Chile aprueba una norma para gestionar la seguridad de la información y la ciberseguridad en bancos e instituciones financieras

La nueva norma, que comenzará a regir el 1° de diciembre de 2020 se contiene en el Capítulo 20-10 de la Recopilación Actualizada de Normas (RAN) de la CMF, y complementa distintos Capítulos de la misma RAN. La norma vigente sobre riesgo operacional, particularmente, en materia de seguridad de la información y ciberseguridad, contenida en el Capítulo 1-13 de la RAN, seguirá aplicándose hasta el 30 de noviembre de 2020.

En síntesis, el Capítulo 20-10 de la RAN dispone lo siguiente:

• Establece aspectos generales de gestión para la seguridad de la información y ciberseguridad. Al efecto, dispone lineamientos específicos sobre el rol del directorio, el que deberá aprobar la estrategia institucional en esta materia.
• Señala las actividades que deberán desarrollar las instituciones reguladas para identificar, controlar y monitorear los riesgos relativos a la seguridad de la información y ciberseguridad. Los bancos e instituciones financieras a quienes se aplica esta nueva norma deberán definir etapas de un proceso de gestión de riesgos, que debe contemplar la identificación, el análisis, la valoración, el tratamiento y la aceptación de riesgos, así como su monitoreo permanente.
• Regula elementos particulares en la gestión de los riesgos de ciberseguridad, para lo cual las entidades reguladas deberán definir activos críticos y funciones de protección de los mismos, así como de detección de amenazas y vulnerabilidades.
• En relación con la gestión de la infraestructura crítica de ciberseguridad en Chile, las entidades reguladas deberán establecer políticas o procedimientos para identificar sus activos que representan infraestructura crítica para la industria financiera y el sistema de pagos, así como para el adecuado intercambio de información técnica, acerca de incidentes que afecten o pudieran afectar la ciberseguridad de la entidad, con otros integrantes que son parte de esta infraestructura crítica.

La fiscalización del cumplimiento de la nueva norma será parte de la evaluación de gestión sobre las entidades fiscalizadas que realiza la CMF en el ámbito de los riesgos operacionales, atendiendo al volumen y complejidad de sus operaciones.