El Banco Central de la República Argentina publicó el 10 de marzo de 2023 la Comunicación BCRA A 7724, que derogó el texto ordenado anterior, compendio de normas en materia de seguridad y tecnología. La nueva comunicación entra en vigencia a los 180 días desde su difusión.
Actualización de requisitos mínimos
La norma establece nuevos requisitos mínimos para la gestión y control de los riesgos de tecnología y seguridad de la información. Fue elaborada bajo el área de regulación del BCRA, en conjunto con la de Supervisión.
Contiene 10 secciones, la sección 11 es sobre canales electrónicos y la 12 es un glosario. Aborda nuevos aspectos que requerían actualización para reflejar el estado de arte actual en las entidades bancarias y financieras.
Referencias a estándares internacionales
La norma toma algunas referencias del marco de gobierno y gestión de tecnologías e información conocido como COBIT 2019, elaborado por ISACA; referencias de las publicaciones del NIST y otros estándares actualizados, como la ISO 27001 de 2022.
Principio de neutralidad tecnológica
El texto actual sigue el principio de neutralidad tecnológica para evitar que pueda volverse obsoleta en poco tiempo al atarse a una tecnología específica. Esto contrasta con el texto anterior, que tenía referencias a «Cintas o CD para hacer respaldos».
Marco de gestión
Se requieren a las entidades la adopción de marcos de gestión para los siguientes temas:
- Riesgos de tecnologías y seguridad de la información (Sección 3)
- Tecnología, y gestión de proyectos (Sección 4)
- Seguridad de la información (Sección 5)
- Continuidad del Negocio (Sección 6)
- Ciberincidentes (Sección 8)
- Adquisición, desarrollo y mantenimiento de software (Sección 9)
- Relación con terceras partes (Sección 10)
Modelo de tres líneas de defensa
Se incorpora el modelo de 3 líneas, antes llamado «3 líneas de defensa», que se refiere a los diferentes niveles de responsabilidad en la gestión de riesgos y controles en una organización.
- La primera línea la forman empleados y gerentes de la organización, responsables directos de la gestión de los riesgos operativos y la implementación de los controles internos.
- La segunda línea se refiere a las funciones de gestión de riesgos y control interno, que supervisan los controles internos implementados por la primera línea.
- La tercera línea se refiere a la función de auditoría interna, que evalúa la eficacia de los controles internos y brinda asesoramiento para mejorarlos.
Temas abordados en la normativa
La norma define desde procesos del gobierno o gobernanza en tres temas fundamentales: tecnologías de la información, seguridad de la información y gestión de riesgos. Se incluyen nuevos requisitos para la inteligencia artificial, modelos de machine learning, gestión de datos, gestión de proyectos y nuevas modalidades de desarrollo de sistemas.
Relación con ciberincidentes
La norma tiene un enfoque en riesgos, asignando responsabilidades e incluyendo la gestión de ciberincidentes. Se vinculan los riesgos de tecnología y seguridad de la información con los riesgos operacionales y con los reportes, según lineamientos internacionales.
Sección 4: Gestión de Tecnología de la Información
Esta sección trata el tema de la gestión del dato, su clasificación, arquitectura empresarial y gestión de activos de información. Contiene requisitos para la inteligencia artificial.
Sección 5: Gestión de Seguridad de la Información
Esta sección contiene normas y procedimientos específicos, con controles para seguimiento de amenazas del entorno y gestión de vulnerabilidades. Establece requisitos sobre programas de capacitación.
Sección 8: Gestión de ciberincidentes
Alineada con la Comunicación A 7266, esta sección aborda la gestión y su integración con otras secciones para la preservación de las entidades.
Sección 9: Desarrollo, adquisición y mantenimiento de software
Incluye aspectos puntuales para los aplicativos que registran información de interés para el BCRA. Establece requisitos sobre modelado de amenazas, pruebas y gestión de vulnerabilidades.
Sección 10: Relación con terceras partes
Aborda controles para asegurar la resiliencia, seguridad y continuidad del negocio. Se incluyeron requisitos para la gestión de ciberincidentes en la cadena de suministro.
Sección 11: Canales electrónicos
Es la antigua sección 6 del texto derogado. La Sección 12 es un glosario que permite interpretar algunos conceptos. Es probable que en algún futuro esa sección sea actualizada.