En junio de 2018 la Superintendencia Financiera de Colombia expidió la Circular Externa 007, que agregó a la Circular Básica Jurídica un capítulo con los requerimientos mínimos para la gestión del riesgo de ciberseguridad. Desde entonces, bancos, aseguradoras, fiduciarias y demás entidades vigiladas deben demostrar que gestionan este riesgo, y cada vez más lo exigen también a sus proveedores.
Respuesta rápida
La Circular 007 pide políticas aprobadas, una unidad responsable de seguridad de la información y ciberseguridad, informes semestrales a la junta, un esquema de prevención, detección y respuesta, reporte de incidentes a las autoridades y a los consumidores afectados, continuidad ante ataques y capacitación. No exige una marca ni una certificación: exige que funcione y que se pueda demostrar.
Los requisitos centrales
Políticas y procedimientos
Políticas de seguridad de la información y ciberseguridad aprobadas y aplicadas en toda la entidad.
Unidad responsable
Una unidad que gestione los riesgos de seguridad de la información y ciberseguridad, dimensionada según el tamaño, los canales, el volumen transaccional y el número de clientes.
Informes a la junta
La unidad informa a la junta directiva y a la alta dirección por lo menos cada seis meses, con un resumen de los incidentes que afectaron a la entidad.
Prevención, detección y respuesta
Un esquema para prevenir, detectar, contener y responder a incidentes cibernéticos.
Reporte de incidentes
Comunicar los incidentes a las autoridades del modelo nacional de gestión de incidentes y a los consumidores afectados, con las medidas adoptadas.
Continuidad del negocio
El plan de continuidad debe cubrir la respuesta, recuperación y restauración ante un ataque cibernético.
Actualización y capacitación
Mantenerse al día sobre nuevas modalidades de ataque y capacitar periódicamente a los funcionarios.
Resumen de los requisitos principales. La Superfinanciera actualiza la Circular Básica Jurídica; para un proyecto de cumplimiento, revise el texto vigente del Capítulo V.
Lo que más falla en la práctica
- •Políticas que nadie aplica. El documento existe, pero los equipos no tienen el agente actualizado o las alertas no se revisan.
- •Detección solo en horario laboral. Los ataques de ransomware suelen ejecutarse de noche o en festivos, cuando nadie está mirando.
- •Informes a la junta sin indicadores. La junta necesita ver tendencias: incidentes, tiempos de respuesta, equipos sin protección, vulnerabilidades abiertas.
- •Proveedores fuera del radar. Un tercero con acceso a la red o a los datos es parte de su superficie de ataque.
De la norma a los controles
Así llevamos cada requisito a una solución concreta que deja evidencia para la revisión:
| Lo que pide la norma | Cómo se cubre |
|---|---|
| Políticas, unidad e informes a la junta | Consultoría ISO 27001: diagnóstico, SGSI, roles e indicadores para la junta |
| Detección y respuesta en equipos y servidores | Bitdefender GravityZone con EDR, XDR y MDR 24/7 |
| Correlación de eventos y monitoreo | Stellar Cyber Open XDR |
| Identificar vulnerabilidades antes que el atacante | Hacking ético y pruebas de penetración |
| Phishing, suplantación y continuidad del correo | Hornetsecurity para Microsoft 365 y revisión DMARC |
| Capacitación de funcionarios | Kymatio: concienciación y riesgo humano |
¿Y si usted es proveedor de una entidad financiera?
La circular obliga a la entidad vigilada, pero esa entidad responde también por los riesgos de sus terceros. Por eso los bancos y aseguradoras piden cada vez más a sus proveedores evidencia de seguridad: cuestionarios, pruebas de vulnerabilidades, antivirus con EDR administrado o una certificación ISO 27001. Tener esa evidencia lista acorta los procesos de contratación y renovación.
Por qué Star Solutions TI
Certificados en ISO 27001 y con experiencia a gran escala
Star Solutions TI está certificada en ISO/IEC 27001:2022 por SGS, acompaña procesos de certificación ISO 27001 y ha implementado y administrado Bitdefender GravityZone en 32.000 equipos de una entidad pública. Más de 1.150 empresas confían en nosotros desde 2016.
Fuentes
Preguntas frecuentes
¿Qué es la Circular Externa 007 de 2018 de la Superfinanciera?
Es la norma con la que la Superintendencia Financiera de Colombia fijó los requerimientos mínimos para la gestión del riesgo de ciberseguridad de las entidades que vigila. Agregó el Capítulo V al Título IV de la Parte I de la Circular Básica Jurídica (Circular Externa 029 de 2014).
¿A quién aplica la Circular 007?
A las entidades vigiladas por la Superintendencia Financiera, como bancos, aseguradoras, fiduciarias, comisionistas de bolsa, fondos de pensiones y cooperativas financieras, según lo que establezca el texto vigente. En la práctica también llega a sus proveedores de tecnología, porque las entidades trasladan estos requisitos a los contratos.
¿La Circular 007 exige tener ISO 27001?
No exige una certificación específica. Pide políticas, una unidad responsable, gestión de incidentes, capacitación e informes a la junta directiva. ISO 27001 es una forma ordenada de construir y evidenciar ese sistema, por eso muchas entidades la usan como base.
¿Hay que avisar a los clientes cuando hay un incidente?
Sí. La norma pide informar a los consumidores financieros sobre los incidentes que afectaron la confidencialidad o integridad de su información y sobre las medidas adoptadas, además de reportar a las autoridades según el modelo nacional de gestión de incidentes.
¿Soy proveedor de un banco, me aplica?
La circular obliga a la entidad vigilada, pero ella responde también por los riesgos de sus terceros. Por eso es común que los bancos y aseguradoras pidan a sus proveedores evidencia de controles de seguridad, pruebas de vulnerabilidades o una certificación como ISO 27001 para contratar o renovar.
¿La norma ha cambiado desde 2018?
La Superintendencia Financiera actualiza la Circular Básica Jurídica con frecuencia. Antes de un proyecto de cumplimiento, revise el texto vigente del Capítulo V en el sitio de la Superfinanciera; este artículo resume los requisitos centrales, no reemplaza la norma.
Diagnóstico frente a la Circular 007
Revisamos con su equipo qué tiene cubierto, qué evidencia le falta y en qué orden cerrarlo, con un plan que su junta pueda seguir.
Solicitar diagnóstico