La nueva estrategia de ciberseguridad de la Superintendencia de Banca, Seguros y AFP de Perú (SBS) busca mejorar la fluidez de la información entre las entidades financieras, actualizar las capacidades de los supervisores y establecer un comité de alto nivel para la toma de decisiones.
En conversación con iupana, el superintendente Sergio Espinosa profundizó en los ejes de la estrategia, impulsada por los retos que trae la digitalización de productos financieros. Para contar con una visión integral y actualizada, la SBS convocó al Fondo Monetario Internacional (FMI), cuyas recomendaciones serán incorporadas en esta nueva hoja de ruta.
-
Reportar los intentos de ataque:
Uno de los cambios clave será ampliar la reportería de ciberincidentes. Hoy, las entidades solo deben informar sobre aquellos con consecuencias o impacto, pero el objetivo es que también reporten los intentos de ataque.
“Es el banco o la institución quien se entera de que han pretendido vulnerarlos, pero esa es una información que necesita fluir más allá de una institución porque puede ser muy útil tanto para los pares en el sector privado, como también para las instituciones públicas, para llevar un control de qué es lo que está ocurriendo y cómo está ocurriendo”, dice el superintendente.
La estrategia contempla mecanismos de intercambio de información entre entidades privadas y también con el sector público, lo que exige una participación activa del sistema financiero, ya que son estas entidades las que gestionan la seguridad y concentran información clave sobre intentos de ataque y eventos críticos.
Esta modificación solucionará un problema que varios profesionales han manifestado a este medio: el temor a compartir información por posibles daños reputacionales. No obstante, la advertencia de una institución podría anticipar ataques similares a sus pares. Ahora, la transparencia y conocimiento compartido de la información será promovida desde el regulador.
“El sector privado y el sector público: [información] de las dos direcciones y de las dos fórmulas”, resume Espinosa.
-
Actualización del supervisor y talento:
Un lugar común en la industria financiera es que la regulación va por detrás de la innovación. Esto se traduce en procesos lentos y, muchas veces, en la ausencia de áreas especializadas dentro de los propios entes reguladores.
Por eso, otro eje clave de la estrategia de ciberseguridad es la actualización de los perfiles supervisores, en línea con los desafíos que trae la digitalización.
“Necesitamos una revisión y una actualización de lo que son los perfiles en nuestros supervisores”, dice el funcionario.
En esta renovación la entidad ha creado áreas especializadas para la ciberseguridad y también está en la puja por la contratación de talento, pues los privados también están a la caza. El superintendente reconoce que hay espacios por cubrir. “Yo creo que sí hay talento en esa área especializada en la Superintendencia, pero no el suficiente”, reconoce Espinosa. Para seguir el ritmo de las nuevas tecnologías, la SBS ha recurrido a firmas especializadas que apoyan en tareas de auditoría, una experiencia que considera positiva y que planea mantener.
“La Superintendencia puede y ha contratado a terceros para que realicen la verificación de determinados aspectos de la ciberseguridad, por ejemplo, en una entidad financiera, porque ellos tienen las herramientas y el conocimiento que nosotros no”, comenta el funcionario.
-
Un comité de alto nivel:
La tercera iniciativa es la implementación de la estrategia-país de ciberseguridad en el sistema financiero, bajo el paraguas de un comité de alto nivel, que involucre, coordine y alinee las iniciativas de instituciones públicas relacionadas.
Este comité es liderado por la SBS y participan funcionarios del Banco Central de Reservas del Perú, el Ministerio de Economía y Finanzas y la Superintendencia de Mercado de Valores, tal como recomendó el FMI.
Con estas tres iniciativas, el regulador peruano busca adelantarse a un escenario donde las amenazas se sofisticarán tanto como los servicios digitales.
“Se trata de tener una estrategia nacional que identifique cuáles son los principales riesgos que enfrentamos y cuáles son las respuestas a esos riesgos que se sugieren”, sentencia Espinosa.
