La Resolución SBS N.° 504-2021 aprobó el Reglamento para la Gestión de la Seguridad de la Información y la Ciberseguridad, vigente desde el 1 de julio de 2021. Establece lo que las entidades supervisadas deben hacer para proteger su información y responder a incidentes.
¿A quién aplica?
Aplica a las empresas del sistema financiero comprendidas en los artículos 16 y 17 de la Ley General del Sistema Financiero (Ley N.° 26702), a los corredores de seguros, y a entidades como el Banco de la Nación, Agrobanco, COFIDE, el Fondo MIVIVIENDA y las cajas de beneficios supervisadas por la SBS.
Qué exige, en resumen
- Un sistema de gestión de seguridad de la información y ciberseguridad (SGSI-C), proporcional al tamaño y la complejidad de la entidad.
- Un programa de ciberseguridad para las entidades con presencia en el ciberespacio, con un diagnóstico y un plan de mejora basados en un marco internacional.
- Reporte a la SBS de incidentes de ciberseguridad significativos, con un informe sobre su causa.
- Controles para los canales digitales: autenticación adecuada, monitoreo de transacciones para detectar fraude y protección de las APIs.
- Uso de criptografía para proteger la confidencialidad, autenticidad e integridad de la información.
- Reportes periódicos a la SBS sobre la gestión de la seguridad de la información.
Proveedores y servicios en nube
El reglamento pone especial atención en los terceros:
- Antes de contratar a un proveedor, la entidad debe evaluar las amenazas y vulnerabilidades de seguridad asociadas.
- Los contratos deben definir las responsabilidades de seguridad del proveedor y permitir a la entidad cumplir con el reglamento.
- Para los servicios significativos en nube, la entidad debe verificar cada año que el proveedor cuente con certificaciones como ISO 27001, 27017 y 27018, y revisar sus controles mediante informes o auditorías independientes.
- La entidad debe comunicar a la SBS la contratación de servicios significativos en nube con anticipación al inicio del servicio.
Por dónde empezar
- Medir la situación actual frente a un marco reconocido, como ISO 27001 o el NIST Cybersecurity Framework, e identificar las brechas.
- Inventariar activos y vulnerabilidades, priorizando los sistemas que soportan los canales digitales y los procesos críticos.
- Ordenar la gestión de terceros, con una evaluación inicial y un monitoreo continuo de los proveedores con acceso a información o sistemas.
- Fortalecer la detección y respuesta, para identificar a tiempo los incidentes significativos y cumplir los plazos de reporte.
- Proteger los accesos privilegiados y las APIs, que son los objetivos más frecuentes de los ataques a canales digitales.
Cómo te ayudamos
En REDES evaluamos la postura de ciberseguridad de tu entidad, priorizamos las brechas frente al reglamento e implementamos los controles técnicos: gestión de vulnerabilidades, riesgo de terceros, protección de APIs, accesos privilegiados y monitoreo de amenazas.
Este resumen es informativo. Para la interpretación del reglamento en tu caso particular, consulta el texto oficial y a tu área legal o de cumplimiento.
