Instrucciones de la Superfinanciera sobre el uso de servicios en la nube

Ante la transformación digital de los servicios relacionados con el almacenamiento, procesamiento y uso de información, y en consideración a la necesidad de promover el uso de la computación en la nube para la prestación de servicios financieros, la Superintendencia Financiera impartió instrucciones para fortalecer la gestión relativa al riesgo operativo en las entidades vigiladas.

Así, adicionó el Capítulo VI al Título I de la Parte I de la Circular Básica Jurídica (C. E. 029 del 2014).

Por ejemplo, las entidades sometidas a su inspección pueden soportar todos sus procesos y actividades en servicios computacionales en la nube, también los operadores de la PILA respecto de la actividad definida en el artículo 2° del Decreto 1465 del 2005 y los institutos de fomento y desarrollo de las entidades territoriales. (Lea: Siete claves para cuando acceda a un crédito)

Las entidades que soporten la operación de sus procesos misionales o de gestión contable y financiera en dichos servicios computacionales deberán:

1. Contemplar dentro de su sistema de administración de riesgo operativo (SARO) la gestión efectiva de los riesgos derivados de la utilización de servicios computacionales en la nube, considerando, entre otros factores, el tipo de nube contratada, los sitios de procesamiento, los servicios contratados, el tipo de información a procesar, los controles de seguridad para la protección de los datos en ambientes virtualizados y la protección de las aplicaciones de la entidad.

2. Establecer los criterios para seleccionar el proveedor de servicios de computación en la nube y evaluar la conveniencia de implementar en sus filiales y subsidiarias del exterior, en caso de que las tengan, las instrucciones de esta entidad.

3. Establecer mecanismos que permitan contar con respaldo de la información que se procesa, la cual debe estar a disposición de la entidad cuando así lo requiera.

    IV.            Garantizar la independencia de su información y de sus copias de respaldo de la información de las otras entidades que procesen en la nube. La independencia se puede dar a nivel lógico o físico, entre otros.

De otra parte, esta circular también se ocupa de los elementos que como mínimo deberán contemplar los acuerdos o contratos que suscriban las entidades para la prestación de servicios de computación en la nube. (Lea: Superfinanciera advierte sobre promoción de esquemas piramidales en chats y redes sociales)

Las entidades que al momento de la entrada en vigencia de la norma se encuentren utilizando dichos servicios deberán ajustarse a las instrucciones definidas y remitir a la superintendencia la información señalada en el numeral 6 del mencionado capítulo en un plazo de seis meses.

Superfinanciera, Circular externa 005, Mar. 11/19.