Nuevo Estándar A 5374 del BCRA

A fines de 2012, el Banco Central (BCRA) emitió la comunicación A5374 referida a canales electrónicos, apuntada a sustituir, a partir de marzo de 2013, la sección 6 de la anterior Comunicación 4609.

Esta nueva comunicación implica varios cambios y alcanza a todas las entidades financieras que intervengan en la prestación, por sí o por terceros en su nombre, por intermedio de algunos de los siguientes canales electrónicos:

• Cajeros Automáticos (ATM)
• Terminales de Autoservicio (TAS)
• Banca Móvil (BM)
• Banca Telefónica (BT)
• Banca por Internet (BI)
• Puntos de Venta (POS)

Entre las modificaciones que introduce se destaca la idea de plantear que la Gestión de Seguridad de los Canales Electrónicos (CE) se entiende como un ciclo de procesos (Procesos de Referencia) que reúnen tareas y funciones de manera integrada, repetible y constante:

• Concientización y Capacitación (CC): adquisición y entrega de conocimientos en prácticas de seguridad, su difusión, entrenamiento y educación.
• Control de Accesos (CA): evaluación, desarrollo e implementación de medidas de seguridad, mecanismos de autenticación y segregación de funciones del acceso a Canales Electrónicos.
• Integridad y Registro (IR): utilización de técnicas de control de la integridad y registro de los datos y las transacciones.
• Monitoreo y Control (MC): recolección, análisis y control de eventos ante fallas, indisponibilidad o intrusiones que afecten los servicios.
• Gestión de Incidentes (GI): detección, evaluación, contención y respuesta ante incidentes de seguridad en Canales Electrónicos.

La A5374 establece, además, una serie de Requisitos Generales, como disponer de una Matriz de Escenarios integrada a la Gestión del Riesgo Operacional o cumplir una lista de requisitos técnico-operativos,junto con las responsabilidades sobre los CE dentro de la entidad.

La Matriz de Escenarios es de mucha utilidad práctica, ya que modela detalladamente las relaciones entre Categorías (Credenciales y Medios de Pago, Dispositivos/Aplicaciones y Transacciones) y los Requisitos Mínimos (Controles). Además, estos controles tienen una codificación, una descripción amplia y una fecha de vigencia definidas.

Es importante notar que (al igual que en la A 4609) no se establecen las relaciones entre las Amenazas, los Requisitos mínimos y los escenarios, a pesar de que son necesarias para llevar adelante los Análisis de Riesgo. Cada entidad deberá establecer estas relaciones y definir sus parámetros asociados (probabilidades, degradaciones, efectividades, etc.) o bien recurrir a especialistas que provean las metodologías y las herramientas especializadas para efectuar los cálculos y generar los indicadores.

Como conclusión, podemos decir que esta comunicación mejora muchos aspectos, sobre todo los referidos a los detalles/profundidad y modelos de gestión. Pero también deben considerarse temas como la aplicabilidad y posibilidades reales de implantación de cada entidad en particular.