En punto de la contratación de personas naturales o jurídicas, bajo la modalidad de outsourcing o tercerización, por parte de las entidades financieras para la atención parcial o total de los distintos canales o de los dispositivos usados en ellos, o que en desarrollo de su actividad tengan acceso a información confidencial de la entidad o de sus clientes, le informamos que el numeral 2.3.6 del Capítulo I, Título II, Parte I de la Circular Básica Jurídica (CE 029 de 2014) establece los requerimientos mínimos que las mismas deben cumplir. «(…) correo electrónico dirigido con el objeto de conocer “…la regulación sobre contratación por parte de instituciones financieras en Colombia de servicios en la nube que se encuentran en centros de datos en Estados Unidos u otros países”.

En atención al objeto de su petición, amablemente le informamos que en nuestra legislación financiera no existe norma que de manera específica regule la “…contratación por parte de instituciones financieras de servicios en la nube”1. Sobre ese particular, cabe señalar que la Ley 1341 de 2009 consagra los principios sobre “la sociedad de la información y la organización de las Tecnologías de la

Información y las Comunicaciones”, entre ellos, el de neutralidad tecnológica previsto en numeral 6, artículo 2°, en los siguientes términos: El Estado garantizará la libre adopción de tecnologías, teniendo en cuenta recomendaciones, conceptos y normativas de los organismos internacionales competentes e idóneos en la materia, que permitan fomentar la eficiente prestación de servicios, contenidos y aplicaciones que usen Tecnologías de la Información y las Comunicaciones y garantizar la libre y leal competencia, y que su adopción sea armónica con el desarrollo ambiental sostenible. Ahora, en punto de la contratación de personas naturales o jurídicas, bajo la modalidad de outsourcing o tercerización, por parte de las entidades financieras para la atención parcial o total de los distintos canales o de los dispositivos usados en ellos, o que en desarrollo de su actividad tengan acceso a información confidencial de la entidad o de sus clientes, le informamos que el numeral 2.3.6 del Capítulo I, Título II, Parte I de la Circular Básica Jurídica (CE 029 de 2014) establece los requerimientos mínimos que las mismas deben cumplir. 1 Concebido como el “El modelo tecnológico que permite el acceso ubicuo adaptado y bajo la demanda en red a un conjunto compartido de recursos de computación configurables, compartidos (por ejemplo: redes, servidores, equipos de almacenamiento, aplicaciones y servicios), que pueden ser rápidamente aprovisionados y liberados con un esfuerzo de gestión reducido o interacción mínima con el proveedor del servicio”. Noción del NIST (National Institute of Standards and Technology), citada por el Ministerio de Tecnologías de la Información y las

Comunicaciones en Concepto No. 562992 del 10 de Septiembre de 2012. En dicha instrucción, se establece que las entidades vigiladas deben: (i) definir los criterios y procedimientos a partir de los cuales se seleccionarán los terceros y los servicios que serán atendidos por ellos (numeral 2.3.6.1.); (ii) exigir que los terceros contratados dispongan de planes de contingencia y continuidad debidamente documentados (numeral 2.3.6.3); (iii) establecer procedimientos que permitan identificar físicamente, de manera inequívoca, a los funcionarios de los terceros contratados (numeral 2.3.6.4); e (iv) implementar mecanismos de cifrado fuerte para el envío y recepción de información confidencial con los terceros contratados (numeral 2.3.6.5). Así mismo, se requiere que en los contratos que se celebren con terceros, se incluya cuando menos lo siguiente (numeral 2.3.6.2): Niveles de servicio y operación. Acuerdos de confidencialidad sobre la información manejada y sobre las actividades desarrolladas. Propiedad de la información. Restricciones sobre el software empleado. Normas de seguridad informática y física a ser aplicadas. Procedimientos a seguir cuando se encuentre evidencia de alteración o manipulación de dispositivos o información. Procedimientos y controles para la entrega de la información manejada y la destrucción de la misma por parte del tercero una vez finalizado el servicio. A su vez, se debe precisar que cada una de las entidades debe implementar un sistema de análisis de vulnerabilidades informáticas que cumpla con los requisitos del numeral 2.3.7 ibídem; de allí que son

ellas las llamadas a evaluar los riesgos que implique la implementación de las nacientes tecnologías y, por lo tanto, tomar decisiones para administrarlos. Es igualmente necesario anotar que la posibilidad que tienen las entidades vigiladas por esta Superintendencia para contratar con terceros, no las exime de dar cumplimiento a las exigencias que en materia de seguridad en el manejo de la información, disponibilidad de la misma y protección de datos, les imponen las normas. De allí que, independientemente del vínculo que contraigan, dichas entidades se encuentran sometidas al cumplimiento de la Ley 1266 de 2008 y a los principios consagrados en la Ley 1581 de 2013, ambas relativas al derecho fundamental de habeas data. Así mismo, deberán acatarse las instrucciones que han sido impartidas en punto de seguridad2 y calidad de la información3; los requerimientos generales4 y específicos para cada tipo de canal y manejo de documentación5; todos 2 Confidencialidad, integridad y disponibilidad. 3 Efectividad, eficiencia y confiabilidad. 4 El numeral 2.3.3.1. del Capítulo I, Título II, Parte I de la Circular Básica Jurídica (CE 029 de 2014) describe los requerimientos generales en materia de seguridad y calidad de la información vr.gr: disponer de hardware, software y equipos de telecomunicaciones, así como de los procedimientos y controles necesarios, que permitan prestar los servicios y manejar la información en condiciones de seguridad y calidad; gestionar la seguridad de la información; disponer que el envío de información confidencial y de los instrumentos para la realización de operaciones a sus clientes, se haga en condiciones de seguridad; dotar de seguridad la información confidencial

ellos contenidos en el numeral 2 del Capítulo I, Título II, Parte I de la Circular Básica Jurídica (CE 029 de 2014). Finalmente, no está demás señalar que la capacidad legal de las instituciones financieras para la contratación de servicios de terceros se encuentra delimitada a la realización de actos o actividades conexas con las operaciones legalmente autorizadas o inherentes a su objeto social principal (art. 99 Código de Comercio).En ese escenario, dicho tipo de vinculaciones son decisiones que cada entidad financiera debe adoptar en observancia de la legislación que rige el respectivo servicio y, en todo caso, con la prevención de que a través de las actividades que se involucren en la prestación del mismo, no se incurra en una delegación de la profesionalidad. (…).» de los clientes que se maneja en los equipos y redes de la entidad; velar porque la información enviada a los clientes esté libre de software malicioso; proteger las claves de acceso a los sistemas de información; velar porque los niveles de seguridad de los elementos usados en los canales no se vean disminuidos durante toda su vida útil. 5 A su vez, el numeral 2.3.3.2 ibídem determina los requerimientos que en materia de documentación se deben acoger, tales como: Dejar constancia de todas las operaciones que se realicen a través de los distintos canales; conservar todos los soportes y documentos donde se hayan establecido los compromisos; llevar un registro de las consultas realizadas por los funcionarios de la entidad sobre la información confidencial de los clientes; dejar constancia del cumplimiento de la obligación de informar adecuadamente a los clientes respecto de las medidas de seguridad que deben tener en cuenta para la realización de operaciones por cada canal; grabar las llamadas realizadas por los clientes a los centros de atención telefónica cuando consulten o actualicen su información.