Nueva norma de la Comisión para el Mercado Financiero de Chile

La Norma de Carácter General N° 454, publicada el 18 de mayo de 2021, imparte instrucciones relacionadas con la gestión de Riesgo Operacional y Ciberseguridad, así como de la realización periódica de autoevaluaciones en ambas materias en entidades aseguradoras y reaseguradoras. 

A continuación te contamos qué dice la norma sobre estos temas y cómo el uso de una herramienta tecnológica como Pirani Riskment Suite o Pirani ISMS Suite ayuda a las empresas obligadas a su cumplimiento. 

Sobre la gestión de Riesgo Operacional

Norma N° 454 de la Comisión para el Mercado Financiero (CMF)

Contacta a un asesor para más información

Sobre el Marco de Gestión de Riesgo de Ciberseguridad

Esta norma de la Comisión para el Mercado Financiero (CMF) está basada en las mejores prácticas reconocidas internacionalmente sobre la prevención de los riesgos de ciberseguridad. En particular, se basa en los ocho elementos fundamentales de alto nivel de la ciberseguridad establecidos por el G7FE:

1. Estrategia y Marco de Ciberseguridad

Entre las prácticas recomendadas se destaca que esta estrategia esté alineada con el marco de gestión del riesgo de ciberseguridad y de gestión de riesgo operacional, que respalde y promueva tanto la seguridad operativa como la protección de los datos y que defina claramente tanto los objetivos, los requerimientos necesarios así como las funciones y responsabilidades.

2. Gobierno

Algunas de las funciones que debe cumplir son evaluar regularmente el perfil de riesgo para garantizar que sea consistente con la tolerancia al riesgo y con los objetivos comerciales, igualmente, debe estar involucrado en la implementación del marco de ciberseguridad y en las políticas y procedimientos, y debe fomentar el conocimiento y el compromiso con este tema entre los empleados.

4. Monitoreo

Las aseguradoras deben “establecer procesos de monitoreo sistemático para detectar rápidamente incidentes cibernéticos y evaluar periódicamente la efectividad de los controles identificados, incluyendo el monitoreo de red, pruebas, auditorías y ejercicios”. 

Aquí se brindan recomendaciones para el monitoreo continuo y el testeo.

5. Respuesta

De manera oportuna se debe: “evaluar la naturaleza, el alcance y el impacto de un incidente  cibernético; contener el incidente y mitigar su impacto; notificar a las partes interesadas internas y externas, como agentes de cumplimiento legal, los reguladores y otras autoridades públicas, así como los accionistas, proveedores de servicios de terceros y clientes, según corresponda); y coordinar las actividades de respuesta conjunta según sea necesario".

6. Recuperación

En este punto se recomienda “reanudar las operaciones de manera responsable, al tiempo que permite la remediación continua, incluso mediante: eliminar los restos dañinos del incidente; restaurar los sistemas y los datos a su estado normal y confirmar el estado normal; identificar y mitigar todas las vulnerabilidades que fueron explotadas; remediar las vulnerabilidades para prevenir incidentes similares; y comunicarse apropiadamente interna y externamente.

7. Intercambio de información

Aquí las aseguradoras deben "participar en el intercambio oportuno de información de ciberseguridad confiable y accionable con partes interesadas internas y externas (incluidas entidades y autoridades públicas dentro y fuera del sector financiero) sobre amenazas, vulnerabilidades, incidentes y respuestas para mejorar las defensas, limitar los daños, aumentar la conciencia de la situación y ampliar el  aprendizaje".

8. Aprendizaje continuo

Se solicita a las aseguradoras a “revisar la estrategia y el marco de ciberseguridad periódicamente y cuando los eventos lo justifiquen, incluidos su gobierno, evaluación de riesgos y controles, monitoreo, respuesta, recuperación e intercambio de información para abordar los cambios en los riesgos cibernéticos, asignar recursos, identificar y remediar las brechas e incorporar las lecciones aprendidas”.

Otros puntos de la norma de la CMF  

El capítulo V de esta norma establece que las compañías de seguros deben realizar cada dos años una autoevaluación del grado de cumplimiento de sus prácticas de gestión de riesgo operacional y en forma anual en lo relativo a ciberseguridad.

Y el capítulo VI dice que “deberán comunicar a la Comisión los incidentes operacionales que afecten o pongan en riesgo la continuidad del negocio, los fondos o recursos de la entidad o de sus asegurados, la calidad de los servicios o la imagen de la institución”. El envío de esta comunicación debe comenzar a informarse el 30 de septiembre de 2021.

Finalmente, a través de esta norma, la Comisión para el Mercado Financiero también reconoce la importancia del uso de herramientas para agregar mayor valor a la gestión de riesgos operacionales y de ciberseguridad, por eso, insta a las compañías a implementarlas en todo el proceso de la gestión de sus riesgos. En Pirani podemos ser el aliado de tu organización.