Ensayo cómo Generar Activos De Información

LA METODOLOGÍA DEL BANCO PROVINCIA

¿Cómo gestionar activos de información?

En 2007, el Banco Central de la República Argentina (BCRA) planteó algunas exigencias financieras para el sistema financiero argentino y desde entonces los bancos optimizaron sus procesos de administración de riesgos de recursos tecnológicos. El Banco Provincia fue uno de ellos. En este artículo presenta su metodología.

La gestión de riesgos tecnológicos en el Banco Provincia (Bapro) de Argentina surgió en 2007 con la exigencia del Banco Central de la República Argentina (BCRA). El banco luego de implementar este proceso descubrió que era posible incluir mejoras en el proceso para extender su aplicación y utilidad.

Para ello analizó el entorno tecnológico y diseñó una metodología alineada a los mejores estándares existentes, pero adaptable a sus necesidades y características; que no solo se limita a la administración de riesgos tecnológicos sino que se extiende a la gestión integral de los activos de información a fin de alcanzar los objetivos de mejora continua. Aquí se presenta la metodología de gestión de activos de información (GAI), sus características y los beneficios de su aplicación para la entidad financiera.

Objetivos de la metodología

El objetivo principal fue establecer los lineamientos para una adecuada gestión de los recursos tecnológicos del banco y de esta manera: 1) controlar el grado de exposición a potenciales amenazas o vulnerabilidades sobre los activos de información; 2) prevenir la ocurrencia daños en la imagen de la institución; 3) propiciar un esquema de mejora continua en el ambiente de control interno; 4) disminuir la probabilidad de ocurrencia de riesgos en los activos de información.

Asimismo, 5) disminuir el impacto de los riesgos sobre los activos de información; 6) observar los requerimientos normativos vigentes; 7) desarrollar acciones correctivas mediante los planes de mitigación; 8) favorecer la mejora continua de los procesos tecnológicos; y, 9) definir estrategias de seguridad acordes a las necesidades de cada activo en relación a su nivel de riesgo e importancia relativa al negocio del banco.

La metodología no se limita a la administración de los riesgos, sino que permite hacer una adecuada gestión de los activos de información. Asimismo, incorpora la posibilidad de integrar la gestión de riesgos tecnológicos a la gestión de riesgos operacionales.

En materia de gestión de riesgos tiene la particularidad de orientar el análisis de riesgo hacia amenazas concretas o potenciales y no se basa en un listado pre-elaborado de riesgos teóricos. Así la metodología permite clasificar a los activos de información según su nivel de exposición al riesgo y su importancia relativa al negocio. Esta clasificación permite conocer la sensibilidad al riesgo de cada activo e identificar de manera oportuna la necesidad de mejora para aquellos activos clasificados como “altamente críticos” o “críticos”. A partir de este conocimiento se definen e implementan los planes de mitigación tendientes a mejorar el nivel de sensibilidad del activo para eliminar el riesgo o ubicarlos en situaciones de riesgo tolerables.

La definición de los planes de mitigación ayuda a alinear los proyectos tecnológicos optimizando la priorización y asignación de presupuesto, y facilitando la determinación de las necesidades de inclusión de los proyectos en los planes operativos de tecnología.

La metodología fue implementada sin utilizar una aplicación que le dé soporte, luego de su primer ciclo de aplicación la gerencia de sistemas de información desarrolló una herramienta de software que permitió implementarla con las escalas de medición definidas para el banco, pero con la suficiente flexibilidad para adaptarse a cambios en las escalas de medición de los riesgos sin ningún tipo de dificultad.

¿Cómo funciona? La metodología se divide en dos capítulos (Gráfico Nº1). El capítulo I contempla las consideraciones a tener en cuenta para la pre-clasificación del activo de información y el capítulo II las consideraciones a tener en cuenta para el análisis y gestión de riesgos en los activos de información. A su vez, el proceso de gestión de activos se divide en cinco fases.

Identificación de activos (Fase I). Busca identificar los activos de información del banco, para ello se debe establecer qué es y qué no es un activo de información.

La tipificación de activos debe además contemplar unificar como un activo a todos aquellos recursos que tengan características comunes y que la información que administran, procesan o almacenan tenga el mismo grado de criticidad, confidencialidad y disponibilidad. Deben agruparse aquellos recursos a los que se les puede aplicar la misma estrategia de seguridad. En esta fase se obtiene el inventario de activos de información.

Pre-clasificación de activos (Fase II). El objetivo es analizar

...