Lima, 23 de febrero de 2021.-  El entorno en que se desarrollan las entidades del sistema financiero, de seguro y de AFP es cada vez más interconectado y con mayor exposición a las amenazas cibernéticas, lo cual requiere desarrollar nuevas capacidades y medidas de prevención, identificación, detección y respuesta.

Es por ello que la Superintendencia de Banca, Seguros y AFP (SBS), mediante Resolución N° 504-2021 aprobó el Reglamento para la gestión de seguridad de la información y ciberseguridad, que establece un marco de referencia para el sistema de gestión de seguridad de la información.

Los nuevos requisitos desarrollan la obligación de contar con un programa de ciberseguridad,  procesos de autenticación en canales digitales, y prácticas seguras en los servicios provistos por terceros. Las empresas deben identificar, detectar y responder a amenazas y vulnerabilidades en el ciberespacio, así como  en los diversos sistemas de información y tecnología relacionada. Estos lineamientos son más exigentes para las empresas de mayor tamaño y complejidad, siguiendo un criterio proporcional al riesgo.

También se actualizan los requerimientos asociados a la gestión de  los servicios provistos por terceros y la subcontratación, toda vez que estos servicios crecen en importancia, en la forma de servicios recibidos por las empresas así como alianzas y otros acuerdos con empresas Fintech.

El procesamiento en nube es también desarrollado, y en el caso del procesamiento de información transfronterizo se ha eliminado el proceso de autorización, excepto cuando existen condiciones que pueden limitar el cumplimiento de los requisitos aplicables.

Finalmente, se precisan modificaciones a los Reglamentos de Tarjetas de Crédito y Débito, y de Operaciones con dinero electrónico, a fin de reducir y simplificar la información que las tarjetas deben de incluir cuando ellas son emitidas en forma física o digital.

Las nuevas disposiciones para la gestión de seguridad de la información y ciberseguridad entrarán en vigencia el 1 de julio de 2021, salvo los requisitos de autenticación, que será el 1 de julio de 2022. Las empresas en marcha deben presentar un plan de adecuación aprobado por el directorio, en un plazo no mayor de sesenta (60) días calendario contados a partir del día siguiente de la publicación de la Resolución.