SIC - Resolucion RE70035-2025 de 2025

Página 1 de 67

RESOLUCIÓN NÚMERO 70035 DE 2025

(12 de septiembre de 2025)

“Por la cual se impone una sanción administrativa”

Radicado 22-416065

LA DIRECTORA DE INVESTIGACIONES DE PROTECCIÓN DE

DATOS PERSONALES

En ejercicio de sus facultades legales, en especial las conferidas por los artículos 19 y 21 de la Ley 1581 de 2012, el numeral 4 del artículo 17 del Decreto 4886 de 2011, modificado por el artículo 7 del Decreto 092 de 2022, y

CONSIDERANDO

PRIMERO: Que, la sociedad SCOTIABANK COLPATRIA S.A., identificada con NIT. 860.034.594 -1, por medio de comunicación con radicado número 22416065-0 del 20 de octubre de 202 2, reportó la ocurrencia de un incidente de seguridad con referencia a la base de datos denominada ‘D_Clientes’.

SEGUNDO: Que, por medio de comunicación con radicado número 22-4160652 del 07 de diciembre de 2022, la sociedad SCOTIABANK COLPATRIA S.A. aportó información adicional sobre el incidente de seguridad ocurrido el día 23

de septiembre, en los siguientes términos:

2.1. El 23 de septiembre de 2022, SCOTIABANK COLPATRIA S.A. recibió por parte de Incocredito una base de datos personales encontrada en una investigación realizada a un centro de atención telefónica.

2.2. La sociedad SCOTIABANK COLPATRIA S.A. basándose en los atributos del archivo entregado por Incocredito, pudo determinar que el archivo fue creado

investigación realizada a un centro de atención telefónica.

2.2. La sociedad SCOTIABANK COLPATRIA S.A. basándose en los atributos del archivo entregado por Incocredito, pudo determinar que el archivo fue creado por un funcionario activo con el cargo de director de Informe y Reservas. De igual manera en este informe, indicó que “El funcionario aceptó haber utilizado sus privilegios de excepción para enviar archivos ZIP cifrados a su correo electrónico personal y que estos contenían información persona l de clientes y que él obtenía la información de una carpeta compartida utilizada por su grupo de trabajo. El empleado admitió haber usado sus privilegios de excepción para enviar archivos cifrados a su correo electrónico personal y venderlos por una tarifa (…)”. Por lo cual, el banco procedió a separar al funcionario de su cargo en la organización.

2.3. El Banco integró un equipo multidisciplinario con el fin de realizar una imagen forense del equipo de cómputo desde donde se enviaban los archivos. De la revisión de los chats, historial de navegación y uso de periféricos, no se logró extraer prueba alguna que evidenciara la filtración de datos por este medio. En la revisión de correos electrónicos, se encontró que se enviaron correos con archivos ZIP cifrados y protegidos con contraseña.

2.4. De los hallazgos resultantes de la revisión, el Banco concluyó lo siguiente: i) El total de clientes cuya información personal se vio comprometida con la ocurrencia de este evento es de setecientas veintiún mil tresci entas setenta y un (721.371) personas; ii) la causa del evento corresponde al abuso y extralimitación de funciones por parte de un empleado con cargos de confianza.

ocurrencia de este evento es de setecientas veintiún mil tresci entas setenta y un (721.371) personas; ii) la causa del evento corresponde al abuso y extralimitación de funciones por parte de un empleado con cargos de confianza.

2.5. Como parte del plan de contención, el Banco implementó las siguientes medidas:

VERSIÓN PÚBLICARESOLUCIÓN NÚMERO 70035 DE 2025

“Por la cual se impone una sanción administrativa”

Página 2 de 67

• Robustecimiento del control de DLP XXXXXXXXXXXXXXX para usuarios exceptuados.

• Para los usuarios exceptuados, se reforzaron las acciones de revisión de actividad autorizada por parte del equipo DLM XXXXXXXXXXXXXXXXX.

• Se robusteció la herramienta DLP con una regla para los usuarios exceptuados, de tal manera que los archivos cifrados solo podrán ser enviados por correos de dominios corporativos. Adicionalmente, en caso de usuarios exceptuados realicen envíos a correos con archivos cifrados a dominios no corporativos, estos correos serán enviados a cuarentena donde tendrán una segunda revisión y serán autorizados para su liberación en los casos que aplique.

• El Banco ha implementado mejoras en la gestión de clientes, poniendo en un grupo de control a los clientes relacionados con este evento particular, con reglas de prevención dirigidas a comercios de mayor nivel de fraude y reglas más restrictivas.

• Se establecieron otros para atender lo relacionado con suplantación, transacciones por canales digitales y compras no reconocidas.

2.6. Como parte del plan de prevención se implementaron los siguientes controles:

reglas más restrictivas.

• Se establecieron otros para atender lo relacionado con suplantación, transacciones por canales digitales y compras no reconocidas.

2.6. Como parte del plan de prevención se implementaron los siguientes controles:

• Plan de entrenamiento y concienciación a nivel de riesgos de privacidad y seguridad de la información.

• Controles a nivel de aplicaciones y sistemas.

• Gestión de reglas de DLP para garantizar la protección de la información e información relacionada con el estándar de seguridad para la industria de tarjetas de crédito.

• Monitoreo y bloqueo de correos enviados a dominios ex ternos que contengan información o adjuntos cifrados.

• Controles DLP dentro de la solución de administración de dispositivos móviles.

• Controles a nivel de red relacionados al bloqueo de sitios de internet no autorizados cuando se navega mediante red corporativa.

• Monitoreo de impresión de información sensible.

• Restricciones para evitar la manipulación de agentes DLP en estaciones de trabajo de usuario final.

• Se realizan revisiones periódicas a las alertas de los empleados excepcionados para validar su razonabilidad.

• Campaña interna sobre cultura de riesgo.

• Proceso de evaluación integral sobre los riesgos y las debilidades en las actividades de tratamiento de la información confidencial de clientes.

• Lanzamiento de la campaña masiva “#Señalesdealerta” a través de medios digitales, redes sociales, canales propios, reforzando las recomendaciones de seguridad y prevención de las modalidades de fraude que existen en el sector financiero.RESOLUCIÓN NÚMERO 70035 DE 2025

digitales, redes sociales, canales propios, reforzando las recomendaciones de seguridad y prevención de las modalidades de fraude que existen en el sector financiero.RESOLUCIÓN NÚMERO 70035 DE 2025

“Por la cual se impone una sanción administrativa”

Página 3 de 67

TERCERO: Que, por medio de comunicación con radicado número 22-416065-3 del 13 de marzo de 2023, la sociedad SCOTIABANK COLPATRIA S.A. aportó información adicional sobre el incidente de seguridad ocurrido el día 23 de

septiembre, en los siguientes términos:

3.1. El Banco determinó que el total de usuario s afectados fue de setecientos noventa y un mil trescientos sesenta y cinco (791.365) titulares.

3.2. El Banco descifró el 98% de los archivos que salieron al correo personal del empleado implicado, quedando un remanente del 2% el cual no ha sido posible descifrar y frente a lo cual los técnicos han determinado que la probabilidad de éxito es muy remota, razón por la cual se tomó la decisión de dar por terminada la investigación.

CUARTO: Que, la Dirección de Investigaciones de Protección de Datos Personales, a través el Grupo de Trabajo de Informática Forense y Seguridad Digital, realizó un informe de an álisis del incidente de seguridad reportado por la sociedad SCOTIABANK COLPATRIA S.A., el cual se encuentra contenido en el radicado número 22-416065-4 del 11 de abril de 2023, en el que se concluyó

lo siguiente:

• Este tipo de incidente afectó la confidencialidad de los datos personales.

• Los datos afectados corresponden a datos generales, datos de identificación,

lo siguiente:

• Este tipo de incidente afectó la confidencialidad de los datos personales.

• Los datos afectados corresponden a datos generales, datos de identificación, datos socio económicos, y datos de ubicación.

• Después de realizar el análisis de la información reportada por la sociedad, el incidente de seguridad se clasifica como severidad alta.

QUINTO: Que, este Despacho requirió a la sociedad SCOTIABANK COLPATRIA S.A., por medio de oficio con radicado número 22 -416065-5 del 14 de abril de 2023, con el fin de que contestara los siguientes interrogantes:

“(…)

1. Ampliar la información respecto al tipo de datos comprometidos como consecuencia del incidente.

2. Manifestar si se presentaron reclamaciones de titulares afectados con respecto al incidente, en caso afirmativo, allegar copia de estas con el tratamiento que se les dio.

3. Señalar si recibi ó reclamación del se ñor XXXX XXXXXXX XXXXXXX XXXXX, de ser así aportar copia de la respuesta que se le dio y de la gestión realizada para el caso.

4. Indicar la razón social del callcenter al que le fue encontrada la base de datos reportada por Incocredito al Banco.

5. Detallar el informe resultado de la investigaci ón adelantada por

Incocredito.

6. Hacer llegar copia del informe de an álisis forense ejecu tado sobre el computador del exfuncionario del Banco.

7. Remita copia de la denuncia fiscal ía interpuesta al exfuncionario del

Banco.

8. Informar si se identificaron el o los compradores de las bases de datos traficadas por el exfuncionario del Banco.

computador del exfuncionario del Banco.

7. Remita copia de la denuncia fiscal ía interpuesta al exfuncionario del

Banco.

8. Informar si se identificaron el o los compradores de las bases de datos traficadas por el exfuncionario del Banco.

9. Comunicar si se logró establecer la fecha en la que el exfuncionario del Banco inició la venta de bases de datos personales de clientes del banco.

10. El banco reportó mediante los radicados: 19-046175, 21-157317 y 20439193 incidentes de seguridad relacionados con el acceso no autorizado a los datos personales de sus clientes por parte de terceros no autorizados.

Manifieste si estos incidentes están relacionados con el incidente tratado en la presente acta.

11. Indique los medios por los cuales se les notific ó a los titulares sobre el incidente, de ser as í, adjuntar el comunicado o informaci ón proferida para dar a conocer el incidente a las partes interesadas (Responsables, Encargados, Proveedores y otros) y/o titulares afectados. En caso afirmativo allegar copia de dichas notificaciones.

12. Aportar copia del procedimiento para la gesti ón de incidentes de seguridad de la información.RESOLUCIÓN NÚMERO 70035 DE 2025

“Por la cual se impone una sanción administrativa”

Página 4 de 67

13. Sirvase de señalar s í el Banco cuenta con un procedimiento de investigación y análisis de fraudes, en caso afirmativo aportar copia de este.

14. Informar los controles implementados relacionados con el talento humano que dentro de sus funciones hagan tratamiento de datos personales, así como las capacitaciones impartidas a este grupo de funcionarios.

14. Informar los controles implementados relacionados con el talento humano que dentro de sus funciones hagan tratamiento de datos personales, así como las capacitaciones impartidas a este grupo de funcionarios. 15. .Allegar todos los soportes que el banco considere pertinentes remitir para evidenciar su adecuada gestión en la detección, tratamiento y solución del presunto incidente de seguridad.

(…)”1.

SEXTO: Que, por medio de comunicación con radicado 22-416065-13 del 08 de mayo de 2023, la sociedad SCOTIABANK COLPATRIA S.A. dio respuesta al requerimiento anteriormente mencionado e indicó, entre otras cosas, lo

siguiente:

6.1. Conforme al informe suministrado por INCOCREDITO, se pudo determinar que el tercero a quien presuntamente se vendió la base de datos es The Best Marketing Limit.

6.2. Conforme a la información suministrada por el ex funcionario del Banco durante los descargos practicados, se logró establecer que la conducta se venía presentando en un lapso de 4 años anteriores a la detección del incidente, sin embargo, no se pudo determinar la fecha exacta de la venta de la primera base de datos.

6.3. A los clientes que fueron afectados se les envió comunicación por medio de una carta con el procedimiento para llevar a cabo el reemplazo de plásticos; adicionalmente, el Banco adelantó campañas enfocadas en la prevención de fraudes y ciberataques.

6.4. Como parte del ambiente de control establecido por el Banco, cada una de las unidades de negocio tienen definidos controles operativos, tecnológicos, de áreas de apoyo y transversales a toda la organización para mitigar el riesgo de

fraudes y ciberataques.

6.4. Como parte del ambiente de control establecido por el Banco, cada una de las unidades de negocio tienen definidos controles operativos, tecnológicos, de áreas de apoyo y transversales a toda la organización para mitigar el riesgo de fuga de información; como los que se relacionan a continuación:

6.4.1. Controles transversales

• Todas las unidades de negocio de la organización deben documentar en las descripciones de cargo, detallando las responsabilidades, atribuciones y funciones conforme al rol que desempeña cada funcionario.

• Los líderes de las unidades de negocio son los res ponsables de certificar los accesos a los sistemas o aplicaciones de los usuarios que hacen parte del área, con el fin de garantizar que los accesos están asignados correctamente para el desarrollo de las funciones propias de su cargo. Esta certificación de usuarios es de obligatorio cumplimiento.

• Una vez un colaborador ingresa al Banco o sus filiales, debe realizar el curso de "Privacidad en Scotiabank" con el objetivo de conocer sus deberes, limitaciones, y escenarios de riesgo más relevantes, así como su deber en reportar situaciones identificadas que vayan en contra de esta política, por medio de los canales establecidos por la Gerencia de Cumplimiento.

• Mantener actualizados los accesos a carpetas compartidas de la Gerencia

XXXxxxxxxxxxxxxxxxxxxx.

6.4.2. Controles tecnológicos y áreas de apoyo:

• Herramientas de DLP (xxxxxxxxxxxxxxxxxxxx).

• Manejo de excepciones de DLP.

1 Radicado número 22-416065-5 del 14 de abril de 2023. Folio 2.RESOLUCIÓN NÚMERO 70035 DE 2025

“Por la cual se impone una sanción administrativa”

1 Radicado número 22-416065-5 del 14 de abril de 2023. Folio 2.RESOLUCIÓN NÚMERO 70035 DE 2025

“Por la cual se impone una sanción administrativa”

Página 5 de 67

• Prevención de fuga de la información por acceso indebido a directorio en la

NAS.

• Control para la ejecución de xxxx, transfer en xxxxx y consulta de archivos críticos.

• Mecanismos para el intercambio de información segura.

• Controles de acceso remoto.

• Programa de prevención de fuga de información.

6.5. El Banco aportó los siguientes documentos:

• Listado de campos comprometidos como consecuencia del incidente.

• Informe presentado por INCOCREDITO.

• Informes de análisis forenses ejecutados por el Banco.

• Copia de la denuncia radicada ante la Fiscalía General de la Nación.

• Carta enviada a los titulares para el reemplazo de plásticos.

• Copia de los procedimientos para la gestión y atención de incidentes de seguridad y privacidad.

• Copia del procedimiento para atención y gestión de casos de fraude.

• Certificación de los cursos probados por los funcionarios que realizan tratamiento de datos personales emitidas por el área de recursos humanos de la compañía.

SÉPTIMO: Que, por medio de comunicación con radicado 22-416065-16 del 19 de mayo de 2023, la sociedad SCOTIABANK COLPATRIA S.A. amplió la respuesta emitida al requerimiento e indicó, entre otras cosas, lo siguiente:

7.1. Anexó el inventario de quejas en el periodo comprendido en la investigación

de mayo de 2023, la sociedad SCOTIABANK COLPATRIA S.A. amplió la respuesta emitida al requerimiento e indicó, entre otras cosas, lo siguiente:

7.1. Anexó el inventario de quejas en el periodo comprendido en la investigación del incidente, asociadas a fraude y falsos positivos (intento de fraude). Es preciso señalar que las quejas que relacionamos corresponden a lo casos con fraude materializado, así como aquellos en los que hubo un uso inadecuado de los datos para intentos de fraude. Aun los casos enviados en el inventario obedecen a titulares cuyos datos est uvieron comprometidos en el evento en cuestión, no es posible establecer que la queja tenga relación directa con la infidelidad cometida por el exfuncionario.

OCTAVO: Que, con posterioridad a la entrega del material probatorio, el Grupo de Trabajo de Informática Forense y Seguridad Digital radicó bajo consecutivo número 22-416065-22 de fecha 14 de agosto del 2023 un nuevo informe de análisis de incidente de seguridad, al interior del cual se encuentran las

siguientes observaciones:

8.1. El Banco aportó un archivo denominado ‘Reclamaciones titulares afectados’, el cual se encuentra compuesto por dos hojas llamadas ‘intento fraude-falso positivo’ y ‘fraude materializado’ ; este ultima se encuentra compuesta por 52928 registros de quejas asociados a fraude durante el periodo de investigación del incidente; sin embargo, no se observan quejas relacionadas con la ocurrencia del incidente.

8.2. De conformidad con los informes forenses ejecutados por el Banco, se encontró que a partir de los archivos recolectados por INCOCREDITO se pudo establecer que la fuga de información se relacionaba con el funcionario WALTER

8.2. De conformidad con los informes forenses ejecutados por el Banco, se encontró que a partir de los archivos recolectados por INCOCREDITO se pudo establecer que la fuga de información se relacionaba con el funcionario WALTER ALEXANDER LADINO MOLANO ; en la investigación se estableció que elRESOLUCIÓN NÚMERO 70035 DE 2025

“Por la cual se impone una sanción administrativa”

Página 6 de 67

funcionario envió a su correo personal 413 correos electrónicos con archivos cifrados.

8.3. Después del análisis, se concluye que el Banco tenía implementada la herramienta DLP, la cual tiene por objetivo la prevención de la pérdida de información y sobre esta tenía el exfuncionario tenía configurada una excepción que le permitía el envío de correos electrónicos con adjuntos a dominios externos al Banco.

NOVENO: Que, advirtiendo que se presentó una presunta violación de las normas de protección de datos personales, esta Dirección decidió iniciar una investigación administrativa en contra de la sociedad SCOTIABANK COLPATRIA S.A. , identificada con NIT. 860.034.594-1, por medio de la Resolución N.º 52039 del 06 de septiembre de 2024 , en la cual se formuló un cargo por la presunta infracción a lo dispuesto en:

1. El literal d) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en los literales g) y h) del artículo 4 de la misma ley y los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 del 2015.

los artículos 2.2.2.25.6.1 y 2.2.2.25.6.2 del Decreto Único Reglamentario 1074 del 2015.

La mencionada resolución le fue notificada a la investigada por medio de Aviso N.º 20937 del 17 de septiembre de 2024 , de conformidad con la certificación expedida por la Coordinación del Grupo de Notificaciones y Certi ficaciones de esta Superintendencia , radicada bajo el número 22-416065-36 del 18 de septiembre de 2024 , para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

DÉCIMO: Que, advirtiendo que se presentó una presunta violación de las normas de protección de datos personales, esta Dirección decidió iniciar una investigación administrativa en co ntra del señor WALTER ALEXANDER LADINO MOLANO, identificado con cédula de ciudadanía N.º 79.763.485, por medio de la Resolución N.º 52039 del 06 de septiembre de 2024, en la cual se formularon cargos por la presunta infracción a lo dispuesto en:

1. El literal b) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en literal c) del artículo 4 de la Ley 1581 del 2012, el artículo 9 de la misma norma, y los artículos 2.2.2.25.2.2, 2.2.2.25.2.4

y 2.2.2.25.2.5 del Decreto Único Reglamentario 1074 del 2015.

1. El literal d) del artículo 17 de la ley 1581 de 2012 en concordancia con lo establecido en los literales g) y h) del artículo 4 de la misma ley.

La mencionada resolución le fue notificada al investigado de forma electrónica el día 06 de septiembre de 2024, de conformidad con la certificación expedida por la Secretaría General de esta Superintendencia, radicada bajo el número 22416065-36 del 18 de septiembre de 2024 , para que se pronunciara sobre los hechos materia de investigación y aportara las pruebas que pretendiera hacer valer dentro del referido trámite, con el fin de que ejerciera a cabalidad su derecho de defensa y contradicción.

DÉCIMO PRIMERO: Que, el señor WALTER ALEXANDER LADINO MOLANO presentó su escrito de descargos, por medio de comunicación con radicado número 22-416065-37 del 27 de septiembre de 2024 , en el que manifestó lo

siguiente:

11.1. El día 28 de septiembre de 2022 lo abordaron cinco personas que adujeron ocupar cargos directivos en SCOTIABANK COLPATRIA S.A. , junto con un hombre que indicó ser investigador judicial, quienes le manifestaron que tenían información que lo implicaba en un fraude de dimensiones millonarias. Le indicaron que debía realizar una carta donde aceptara la comisión de los hechosRESOLUCIÓN NÚMERO 70035 DE 2025

“Por la cual se impone una sanción administrativa”

Página 7 de 67

y adicionalmente le exigieron que presentara su renuncia al cargo que ocupaba,

“Por la cual se impone una sanción administrativa”

Página 7 de 67

y adicionalmente le exigieron que presentara su renuncia al cargo que ocupaba, bajo amenazas.

11.2. Manifestó que el proceso disciplinario llevado a cabo por parte del Banco fue violatorio de sus derechos en la medida en que el mismo 28 de septiembre de 2022, donde le exigieron su renuncia, se realizaron los descargos sin la posibilidad de presentar pruebas y de conocer las pruebas que había recolectado el Banco en su contra.

11.3. Indicó que no es cierto que se haya presentado la venta de información personal, lo cual puede corroborarse en la denuncia interpuesta ante la Fiscalía General de la Nación con radicado número XXXXXXXXXXXXXXXXXXXX, donde solo se hace referencia a los delitos de violación de datos personales, utilización ilícita de redes de comunicación y acceso abusivo a sistema informático agravado.

11.4. Manifestó que en el documento ‘PRIVILEGED AND CONFIDENT IAL: INTERNAL FORENSIC EXAMINATIO REPORT: Project Protect – LADINO MOLANO, Walter Alexander – CS Misconduct (Risk: High) – Case XXXXXXXXXXXX’ se señala que no existe exfiltración de datos por parte de él, razón por la cual no hay una prueba cierta que demuestre la supuesta venta de bases de datos.

11.5. Hace referencia a unos mensajes enviados desde la plataforma Teams a un Analista II (SMB), e indica que el contenido de los mensajes hace referencia a las actividades propias de su trabajo, toda vez que este hacia parte administrativa de la transmisión de informes, “(…) necesitaba confirmación de los correos que salían y dejar constancia de los mismos por el hecho de los

a las actividades propias de su trabajo, toda vez que este hacia parte administrativa de la transmisión de informes, “(…) necesitaba confirmación de los correos que salían y dejar constancia de los mismos por el hecho de los permisos de excepción del DPL. Esta autorización a excepción del DPL, se solicitó una única vez, se especifica cómo debía ser dicha solicitud, la cual tenía que tener el visto bueno de la gerencia, el área de seguridad y vice presidencia financiera, se solicitó mediante correo electrónico, y así mismo la contestaron”.

11.6. Manifestó que respecto a lo informado por SCOTIABANK COLPATRIA S.A. respecto de la instalación del programa CCleaner; para borrar los datos de navegación en el equipo portátil que usaba en el Banco, no tenía conocimiento pues la instalación de programas n o era permitida y estas actividades solo las podían realizar el área de tecnología y soporte.

11.7. Señaló que en la información allegada por SCOTIABANK COLPATRIA S.A. mediante 22-416065-16, se aseguró que hubo posible fuga de información sin embargo dicha sociedad no aportó ninguna prueba que lo relacione con esos casos.

11.8. El Banco estableció que los hechos en los que se vio envuelto se vieron afectados sesenta mil (60.000) clientes, el resto de los casos relacionados corresponde a incidentes que no se relacionan con los que se atienden en este caso.

11.9. Afirma que los d escargos realizados por él el día 28 de septiembre de 2022, no deben ser tenidos en cuenta ya que estos se obtuvieron vulnerando el debido proceso, el derecho defensa y contradicción.

DÉCIMO SEGUNDO : Que, la sociedad SCOTIABANK COLPATRIA S.A.

2022, no deben ser tenidos en cuenta ya que estos se obtuvieron vulnerando el debido proceso, el derecho defensa y contradicción.

DÉCIMO SEGUNDO : Que, la sociedad SCOTIABANK COLPATRIA S.A. presentó su escrito de descargos, por medio de comunicación con radicado número 22 -416065-40 del 0 8 de octubre de 2024, en el que manifestó lo

siguiente:

12.1. Realizó un recuento de los antecedentes del incidente de seguridad entre los que destacó que el 23 de septiembre de 2022, I NCOCREDITO detectó una base de datos que correspondía a información de clientes del Banco, la cual se encontraba en posesión de un call center. Posteriormente, el Banco reportó la detección del incidente de seguridad que se materializó a partir de una infidelidad de un empleado con cargo de confianza que se desempeñaba como Director de Informes y Reservas.RESOLUCIÓN NÚMERO 70035 DE 2025

“Por la cual se impone una sanción administrativa”

Página 8 de 67

12.2. Resaltó los siguientes controles que se tenían implementados en la época de ocurrencia de los hechos:

• Herramienta xxxxxxxxxxxxxxxxxxxx (DLP). - Prevención de fuga de información por acceso indebido a directorios en el NAS. - Control para la ejecución de xxxx, transfer en xxxxx y consulta de archivos críticos. - Mecanismos para el intercambio de información segura. - Controles de acceso remoto. - Programa de prevención de fuga de información - Controles transversales - Manejo de excepciones herramienta xxxxxxxxxxxxxxxxxxxx (DLP).

12.3. La herramienta xxxxxxxxxxxxxxxxxxxx (DLP) tenía un manejo de

• Controles de acceso remoto. - Programa de prevención de fuga de información - Controles transversales - Manejo de excepciones herramienta xxxxxxxxxxxxxxxxxxxx (DLP).

12.3. La herramienta xxxxxxxxxxxxxxxxxxxx (DLP) tenía un manejo de excepciones debido al rol o función que desempeñaban ciertos cargos, era necesario tener un grupo de funcionarios con manejo de excepciones al xxxx xxxxxxxxxxxxxxxx (DLP), dentro del cual se encontraba el señor LADINO MOLANO, quien desempeñaba un cargo de dirección, confianza y manejo que le exigía un deber especial de cuidado frente a las labores que desempeñaba como Director teniendo en cuenta la naturaleza del vínculo contractual con el Banco. El incidente tuvo lugar por la extralimit ación en las funciones del señor LADINO MOLANO quien actuó por cuenta propia y en desconocimiento de las obligaciones que como empleado debía cumplir.

Debe tenerse presente que los empleados bajo una modalidad trabajo de dirección, confianza y manejo como la ostentaba el señor LADINO MOLANO, demandan un grado extra de responsabilidad dentro de la estructura de la empresa, pero sobre todo que el empleador despliegue un grado de confianza especial de cara al empleado para el logro de sus objetivos puesto que esta modalidad de cargos posee poder de mando y una jerarquía privilegiada frente a los demás empleados.

12.4. Manifiesta que esta Superintendencia está reconociendo que el ex empleado se extralimitó en el desarrollo de sus actividades pese a la confianz a depositada por el Banco en él y, siendo consciente de las obligaciones de confidencialidad pactadas contractualmente y las diferentes capacitaciones que hacía periódicamente en materia de protección de datos, seguridad y código de

depositada por el Banco en él y, siendo consciente de las obligaciones de confidencialidad pactadas contractualmente y las diferentes capacitaciones que hacía periódicamente en materia de protección de datos, seguridad y código de conducta, dolosamente y aprovechando la buena fe depositada en él por el Banco, decidió realizar el envío no autorizado de las mencionadas bases de datos. Por lo anterior, no puede considerarse como una falla en los protocolos de seguridad del banco ya que las excepciones se oto rgan atendiendo a los criterios de las funciones que se cumplen dentro de la organización.

12.5. Indica que no es cierto que el Banco no haya dispuesto medidas adicionales que permitieran mitigar el riesgo relacionado con la excepción del DLP.

12.6. Aclara que la herramienta CCleaner es un software que permite el borrado seguro de la información mediante el despliegue de su mecanismo de eliminación que consiste en la ejecución de múltiples pasadas sobre el archivo. El Banco hace mención de la instalación de la herramienta CCleaner en el equipo asignado al señor LADINO MOLANO como elemento de prueba ante un eventual proceso penal, toda vez que con este se pretende demostrar las razones por las cuales los archivos y carpetas que se encontraron en la ima gen forense del disco del equipo no se pueden visualizar en el sistema de archivos de Windows; razón por la cual no existe una relación causal entre el aplicativo y la materialización del incidente.

12.7. Con el fin de prevenir la posibilidad de una infid elidad por parte del funcionario involucrado, este no tenía acceso directo a la información asociada, pues la información debía solicitarla a su equipo de trabajo quien le consigna la

incidente.

12.7. Con el fin de prevenir la posibilidad de una infid elidad