CAPÍTULO DÉCIMO SEGUNDO: REQUERIMIENTOS MÍNIMOS DE SEGURIDAD Y CALIDAD PARA LA REALIZACIÓN DE OPERACIONES
David RodríguezApuntes2 de Noviembre de 2015
2.105 Palabras (9 Páginas)225 Visitas
CAPÍTULO DÉCIMO SEGUNDO: REQUERIMIENTOS MÍNIMOS DE SEGURIDAD Y CALIDAD PARA LA REALIZACIÓN DE OPERACIONES
CONTENIDO
- Ámbito de aplicación
- Definiciones y criterios de seguridad y calidad de la información
- Obligaciones generales
- Seguridad y calidad
- Tercerización – Outsourcing
- Documentación
- Obligaciones adicionales por tipo de canal
- Oficinas
- Cajeros Automáticos (ATM)
- Receptores de cheques
- Receptores de dinero en efectivo
- POS (incluye PIN Pad)
- Banca Móvil
- Reglas sobre actualización de software
- Obligaciones específicas para tarjetas débito y crédito
- Análisis de vulnerabilidades
CAPÍTULO DÉCIMO SEGUNDO: REQUERIMIENTOS MÍNIMOS DE SEGURIDAD Y CALIDAD PARA LA REALIZACIÓN DE OPERACIONES
- Ámbito de aplicación
Las siguientes instrucciones deben ser seguidas por las entidades vigiladas por la superintendencia financiera
Pero, las entidades, las entidades exentas deben seguir al pie de la letra los requisitos, establecidos en los numerales 2.1. y 2.2 del presente capítulo.
El numeral 3.1.13 “Elaborar el perfil de las costumbres transacciones de cada uno de sus clientes…” será aplicable para los establecimientos de crédito.
El numeral 7 “Análisis de vulnerabilidades” será ser aplicado únicamente por los establecimientos que otorguen crédito y los administradores de sistemas de pago de bajo valor.
- Definiciones y criterios de seguridad y calidad de la información
Las entidades tienen que tener en cuenta las siguientes definiciones y criterios:
- Criterios de seguridad de la información
- Confidencialidad: Es la propiedad de la información, por la que se garantiza que está accesible únicamente a personal autorizado a acceder a dicha información.
- Integridad: La corrección y completitud de los datos en una base de datos
- Disponibilidad: La información debe estar en el momento que se requiera.
- Criterios de calidad de la información
- Efectividad: Es la capacidad de lograr un efecto deseado, esperado o anhelado. En cambio, eficiencia es la capacidad de lograr el efecto en cuestión con el mínimo de recursos posibles viable
- Eficiencia: La capacidad de describir a una persona eficaz de disponer de alguien o de algo para conseguir un efecto determinado.
- Confiabilidad: Es una propiedad que hace referencia a la ausencia de errores de medida, o lo que es lo mismo, al grado de consistencia y estabilidad de las puntuaciones obtenidas a lo largo de sucesivos procesos de medición con un mismo instrumento.
- Canales de distribución de servicios financieros
Los canales de distribución de servicios financieros, son los siguientes:
- Oficinas.
- Cajeros Automáticos (ATM).
- Receptores de cheques.
- Receptores de dinero en efectivo.
- POS (incluye PIN Pad).
- Sistemas de Audio Respuesta (IVR).
- Centro de atención telefónica (Call Center, Contact Center).
- Sistemas de acceso remoto para clientes (RAS).
- Internet.
- Banca móvil.
- Instrumentos para la realización de operaciones
Los elementos mediante los cuales se llevan a cabo las operaciones
- Tarjetas débito.
- Tarjetas crédito.
- Dispositivos móviles.
- Órdenes electrónicas para la transferencia de fondos.
- Vulnerabilidad informática
Deficiencia de los controles informáticos,
- Operaciones
2.8.1. Operaciones no monetarias
Son las acciones a través de las cuales se desarrollan, ejecutan o materializan los productos o servicios que prestan las entidades a sus clientes o usuarios y que no conllevan movimiento, manejo o transferencia de dinero.
2.8.2. Operaciones monetarias
Son las acciones que implican o conllevan movimiento, manejo o transferencia de dinero.
2.9. Cliente
Persona que tiene cuenta en el banco
2.10. Usuario
Es la persona que no es cliente con el banco, pero este le presta sus servicios
2.11. Producto
Operaciones que el banco puede hacer de manera legal con previa autorización a las autoridades.
2.12. Servicio
Interacción de las entidades en los procesos de inspección con sus clientes y usuarios para el buen desarrollo de su objeto social.
2.13. Dispositivo
Mecanismo para llevar a cabo una función determinada.
2.14. Información confidencial
La información que el banco maneja es confidencial. Esta clasificación deberá estar debidamente documentada y a disposición de la Superintendencia Financiera de Colombia.
- Obligaciones generales
En desarrollo de lo dispuesto en el presente Capítulo, las entidades deberán incluir en sus políticas y procedimientos relativos a la administración de la información, los criterios de que tratan los numerales 2.1 y 2.2.
Sin embargo y adicional a esto abajo se encuentran más normativas
- Seguridad y calidad
En desarrollo de los criterios de seguridad y calidad las entidades deberán cumplir son:
- Disponer de una adecuada plataforma tecnológica
- Administrar la seguridad de la información
- Se debe tener un adecuado manejo de la información, confidencial y completamente seguro.
- Dotar de seguridad la información confidencial de los clientes que se maneja en los equipos y redes de la entidad.
- Observar, si se tiene algún virus, y evitarlo
- Asegurarse que las claves sean única y exclusivamente del banco, no se puede, por ejemplo entrar con la cuenta de google o de Facebook. Ya que esto no da la seguridad adecuada
- Tercerización – Outsourcing
Las entidades que contraten bajo la modalidad de tercerización, para la atención parcial o total de los distintos canales o que en desarrollo de su actividad tengan acceso a información confidencial de la entidad o de sus clientes, deberán cumplir, con los siguientes requerimientos:
- Definir los criterios y procedimientos.
- Incluir en los contratos que se elaboren con terceros o en aquellos que se prorroguen a partir de la entrada en vigencia de dicho Capitulo, los siguientes aspectos:
- Niveles de servicio y operación.
- Acuerdos de confidencialidad sobre la información manejada y sobre las actividades desarrolladas.
- Propiedad de la información.
- Restricciones sobre el software empleado.
- Normas de seguridad informática y física a ser aplicadas.
- Operaciones a seguir cuando se de en evidencia de manipulación de dispositivos o información.
- Procedimientos y controles para la entrega de la información manejada y la destrucción de esta por parte del tercero una vez finalizado el servicio.
- Documentación
En la documentación las entidades deberán cumplir, como mínimo, con los siguientes requerimientos:
...