3.3 Evaluación de los controles para mitigar los riesgos de TIC materiales

A fin de evaluar la exposición residual de la entidad al riesgo de TIC, las autoridades competentes revisarán la forma en que la entidad identifica, sigue, evalúa y mitiga los riesgos materiales que han identificado en la evaluación anterior.

Con este fin, para los riesgos de TIC materiales identificados, las autoridades competentes revisarán lo siguiente:

• a. Política de gestión del riesgo de TIC, procesos y umbrales de tolerancia al riesgo;
• b. Marco de gestión y supervisión de la organización;
• c. Cobertura de auditoría interna y conclusiones; y
• d. Controles específicos para los riesgos de TIC materiales identificados.

La evaluación tendrá en cuenta los resultados del análisis del marco general de gestión de riesgos y de control interno al que se refiere el título 5 de las Directrices de la ABE sobre el PRES, así como el gobierno y la estrategia de la entidad contemplados en el título 2 de las presentes Directrices, dado que las deficiencias significativas identificadas en estas áreas pueden influir en la capacidad de la entidad para gestionar y mitigar sus exposiciones al riesgo de TIC. Cuando proceda, las autoridades competentes también deberán utilizar las fuentes de información que figuran en el apartado 37 de las presentes Directrices.

Las autoridades competentes llevarán a cabo las siguientes etapas de evaluación de manera proporcional a la naturaleza, la escala y la complejidad de las actividades de la entidad, efectuando una revisión supervisora adecuada al perfil de riesgo de TIC de la entidad.

3.3.1 Política de gestión del riesgo de TIC, procesos y umbrales de tolerancia al riesgo

Las autoridades competentes revisarán si la entidad cuenta con políticas, procesos y umbrales de tolerancia adecuados para la gestión de los riesgos de TIC materiales identificados. Pueden formar parte del marco de gestión del riesgo operacional o estar recogidos en un documento separado. Al llevar a cabo esta evaluación, las autoridades competentes considerarán si:

• a. El órgano de dirección formaliza y aprueba la política de gestión de riesgos y esta contiene suficientes orientaciones sobre el apetito de riesgo de TIC de la entidad y sobre los principales objetivos perseguidos en materia de gestión de riesgos de TIC o los límites de tolerancia al riesgo de TIC aplicados. Además, la política de gestión del riesgo de TIC pertinente deberá ser comunicada a todas las partes interesadas relevantes;
• b. la política aplicable abarca todos los elementos significativos para la gestión de los riesgos de TIC materiales identificados;
• c. la entidad ha puesto en marcha un proceso y los correspondientes procedimientos para la identificación (por ejemplo, «autoevaluaciones de control de riesgos» [RCSA] y análisis de escenarios de riesgo) y monitorización de los riesgos de TIC materiales; y
• d. la entidad cuenta con un sistema de información de gestión de riesgos de TIC que proporciona información oportuna a la alta dirección y al órgano de dirección y que les permite evaluar y monitorizar si los planes y las medidas de mitigación del riesgo de TIC de la entidad son coherentes con los umbrales de apetito o tolerancia al riesgo aprobados (cuando sea pertinente), así como monitorizar los cambios en los riesgos de TIC materiales.

3.3.2 Marco de gestión y supervisión de la organización

Las autoridades competentes evaluarán cómo las funciones y responsabilidades de gestión de riesgos aplicables están integradas e incorporadas en la organización interna para gestionar y supervisar los riesgos de TIC materiales identificados. A este respecto, las autoridades competentes evaluarán si la entidad demuestra:

• a. funciones y responsabilidades claras para la identificación, la evaluación, el seguimiento, la mitigación, la elaboración de información y la supervisión del riesgo de TIC material;
• b. que las responsabilidades y funciones relacionadas con el riesgo de TIC se comunican, se asignan y se integran claramente en todas las partes (por ejemplo, líneas de negocio, TIC) y procesos pertinentes de la organización, incluidas las funciones y responsabilidades de recopilación y agregación de la información de riesgos y su comunicación a la alta dirección
• o al órgano de dirección;
• c. que las actividades de gestión de riesgos de TIC se realizan con recursos humanos y técnicos suficientes y cualitativamente apropiados. A fin de evaluar la credibilidad de los planes de mitigación de riesgos aplicables, las autoridades competentes también evaluarán si la entidad ha asignado suficiente presupuesto u otros recursos necesarios para su implementación;
• d. un seguimiento y una respuesta adecuados del órgano de dirección en relación con los resultados importantesrecibidos de las funciones de control independientes en relación con el riesgo o riesgos de TIC, teniendo en cuenta la posible delegación de algunos aspectos a un comité, en su caso; y
• e. que las excepciones a las regulaciones y políticas aplicables en materia de TIC se registran y se someten a una revisión documentada y a un proceso de comunicación por parte de la función de control independiente, con especial atención a los riesgos relacionados.

3.3.3 Cobertura y resultados de auditoría interna

Las autoridades competentes considerarán si la función de auditoría interna audita con eficacia el marco de control de riesgos de TIC aplicable y, para ello, examinará si:

• a. el marco de control de riesgos de TIC se audita con la calidad, el detalle y la frecuencia requeridos y en consonancia con el tamaño, las actividades y el perfil de riesgo de TIC de la entidad;
• b. el plan de auditoría incluye auditorías de los riesgos de TIC críticos identificados por la entidad;
• c. los resultados importantes de la auditoría de TIC, incluidas las medidas acordadas, se comunican al órgano de dirección; y
• d. los resultados de la auditoría de TIC, incluidas las medidas acordadas, son objeto de seguimiento y la alta dirección o el comité de auditoría revisan periódicamente los informes de progreso.

3.3.4 Controles de riesgos de TIC específicos para los riesgos de TIC materiales identificados

Las autoridades competentes evaluarán si la entidad cuenta con controles específicos para hacer frente a los riesgos de TIC materiales identificados. En las siguientes secciones se proporciona una lista no exhaustiva de los controles específicos que deberán tenerse en cuenta al evaluar los riesgos materiales identificados en el punto 3.2.3, que se asignaron a las siguientes categorías de riesgo de TIC:

• a. Riesgos de disponibilidad y continuidad de las TIC;
• b. Riesgos de seguridad de las TIC;
• c. Riesgos de cambio de las TIC;
• d. Riesgos de integridad de datos TIC;
• e. Riesgos de externalización de las TIC.
• (a) Controles para la gestión de los riesgos materiales de disponibilidad y continuidad de las TIC

Además de los requisitos de las Directrices de la ABE sobre el PRES (apartados 279-281), las autoridades competentes evaluarán si la entidad cuenta con un marco adecuado para identificar, entender, medir y mitigar los riesgos de disponibilidad y continuidad de las TIC.

Al llevar a cabo esta evaluación, las autoridades competentes considerarán, en particular, si el marco:

• a. identifica los procesos críticos de las TIC y los sistemas de soporte de TIC pertinentes que deberían formar parte de los planes de resiliencia y continuidad del negocio con:
• i. un análisis exhaustivo de las dependencias entre los procesos de negocio críticos y los sistemas de soporte;
• ii. la determinación de los objetivos de recuperación de los sistemas de soporte de TIC (normalmente son determinados por el negocio o la regulación en términos de RTO y de RPO);
• iii. una planificación de contingencia apropiada que permita la disponibilidad, la continuidad y la recuperación de sistemas y servicios de TIC críticos con el fin de minimizar las interrupciones en las operaciones de una entidad dentro de unos límites aceptables.
• b. tiene políticas y estándares en materia de resiliencia de negocio y del entorno de control de la continuidad, así como controles operacionales que incluyen:
• i. medidas para evitar que un único escenario, incidente o desastre pueda afectar tanto a los sistemas de producción como a los de recuperación de TIC;
• ii. procedimientos de copia de seguridad y recuperación de los sistemas de TIC para software y datos críticos, que garanticen que estas copias de seguridad se almacenan en una ubicación segura y lo suficientemente alejada, de modo que un incidente o un desastre no puedan destruir o corromper estos datos críticos;
• iii. soluciones de monitorización para la detección oportuna de incidentes de disponibilidad o continuidad de las TIC;
• iv. un proceso documentado de gestión y escalamiento de incidentes, que también proporcione orientación sobre las diferentes funciones y responsabilidades en materia de gestión y escalamiento de incidentes, los miembros del comité o comités de crisis y la cadena de mando en caso de emergencia;
• v. medidas físicas para proteger la infraestructura crítica de TIC de la entidad (por ejemplo, centros de datos) de los riesgos ambientales (por ejemplo, inundaciones y otros desastres naturales) así como para garantizar un entorno operativo adecuado para los sistemas de TIC (por ejemplo, aire acondicionado);
• vi. procesos, funciones y responsabilidades para asegurar que también los sistemas y servicios de TIC externalizados estén cubiertos por soluciones y planes adecuados de continuidad y resiliencia del negocio;
• vii. planificación de la capacidad y rendimiento en materia de TIC y soluciones de monitorización de los sistemas y servicios de TIC críticos con requisitos de disponibilidad definidos, a fin de detectar de manera oportuna limitaciones de rendimiento y capacidad importantes;
• viii. soluciones para proteger las actividades o servicios críticos en internet (por ejemplo, servicios de banca electrónica), cuando sea necesario y apropiado, contra la denegación del servicio y otros ciberataques desde internet, dirigidos a impedir o interrumpir el acceso a estas actividades y servicios.
• c. prueba las soluciones de disponibilidad y continuidad de las TIC frente a una serie de escenarios realistas que incluyen ciberataques, pruebas de conmutación y pruebas de copias de seguridad de software y datos críticos que:
• i. se planifican, formalizan y documentan y sus resultados se utilizan para reforzar la eficacia de las soluciones de disponibilidad y continuidad de las TIC;
• ii. implican a las partes interesadas y las funciones dentro de la organización, como la gestión de líneas de negocio, incluidos los equipos de continuidad del negocio, de incidentes y de respuesta a crisis, así como a terceros que sean relevantes para el ecosistema;
• iii. implican de manera adecuada a la alta dirección y al órgano de dirección (por ejemplo, como parte de los equipos de gestión de crisis), que son informados de los resultados de las pruebas.
• (b) Controles para la gestión de los riesgos de seguridad de las TIC materiales

Las autoridades competentes evaluarán si la entidad cuenta con un marco eficaz para identificar, entender, medir y mitigar el riesgo de seguridad de las TIC. En particular, al llevar a cabo esta evaluación, las autoridades competentes tendrán en cuenta si el marco contempla:

• a. funciones y responsabilidades claramente definidas sobre:
• i. la persona, personas o comités responsables de la gestión ordinaria de la seguridad de las TIC y la elaboración de las políticas generales en la materia, prestando atención a su necesaria independencia;
• ii. el diseño, la ejecución, la gestión y el seguimiento de los controles de seguridad de las TIC;
• iii. la protección de los sistemas y servicios de TIC críticos mediante la adopción de, por ejemplo, un proceso de evaluación de vulnerabilidades, la gestión de parches de software , la protección de los puntos finales (por ejemplo, malware ), las herramientas de detección y prevención de intrusiones;
• iv. el seguimiento, la clasificación y el tratamiento de incidentes de seguridad de las TIC externos
• o internos, incluida la respuesta a incidentes y la reanudación y la recuperación de los sistemas y servicios de TIC;
• v. evaluaciones de amenazas regulares y proactivas para mantener los controles de seguridad apropiados;
• b. una política de seguridad de las TIC que tenga en cuenta y, en su caso, cumpla las normas y principios de seguridad de las TIC reconocidos internacionalmente (por ejemplo, para la gestión de los derechos de acceso, el principio del menor privilegio, es decir, limitar el acceso al nivel mínimo que permita el funcionamiento normal; para diseñar una arquitectura de seguridad, el principio de «defensa en profundidad», es decir, mecanismos de seguridad en capas que aumentan la seguridad del sistema en su conjunto);
• c. un proceso para identificar sistemas y servicios de TIC y requisitos de seguridad proporcionados, que contemplen el posible riesgo de fraude o posibles usos fraudulentos o abusos de datos confidenciales, junto con las expectativas de seguridad documentadas que deben respetarse para estos sistemas, servicios y datos identificados. Estos requisitos y expectativas tienen que estar en consonancia con la tolerancia al riesgo de la entidad y ser supervisados para asegurar su correcta aplicación;
• d. un proceso documentado de gestión y escalamiento de incidentes, que describa las diferentes funciones y responsabilidades en la gestión y escalamiento de incidentes, los miembros del comité
• o comités de crisis y la cadena de mando en caso de emergencias de seguridad;
• e. el registro de actividades de usuarios y de actividades administrativas que permita la monitorización eficaz y la detección y respuesta oportunas ante actividades no autorizadas, así como llevar a cabo o ayudar en investigaciones forenses de incidentes de seguridad. La entidad contará con políticas de registro de actividades que definan los tipos de registros apropiados que deben mantenerse y su periodo de conservación;
• f. campañas o iniciativas de concienciación e información para informar a todos los niveles de la entidad sobre el uso seguro y la protección de los sistemas de TIC de la entidad y los principales riesgos de seguridad de las TIC (y otros riesgos) que deben conocer, en particular, sobre las amenazas cibernéticas existentes y cambiantes (por ejemplo, virus informáticos, posibles abusos o ataques internos o externos, ciberataques) y su papel en la mitigación de las violaciones de seguridad;
• g. medidas de seguridad física adecuadas (por ejemplo, circuito cerrado de televisión, alarma antirrobo, puertas de seguridad) para impedir el acceso físico no autorizado a sistemas de TIC sensibles y críticos (por ejemplo, en centros de datos);
• h. medidas para proteger los sistemas de TIC de los ataques de internet (es decir, ciberataques) u otras redes externas (por ejemplo, conexiones tradicionales de telecomunicaciones o conexiones con socios de confianza). Las autoridades competentes examinarán si el marco de la entidad considera:
• i. un proceso y soluciones para mantener una visión y un inventario completos y actualizados de todos los puntos externos de conexión a la red (por ejemplo, sitios web, aplicaciones de internet, WIFI, acceso remoto) a través de los cuales terceras partes podrían acceder sin autorización a los sistemas internos de TIC.
• ii. medidas de seguridad minuciosamente gestionadas y supervisadas (por ejemplo, cortafuegos, servidores proxy , intercambiadores de correo, antivirus y escáneres de contenido) para proteger el tráfico de red entrante y saliente (por ejemplo, correo electrónico) y las conexiones externas a la red a través de las cuales terceras partes podrían acceder sin autorización a los sistemas internos de TIC;
• iii. procesos y soluciones para proteger sitios web y aplicaciones que pueden ser atacados directamente desde internet o desde el exterior, que pueden servir como punto de entrada a los sistemas internos de TIC. En general, estos incluyen una combinación de prácticas de desarrollo seguras reconocidas, securización del sistema de TIC y prácticas de exploración de vulnerabilidades de dicho sistema, o la implementación de soluciones de seguridad adicionales como, por ejemplo, cortafuegos de aplicaciones o sistemas de detección de intrusiones (IDS) o de prevención de intrusiones (IPS);
• iv. pruebas de penetración periódicas para evaluar la eficacia de las medidas y procesos de ciberseguridad y de seguridad tecnológica interna implementados. Estas pruebas las realizarán personal propio o expertos externos con la experiencia necesaria, los resultados de las pruebas se documentarán y las conclusiones se comunicarán a la alta dirección o al órgano de dirección. Cuando sea necesario y aplicable, la entidad utilizará estas pruebas para conocer dónde puede mejorar aún más los controles y procesos de seguridad o para obtener mayor certeza de su efectividad.
• (c) Controles para la gestión de los riesgos materiales de cambio de las TIC

Las autoridades competentes evaluarán si la entidad cuenta con un marco eficaz para identificar, entender, medir y mitigar el riesgo de cambio de las TIC de acuerdo con la naturaleza, la escala y la complejidad de las actividades de la entidad y su perfil de riesgo de TIC. El marco de la entidad cubrirá los riesgos asociados con el desarrollo, la prueba y la aprobación de los cambios en los sistemas de TIC, incluyendo el desarrollo o el cambio de software , antes de migrar al entorno de producción y asegurará una gestión adecuada del ciclo de vida de las TIC. Al llevar a cabo esta evaluación, las autoridades competentes tendrán en cuenta, en particular, si el marco contempla:

• a. procesos documentados para gestionar y controlar los cambios en los sistemas de TIC (por ejemplo, configuración y gestión de parches) y en los datos (por ejemplo, corrección de errores o correcciones de datos), que garanticen una implicación adecuada de la función de gestión del riesgo de TIC en aquellos cambios importantes en las TIC que puedan afectar significativamente al perfil de riesgo de TIC o a la exposición al riesgo de la entidad;
• b. especificaciones sobre la necesaria separación de funciones durante las diferentes fases de los procesos de cambio de las TIC llevados a cabo (por ejemplo, diseño y desarrollo de soluciones, pruebas y aprobación de nuevos programas o cambios, migración e implementación en el entorno de producción y corrección de errores), con especial atención a la segregación de tareas y las soluciones implementadas para gestionar y controlar los cambios en los sistemas y datos de producción en materia de TIC por parte del personal de TIC (por ejemplo, desarrolladores, administradores de sistemas de TIC, administradores de bases de datos) o cualquier otra parte implicada (por ejemplo, usuarios de negocio, proveedores de servicios);
• c. entornos de prueba que reflejen adecuadamente los entornos de producción;
• d. un inventario de activos de las aplicaciones y los sistemas de TIC existentes en el entorno de producción, así como en el entorno de prueba y desarrollo, para que los cambios requeridos (por ejemplo, actualizaciones de versiones, parches de sistemas y cambios de configuración) puedan ser gestionados, aplicados y monitorizados de manera adecuada para los sistemas de TIC implicados;
• e. un proceso de seguimiento y gestión del ciclo de vida de los sistemas de TIC utilizados, para garantizar que continúan cumpliendo y dando soporte a las exigencias reales de gestión de riesgos y del negocio y para asegurar que las soluciones y sistemas de TIC utilizados siguen recibiendo soporte de sus proveedores, y que todo ello viene acompañado de procedimientos adecuados de ciclo de vida de desarrollo de software (SDLC).
• f. un sistema de control de código fuente de software y procedimientos apropiados para prevenir cambios no autorizados en el código fuente del software que se desarrolle a nivel interno;
• g. un proceso para llevar a cabo un análisis de seguridad y vulnerabilidad de sistemas y software de TIC modificados y nuevos, antes de ponerlos en producción y exponerlos a posibles ciberataques;
• h. un proceso y soluciones para prevenir la divulgación no autorizada o no deseada de datos confidenciales, al reemplazar, archivar, descartar o destruir sistemas de TIC;
• i. un proceso independiente de revisión y validación para reducir los riesgos de errores humanos al realizar cambios en los sistemas de TIC que puedan tener un efecto negativo importante en la disponibilidad, continuidad o seguridad de la entidad (por ejemplo, cambios importantes en la configuración de los cortafuegos).
• (d) Controles para la gestión de los riesgos materiales de integridad de datos TIC

Las autoridades competentes evaluarán si la entidad cuenta con un marco eficaz para identificar, entender, medir y mitigar el riesgo para la integridad de datos TIC de acuerdo con la naturaleza, la escala y la complejidad de las actividades de la entidad y su perfil de riesgo de TIC. El marco de la entidad considerará los riesgos asociados con la preservación de la integridad de los datos almacenados y procesados por los sistemas de TIC. Al llevar a cabo esta evaluación, las autoridades competentes tendrán en cuenta, en particular, si el marco contempla:

• a. una política que defina las funciones y responsabilidades para gestionar la integridad de los datos en los sistemas de TIC (por ejemplo, arquitecto de datos, responsables de datos⁶ , custodios de datos⁷ , propietarios/administradores de datos⁸ ) y proporcione orientación sobre qué datos son críticos desde la perspectiva de la integridad de los datos y deberán estar sujetos a controles específicos de TIC (por ejemplo, controles de validación de entrada automatizados, controles de transferencia de datos, conciliaciones, etc.) o revisiones (por ejemplo, una verificación de compatibilidad con la arquitectura de datos) en las diferentes fases del ciclo de vida de los datos de las TIC;
• b. una arquitectura de datos, un modelo de datos o un diccionario de datos documentados, que se validen con los actores relevantes del negocio y de las TIC para contribuir a la necesaria coherencia

6 El responsable de datos se encarga del tratamiento y el uso de los datos. 7 El custodio de datos se encarga de la custodia, el transporte y el almacenamiento seguros de los datos. 8 El administrador de datos es responsable de la gestión y la adecuación de los elementos de datos, tanto del contenido como de los metadatos. de datos en los sistemas de TIC y para asegurar que la arquitectura de datos, el modelo de datos o el diccionario de datos permanecen alineados con las necesidades del negocio y de la gestión de riesgos;

• c. una política en relación con el uso permitido y la dependencia de las soluciones informáticas de usuario final, en particular, con respecto a la identificación, el registro y la documentación de soluciones informáticas de usuario final importantes (por ejemplo, por procesar datos importantes) y los niveles de seguridad esperados para prevenir modificaciones no autorizadas, tanto en la propia herramienta como en los datos almacenados en ella;
• d. procesos de gestión de excepciones documentados para resolver los problemas de integridad de los datos TIC identificados de acuerdo con su criticidad y sensibilidad.

Por lo que respecta a las entidades supervisadas incluidas dentro del ámbito de aplicación de los principios del CSBB 239 para una eficaz agregación de datos sobre riesgos y presentación de informes de riesgos⁹ , las autoridades competentes revisarán el análisis de riesgos de la entidad relativo a sus capacidades de agregación de datos y de comunicación de riesgos comparándolas con los principios y la documentación preparada al respecto, teniendo en cuenta el calendario de aplicación y las disposiciones transitorias que se recogen en estos principios.

• (e) Controles para la gestión de los riesgos materiales de externalización de las TIC

Las autoridades competentes evaluarán si la estrategia de externalización de la entidad, de conformidad con los requisitos de las Directrices del CSBE sobre externalización (2006) y con el requisito del apartado 85, letra d), de las Directrices de la ABE sobre el PRES, se aplica adecuadamente a la externalización de las TIC, incluida la externalización intragrupo que presta servicios de TIC dentro del grupo. Al evaluar los riesgos de externalización de las TIC, las autoridades competentes tendrán en cuenta que estos riesgos también se pueden tratar como parte de la evaluación de los riesgos operacionales inherentes con arreglo al apartado 240, letra j), de las Directrices de la ABE sobre el PRES, a fin de evitar la duplicación de trabajo o el doble cómputo.

En particular, las autoridades competentes evaluarán si la entidad cuenta con un marco eficaz para identificar, entender y medir el riesgo de externalización de las TIC y, en particular, si dispone de controles y un entorno de control para mitigar los riesgos relacionados con los servicios de TIC externalizados que sean proporcionales al tamaño, las actividades y el perfil de riesgo de TIC de la entidad y que incluyan:

• a. una evaluación del impacto de la externalización de las TIC sobre la gestión de riesgos de la entidad en relación con el uso de proveedores de servicios (por ejemplo, proveedores de servicios en la nube) y sus servicios durante el proceso de adquisición, que se documenta y es tenido en cuenta por la alta dirección o el órgano de dirección a la hora de tomar una decisión sobre si externalizar los servicios o no. La entidad revisará las políticas de gestión de riesgos de TIC y el entorno de control y los controles de TIC del proveedor de servicios para asegurarse de que cumplen con los

9 Comité de Supervisión Bancaria de Basilea, Principios para una eficaz agregación de datos sobre riesgos y presentación de informes de riesgos, enero de 2013, disponible en línea: http://www.bis.org/publ/bcbs239_es.pdf. objetivos internos de gestión de riesgos de la entidad y su apetito de riesgo. Esta revisión se actualizará periódicamente durante el periodo contractual de la externalización, teniendo en cuenta las características de los servicios subcontratados;

• b. un seguimiento de los riesgos de TIC de los servicios externalizados durante el periodo contractual de la externalización como parte de la gestión de riesgos de la entidad, que sirva de base para la presentación de informes de gestión de riesgos de TIC de la entidad (por ejemplo, informes de continuidad del negocio, informes de seguridad).
• c. un seguimiento y comparación de los niveles de servicio recibidos con los niveles de servicio contractualmente acordados que deben formar parte del contrato de externalización o del acuerdo de nivel de servicio (SLA); y
• d. personal, recursos y competencias adecuados para vigilar y gestionar los riesgos de TIC de los servicios externalizados.