La institución estableció un plazo de 20 días, a partir de la fecha de emisión de la circular, para adecuar los contratos a los requisitos previstos en la normativa
La Superintendencia de Instituciones del Sector Bancario (Sudeban) estableció un marco normativo para la utilización de servicios de Computación de Nube en la banca venezolana, a fin de garantizar la seguridad de las operaciones y asegurar que los datos críticos del sistema no sean expuestos fuera del territorio nacional.
A través de la circular de fecha 29 de diciembre de 2023, el ente recordó la prohibición expresa de trasladar centros de cómputos y bases de datos «determinadas como principales» de los usuarios del sector bancario fuera del territorio nacional.
Precisó que los contratos deben ser sometidos a aprobación previa de la institución antes de ser suscritos y ordenó a los bancos la creación de un «marco de gestión de riesgos tecnológicos» asociados a la implantación de modelos de Computación de Nube, que incluya el uso de APIs (Application Programming Interfaces, que en español significa interfaz de programación de aplicaciones) o servicios web suministrados por terceros. Este informe debe ser remitido a la Unidad de Administración de Riesgo (UAIR).
Asimismo, instó a la creación de un «inventario actualizado» de todos los activos que componen los sistemas, componentes de tecnología y de seguridad de la información, «conjuntamente con su clasificación de acuerdo a su nivel de sensibilidad, criticidad, o confidencialidad».
Los bancos deberán definir una estrategia y arquitectura de seguridad en la nube, mantener al día los manuales de políticas, normas y procedimientos que se utilizan en los servicios de dicho modelo.
Del mismo modo, la información sensible debe estar protegida en los procesos de generación, transmisión y almacenamiento, mediante el «uso de algoritmos de cifrados robustos» que salvaguarden la confidencialidad y seguridad de la información.
Igualmente, la Sudeban instruye que la información sensible debe estar protegida en los procesos de generación, transmisión y almacenamiento, » a través del uso algoritmos de cifrados robustos» que salvaguarden la confidencialidad y seguridad de la información.
Requisitos
La Sudeban también publicó los requisitos necesarios para la revisión y aprobación de los contratos de servicios de Computación de Nube entre los que destacan:
- Identificación completa de las partes.
- Naturaleza y especificación del servicio contratado.
- Acuerdos específicos de confidencialidad y no revelación de información.
- Ubicación física de dónde se procesarán y almacenarán los datos.
- Procedimientos de atención y solución de incidentes tecnológicos, así como políticas específicas de seguridad de la información.
- La determinación de la responsabilidad que asume la empresa proveedora de «mantener políticas, normas, procedimientos que garanticen la seguridad informática; «así como aquellas tendentes a prevenir pérdidas, atrasos o deterioro de los datos».
- Niveles de servicio esperados y aceptables.
- Cumplir requisitos legales en cuanto a derechos de propiedad intelectual y derechos de autor.
- Los bancos deben estar autorizados por contrato a auditar «responsabilidades contractuales o a contratar a un tercero» para la realización de las auditorías.
Mientras tanto, las empresas proveedoras de servicios de computación de Nube deberán suministrar información «inmediata» a los bancos «sobre cualquier evento que pudiera afectar la prestación del servicio».
Las proveedoras estarán obligadas a «ejecutar pruebas de penetración, como mínimo una vez al año, además de la evaluación de vulnerabilidades y corrección oportuna de las brechas detectadas».
La Sudeban estableció un plazo de 20 días, a partir de la fecha de emisión de la circular, para adecuar los contratos a los requisitos previstos en la normativa.
