Nota aclaratoria de la versión 2.
Los comentarios no expresan una
Regulación y Supervisión de
Tecnologías de Información y
Ciberseguridad. Enfoque integrado
al modelo de Supervisión Basada en
Riesgos (SBR). Caso de Estudio. V2
David Ricardo Rodríguez Calderón, Investigador Académico de
Maleku Centro Académico Costa Rica
www.davidrrc.com
San José, Costa Rica
davidrrc@gmail.com
Resumen— Esta investigación presenta una propuesta sobre la
mejora de la regulación y supervisión de tecnologías de
información y ciberseguridad, así como una propuesta sobre el
rediseño de la estructura funcional de la supervisión de TI a nivel
del CONASSIF; lo anterior, para abordar la problemática
planteada en la investigación desde un enfoque holístico e
integrado al modelo de Supervisión Basado en Riesgos.
Los resultados de la investigación y la propuesta, puede ser
aplicable a Costa Rica y puede ser utilizado por otras legislaciones
como guía para orientar sus esfuerzos en contribuir con un sistema
financiero resiliente y ciberresiliente. El documento está dividido
en once secciones:
Primera sección. Introducción. Nos muestra un resumen del
contexto, perspectivas y panorama mundial para conducirnos al
establecimiento del problema y sus causas; así como los objetivos
y el esbozo de la solución establecida en el proyecto.
Sección segunda. Conceptos generales. Aborda una serie de
conceptos mínimos para facilitar la compresión del documento y
orientar al lector no especializado.
Tercera sección. Riesgos Cibernéticos. Presenta las características
y aspectos más relevantes relacionados con los riesgos cibernéticos
y su convergencia con otros riesgos gestionados a nivel de negocio.
Sección cuarta. Aborda los enfoques, así como marcos de
supervisión y regulación internacional sobre ciberseguridad y
ciberresiliencia que serán considerados como referentes para la
valoración del modelo regulatorio vigente establecido por el
CONASSIF.
Quinta sección. Presenta un resumen de marcos, estándares y
mejores prácticas internacionales, los cuales son utilizados como
línea base en los cuerpos normativos de cada legislación revisada,
lo anterior, en concordancia con la existencia de factores
preexistentes que faciliten el enfoque holístico o el enfoque
independiente del diseño regulatorio y de supervisión.
posición u opinión de las empresas o
instituciones con las que el autor está
relacionado. Se excluyen párrafos de la
versión original que no aportan valor al
lector final. Este documento fue creado
con fines de investigación académica.
Disclaimer of version 2.
The comments do not express a position
or opinion of the companies or
institutions with which the author is
related. Paragraphs of the original
version that do not add value to the final
reader are excluded. This document was
created for academic research purposes.
Sección sexta. Introduce al lector sobre el abordaje de los temas
relacionados con la ciberseguridad a nivel país, mediante el
establecimiento de una estrategia nacional.
Séptima sección. Aborda el desarrollo histórico de la regulación en
temas de tecnologías de información, así como el modelo
regulatorio plasmado a través del Reglamento General de Gestión
de TI y el modelo de Supervisión Basada en Riesgos.
Sección octava. Presenta un resumen de las brechas del Marco de
Gestión de TI en comparación con el Marco de Ciberseguridad del
NIST y la ISO 27032.
Novena sección. Aborda la visión tradicional de que los riesgos de
sistemas de información y tecnológicos estén dentro del riesgo
operativo, y presenta la importancia de su abordaje dentro del
modelo de SBR de forma desagregada, lo anterior, con el fin de
permitir a los tomadores de decisiones visualizar de forma más
clara los riesgos y la necesidad de inversión en controles de TI para
permitir una gobernanza y gestión acordes a los riesgos del
negocio.
Sección décima. Propuesta. Contiene una descripción de alto nivel
de la propuesta que responde a contribuir con la consecución de
los objetivos, la solución del problema y los fines planteados, lo
anterior considerando los elementos expuestos en la investigación
realizada. Se incluye un apartado sobre la propuesta de regulación
y supervisión, otro apartado sobre el rediseño de la estructura
funcional de la supervisión de TI a nivel del CONASSIF; y otros
apartados sobre SBR y mecanismos de comunicación.
Onceava sección. Presenta las principales conclusiones del trabajo
de investigación.
Palabras claves: Regulación; Supervisión, Tecnologías de
Información; Ciberseguridad; SBR.
Abstract— This research presents an approach about the
improvement of the regulation and supervision of information
technologies and cybersecurity, as well as a proposal on the
redesign of the functional structure of IT supervision at the
CONASSIF level; the foregoing, to address the problems raised in
Página 1 de 37
the investigation from a holistic and integrated approach to the
Risk-Based Supervision model.
The research is applicable to Costa Rica and can be used by other
legislations as a guide to direct their efforts to contribute to a
resilient and cyber-resilient financial system. The document is
divided into eleven sections:
First section. Introduction. It shows us a summary of the context,
perspectives, and world panorama to lead us to the establishment
of the problem and its causes; as well as the objectives and the
outline of the solution established in the project.
Second section. General concepts. It addresses a series of
minimum concepts to facilitate the understanding of the document
and guide the non-specialized reader.
Third section. Cyber Risks. It presents the most relevant
characteristics and aspects about to cyber risks and their
convergence with other risks managed at the business level.
Fourth section. It addresses the approaches, as well as
international regulatory and supervision frameworks on
cybersecurity and cyberresilience that will be considered as
references for the assessment of the current regulatory model
established by CONASSIF.
Fifth section. Presents a summary of international frameworks,
standards, and best practices, which are used as a baseline in the
regulatory bodies of each revised legislation, the above, in
accordance with the existence of pre-existing factors that facilitate
the holistic approach or the independent approach of the design.
regulatory and supervisory
Sixth section. It introduces the reader to the approach to issues
related to cybersecurity at the country level, through the
establishment of a national strategy.
Seventh section. It addresses the historical development of
regulation on information technology issues, as well as the
regulatory model embodied through the General IT Management
Regulations and the Risk-Based Supervision model.
Eighth section. Presents a summary of the IT Management
Framework gaps compared to the NIST Cybersecurity
Framework and ISO 27032.
Ninth section. It addresses the traditional view that the risks of
information and technological systems are within the operational
risk and presents the importance of its approach within the SBR
model in a disaggregated manner, the above, to allow decision
makers to visualize more clearly the risks and the need for
investment in IT controls to enable governance and management
commensurate with business risks.
Tenth section. Proposal. It contains a high-level description of the
proposal that responds to contribute to the achievement of the
objectives, the solution of the problem and the proposed purposes,
the above considering the elements exposed in the research carried
out. It includes a section on the proposal for regulation and
supervision, another section on the redesign of the functional
structure of IT supervision at the CONASSIF level; and other
sections on SBR and communication mechanisms.
Eleventh section. It presents the main conclusions of the research
work.
Keywords: Regulation; Supervision, Information Technologies;
Cybersecurity; SBR.
TABLA DE CONTENIDOS
TABLA DE CONTENIDOS..................................................2
I. INTRODUCCIÓN.........................................................3
II. CONCEPTOS GENERALES ...........................................5
III. RIESGOS CIBERNÉTICOS ...........................................6
IV. ENFOQUES, MARCOS Y MODELOS DE
SUPERVISIÓN Y REGULACIÓN INTERNACIONAL
SOBRE CIBERSEGURIDAD Y CIBERRESILIENCIA ........7
V. MARCOS, ESTÁNDARES Y MEJORES PRÁCTICAS
SOBRE SEGURIDAD Y CIBERSEGURIDAD ......................8
VI CIBERSEGURIDAD A NIVEL PAÍS (COSTA RICA)
................................................................................................... 12
VII MODELO REGULATORIO Y DE SUPERVISIÓN
(COSTA RICA)........................................................................ 12
VIII BRECHAS DEL MARCO DE GESTIÓN DE TI ..... 16
IX MODELOS DE SUPERVISIÓN Y EL MARCO DE
GESTIÓN DE TI ...................................................................... 17
X PROPUESTA................................................................... 18
XI.CONCLUSIONES.......................................................... 23
REFERENCIAS................................................................... 23
APENDICES........................................................................ 25
Índice de Gráficos
Gráfico 1 Diagrama general de los elementos considerados y
desarrollados en este artículo ......................................................5
Gráfico 2 Diagrama del proceso de Supervisión transversal
de TI .......................................................................................... 19
Gráfico 3 Proyectos de Supervisión transversal de TI....... 20
Gráfico 4 Flujo del proceso de SBR aplicado para TI ....... 20
Gráfico 5 Portafolio de Servicios del proceso de Supervisión
transversal de TI ....................................................................... 20
Gráfico 6 Estructura de Gobernanza de la Supervisión
transversal de TI ....................................................................... 21
Gráfico 7 Estructura del Departamento de Supervisión
transversal de TI ....................................................................... 22
Índice de tablas
Tabla 1 Cantidad de entidades supervisadas por cada
superintendencia ....................................................................... 13
Tabla 2 Cantidad de supervisores de TI por cada
superintendencia ....................................................................... 16
Página 2 de 37
 I. INTRODUCCIÓN
En esta sección, se aborda el contexto, el planteamiento del
problema, así como los objetivos y el esbozo de la solución
propuesta.
A. Contexto
Los avances tecnológicos han impulsado cambios en los
modelos de vida tradicionales, la transformación digital ha
incorporado nuevos componentes que facilitan las labores
cotidianas y generan nuevas formas de interacción social
afectando todos los aspectos de la vida, esta situación genera
una serie de riesgos inherentes asociados los cuales conllevan a
tener sanas prácticas de cuidado digital que ayuden a las
personas y las organizaciones a su defensa ante diferentes
escenarios de riesgos.
Por otro lado, la pandemia del COVID-19 impulsó de forma
acelerada el uso de la tecnología y obligó a muchas personas y
empresas a implementar modelos de trabajo virtuales, como
respuesta a la continuidad de sus actividades productivas y el
mantenimiento de sus operaciones; con el fin de preservar
niveles de subsistencia mínimos ante las restricciones
establecidas por las diferentes naciones a nivel mundial.
El Foro Económico Mundial (El WEF por sus siglas en
inglés), presenta de forma anual un informe de riesgos globales
el cual, para el año 2022 nos revela que a casi a tres años del
inicio de la pandemia del COVID-19, las medidas se empiezan
a relajar a nivel mundial, y el proceso de recuperación
económica y social de la crisis provocada por el coronavirus
amenaza con aumentar las diferencias existentes en la
comunidad internacional. [1]
Por su parte, la dependencia de los sistemas digitales, la
aplicación del teletrabajo (WFH por sus siglas en inglés), el uso
de sus propios dispositivos para el trabajo remoto (BYOD por
sus siglas en inglés), y la ubiquidad del uso de las herramientas
empresariales conllevan amenazas de seguridad cibernética las
cuales están creciendo de forma exponencial. (en el 2020, los
ataques de malware y ransomware aumentaron en un 358 % y
un 435 %, respectivamente), esta situación conlleva a que se
presente una incapacidad de las sociedades para prevenirlas o
responder a ellas de manera eficaz.
Día con día los ataques cibernéticos se vuelven más
sofisticados y con un impacto cada vez mayor, situación que
provoca tensiones entre la sociedad, las empresas, y los
gobiernos por la materialización de los riesgos cibernéticos y el
acaecimiento de múltiples delitos informáticos, generando en
algunas ocasiones divergencia en lugar de cooperación entre las
partes relacionadas, así como en la cadena de suministros de
servicios tecnológicos.
Ante el panorama complejo de riesgos globales presentados
por el WEF los riesgos tecnológicos y su impacto en el corto
plazo están presentes como parte del sentimiento global, y se
espera que en un horizonte de cero a dos años se materialicen
riesgos asociados a fallas relacionadas con la ciberseguridad
causadas principalmente por: Ransomware; robo de datos;
ataque a terceros; exposición de información por
vulnerabilidades de software; filtración y exfiltración de datos
por ex – empleados. Estas situaciones generan un aumento en la
desigualdad digital a nivel mundial. [2]
Por su parte, los gobiernos, entidades reguladoras, así como
diversos organismos internacionales a nivel gubernamental y
privado han desarrollado una serie de marcos de referencia,
modelos, y estándares sobre tecnologías de información y
específicamente sobre ciberseguridad, lo anterior, con el fin de
poder brindar guías y directrices orientadoras a los diferentes
mercados e industrias para atender los problemas asociados a
los riesgos cibernéticos.
Cabe destacar que los riesgos cibernéticos convergen de
forma significativa con otros riesgos, tales como: Riesgos
operativos; riesgos legales y regulatorios; riesgo reputacional;
así como el riesgo sistémico; de ahí su relevancia y necesidad
de establecer una regulación sobre la materia y prácticas de
supervisión que permitan atender los temas relevantes de TI
conforme evoluciona la propia tecnología, sin caer en
requerimientos taxativos y orienta ndo las acciones hacia
principios y una intensidad regulatoria basada en riesgos, que
considere las particularidades de cada tipo de industria, la
naturaleza propia de cada negocio y el principio de
proporcionalidad.
En el año 2009, en Costa Rica se comenzó con la
implementación del “Reglamento de Tecnologías de
Información”, el cual durante ocho años fue aplicado en las
entidades supervisadas por la Superintendencia General de
Entidades Financieras (SUGEF), dicho reglamento en el año
2017 fue actualizado por el Consejo Nacional de Supervisión
del Sistema Financiero (CONASSIF), con el fin de iniciar con
el proceso de supervisión transversal del mercado financiero
costarricense en materias de tecnologías de información,
incorporando a las entidades supervisadas por la
Superintendencia General de Valores (SUGEVAL), la
Superintendencia General de Pensiones (SUPEN) y la
Superintendencia General de Seguros (SUGESE). Ver Apéndice
1 Entidades incluidas en el Reglamento General de Gestión de TI.
En el “Reglamento General de Gestión de TI”, publicado en
el 2017 se incorporan temas de gobierno y gestión de
tecnologías de información; además como parte de las
herramientas de apoyo de los procesos de supervisión de las
superintendencias se establece el uso del criterio experto
especializado de auditores externos certificados por ISACA.
Página 3 de 37
 Con estas iniciativas regulatorias relacionadas con TI se
comenzó a migrar de un modelo basado en reglas hacia un
enfoque donde la entidad supervisada es responsable de una
gestión integral de los riesgos del negocio.
B. Problema
Para la definición del problema y los objetivos se utilizó
como herramienta de sistematización la denominada “Técnica
del árbol de problemas y objetivos”, ver (Apéndice 2 Técnica
árbol de problemas y objetivos) mediante la cual se determinó el
problema siguiente:
Se pueden materializar riesgos de seguridad informática y
seguridad cibernética que podría comprometer la
confidencialidad, integridad y disponibilidad de la información
de las partes interesadas relevantes relacionadas a las entidades
del Sistema Financiero Costarricense causados por ataques
cibernéticos, debido a que la regulación vigente podría tener
brechas que permitan establecer controles para la mitigación de
los riesgos cibernéticos.
Dentro de la s principales causas se identificaron los aspectos
siguientes:
C.1 La existencia de un marco regulatorio (SUGEF 14-17)
que no incorpore controles relacionados con la seguridad
informática, ciberseguridad y otros aspectos prioritarios de las
áreas de tecnologías de información.
C.2 La supervisión de TI realizada a las entidades es escasa
en temas de seguridad informática, ciberseguridad y otros
aspectos prioritarios de las áreas de tecnologías de información.
C.3 El enfoque supervisión de TI en las superintendencias
puede no estar completamente alineado a l modelo de
Supervisión Basada en Riesgos y no permite identificar a TI
como actividad significativa, conocer detalladamente los
riesgos de gestión y los de la s funciones de control relacionadas
con TI.1
C.4 Que los procesos de comunicación con las entidades
supervisadas no revelen la información necesaria para la toma
de decisiones del CONASSIF, los superintendentes y las áreas
de supervisión, en materia de seguridad informática,
ciberseguridad y otras áreas prioritarias de TI.
C. Objetivos y Esbozo de solución
Como resultado de la aplicación de la técnica del Árbol de
problemas y objetivos, se extrae como fin último que los
resultados de la aplicación de la propuesta presentada en este
trabajo logren generar confianza en la población costarricense y
los mercados internacionales sobre seguridad informática y
1
1. Auditoría; 2. Cumplimiento; 3. Riesgos; 4. Alta
Gerencia ; 5. Órganos de Dirección
seguridad cibernética para salvaguardar la confidencialidad,
integridad y disponibilidad de la información y los servicios que
brindan las entidades del Sistema Financiero Costarricense
mediante los mecanismos que permitan establecer una
regulación y supervisión basada en principios y alineada a
marcos de referencia, mejores prácticas y estándares
internacionales.
Para lograr el fin anterior, se establecieron los objetivos
siguientes:
C.1 Objetivo General
Presentar una propuesta de diseño de regulación y
supervisión de riesgos de seguridad informática y seguridad
cibernética con el fin de minimizar el impacto de posibles
amenazas e incidentes que comprometan la estabilidad del
Sistema Financiero Costarricense en términos de
confidencialidad, integridad y disponibilidad de la información
de las partes interesadas.
C.2 Objetivos Específicos
C.1 – O.1 Valorar el marco regulatorio vigente establecido
por el CONASSIF sobre tecnologías de información para
determinar posibles brechas en el diseño de los controles
relacionados con la seguridad informática y ciberseguridad y
establecer la propuesta de diseño del plan de acción para la
mejora regulatoria según corresponda.
C.2 – O.1 Definir una estructura y modelo de supervisión de
TI que incorpore los temas de seguridad informática y
ciberseguridad y demás elementos de supervisión de TI que
permitan realizar una supervisión de forma especializada,
consolidada, y considerando las particularidades de cada
mercado, para el apoyo a la toma de decisiones del CONASSIF,
los superintendentes y las áreas de supervisión.
C.3 – O.1 Alinear el enfoque de supervisión de TI en las
cuatro superintendencias acorde al marco regulatorio
transversal y el modelo de SBR que permita identificar a TI
como actividad significativa, conocer detalladamente los
riesgos de gestión y los de las funciones de control relacionadas
con TI, incorporando los temas de seguridad informática,
ciberseguridad y demás áreas prioritarias de tecnologías de
información.
C.4 – O.1 Fortalecer los mecanismos que faciliten los
procesos de comunicación con las entidades supervisadas
siguiendo el principio de transparencia, y el establecimiento de
Página 4 de 37
relaciones con el fin de obtener la revelación de información sin embargo, este apartado no busca profundizar en aspectos
necesaria para la toma de decisiones. técnicos.

El análisis causa raíz detallado del planteamiento del Se recomienda al lector para obtener conocimientos técnicos
problema; la determinación del fin; así como los objetivos se realizar la lectura de la Norma ISO 27000 Sistemas de gestión
puede observar en el Apéndice 3 Análisis del problemas y objetivos de la seguridad de la información - Visión general y vocabulario
[3]; la Norma ISO 27032 Técnica de seguridad. — Guías para
ciberseguridad [4]; o el documento técnico del FSB
C.3 Esbozo de la Solución denominado Léxico cibernético. [5]
La seguridad de la información es un concepto amplio que
Para atender el problema y sus objetivos en términos usualmente se refiere al conjunto de medidas preventivas y
generales, se realiza un análisis de la situación actual con el fin reactivas que afectan al tratamiento de los datos almacenados o
de identificar las brechas, mejoras regulatorias y prácticas de en tránsito, que permite la preservación de la confidencialidad,
supervisión que permitan incorporar temas de ciberseguridad y integridad y disponibilidad de la información, de cualquier
otros aspectos prioritarios de TI. En el gráfico se presentan los amenaza y de cualquiera que tenga intenciones maliciosas.
elementos más relevantes a ser tratados en este artículo, tal
como se detalla a continuación: La confidencialidad, la integridad y la disponibilidad a veces
se conocen como la tríada de seguridad de la información que
Gráfico 1 Diagrama general de los elementos considerados y actualmente ha evolucionado incorporando nuevos conceptos
desarrollados en este artículo tales como la autenticidad, la responsabilidad, el no repudio y
la confiabilidad.
Marcos y modelos de
Riesgos cibernéticos supervisión
Conceptos relevantes
– caracterización y
internacional sobre
La seguridad de la información debe ser considerada desde
relación con otros
riesgos
ciberseguridad y la base de un análisis y evaluación de riesgos teniendo en cuenta
ciberresiliencia
cualquier factor que pueda actuar como un riesgo o una
amenaza para la confidencialidad, integridad y disponibilidad
Modelo regulatorio y
Marcos, estándares y de los datos.
mejores prácticas
de supervisión del Ciberseguridad a
nivel país (Costa Rica) sobre seguridad de la Por otro lado, podemos mencionar el término seguridad
Sistema Financiero información y
Costarricense ciberseguridad. informática o seguridad de aplicaciones, considerada como una
disciplina dentro de la seguridad de la información que se
encarga de proteger de los cibercriminales la integridad y la
NIST y el Marco de ISO 27032 y el Marco
Modelos de
Supervisión y el
privacidad de la información almacenada y utilizada en los
Gestión de TI de Gestión de TI Marco de Gestión de sistemas informáticos.
TI
En este punto, tenemos que mencionar el término de
ciberseguridad, el cual está contemplado dentro de la seguridad
de la información, y se refiere propiamente a la práctica de
Propuesta defender, con tecnologías o pericias ofensivas, las
computadoras, los servidores, los dispositivos móviles, los
sistemas electrónicos, redes y los datos en tránsito o reposo de
ataques maliciosos.
Fuente: Elaboración propia. (2022).
Ante cualquier evento o incidente, indiferentemente de su
origen; las organizaciones deben de tener la capacidad y
flexibilidad de sobreponerse; implementando una serie de
II. CONCEPTOS GENERALES acciones antes, durante y después del evento para resurgir de la
adversidad, adaptarse y recuperarse, es decir ser resilientes.
Para lo anterior, las organizaciones implementan políticas,
En esta sección, se abordan una serie de conceptos mínimos procesos y procedimientos para garantizar la continuidad de las
para facilitar la compresión del documento, con el fin de operaciones, así como los servicios de negocio y de TI,
orientar al lector no especializado. incluyendo los servicios de seguridad. El término continuidad
de la seguridad de la información se utiliza para describir el
proceso que busca asegurar de forma razonable la
Cabe mencionar que existe un interminable número de confidencialidad, integridad y disponibilidad de la información
términos, nemotécnicos, y conceptos relacionados a las cuando un incidente ocurre o una amenaza se materializa. Con
tecnologías de información y en particular a la ciberseguridad, cierta frecuencia se interpreta este punto como una necesidad

Página 5 de 37
de contar con planes de continuidad del negocio, asumiendo
como requisito la implementación de un plan de continuidad del
negocio integral y el desarrollo de planes de contingencia y
planes de recuperación ante desastres.
Entonces, ¿Qué significa realmente la continuidad de la
seguridad de la información? La continuidad de la seguridad de
la información significa en principio garantizar que tengamos
la capacidad de mantener las medidas de protección de la
información cuando ocurra un incidente. En este sentido se debe
considerar que la continuidad de la seguridad de la información
está contemplada en la continuidad del negocio.
Finalmente, mencionamos el término de ciberresiliencia,
como la capacidad para prepararse, responder y recuperarse de
ataques cibernéticos y violaciones de datos, mientras la
organización continúa operando de manera efectiva, situación
que debe evaluarse dentro de la continuidad de los procesos y
servicios del negocio y TI, mediante el establecimiento de
escenarios de riesgos que busquen mitigar y atender los riesgos
cibernéticos.
III. RIESGOS CIBERNÉTICOS
En esta sección, se abordan las características y aspectos más
relevantes relacionados con los riesgos cibernéticos y su
convergencia con otros riesgos gestionados a nivel de negocio.
A. Concepto y Caracterización
En su forma más sencilla, cuando hablamos de riesgo
cibernético, nos referimos a la combinación de la probabilidad
de ocurrencia de ciberincidentes y su impacto, sin embargo, es
de vital importancia conocer la naturaleza del riesgo cibernético
y los aspectos que lo caracterizan, los cuales mencionamos a
continuación:
1. Origen; el riesgo cibernético puede ser promovido desde
la organización o ser una amenaza externa.
2. Causas; existen dos causas fundamentales: La primera
causa es la intencional, ya sean deliberadas, o
maliciosas. La segunda causa son las no intencionales,
las cuales podrían estar vinculadas a una falla , o mal
funcionamiento del Hardware o Software que genera
vulnerabilidades; o una configuración incorrecta de
componentes de TI.
3. Actores; muchas son las partes que pueden estar
interactuando en la incidencia de los riesgos
cibernéticos, cada uno con motivaciones e interés
distintos entre las que podemos señalar: El personal no
capacitado, descontento o deshonesto; los competidores;
los delincuentes internacionales; el crimen organizado;
los hacktivistas con motivos sociales o políticos; o las
empresas patrocinadas por gobiernos para robar secretos
de Estado, entre otras.
4. Análisis del impacto; generalmente el impacto de los
riesgos cibernéticos se analiza de forma independiente,
sin embargo, un evento de riesgo cibernético no está
aislado, a menudo desencadena una serie de eventos
consecuentes; por tanto, la evaluación del impacto del
posible riesgo cibernético debe considerarse dentro de
un marco más amplio de gestión de riesgos a nivel
organizacional.
5. Principales tipos de ataque; existen extensa
cantidad de tipos de ataques, sin embargo, entre los
cinco principales tipos identificados por Marsh y el
WEF, están: Ransomware; robo de datos; ataque a
terceros; exposición de información por
vulnerabilidades de software; y la filtración de datos por
ex – empleados.
B. Relación con otros Riesgos
El riesgo cibernético tiene una convergencia con los riesgos
operativos, legales y regulatorios, reputacional y sistémico, los
cuales se detallan a continuación: [6]
B.1 Riesgo Operativo
Cuando nos referimos a riesgo operativo asociado a
ciberseguridad, debemos considerar eventos de riesgos como:
a) Fraude (Interno/Externo),
b) Desvío deliberado de una transferencia,
c) Pérdida financiera por la denegación de servicios,
d) Interrupción de operaciones vinculada a un virus
informático o una amenaza de rescate.
B.2 Riesgo Legal y Regulatorio
Cuando nos referimos a riesgo legal y regulatorio asociado a
ciberseguridad, debemos considerar eventos de riesgos como:
a) Violación de la privacidad del cliente o de la
institución,
b) Pérdida de confidencialidad que puede resultar en
sanciones legales o regulatorias.
B.3 Riesgo Sistémico
Cuando nos referimos a riesgo sistémico asociado a
ciberseguridad, debemos considerar eventos de riesgos como:
a) Pérdida a gran escala de la integridad de los datos
que puede afectar las operaciones de partes
relacionadas,
b) Problemas a gran escala con proveedores de la
cadena de suministros de servicios tecnológicos,
c) Problemas en transferencias o compensación
interbancaria,
d) Pérdida sistémica del acceso del cliente a los
servicios.
Página 6 de 37
B.4 Riesgo Reputacional
Cuando nos referimos a riesgo reputacional asociado a
ciberseguridad, debemos considerar eventos de riesgos como:
a) Pérdida de la confianza pública,
b) Pérdida financiera importante,
c) Sanción regulatoria ,
d) Interrupción prolongada de los servicios.
IV. ENFOQUES, MARCOS Y MODELOS DE SUPERVISIÓN Y
REGULACIÓN INTERNACIONAL SOBRE CIBERSEGURIDAD
Y CIBERRESILIENCIA
En esta sección, se abordan los marcos de supervisión y
regulación internacional sobre ciberseguridad y ciberresiliencia
que serán considerados como referentes para la valoración del
modelo regulatorio vigente establecido por el CONASSIF.
A. Enfoques Regulatorios
El incremento de ataques cibernéticos de alto perfil contra
instituciones financieras y gobiernos han centrado la atención
en la necesidad de fortalecer la seguridad cibernética, en este
sentido el Banco Internacional de Pagos (El BIS por sus siglas
en inglés) a través de los estudios realizados por el Instituto de
Estabilidad Financiera (El FSI por sus siglas en inglés) nos
revela que existen dos enfoques para abordar los temas de
ciberseguridad, el primero está orientado a que por su naturaleza
se puede regular el riesgo cibernético con la regulación existente
relacionada con la tecnología y/o el riesgo operativo; el segundo
enfoque por su parte, necesita una estructura regulatoria
específica para lidiar con la naturaleza del riesgo cibernético,
dadas las crecientes amenazas que resultan de un sector
financiero cada vez más digitalizado. [7]
B. Marcos y Modelos
A nivel internacional, se han presentado diferentes iniciativas
para el abordaje de la supervisión y regulación relacionados con
temas de ciberseguridad, entre los que podemos mencionar los
siguientes:
B.1 Asociación Internacional de Supervisores de Seguros
La Asociación Internacional de Supervisores de Seguros
(IAIS por sus siglas en inglés), publicó en abril del 2016 el
“Documento temático sobre riesgo cibernético al sector de
seguros”. Este documento contiene una serie de
2
El G7 es la abreviatura del Grupo de los Siete, una
organización de líderes de algunas de las economías más
recomendaciones sobre prácticas de seguridad cibernética
relacionada con: 1. Gobierno; 2. Identificación; 3. Protección;
4. Detección; 5. Respuesta; 6. Recuperación; 7. Pruebas; 8.
Conciencia de la situación; y 9 Aprendiendo y evolucionando.
[8]
B.2 Banco Internacional de Pagos y la Organización
Internacional de Comisiones de Valores
El BIS y la Organización Internacional de Comisiones de
Valores (La IOSCO por sus siglas en inglés), en abril del año
2016 publicó el documento denominado: “Orientación sobre
resiliencia cibernética para infraestructuras de mercados
financieros”, que proporciona orientación complementaria con
sus principios, sobre: 1. Contexto de la gobernanza; 2. Marco
para la gestión integral de riesgos; 3. Finalidad de la liquidación;
4. Riesgo operacional; 5 Enlaces con el Fondo Monetario
Internacional (FMI). Esta guía proporciona detalles
complementarios relacionados con los preparativos y las
medidas que las entidades deben tomar para mejorar sus
capacidades de resiliencia cibernética con el objetivo de limitar
los riesgos crecientes y las amenazas que plantean a la
estabilidad financiera.
B3. El G7
El G7 2 en octubre de 2016 publicó el documento
denominado: “Elementos fundamentales de ciberseguridad para
el sector financiero”, el cual establece ocho bloques de
construcción: 1. Estrategia y Marco; 2. Gobernanza; 3.
Evaluación de riesgos y controles; 4. Monitoreo; 5. Respuesta;
6. Recuperación; 7. Intercambio de información; 8. Aprendizaje
continuo. El G7 propone que considerando estos bloques de
conocimiento las entidades financieras pueden diseñar e
implementar su estrategia de ciberseguridad. [9].
B.4 Autoridad Monetaria de Hong Kong
La Autoridad Monetaria de Hong Kong (La HKMA por sus
siglas en inglés), publicó en diciembre del 2016 en su sitio web
la “Iniciativa de Fortalecimiento de la Ciberseguridad (CFI por
sus siglas en inglés), con miras a aumentar la resiliencia
cibernética del sistema bancario de Hong Kong. La iniciativa se
sustenta en tres pilares: 1. Marco de Evaluación de la
Resiliencia Cibernética; 2. Programa de Desarrollo Profesional;
3. Plataforma de intercambio de inteligencia cibernética. [10]
grandes del mundo: Canadá, Francia, Alemania, Italia, Japón,
Reino Unido y Estados Unidos.
Página 7 de 37
B.5 Toronto Centre
El Toronto Centre, publicó en diciembre de 2018 el
documento denominado: “Supervisión del riesgo de seguridad
cibernética”, el cual contiene una serie de aspectos sobre
ciberseguridad, entre los que mencionamos: 1. Caracterización
del riesgo; 2. Elementos y enfoques; 3. Marcos y procesos; 4.
Gobernanza; 5. Identificación de riesgos; 6. Controles; 7.
Informes e intercambio de información.
B.6 Autoridad Bancaria Europea
La Autoridad Bancaria Europea (EBA por sus siglas en
inglés), publicó en abril del 2019 el documento denominado:
“Directrices sobre gestión de riesgos de TIC y de seguridad”,
dirigidas a las entidades financieras. El documento contiene
lineamientos agrupados en ocho títulos, relativos a: 1. Principio
de proporcionalidad; 2. Gobernanza y estrategia; 3 Marco de
gestión de riesgos; 4. Seguridad de la información; 5 Gestión de
las operaciones de TIC; 6 Gestión de proyectos y de cambios;
7. Continuidad de negocio; 8 Gestión de la relación con los
usuarios de los servicios de pago. [11]
B.7 Consejo de Estabilidad Financiera
El Consejo de Estabilidad Financiera (El FSB por sus siglas
en inglés) en octubre del año 2020 publicó el documento
denominado: “Prácticas efectivas para incidentes cibernéticos.
Respuesta y Recuperación. Reporte Final”, con el fin de mejorar
la resiliencia cibernética para promover la estabilidad
financiera, proporcionando herramientas con un conjunto de
cuarenta y nueve prácticas efectivas, las cuales fueron
estructuradas en siete componentes: 1. Gobernanza; 2.
Planificación y planeación; 3. Análisis; 4. Mitigación; 5.
Restauración y recuperación; 6. Coordinación y comunicación;
7. Mejora. Estos componentes están orientados a ser ejecutados
antes, durante y después de un incidente de ciberseguridad. [12]
B.8 Parlamento Europeo y del Consejo sobre la resiliencia
operativa digital del sector financiero
El Parlamento Europeo y del Consejo sobre la resiliencia
operativa digital del sector financiero, en setiembre del 2020,
emite el reglamento que incorpora entre otros pero no limitados
los aspectos siguientes: 1. Disposiciones generales; 2.
Gobernanza y organización; 3. Marco de gestión de riesgos de
TIC; 4. Incidentes relacionados con las TIC (gestión,
clasificación e información); 5. Pruebas de resiliencia operativa
digital; 6. Gestión de riesgos de terceros relacionados con TIC;
7. Marco de supervisión de proveedores de terceros de servicios
esenciales de TIC; 8. Acuerdos de intercambio de información.
[13]
B.9 Superintendencia Financiera de Colombia
La Superintendencia Financiera de Colombia, en noviembre
del 2020 publicó la Circular 33 sobre los “Requerimientos
mínimos para la gestión de la seguridad de la información y la
ciberseguridad”. Dentro de su marco se detallan controles
relacionados con: 1. Obligaciones generales; 2. Etapas de la
ciberseguridad; 3. Reporte e intercambio de información con la
super intendencia. [14]
V. MARCOS, ESTÁNDARES Y MEJORES PRÁCTICAS SOBRE
SEGURIDAD Y CIBERSEGURIDAD
En esta sección, se abordan una serie de marcos, estándares y
mejores prácticas internacionales, los cuales son utilizados
como línea base en los cuerpos normativos de cada legislación,
lo anterior, en concordancia con la existencia de factores
preexistentes que faciliten el enfoque holístico o el enfoque
independiente del diseño regulatorio y de supervisión.
A. Estándares del NIST
El Instituto Nacional de Estándares y Tecnología (El NIST por
sus siglas en inglés) fue fundado en 1901 y en la actualidad
forma parte del Departamento de Comercio de los Estados
Unidos. [15]
Se encarga de desarrollar normas de uso público que
contemplan aspectos desde la red eléctrica inteligente; registros
electrónicos de salud; relojes atómicos, nanomateriales
avanzados; chips informáticos; seguridad de la información y
ciberseguridad; entre otros. [16]
El NIST ha desarrollado una serie de herramientas que se
pueden utilizar como referencia en materia de seguridad
informática, ciberseguridad y privacidad de los datos, entre las
que podemos mencionar un listado no exhaustivo las siguientes:
1. Cybersecurity Framework (NIST CSF - r1.1)
2. Controles de seguridad y privacidad (NIST SP 800-53
r4 y r5)
3. Guía de Recuperación de Eventos de Ciberseguridad
(NIST.SP.800-184)
4. Línea de base básica de la capacidad de ciberseguridad
de dispositivos de Internet de las cosas (IoT) (NIST IR
8259 A)
5. Línea de base básica de capacidad de soporte no
técnico de IoT (NIST IR 8259 B)
6. NIST Privacy Framework, Version 1.0
7. Marco de desarrollo de software seguro (SSDF) del
NIST (NIST SP 800-218)
8. Protección de la información no clasificada controlada
(CUI) (NIST SP 800-171 r1 y r2)
9. Guía de divulgación de vulnerabilidades (NIST SP
800-216)
Página 8 de 37
 10. Protección y respuesta al ransomware:
a. Ransomware Risk Management: A
Cybersecurity Framework Profile (NIST IR
8374 r1)
b. Guía de inicio rápido: Introducción a la
gestión de riesgos de ciberseguridad |
ransomware.
Adicionalmente, el NIST ha desarrollado una serie de recursos
sobre áreas prioritarias de TI, entre las que podemos mencionar
un listado no exhaustivo las siguientes:
1. Guía para la planificación de la contingencia (NIST SP
800-34 r1)
2. Gestión de riesgos de la cadena de suministro de
ciberseguridad (NIST SP 800-161 r1)
3. DevSecOps (Desarrollo de aplicaciones con código
seguro para el soporte de las operaciones del negocio).
4. Mediciones para la seguridad de la información (NIST
SP 800-55 r1. r2)
5. Seguridad de tecnología operativa (OT) (NIST SP
800-82 r3)
6. Marco de desarrollo de software seguro (SSDF) (NIST
SP 800-218 r1.1)
De los estándares listados anteriormente, el más relevante para
alcanzar los derroteros establecidos en este artículo es el Marco
de Ciberseguridad (NIST CSF); el cual se fundamenta en tres
elementos base: 1. El núcleo; conformado por las funciones de:
(Identificar, proteger, detectar, responder, y recuperar), con sus
respectivas categorías y sub categorías; 2. Los niveles de
implementación del marco; van desde el más débil (parcial)
hasta el más fuerte (aceptable) asociados a tres atributos: el
riesgo, el programa de riesgos y la externalización; 3. El perfil
del marco; es una herramienta que permite alinear las funciones,
categorías y subcategorías con los requisitos empresariales, la
tolerancia al riesgo y los recursos de la organización, así como
definir brechas.
Adicionalmente, el NIST CSF incluye aspectos sobre las
relaciones de la cadena de suministro cibernética, y presenta una
serie de pasos para establecer o mejorar un programa de
ciberseguridad que considera: 1. Priorización y Alcance; 2.
Orientación; 3. Crear un perfil actual; 4. Realizar una
evaluación de riesgos; 5. Crear un perfil objetivo; 6.
Determinar, analizar y priorizar brechas; 7. Implementar planes
de acción.
B. ISO/IEC Familia de Normas 27000
La Organización Internacional de Normalización es una
organización no gubernamental e independiente que se dedica
a crear estándares internacionales industriales y comerciales; la
asociación está integrada por 167 organizaciones nacionales de
normalización y fue fundada el 23 de febrero de 1947. [17]
Las normas ISO son acordadas internacionalmente por
expertos y cubren una amplia gama de actividades. A diferencia
de los estándares del NIST, para el uso de las normas de la ISO
se debe de pagar por cada estándar. La adquisición de cada
norma autoriza su uso de forma exclusiva al titular que realiza
la adquisición y prohíbe su reproducción en cualquier medio.
Las organizaciones pueden confiar en la familia de normas
ISO/IEC 27000, para proteger los activos de información. Entre
las más relevantes para esta investigación, están:
1. ISO 27000. Técnicas de Seguridad (SGSI).
Generalidades y vocabulario
2. ISO 27001. Requisitos SGSI. Anexo A. Enumera los
objetivos de control y controles que desarrolla la ISO
27002
3. ISO 27002. Guía de buenas prácticas describe los
objetivos de control y controles recomendables en
cuanto a seguridad de la información. No es
certificable. Contiene 39 objetivos de control y 133
controles, agrupados en 11 dominios
4. ISO 27003. Sistema de Gestión de la Seguridad de la
Información (SGSI). Guía de implantación.
5. ISO 27004. Métricas. Gestión de la Seguridad de la
Información.
6. ISO 27005. Gestión de riesgo de seguridad de la
información.
7. ISO 27006. Requisitos para acreditación de entidades
de auditoría y certificación de SGSI.
8. ISO 27007. Guía de auditoría de un SGSI.
9. ISO 27032. Guías para la ciberseguridad
De las normas listadas anteriormente, el más relevante a ser
considerado en esta investigación es la ISO 27032. Guías para
la ciberseguridad. Esta norma provee orientación para mejorar
el estado de la ciberseguridad, delineando los aspectos únicos
de esta actividad y sus dependencias en otros dominios de
seguridad, en particular: seguridad de las aplicaciones conocida
también como seguridad informática; seguridad de redes;
seguridad de Internet, y protección de infraestructuras de
información críticas (CIIP por sus siglas en inglés). Además,
cubre la línea base de prácticas de seguridad para las partes
interesadas en el Ciberespacio. [18]
C. HITRUST CSF (Health Information Trust Alliance -
Cybersecurity Framework)
El HITRUST CSF es un conjunto prescriptivo de controles
que cumplen con los requisitos de la serie ISO/IEC 27000 y la
Ley de Portabilidad y Responsabilidad del Seguro Médico
(HIPAA por sus siglas en inglés). Desde su fundación en 2007,
HITRUST ha definido programas para salvaguardar
información confidencial, y gestiona r el riesgo de la
información. HITRUST en primera instancia se orientó al área
de la salud, sin embargo, actualmente abarca diversas industrias
e incorpora los elementos de la cadena de suministro de
terceros.
Página 9 de 37

D. Cloud Security Alliance (CSA) – Cloud Controls Matrix
(CCM)
Esta organización se dedica a definir y crear conciencia sobre
las mejores prácticas para ayudar a garantizar un entorno seguro
de computación en la nube, aprovechando la experiencia en la
materia de los profesionales de la industria, asociaciones,
gobiernos y sus miembros corporativos e individuales para
ofrecer investigación, educación, certificación, eventos y
productos específicos de seguridad en la nube.
La Matriz de Controles en la Nube (CCM por sus siglas en
inglés) es un marco de control de ciberseguridad para la
computación en la nube diseñado por la CSA.
Se compone de 197 objetivos de control que se estructuran
en 17 dominios que cubren todos los aspectos clave de la
tecnología en la nube. Se puede utilizar como una herramienta
para la evaluación sistemática de una implementación en la
nube y proporciona orientación sobre qué controles de
seguridad deben ser implementados y por cuál actor dentro de
la cadena de suministro de la nube. [19]
E. COBIT | Objetivos de Control para Tecnologías de la
Información – ISACA®
La Asociación de Auditoría y Control de Sistemas de
Información (ISACA por sus siglas en inglés), actualmente está
integrada por más de 165.000 profesionales en las disciplinas
de auditoría, riesgo, seguridad y gobierno de SI/TI que residen
y trabajan en más de 180 países. [20]
ISACA ha desarrollado una serie de recursos como: Marcos,
estándares y modelos de referencia sobre tecnologías de
información; auditoría de TI; riesgos de TI; seguridad
cibernética entre otros. Dentro de estos marcos de referencia
está el denominado “Objetivos de Control para la Información
y Tecnología Relacionada” (COBIT por sus siglas en inglés), el
cual es un marco de trabajo para el gobierno y la gestión de las
tecnologías de la información dirigido a toda la empresa. Este
marco de referencia considera diversas partes interesadas,
como: La función o gestión de TI; órgano de dirección;
auditoría; riesgos; cumplimiento; alta gerencia, entre otros.
COBIT es utilizado para evaluar, orientar y supervisar el
gobierno de TI, por otro lado, en temas de gestión permite
alinear, planificar, organizar, construir, adquirir, implementar,
entregar, dar servicio, dar soporte, monitorear, evaluar y valorar
la gestión; con esto se hace una clara distinción entre estas dos
disciplinas que abarcan diferentes tipos de actividades, las
cuales requieren distintas estructuras organizativas con
propósitos diferentes.
E.1 Objetivos de control
Para que la información y la tecnología contribuyan a los
objetivos de la empresa, se deben lograr una serie de objetivos
de control orientados al gobierno y gestión. En COBIT un
objetivo de gobierno o gestión está relacionado con un proceso
(con un nombre idéntico o similar) y una serie de componentes
para contribuir a lograr el objetivo, y se agrupan en cinco
dominios. Los dominios se nombran mediante verbos que
expresan el propósito clave y las áreas de actividad de los
objetivos que los contienen:
Los objetivos de gobierno se agrupan en el dominio Evaluar,
Dirigir y Monitorizar (EDM por sus siglas en inglés). En este
dominio, el órgano de gobierno evalúa las opciones
estratégicas, guía a la alta gerencia con respecto a las opciones
estratégicas elegidas y monitoriza el logro de la estrategia.
Los objetivos de gestión se agrupan en cuatro dominios:
1. Alinear, Planificar y Organizar (APO por sus siglas en
inglés) aborda la organización general, estrategia y
actividades de apoyo para la información y la
tecnología.
2. Construir, Adquirir e Implementar (BAI por sus siglas
en inglés) se encarga de la definición, adquisición e
implementación de soluciones y su integración en los
procesos de negocio.
3. Entregar, Dar Servicio y Soporte (DSS por sus siglas
en inglés) aborda la entrega operativa y el soporte de
los servicios de información y tecnología, incluida la
seguridad.
4. Monitorizar, Evaluar y Valorar (MEA por sus siglas
en inglés) aborda la monitorización del rendimiento y
la conformidad con los objetivos de rendimiento
internos, los objetivos de control interno y los
requisitos externos.
E.2 Componentes del sistema de gobierno
Para satisfacer los objetivos de gobierno y gestión, cada
empresa necesita establecer, personalizar y sostener un sistema
de gobierno creado a partir de una serie de componentes, los
cuales son factores que, de forma individual y colectiva,
contribuyen al buen funcionamiento del sistema de gobierno de
la empresa en lo relacionado con las tecnologías. Estos
componentes interactúan entre sí, y dan lugar a un sistema de
gobierno holístico de negocio y de TI. Los más comunes son los
procesos. Sin embargo, los componentes de un sistema de
gobierno de TI incluyen también estructuras organizativas;
políticas y procedimientos; elementos de información; cultura
y comportamiento; habilidades y competencias; así como
servicios, infraestructura y aplicaciones.
Página 10 de 37

E.3 Áreas prioritarias
Un área prioritaria describe un determinado tema, dominio o
problema que puede ser abordado por una colección de
objetivos de gobierno y gestión y sus componentes
relacionados. Algunos de los ejemplos de áreas prioritarias
incluyen pequeñas y medianas empresas, ciberseguridad,
transformación digital, computación en la nube, privacidad,
portabilidad, DevOps 3 , entre otros. La cantidad de áreas
prioritarias es prácticamente ilimitada. Esto hace que las
tecnologías de información sean dinámicas y requieran un ritmo
de adaptación más acelerado. Mediante el uso de COBIT se
pueden añadir nuevas áreas prioritarias conforme sea necesario
o conforme los expertos y especialistas en la materia
contribuyan al modelo COBIT. [21]
E.4 Gobierno de TI
El gobierno de TI busca asegurar que las necesidades de las
partes interesadas se evalúan para determinar objetivos
empresariales equilibrados y acordados dentro de un riesgo
aceptable, con el fin de brindar una dirección a través de la
priorización y la toma de decisiones, alineado a la gobernanza
corporativa. Cabe destacar que el gobierno de TI es un
componte del gobierno corporativo. [22]
La estructura y gobierno de cada organización varían según
el tipo de negocio, tamaño, industria, cultura, normas legales,
entre otros. Sin embargo, todas las organizaciones tienen la
responsabilidad y el deber de proteger sus activos y
operaciones, incluyendo su infraestructura de TI y la
información. En el más alto nivel, esto se conoce generalmente
como gobierno, gestión del riesgo y cumplimiento. Algunas
entidades implementan estas tres áreas de manera integrada,
mientras que otras pueden tener enfoques segregados. Por otro
lado, debido a que la ciberseguridad es parte de la seguridad de
la información, esta debe abarcar los roles, funciones y
responsabilidades de la ciberseguridad en todos los niveles de
la organización. [23]
El gobierno es responsabilidad del Órgano de Dirección o
Consejo de Administración; y se debe enfocar en desarrollar un
programa de gobierno que considere entre otros, pero no
limitados los objetivos siguientes:
1. Proporcionar orientación estratégica.
2. Asegurar que se cumplan los objetivos.
3. Determinar si el riesgo se está gestionando
apropiadamente.
4. Verificar que los recursos de la organización se
están utilizando de manera responsable.
Las organizaciones con el fin de lograr los objetivos de
gobierno pueden utilizar herramientas tales como las políticas.
3
Conjunto de prácticas que agrupan el desarrollo de software
y las operaciones de TI. Su objetivo es hacer más rápido el ciclo
La política de seguridad de la información es un elemento
primordial de la ciberseguridad y el gobierno orientando la
intención del Órgano de Dirección o Consejo de
Administración mediante el establecimiento de alto nivel de los
requisitos, funciones y responsabilidades de todos los
miembros de la organización, junto con los comportamientos
esperados en diversas situaciones.
E.5 Gestión de TI
La gestión de TI tiene que ver con planificar, construir,
ejecutar y monitorear actividades en línea con la dirección
establecida por el órgano de gobierno para alcanzar los
objetivos de la empresa.
La gestión es responsabilidad de la gerencia , la cual debe
considerar el establecimiento y gestión de los sistemas
incluyendo los sistemas de gestión de seguridad y la
implementación y gestión de los servicios de seguridad de
información, así como sus respectivos controles técnicos, los
cuales deben abarcar la seguridad informática o de aplicación,
la ciberseguridad, la seguridad de red, la seguridad de la
Internet, entre otros aspectos; dentro del ámbito de la
organización.
E.6 Enfoque de la ciberseguridad
Tal como se indicó anteriormente, la ciberseguridad se
establece como un área prioritaria para COBIT, en general, hay
cuatro enfoques diferentes para la implementación de la
ciberseguridad, a saber:
1. Basado en cumplimiento. Se fundamenta en
reglamentos o normas para determinar las
implementaciones de seguridad. Los controles se
aplican con independencia de su aplicabilidad o
necesidad, lo cual a menudo conduce a una actitud de
llevar “lista s de control” hacia la seguridad.
2. Basado en riesgos: Se basa en identificar el riesgo
único al que una organización se enfrenta y el diseño
e implementación de los controles de seguridad para
hacer frente a ese riesgo considerando la tolerancia y
necesidades de negocio.
3. Hibrido. Se fundamenta en una combinación del
enfoque basado en cumplimiento y el enfoque basado
en riesgos. Este enfoque es implementado
generalmente por entidades con un nivel de madurez
avanzado que han desarrollado marcos integrales de
gobierno y gestión de TI.
4. Ad hoc. Es un enfoque donde la seguridad se
implementa sin fundamento o criterio particular. Las
implementaciones ad hoc pueden ser impulsadas por
la comercialización del proveedor, o pueden reflejar
de vida del desarrollo de software y proporcionar una entrega
continua de alta calidad.
Página 11 de 37
 insuficiente experiencia en la materia, conocimiento o Para los fines de esta investigación y la propuesta, se extrae
capacitación en el diseño y aplicación de salvaguardas el objetivo seis sobre la gestión de riesgos y en particular la
de la información. línea estratégica seis-punto-dos, detallados a continuación:
Objetivo No. 6 Gestión de riesgos. Este objetivo incluye
E.7 Riesgos de terceros cinco líneas estratégicas.
En el entorno de la seguridad de la información y en LE. 6.2 Implementación de mejores prácticas y
particular en ciberseguridad, la externalización de funcionesdel requerimientos mínimos de seguridad en el sector financiero.
negocio o de TI puede ser difícil de controlar, aún más cuando
los terceros involucrados a su vez realizan externalización. Esta
situación conlleva al surgimiento de nuevos escenarios de
VII MODELO REGULATORIO Y DE SUPERVISIÓN (COSTA
riesgos ya que las organizaciones tienen diferentes culturas de
seguridad y tolerancias al riesgo. Es importante entender los RICA)
riesgos de terceros y los riesgos de la cadena de elementos
externalizados con el fin de entender el riesgo sistémico que se
puede presentar cuando se dan intercambio de información y En esta sección, se abordan el desarrollo historio de la
regulación en temas de tecnologías de información, así como el
acceso a la red, ya que esto se refiere a la ciberseguridad, los
modelo regulatorio plasmado a través del Reglamento General
cuales se abordan a través de varios procesos de gestión de
de Gestión de TI y el modelo de Supervisión Basada en Riesgos.
COBIT.

A. Desarrollo histórico del modelo de supervisión del

VI CIBERSEGURIDAD A NIVEL PAÍS (COSTA RICA)
Sistema Financiero Costarricense sobre tecnologías de
información y seguridad
En esta sección, se abordan temas relacionados con la La supervisión en temas de tecnologías de información inicia
estrategia nacional de ciberseguridad en Costa Rica. propiamente a partir del año 2002, cuando el CONASSIF
publicó la “Normativa de Tecnología de Información para las
entidades fiscalizadas por la Superintendencia General de
En marzo del año 2012 se estableció la creación del Centro Entidades Financieras”, la cual se utiliza ba para evaluar la
de Respuesta de Incidentes de Seguridad Informática (CSIRT- administración, los sistemas, los equipos, la seguridad, la
CR) el cual está adscrito al Ministerio de Ciencia, Tecnología y utilización y los controles aplicados al Área de Tecnología de
Telecomunicaciones (MICITT), y tiene como objeto ser el ente Información de las entidades fiscalizadas, con el fin de velar por
coordinador de la ciberseguridad y seguridad de la información la estabilidad y la eficiencia del sistema financiero. [26]
nacional, que busca coordinar acciones para el mejoramiento
En el año 2009, la normativa evoluciona a lo que se conoce
general de la seguridad cibernética e informática, así como el como el Acuerdo SUGEF 14-09 “Reglamento sobre la Gestión
apoyo a las autoridades administrativas y judiciales en los casos de la Tecnología de Información”, lo anterior, con el fin de
que corresponda para la investigación y procesamiento de
atender las recomendaciones emitidas por el Comité de Basilea,
perpetradores de delitos cibernéticos e informáticos. [24]
particularmente las disposiciones de Basilea II sobre gestión de
Por su parte, dentro de los esfuerzos realizado por el los riesgos operativos en su dimensión tecnológica. Además,
MICITT, en el año 2017 se publica la Estrategia Nacional de considera la proliferación de amenazas y eventos no deseados;
Ciberseguridad de Costa Rica 2017-2021, vigente a la fecha, la así como el aumento de la dependencia y el potencial que
cual indica que las innovaciones y el descubrimiento constante poseen las tecnologías para cambiar drásticamente los procesos
son la clave para la supervivencia y el crecimiento de un pueblo, de negocio. [27]
y se deben desarrollar iniciativas para tener un mundo digital
El Acuerdo SUGEF 14-09 incorpora entre otros aspectos los
más seguro, que a futuro aporte grandes beneficios, generando
siguientes:
confianza en el uso de las tecnologías digitales. [25]
1. Implementación de un Marco de Gestión de
La estrategia Nacional de Ciberseguridad desarrollada por el
Tecnologías de Información, basado de COBIT 4.
MICITT busca alcanzar los Objetivos para el desarrollo
2. Revelación de forma anual del perfil tecnológico, que
sostenible 2030 de la ONU, así como al Plan Nacional de es una descripción de la estructura organizacional, los
Desarrollo y el Plan Nacional de Telecomunicaciones; e procesos y la infraestructura de TI de la entidad
incorpora el desarrollo de ocho objetivos, con sus respectivas
supervisada, así como, del nivel de automatización de
líneas estratégicas
sus procesos de negocio y de gestión del riesgo.
3. Incorpora el criterio experto por parte de terceros a
través de revisiones externas independientes
ejecutadas por auditores certificados CISA.

Página 12 de 37
 4. Define un modelo de calificación taxativo y
evaluación de los procesos basado en el modelo de
capacidad de madurez (CMMI por sus siglas en
inglés).
Para el año 2017, el CONASSIF publica el Acuerdo SUGEF
14-17 “Reglamento General de Gestión de TI”, lo anterior
motivado por:
1. Cambios en las mejores prácticas a nivel internacional
sobre tecnologías de información.
2. COBIT en la versión 5 incorpora el gobierno, y recalca
la importancia de la separación de la gestión operativa
de la gobernanza.
3. Una necesidad de aumentar el control por los riesgos
de una inadecuada gestión operativa que puede
repercutir negativamente en la continuidad de las
operaciones de las entidades financieras.
4. Los posibles impactos patrimoniales y 3. Requerir planes de acción para atender los riesgos
concomitantemente, la afectación de los clientes de las
entidades y el sistema financiero por la materialización
de riesgos sistémicos.
B. Reglamento General de Gestión de TI Acuerdo SUGEF
14-17
B.1 Aspectos generales
El reglamento SUGEF 14-17, tiene como objetivo establecer
los requerimientos mínimos para la gestión de la tecnología de
información que deben acatar las entidades supervisadas y
reguladas del sistema financiero costarricense, e incorpora
dentro de su alcance un total de 110 entidades supervisadas por
la Superintendencia General de Entidades Financieras
(SUGEF), la Superintendencia General de Valores
(SUGEVAL), la Superintendencia de Pensiones (SUPEN) y la
Superintendencia General de Seguros (SUGESE). [28]
El Acuerdo SUGEF 14-17, considera que las
superintendencias están migrando de un modelo basado en
reglas taxativas hacia un enfoque basado en riesgos, donde la
entidad supervisada es responsable de una gestión integral de
los riesgos del negocio.
En este sentido los requerimientos taxativos del reglamento
que se listan a continuación:
1. Establecimiento de un Marco de Gestión de TI.
2. Remisión del Perfil Tecnológico.
3. Contratación de Auditorías Externas de TI.
4. Remisión de Planes de Acción.
Logran un balance con el Modelo de Supervisión Basado en
Riesgos (SBR), ya que permite a las entidades considerar el
principio de proporcionalidad 4, a través de:
4
La proporcionalidad implica el establecimiento de
elementos para la gobernanza y gestión dentro de las
organizaciones considerando entre otros aspectos, pero no
1. Establecer las estructuras, funciones y modelos de
gobierno y gestión de TI.
2. Seleccionar e implementar los procesos de gobierno
y gestión de TI aplicables a su modelo de negocio.
Por su parte, dentro del SBR, permite a las superintendencias
los siguientes aspectos:
1. Solicitar la evaluación del auditor externo de TI, la
cual deja de ser una lista taxativa de controles y se
convierte en una serie de criterios para cada
proceso, los cuales deben ser valorados desde sus
fortalezas, debilidades, riesgos y oportunidades de
mejora.
2. Remitir un Reporte de Supervisión que incorpore
los resultados de la auditoría externa de TI, alineado
a la gestión y las funciones de control de TI del
modelo de SBR.
acordes a la propia realidad de las entidades en cada
uno de sus mercados.
Adicionalmente, la estrategia de supervisión busca generar,
bajo un esquema de supervisión transversal, integrada y
coordinada, mejoras en el nivel de la gestión de la tecnología de
información y sus riesgos asociados, ante los retos que impone
un ambiente financiero competitivo e innovador, permitiendo la
coordinación entre superintendencias cuando la unidad de TI,
la gobernanza, la gestión o la externalización de TI se realice de
forma corporativa.
B.2 Alcance del Acuerdo SUGEF 14-17
El Reglamento General de Gestión de TI, incluye en el
alcance un total de ciento diez entidades supervisadas por las
cuatro superintendencias. Ver Apéndice 1 Entidades incluidas
en el Reglamento General de Gestión de TI . La distribución de
las entidades por cada una de las superintendencias es la
siguiente:
Tabla 1 Cantidad de entidades supervisadas por cada
superintendencia
Superintendencia Cantidad de entidades
SUGEF 44
SUPEN 12
SUGEVAL 42
SUGESE 12
Total 110
Fuente: Elaboración propia (2022)
limitados: El modelo de negocio, tamaño, complejidad,
volumen de operaciones, riesgos y el conocimiento informado
de la entidad.
Página 13 de 37
B.3. Marco de Gestión de TI
El Marco de Gestión de TI (MGTI) es un conjunto de
procesos, destinados a la gobernanza y la gestión de las
tecnologías de información, que la entidad supervisada debe
adoptar como referencia para la gestión integral de sus riesgos
tecnológicos, considerando su naturaleza, complejidad, modelo
de negocio, volumen de operaciones, criticidad de sus procesos
y la dependencia tecnológica.
El MGTI establecido en el Acuerdo SUGEF 14-17, está
basado en COBIT 5, cabe señalar que el modelo base
establecido por ISACA incluye treinta y siete procesos, sin
embargo, el marco excluye tres procesos.
Por su parte, el Reglamento General de Gestión de TI y sus
Lineamientos establece que es responsabilidad de las entidades
supervisadas planificar, implementar, controlar y mantener el
MGTI basado en treinta y cuatro procesos. Lo anterior,
considerando el principio de proporcionalidad. Además,
mediante estudio técnico las entidades pueden establecer
razonadamente la exclusión de procesos que no apliquen.
Cabe destacar que la estrategia de supervisión transversal que
presenta el reglamento permite que cuando la gestión de TI sea
tipificada como corporativa, la entidad puede coordinar, aplicar
y mantener un único marco de gestión de TI corporativo, el cual
debe contemplar los riesgos de TI establecidos en la gestión
integral de riesgos aprobada por el Órgano de Dirección de cada
una de las entidades.
Por otro lado, el reglamento establece que cuando las
necesidades de supervisión, el riesgo identificado, o se
determine que el marco de gestión de TI no es acorde a las
particularidades de la entidad supervisada, las
Superintendencias pueden requerir, mediante resolución
razonada, la inclusión de procesos en el marco de gestión de TI.
C. Modelo de Supervisión Basado en Riesgos y TI
Las superintendencias desde el año 2008, han trabajado en el
desarrollo de un modelo de supervisión para la industria acorde
con los nuevos requerimientos y apegado a las buenas prácticas
regulatorias internacionales, que le permita cumplir con las
funciones que le han sido encomendadas por sus respectivos
mandatos legales.
El enfoque de supervisión basado en riesgos (SBR) está
dirigido a velar por la liquidez, la solvencia y estabilidad de la
industria, por lo que se centra en el análisis de los diferentes
factores de riesgos, disminuyendo la probabilidad de eventos de
liquidez e insolvencia y resguardando así los derechos de los
consumidores y la estabilidad del sistema financiero.
El SBR permite analizar, de manera prospectiva, los riesgos
relevantes del supervisado y su sistema de gobierno y gestión,
con el objetivo de establecer un Perfil de riesgo de la s entidades,
el cual permita valorar acciones supervisoras apropiadas para el
nivel de riesgo observado. [29]
C.1 Principio de proporcionalidad
El SBR se fundamenta en el principio de proporcionalidad,
el cual permite evaluar a cada entidad y las medidas de
actuación considerando los atributos particulares del
supervisado en aspectos tales como: naturaleza jurídica de la
entidad, tamaño, estructura de propiedad, alcance y la
complejidad de las operaciones, estrategia corporativa, perfil de
riesgo y el potencial impacto de sus operaciones sobre terceros.
Con lo anterior, se permite adecuar y requerir medidas de
acción para la atención de los riesgos que varíen según las
circunstancias internas o externas y las actividades comerciales
de la entidad.
En el caso de TI, el principio de proporcionalidad cobra vital
importancia debido a la gran cantidad de plataformas,
herramientas tecnológicas, sistemas de información, bases de
datos, sistemas operativos, equipos de telecomunicaciones,
equipos de protección y seguridad, así como otros elementos
que pueden variar según el tipo o las mezclas de tipos de
tecnologías implementadas en las entidades supervisadas.
C.2 TI como actividad significativa
Los modelos tradicionales de gestión de riesgos incluyen los
temas relacionados con sistemas de información y tecnologías
dentro del riesgo operativo. Sin embargo, este modelo dada la
complejidad actual y futura que conlleva las tecnologías de
información presenta un sesgo al diluir la importancia
individual y sistémica de los riesgos tecnológicos dentro de los
riesgos operativos, generando limitaciones a los directores de
las organizaciones en la toma de decisiones o durante el
establecimiento del apetito de riesgo.
Desde la perspectiva de SBR se recomienda que tecnologías
de información sea incorporada como una actividad
significativa, lo anterior, al considerar que:
1. El nivel de complejidad y especialización que
conlleva las tecnologías de información y su
constante avance es elevado e implica una serie de
riesgos emergentes.
2. Las entidades financieras no se dedican a negocios
tecnológicos, pero han generado una alta
dependencia en el uso de plataformas tecnológicas
y de la internet para sus operaciones y la atención
de los requerimientos de sus clientes.
3. Las entidades basan sus estrategias competitivas en
maximizar los beneficios, reducir los costos y los
impactos de los riesgos implementando canales y
productos digitales emergentes, asumiendo nuevos
riesgos.
Además, existen una serie de factores que permiten ejecutar
un análisis cuantitativo y cualitativo aplicados a TI para la
entidad y del mercado que justifican ampliamente su relevancia
como actividad significativa.
Página 14 de 37
 De esta forma, el enfoque tradicional de visualizar los riesgos
de sistemas de información y tecnológicos embebido en el
riesgo operativo se vuelve incapaz de reflejar los potenciales
riesgos tecnológicos.
Cabe destacar que, al incluir TI como actividad significativa
no deja de lado el enfoque tradicional, si no que permite orientar
los esfuerzos hacia la evaluación en cada una de las otras
actividades significativas, líneas, unidades o procesos de
negocio que puedan implica r un riesgo material para la
compañía, lo anterior, utilizando como referencia para su
evaluación el proceso “Gestionar los controles de los procesos
de negocio”, incorporado en el MGTI.
C.3 Riesgo inherente de TI
El riesgo inherente es la probabilidad de pérdidas materiales,
debido a la exposición a eventos adversos actuales y futuros. Es
intrínseco a la actividad significativa y es evaluado antes de
considerar la administración de riesgo que sobre esa actividad
ejecute la compañía.
El riesgo inherente de la actividad significativa de TI se
evalúa dentro de la gestión de su propio riesgo operativo,
asignándole una calificación de bajo, moderado, alto o crítico,
según su materialidad; y utiliza como principales insumos de
evaluación: el perfil tecnológico de la organización y el
conocimiento informado del supervisor sobre la entidad
supervisada.
C.4 Calidad de la gestión del riesgo de TI
La calidad de la gestión del riesgo de TI debe valorarse en
cada uno de los siguientes niveles de control:
1. Gestión operativa de TI: es aquella utilizada para
administrar los riesgos inherentes de la actividad
significativa sobre la base del día a día. La Alta
Gerencia debe asegurarse que existe un claro
entendimiento, por parte de toda la estructura de la
Entidad, de los riesgos que enfrenta y que debe
administrar, así como de que las políticas, procesos
y la cantidad de recursos dedicados sean suficientes
y efectivos.
2. Funciones de control relacionadas con TI:
comprende la existencia y suficiencia de las
funciones que garanticen una supervisión adecuada
de la gestión de la Entidad de conformidad con los
procesos del MGTI y las áreas prioritarias de TI,
según el principio de proporcionalidad.
Cuando una entidad carezca de alguna de las funciones de
control relacionadas con TI o no sean suficientemente
independientes o cuando sus potestades no sean
suficientemente amplias, se espera que otras funciones internas
o externas ejerzan el control independiente requerido.
La evaluación de la gestión operativa y las funciones de
control para la actividad significativa de TI considera las
siguientes cuatro categorías: fuerte, aceptable, necesita mejorar
o débil.
Asimismo, para cada función de control relevante de la
Entidad, se debe determinar una calificación general que refleje
la calidad de cada función a través de toda la compañía,
utilizando las mismas cuatro categorías citadas.
C.5. Riesgo neto de TI y su dirección
El riesgo neto de la actividad significativa de TI es el nivel
de riesgo resultante después de considerar la calidad de los
controles aplicados por la administración de la entidad sobre los
riesgos inherentes clave y se califica como bajo, moderado, alto
o crítico.
La calificación de riesgo neto debe incluir tanto su valoración
de la perspectiva futura, calificada como decreciente, estable o
creciente, así como de su importancia dentro del Perfil de
riesgos de la entidad, calificada como alta, media o baja.
D. La organización de la supervisión
D.1 Procesos de supervisión de TI
Las cuatro superintendencias aplican un proceso genérico de
supervisión de TI que contempla entre otras, pero no limitadas
las actividades siguientes:
1. Establecer y actualizar la estrategia de supervisión
de TI en un horizonte de 4 años.
2. Definir la Macroplanificación anual de TI.
3. Gestionar visitas de SBR.
4. Gestionar estudios especiales.
5. Gestionar el cumplimiento regulatorio.
6. Apoyar y ejecutar actividades administrativas y
proyectos de otras áreas y superintendencias.
7. Asistir y brindar capacitaciones y formación.
8. Realizar investigación y actualización profesional
en temas prioritarios de TI.
Cabe destacar que las visitas de SBR, los estudios especiales,
y la gestión del cumplimiento regulatorio se pueden administrar
como proyectos, y el resto de las actividades son actividades de
apoyo a la gestión de la supervisión de TI.
D.2 Estructura funcional y ejecución de labores de la
supervisión de TI
El Reglamento General de Gestión de TI fue diseñado para
responder de forma transversal al mercado financiero
costarricense. Para cubrir el alcance del reglamento y las
actividades del proceso de supervisión de TI se cuenta con un
total de diez supervisores de tecnologías de información con
Página 15 de 37
experiencia en temas de auditoría e informática. Estos
supervisores se distribuyen en las superintendencias de la
siguiente manera:
Tabla 2 Cantidad de supervisores de TI por cada superintendencia
Superintendencia Cantidad de supervisores
SUGEF 5
SUPEN 2 En esta sección, se aborda un resumen de las brechas del
SUGEVAL 2 marco de gestión en comparación como el NIST CSF y la ISO
SUGESE 1 27032.
Total 10
Fuente: Elaboración propia (2022)
La estructura funcional y dependencia jerárquica varia en
cada una de las superintendencias, por ejemplo, la SUGEF
cuenta con un área de Supervisión de TI, la cual está bajo la
línea jerárquica del Despacho del Superintendente. Este cambio
se dio en el año 2022, sin embargo, los supervisores de TI
continúan ejecutando sus funciones dentro de cada una de las
Divisiones de Supervisión. En el caso de la estructura en la
SUPEN, los supervisores de TI están localizados uno dentro de
la División de Regímenes Colectivos y el otro en la División de
Régimen de Capitalización Individual, por su parte, en
SUGEVAL, los supervisores se localizan en la División de
Supervisión de Fondos de Inversión, en el caso de SUGESE, el
supervisor de TI se encuentra ubicado dentro de la División de
Supervisión.
(*)5
Para la ejecución de las labores de supervisión de TI, de
forma anual se realiza una Macroplanificación, y se establecen
las prioridades de las áreas de supervisión prudencial a nivel
operativo y posteriormente, se incorporan las actividades de los
supervisores de TI según las prioridades de cada una de las
áreas donde el supervisor de TI esté adscrito.
Considerando lo anterior, los proyectos de supervisión se
ajustan en cuando al alcance y tiempo para satisfacer los
requerimientos de cada superintendencia. Por su parte, los
supervisores de TI proponen en algunas ocasiones a las
jefaturas reducir el alcance de los trabajos para poder cumplir
con los plazos establecidos, o replantear las prioridades.
Una vez determinado el panorama de la Macroplanificación
y el alcance y tiempo de los proyectos de supervisión, los
supervisores de TI valoran si se pueden incluir según las
prioridades establecidas la evaluación de las áreas prioritarias
de TI como lo son: Seguridad de la Información,
Ciberseguridad, Computación en la Nube, Desarrollo de
aplicaciones, Gestión de la cadena de proveedores, entre otros;
y en algunos casos las revisiones de estas áreas prioritarias se
5
Se excluyen unos párrafos de la propuesta inicial que se
considera son solo de interés de las Superintendencias
realiza de forma superficial, lo anterior, para cumplir con los
plazos establecidos y el alcance definido.
VIII BRECHAS DEL MARCO DE GESTIÓN DE TI
A. NIST CSF – MGTI
El Marco de Gestión de TI que deben implementar las
entidades supervisadas incluyen dos procesos relacionados
directamente con la seguridad de la información (2.12.
Gestionar la Seguridad de la Información y 4.5. Gestionar los
Servicios de Seguridad de la Información). Además, el
reglamento considera otros procesos que tienen relación con las
funciones del NIST CSF.
Un análisis comparativo del Marco de Gestión de TI, con el
NIST CSF, determinó que la s cinco funciones están
incorporadas dentro de las prácticas de los procesos de COBIT.
Ver Apéndice 4 Comparativo de Procesos del MGTI con las
funciones del NIST.
B. ISO 27032 – MGTI
El Marco de Gestión de TI que deben implementar las
entidades supervisadas incluyen dos procesos relacionados
directamente con la seguridad de la información (2.12.
Gestionar la Seguridad de la Información y 4.5. Gestionar los
Servicios de Seguridad de la Información). Estos procesos
contienen una serie de prácticas de gobierno y de gestión que
permiten a las entidades establecer controles generales del
dominio de ciberseguridad.
Por su parte, en la revisión detallada de los controles de la
ISO 27032, se identificaron entre otros los puntos de mejora
siguientes:
1. Controles técnicos específicos relacionados con la
ciberseguridad los cuales pueden ser incorporados
en las guías de supervisión basada en riesgo para
fortalecer los procesos de supervisión de TI.
2. Mejores prácticas relacionadas con la comunicación
de incidentes entre la s superintendencias, las
entidades supervisadas y el centro de incidentes
informáticos y de ciberseguridad.
3. Mejores prácticas con relación a los programas de
formación y capacitación que deben brindar las
Página 16 de 37
 superintendencias, en materia de seguridad y en
particular en temas de ciberseguridad.
4. Mejores prácticas para blindar el sector financiero
de ataques cibernéticos y unir esfuerzos contra los
cibercriminales; con el establecimiento de
mecanismos o foros para el intercambio de
experiencias entre los participantes del mercado
financiero.
5. Mejores prácticas para fortalecer la regulación y
supervisión de la gestión de la cadena de
proveedores de suministros de TI.
IX MODELOS DE SUPERVISIÓN Y EL MARCO DE GESTIÓN
DE TI
Esta sección a borda la visión tradicional de los riesgos de
sistemas de información y tecnológicos y su abordaje dentro del
modelo de SBR para ser alineado dentro del Marco de Gestión
de TI y armonizar el cumplimiento regulatorio con el
cumplimiento de principios.
A. Visión tradicional del riesgo operativo
El riesgo operativo entre tantas acepciones se puede entender
como la posibilidad de sufrir pérdidas económicas debido a
fallos de los procesos, el personal y los sistemas internos o bien
a causa de acontecimientos externos. Esta definición incluye el
riesgo legal y el riesgo de tecnologías de información. En
algunos casos, se pueden incluir o excluir de este riesgo, el
riesgo estratégico y el riesgo de reputación. Dicha acepción es
válida en los modelos de gestión y supervisión de riesgos
tradicionales.
Debemos recordar que la concepción inicial de las áreas de
sistemas y de la computadora electrónica data sus inicios con la
segunda generación de computadores en los años 60’s del siglo
pasado, la cual sigue evolucionando hasta convertirse en la
actualidad en áreas que requieren gobernar y gestionar todo tipo
de elementos relacionados con tecnología e información. Esta
evolución posicionó los riesgos de sistemas y actualmente de
tecnologías de información dentro del riesgo operativo.
B. Nuevo enfoque del riesgo tecnológico
Los avances tecnológicos 6 , la automatización, la
digitalización de los procesos del negocio, la alta dependencia
tecnológica, así como la desmaterialización de las actividades
tradicionales en el ciberespacio, conllevan una amplia
pluralidad de nuevas amenazas y riesgos.
En este punto, se observa la necesidad de visualizar, como se
ha mencionado en los apartados anteriores, que Tecnologías de
6
Inteligencia Artificial (IA), el Blockchain, el Internet de las
Cosas (IoT), entre otros aspectos prioritarios e innovaciones.
Información dentro del modelo de Supervisión Basada en
Riesgos sea considerado como un proceso, función o actividad
de apoyo al negocio significativa, y dejar la visión arcaica de
valorar TI como un riesgo diluido dentro de los riesgos
operativos del negocio y dentro de cada una de las actividades
significativas de negocio.
Al segregar el riesgo tecnológico del riesgo operativo, los
tomadores de decisiones en las organizaciones pueden evitar el
sesgo de diluir estos riesgos con los riesgos de carácter
operativos.
La importancia de la segregación del riesgo tecnológico del
riesgo operativo radica en la propia complejidad de las
tecnologías y la información, así como los nuevos riesgos
emergentes asociados a la gobernanza y la gestión que, de
materializarse, podrían llevar al cese o cierre de operaciones de
un negocio, o una industria especifica.
Superada la visión arcaica de que el riesgo de sistemas y de
tecnologías sea valorado dentro del riesgo operativo, y
posicionando a TI como una actividad significativa dentro del
modelo de SBR, el marco de gestión se convierte en una
herramienta para que los supervisores de TI evalúen la Gestión
de TI, así como las Funciones de Control, de forma sistemática
y aliena da a los procesos de dicho marco.
Dentro del práctica supervisora, cada proceso del marco
puede estar relacionado con la gestión de TI, así como con una
o más funciones de control según el diseño del modelo de
negocio que la entidad implemente para su gobernanza y
gestión.
Este mapeo se realizó considerando el modelo genérico de
responsabilidades (RACI) establecido para cada proceso de
CobiT, y considerando el criterio experto del autor del presenta
trabajo de investigación.
Como se puede ver en el Apéndice 5 Alineación del modelo
de SBR al Marco de Gestión de TI, la Gestión Operativa de TI,
está relacionada con un total de 14 procesos del marco. Esta
relación le permite al supervisor de TI basar su conocimiento
informado y la calificación de la gestión considerando las
prácticas de gobierno y gestión relacionadas a los procesos
mapeados de conformidad con el principio de proporcionalidad.
También, se puede observar que existen algunos procesos del
marco de gestión relacionados con la Gestión Operativa de TI
con otras Funciones de Control, esta relación es vital, ya que las
organizaciones pueden variar dentro de su gobernanza la
ejecución los procesos, razón por la cual se pueden observar
procesos con más de una relación identificada dentro de la
gestión o en otra función de control.
Por otro lado, la Función de Cumplimiento Normativo,
Función de la Auditoría Interna, y la Función de Riesgo tienen
relacionados dos procesos del marco de gestión. Por su parte, el
Página 17 de 37
Órgano de Dirección tiene relacionado los cinco procesos de
Gobierno de CobiT, los cuales, a su vez, han sido mapeados al
Reglamento de Gobierno Corporativo, SUGEF 16-16.
Finalmente, la Alta Gerencia, que puede incluir a la Gerencia
General o la Dirección de TI, está relacionada con diecinueve
procesos.
X PROPUESTA
Esta sección contiene una descripción de alto nivel de la
propuesta que responde a contribuir con la consecución de los
objetivos, la solución del problema y los fines planteados, lo
anterior considerando los elementos expuestos en la
investigación realizada.
A. Modelo para la regulación y supervisión de Tecnologías de
Información y Ciberseguridad
Para la definición del modelo de regulación y supervisión se
deben considerar los aspectos que se detallan a continuación.
Modelo de regulación de TI y ciberseguridad
Consideraciones generales
1. El modelo de regulación de TI del mercado
financiero costarricense es transversal e incorpora
elementos para su gobierno y gestión y está
plasmado en el Reglamento General de Gestión de
TI SUGEF 14-17.
2. Los antecedentes históricos de la evolución de la
regulación costarricense denotan que las entidades
supervisadas han tenido una transición de más de 5
años para la implementación de los procesos que les
aplica a cada entidad según el principio de
proporcionalidad.
3. El modelo de regulación de TI se migró de un
enfoque taxativo a un enfoque basado en principios.
4. Las entidades supervisadas pueden seleccionar los
procesos que les apliquen para establecer su marco
de gestión de TI, conforme al principio de
proporcionalidad y la gestión de riesgos de la
Modelo de supervisión de TI y ciberseguridad
organización.
5. La seguridad de la información se incorpora
mediante dos procesos del marco de gestión de TI.
6. La madurez que ha tenido el sistema financiero
costarricense permite que se pueda desarrollar de
forma holística el modelo regulatorio sin la
necesidad de establecer reglamentos específicos
sobre ciberseguridad o cualquier otra área
prioritaria de TI.
Propuesta de mejora regulatoria
1. Con relación a la ciberseguridad el modelo de
regulación de TI presenta algunas oportunidades de
mejora dentro de las que se proponen al menos pero
no limitadas las siguientes:
a. Actualizar los considerandos y las
definiciones del reglamento SUGEF 14-17
para aclarar que la ciberseguridad es un
subcomponente o subdominio de la
seguridad de la información.
b. Fortalecer el modelo regulatorio
actualizando el Marco de Gestión de TI de
CobiT 5 a CobiT 19.
c. Actualizar los considerandos y las
definiciones del reglamento SUGEF 14-17
para actualizar el nuevo enfoque de
Gobierno y Gestión de CobiT 19 y la
incorporación de las áreas prioritarias de
TI para fortalecer el modelo de SBR.
d. Fortalecer el modelo regulatorio
modificando el título y contenido del
apartado de Bases de Datos, para que se
incluyan los aspectos relacionados con la
externalización de servicios, y el control de
la cadena de proveedores de negocio y de
TI, rela cionados con las entidades
supervisadas y reguladas por el sistema
financiero costarricense.
e. Fortalecer la práctica supervisora
incorporando dentro de los procesos de
supervisión el uso de guías de
ciberseguridad y otras guías relacionadas
con las áreas prioritarias de TI.
f. Vincular el uso de las guías para la
supervisión y auditoría externa de TI a
nivel regulatorio a través de los
lineamientos del reglamento.
g. Fortalecer el modelo regulatorio con
relación a la comunicación de los
incidentes de ciberseguridad a lo interno y
externo de las organizaciones, incluyendo
la comunicación con las
superintendencias, mediante un apartado
en los lineamientos del reglamento.
Mejora del modelo
1. Para cumplir con el modelo regulatorio transversal
establecido en el Reglamento General de Gestión de
TI, Acuerdo SUGEF 14-17, aplicable para el
sistema financiero costarricense; se requieren una
serie de ajustes estructurales, los cuales se detallan
en el apartado denominado “Propuesta de rediseño
de la estructura de supervisión de TI para el
CONASSIF”, lo anterior, considerando el diseño
funcional vigente en cada una de las
superintendencias.
2. Fortalecer el modelo de supervisión con el
establecimiento de foros o mecanismos que
permitan intercambiar experiencias sobre
ciberseguridad y otras áreas prioritarias de TI entre
Página 18 de 37
 los actores de la industria para propiciar un sistema
financiero ciberresiliente.
3. Ampliar el alcance del Reglamento General de
Gestión de TI, Acuerdo SUGEF 14-17, con el fin de
incluir:
a. Los conglomerados y grupos financieros
incluyendo sus subsidiarias.
b. Las personas jurídicas tipo 1 y 2
consideradas en los artículos 15 y 15 Bis
de la Ley 7786.
c. Los afiliados al SINPE indicados en los
artículos 3, 4 y 5 del Reglamento del
Sistema Nacional de Pagos que no son
supervisados 7 pero participan dentro del
ecosistema financiero costarricense.
d. Las empresas proveedoras de servicios de
pago indicados en el artículo 6 del
Reglamento del Sistema Nacional de
Pagos.
e. Las empresas tecnológicas o financieras
tipo Fintech, Insurtech o de innovación que
proporcionen servicios a las empresas
financieras reguladas y supervisadas en el
sistema financiero costarricense.
f. Otras entidades que, por sus riesgos,
modelo de negocio, complejidad y
volumen de operaciones no se incluyeron
en el reglamento ya que se consideraba que
la solicitud de la Auditoría Externa de TI
era costosa y se convertían en una barrera
de entrada.
4. Modificar el Artículo de las Auditorías Externa de
TI, con el fin de dar la potestad a las
superintendencias de establecer los mecanismos
para gestionar el listado de las entidades que deben
ser sometidas a evaluaciones externas. Estos
mecanismos incluyen la publicación y actualización
regular de las listas considerando el principio de
proporcionalidad, el perfil de riesgos, el impacto
sistémico, y otros aspectos relevantes que requieran
ser considerados por las superintendencias.
5. Por otro lado, para atender la supervisión
transversal, esta propuesta considera que se debe:
a. Establecer un proceso transversal de TI
que permita ejecutar pruebas de control a
las entidades supervisadas mediante el
modelo de servicios compartidos a las
cuatro superintendencias, armonizando
dentro del modelo y el proceso los tres
tipos de proyectos de supervisión de TI:
i. Proyectos de SBR.
7 8
Bancos, Procesadores y compensadores; Asociaciones
Solidaristas; Empresas Públicas; Operadores Telefónicos, entre
otros.
ii. Proyectos sobre estudios
especiales.
iii. Proyectos sobre cumplimiento
regulatorio.
b. Utilizar la plataforma tecnológica del
Banco Central 8 para la gestión de los
procesos de supervisión transversal de TI,
mediante la suscripción de los respectivos
acuerdos de nivel de servicio.
c. Gestionar los requerimientos de las cuatro
superintendencias para atender las
prioridades de supervisión, y demás
aspectos a considerar, lo anterior, mediante
la suscripción de los respectivos a cuerdos
de nivel de servicio.
d. Utilizar la asesoría de la División de
Servicios Tecnológicos del Banco Central
para la aplicación de trabajos especiales de
supervisión, mediante la suscripción de los
respectivos acuerdos de nivel de servicios.
e. Apoyarse en los servicios especializados
de las auditorías externas de TI realizadas
por procesionales CISA, considerando al
menos pero no limitadas las valoraciones
indicadas en el Apéndice 6
Consideraciones de los Auditores Externos
de TI.
f. Para la operación de la propuesta, se debe
validar y aprobar la documentación creada
sobre el proceso transversal de supervisión
de TI, la cual consideró en su diseño los
aspectos detallados en el Apéndice 7
Diseño documental del proceso de
Supervisión de TI.
Modelo de procesos de supervisión
Gráfico 2 Diagrama del proceso de Supervisión transversal de TI
Fuente: Elaboración Propia (2022).
Expediente Electrónico de Supervisión (EES)
Página 19 de 37
 Como se pudo observar en el Gráfico 2, se presenta una Además, se deben incorporar los resultados de las Auditorías
visión general del proceso de supervisión transversal de TI, el Externas de TI cuando estén disponibles, así como otras guías
cual debe incorporar los tres tipos de proyectos que se ejecutan de las Áreas prioritarias de TI.
a saber: Proyectos de SBR, Proyectos Especiales, Proyectos de
Finalmente, las fases cuatro y cinco, sobre el riesgo neto y
cumplimiento regulatorio o normativo. Ver. Gráfico 3
compuesto. En la fase del riesgo neto se establece la calificación
general de TI como actividad significativa y la tendencia o
Gráfico 3 Proyectos de Supervisión transversal de TI
dirección del riesgo. En la fase del riesgo compuesto se valora
el riesgo global de la entidad considerando las otras actividades
significativas y otros aspectos relacionados a la supervisión
Cumplimento
prudencial en términos de capital y liquidez.
Estudios
SBR regulatorio
especiales Reglamento de TI

Modelo de servicios de supervisión transversal de TI

Fuente: Elaboración propia. (2022).
Los estudios especiales y de cumplimiento siguen de forma
transparente los cinco pasos indicados en el Gráfico 2, sin
embargo, para los proyectos de SBR se deben tener las
consideraciones que se presenta en el Gráfico 4.
Gráfico 4 Flujo del proceso de SBR aplicado para TI
Para ejecutar los procesos del Modelo de Supervisión
transversal de TI se diseñó un portafolio de servicios que se
detallan en el Gráfico 5, adicionalmente, se debe suscribir los
respectivos acuerdos de nivel de servicio con cada una de las
superintendencias, el CIF y el BCCR con el fin de armonizar
las expectativas de los servicios que se muestran a
continuación:
Gráfico 5 Portafolio de Servicios del proceso de Supervisión
transversal de TI

Fuente: Elaboración propia. (2022).

El Gráfico 4 muestra las cinco fases del modelo de
Supervisión Basada en Riesgos, la cual inicia por el
establecimiento de TI como una actividad significativa a partir
del conocimiento informado de la entidad. Posteriormente se
Fuente: Elaboración propia. (2022).
debe evaluar el riesgo inherente de TI, dicha evaluación se
orienta con la ISO 31000, considerando el alcance, contexto,
criterios e identificación de escenarios de riesgos.
Los escenarios de riesgos pueden ser guiados por los riesgos
globales, los riesgos propios de cada sector, los escenarios de
riesgos de ISACA, entre otros.
La siguiente fase corresponde a la evaluación de la gestión
de TI y sus funciones de control relacionadas. Esta valoración
se realiza utilizando los procesos del Marco de Gestión.

Página 20 de 37
B. Propuesta de rediseño de la estructura de supervisión de TI
para el CONASSIF
Aspectos generales
(*)9
Propuesta de rediseño
Con el fin de promover la aplicación transversal del
reglamento y el modelo de supervisión, así como evitar la
materialización de riesgos reputacionales y riesgos operativos,
se propone rediseñar la estructura funcional de supervisión de
TI considerando lo siguiente:
Desde la perspectiva de la supervisión el rediseño propuesto
permite:
1. Enfocar y priorizar el uso de los recursos
especializados de TI dentro de un apetito de riesgos
aceptado en la estrategia de supervisión de TI para
cada superintendencia aplicable de forma individual
o a los grupos y conglomerados financieros.
2. Mejorar y facilitar la supervisión consolidada de
entidades que pertenecen a grupos o conglomerados
financieros.
3. Homologar y estandarizar la estrategia general de
supervisión de TI.
4. Visualizar los riesgos de TI de forma homologada y
consolidada de todo el sistema financiero
costarricense.
5. Aplicar el modelo de supervisión de TI alineado a
SBR para todas las superintendencias.
6. Cambiar el enfoque tradicional de que los riesgos de
Tecnologías de Información estén diluidos dentro
del riesgo operativo.
7. Priorizar la asignación de recursos en las entidades
supervisadas ya que la Alta Gerencia y los Órganos
de Dirección puede visualizar los riesgos asociados
a las TI.
8. Valorar los riesgos asociados a las áreas prioritarias
de TI como lo son los riesgos asociados a la
seguridad informática, ciberseguridad, tecnologías
emergentes, entre otros.
9. Posicionar los controles de TI relacionados con las
funciones dentro del modelo de cuatro líneas de
defensa mediante la alineación del Marco de
Gestión de TI.
10. Fomentar la supervisión basada en principios, la
cual busca mantener un equilibrio entre las
entidades supervisadas y las superintendencias.
11. Prevenir la materialización de riesgos
reputacionales y legales que afecten a los
supervisores, superintendentes y el CONASSIF.
9
Se excluyen los párrafos de esta sección que están en la
propuesta inicial que se considera son solo de interés de las
Superintendencias.
12. Promover la supervisión como una herramienta de
valor al negocio y no crear cargas regulatorias y
solicitudes de requerimientos excesivas o
duplicadas.
Desde la perspectiva del supervisado se tiene que el rediseño
permite:
1. Utilizar una plataforma tecnológica estandarizada
para la remisión de la información “Expediente
Electrónico de Supervisión”
2. Estandarizar la remisión y clasificación de los
riesgos de seguridad informática y los riesgos
cibernéticos, así como el reporte de los incidentes.
3. Fomentar desde una visión integrada el
fortalecimiento de los componentes de gobierno
corporativo que soporten el gobierno de TI y la
gobernanza de la seguridad.
4. Promover una cultura de compromiso y gestión de
riesgos dentro del modelo de las cuatro líneas de
defensa.
5. Evitar reprocesos en las entidades que pertenezcan
a un grupo o conglomerados financieros por
enfoques y criterios de supervisión de TI distintos
entre las superintendencias.
6. Cambiar el enfoque tradicional de que los riesgos de
Tecnologías de Información estén diluidos dentro
del riesgo operativo.
7. Mejorar los procesos de comunicación, así como la
calidad de los servicios de supervisión de TI para
que entreguen valor agregado al negocio.
8. Mejorar el control interno de las entidades
supervisadas.
La propuesta conlleva un cambio de gobernanza de la
supervisión de tecnologías de información, empoderando la
regulación y supervisión transversal consolidada, al ubicar la
supervisión de TI dentro de la estructura funcional del
CONASSIF, como se observa en el Gráfico 6 detallado a
continuación:
Gráfico 6 Estructura de Gobernanza de la Supervisión transversal
de TI
Fuente: Elaboración propia. (2022).
Página 21 de 37
 El Departamento propuesto tendrá como objetivo supervisar
de forma transversal las entidades del sistema financiero
costarricense en materia de tecnologías de información,
incluyendo las áreas prioritarias de TI, la innovación y el
surgimiento de nuevas tendencias o tecnologías; así como las
prioridades de la supervisión prudencial, armonizando los
requerimientos de las superintendencias, en función de los
riesgos identificados (individuales o sistémicos), la capacidad
instalada, los equipos de supervisión especializados, las
auditorías externas de TI, entre otros.
El rediseño a nivel de gestión conllevó definir una estructura
con los elementos que permitan planificar, controlar y ejecutar
los requisitos priorizados de los proyectos de SBR, los
proyectos especiales y los proyectos de cumplimiento
normativo de las cuatro superintendencias, considerando y
alineando la Macroplanificación de las Divisiones de
Supervisión, e incorporar la supervisión de las áreas prioritarias
de TI en función de los riesgos. Además, el diseño responde a
la atención del portafolio de servicios. En el Gráfico 7 se detalla
la estructura funcional propuesta:
Gráfico 7 Estructura del Departamento de Supervisión
transversal de TI
Fuente: Elaboración propia. (2022).
(*)10
Adicionalmente, considerando el portafolio de servicios
definido, se requiere un área de control interno y gestión
10
Se excluyen los párrafos de esta sección que están en la
propuesta inicial que se considera son solo de interés de las
Superintendencias.
operativa, la cual propone un Gestor de innovación y control
interno y un Gestor de consolidación de información y gestión
de reportes e incidentes.
Finalmente, la gobernanza del Departamento de Supervisión
transversal de TI debe ser gestionado por su respectivo
encargado, con el fin de armonizar iniciativas, proyectos y
requerimientos de las Superintendencias, el Banco Central
(SINPE y la DST); el CONASSIF y el Centro de Innovación
Financiera.
C. Supervisión de TI en las cuatro superintendencias acorde
al marco regulatorio y SBR.
El rediseño de la supervisión de tecnologías de información
conlleva una serie de cambios y paradigmas por parte de todos
los actores relacionados, incluyendo los Superintendentes, las
Direcciones de Supervisión, los supervisores prudenciales, las
áreas de prestación de servicios compartidos y las entidades
supervisadas.
Se debe integrar a nivel de las cuatro superintendencias la
perspectiva de que TI se considera como una Actividad
Significativa. Las revisiones tradicionales y el acompañamiento
de los supervisores de TI a los supervisores prudenciales se
coordinan de conformidad con la Macroplanificación y dentro
de las visitas de SBR. Visitas especiales deben ser valoradas
considerando el riesgo y la intensidad de supervisión. La
atención de las excepciones, situaciones de emergencia o casos
fortuitos estarán normados bajo los acuerdos de nivel de
servicio, los cuales deben ser revisados anualmente para
monitorear su desempeño y realizar los ajustes necesarios.
Se propone realizar planes de gestión de cambio y
comunicación para lo interno de las superintendencias con el fin
de realizar la concientización y formación de los supervisores
prudenciales sobre el modelo y el enfoque de SBR aplicado para
TI.
D Mecanismos de comunicación con las entidades
supervisadas y programa de concientización a la población
Se propone realizar planes de gestión de cambio y
comunicación hacia las entidades supervisadas, así como
programas de concientización y formación sobre el modelo de
SBR, ciberseguridad y reporte de incidentes, presentados por
los cambios regulatorios propuestos.
Se debe coordinar con el MICITT las campañas de
concientización sobre temas de ciberseguridad, así como la
Página 22 de 37
definición de los mecanismos para el reporte de incidentes de
forma homologada.
XI.CONCLUSIONES
En esta sección se presenta un resumen de los principales
resultados discutidos a lo largo del presente trabajo.
Sobre valorar el marco regulatorio vigente establecido por el
CONASSIF determinar posibles brechas
1. La regulación costarricense establecida por el
CONASSIF cumple en términos generales con los
temas de seguridad de la información y sus
controles de gobernanza y gestión.
2. Se identificaron brechas relacionadas con la
ciberseguridad que podrían ser incorporados dentro
del reglamento y sus lineamientos. Estas brechas
están relacionadas con:
a. Los mecanismos de intercambio de
información y comunicación de incidentes
de seguridad y ciberincidentes.
b. El establecimiento de foros para fortalecer
el intercambio de experiencias entre los
participantes de la industria financiera
costarricense.
c. El fortalecimiento de la cultura y
concientización por parte del CONASSIF
hacia el mercado costarricense en temas de
ciberseguridad.
d. El reforzamiento de los procesos y la
estructura de supervisión hacia prácticas
de supervisión consolidada y homologadas
que consideren el principio de
proporcionalidad y las particularidades de
cada mercado y entidad, y permitan cubrir
las más de 180 entidades.
3. Se debe promover ante las entidades supervisadas,
los auditores externos, y las áreas de supervisión
que el Reglamento de TI establece un balance entre
la supervisión basada en principios y el
cumplimiento; para poder enfocarse en los riesgos
de la entidad considerando el principio de
proporcionalidad.
Sobre definir una estructura y modelo de supervisión de TI
que incorpore los temas de seguridad informática y
ciberseguridad
1. Las bondades del reglamento SUGEF 14-17
permiten que en Costa Rica se implemente un
modelo de regulación y supervisión holística, el
cual debe ser reforzado para evaluar las más de 180
entidades supervisadas y reguladas.
2. Se debe migrar de la estructura funcional actual a
una estructura que permita establecer la
organización de la supervisión de TI fomentando la
ejecución de actividades consolidadas en apoyo a
los procesos de toma de decisión de cada
superintendencia.
3. El cambio en la estructura funcional y la gobernanza
de la supervisión consolidada de TI permitirá
favorecer la supervisión en áreas prioritarias de TI,
considerando los riesgos y particularidades de cada
mercado y entidad supervisada.
4. Al establecer una estructura consolidada de
supervisores de tecnologías de información, se
fortalece la supervisión ya que se fomenta los
análisis y evaluaciones de forma colegiada
apoyándose en el criterio técnico y conocimiento
informado de los equipos de supervisión de TI.
Sobre alinear el enfoque supervisión de TI a SBR
1. El Marco de Gestión de TI puede ser alineado a un
modelo basado en principios y no solamente de
cumplimiento, al incorporar tecnologías de
información como una actividad significativa en las
evaluaciones de SBR, lo que implica cambiar el
enfoque tradicional de que el riesgo tecnológico esté
incluido en los riesgos operativos.
2. Se busca disminuir la posibilidad de la
materialización de riesgos reputacionales al
consolidar la visión de la supervisión de TI, a través
de una estrategia y Macroplanificación que
armonice las necesidades y requerimientos de las
Direcciones de Supervisión de cada
Superintendencia.
3. Se promueve la integración de nuevas tecnologías
emergentes, la innovación tecnológica y cualquier
otra área prioritaria de TI, mediante la alineación de
las guías de supervisión a los procesos del Marco de
Gestión, lo anterior, considerando el principio de
proporcionalidad, el modelo de negocio, y los
riesgos de cada entidad.
REFERENCIAS
[1] World Economic Forum, Informe de Riesgos Globales 2022, 2022.
[2] Marsh, «5 tipos de ataques ciberéticos. Casos, consecuencias y soluciones
#SoyCiberseguro,» 2022.
[3] ISO/IEC, «ISO/IEC 27000:2018 Tecnología de la información — Técnicas
de seguridad — Sistemas de gestión de la seguridad de la información — Visión
general y vocabulario,» febrero 2018. [En línea]. Available:
https://www.iso.org/standard/73906.html. [Último acceso: 20 junio 2022].
[4] ISO/IEC, ISO/IEC 27032 Tecnología de la Información. Técnica de
seguridad. Guías para cibersegurida, ISO, 2017.
[5] Consejo de Estabilidad Financiera (FSB), Léxico cibernético, 2018.
Página 23 de 37
[6] Toronto Centre, Supervisión del riesgo de seguridad cibernética, 2018. [29] CONASSIF, «Marco Integrado de Supervisión de Seguros,» SUGESE, San
José, 2017.
[7] Banco de Pagos Internacionales, Perspectivas del FSI sobre la
implementación de políticas No.2 Enfoques regulatorios para mejorar los [30] CEPAL, ONU, «Metodología del marco lógico,» 2005. [En línea].
marcos de ciberseguridad cibernética de los bancos, 2017. Available:
https://repositorio.cepal.org/bitstream/handle/11362/5607/S057518_es.pdf.
[8] Asociación Internacional de Supervisores en Seguros (IAIS), Documento [Último acceso: 17 junio 2022].
temático sobre riesgo cibernético al sector de seguros, 2016.
[31] Consejo de Estabilidad Financiera, «Prácticas efectivas para incidentes
[9] G7, «Elementos Fundamentales de la Ciberseguridad para el Sector cibernéticos. Respuesta y Recuperación. Reporte Final,» 2020.
Financiero,» 2016.
[32] ISO/IEC, ISO/IEC 27000 Sistemas de gestión de la seguridad de la
[10] Autoridad Monetaria de Hong Kong, «Iniciativa de Fortalecimiento de la información - Visión general y vocabulario, ISO, 2018.
Ciberseguridad (CFI),» diciembre 2016. [En línea]. Available:
https://www.hkma.gov.hk/eng/key-functions/international-financial- [33] ISO/IEC, «ISO/IEC 27002:2022 Seguridad de la información,
centre/fintech/research-and-applications/cybersecurity-fortification-initiative- ciberseguridad y protección de la privacidad — Controles de seguridad de la
cfi/. [Último acceso: 16 junio 2022]. información,» febrero 2022. [En línea]. Available:
https://www.iso.org/standard/75652.html. [Último acceso: 20 julio 2022].
[11] Autoridad Bancaria Europea, «Directrices sobre gestión de riesgos de TIC y
de seguridad,» Banco de España. Eurosistema, España, 2019. [34] ISO/IEC, «ISO/IEC 27003:2017 Tecnología de la información — Técnicas
de seguridad — Sistemas de gestión de la seguridad de la información —
[12] Consejo de Estabilidad Financiera, «Prácticas efectivas para la respuesta y Orientación,» marzo 2017. [En línea]. Available:
recuperación de incidentes cibernéticos. Reporte Final,» 2020. https://www.iso.org/standard/63417.html. [Último acceso: 20 junio 2022].

[13] Parlamento Europeo, Reglamento sobre resiliencia operativa digital del
sector financiero, 2020.
[14] Superintendencia Financiera de Colombia, Requerimientos mínimos para la
gestión de la seguridad de la información y la ciberseguridad, 2020.
[15] Instituto Nacional de Estándares y Tecnología, «NIST / Acerca de,» [En
línea]. Available: https://www.nist.gov/about -nist. [Último acceso: 18 junio
2022].
[35] ISO/IEC, «ISO/IEC 27004:2016 Tecnología de la información — Técnicas
de seguridad — Gestión de la seguridad de la información — Seguimiento,
medición, análisis y evaluación,» diciembre 2016. [En línea]. Available:
https://www.iso.org/standard/64120.html. [Último acceso: 20 junio 2022].
[36] ISO/IEC, «ISO/IEC 27005:2018 Tecnología de la información — Técnicas
de seguridad — Gestión de riesgos de seguridad de la información,» julio 2018.
[En línea]. Available: https://www.iso.org/standard/75281.html. [Último
acceso: 20 junio 2022].

[16] Instituto Nacional de Estándares y Tecnología (NIST), «Centro de Recursos
de Seguridad Informática,» [En línea]. Available: https://csrc.nist.gov/.
[17] Organización Internaciona de Normalizción, «Acerca de la ISO,» [En línea].
Available: https://www.iso.org/about-us.html. [Último acceso: 20 junio 2022].
[37] ISO/IEC, «ISO/IEC 27006:2015 Tecnología de la información — Técnicas
de seguridad — Requisitos para los organismos que proporcionan auditoría y
certificación de los sistemas de gestión de la seguridad de la información,»
octubre 2015. [En línea]. Available: https://www.iso.org/standard/62313.html.
[Último acceso: 20 junio 2022].

[18] ISO/IEC, «ISO/IEC 27032:2012 Tecnología de la información — Técnicas
de seguridad — Directrices para la ciberseguridad,» julio 2012. [En línea].
Available: https://www.iso.org/standard/44375.html. [Último acceso: 20 junio
2022].
[19] Cloud Security Alliance, «Matriz de controles en la nube (CCM) v4,» [En
línea]. Available: https://cloudsecurityalliance.org/research/cloud-controls-
matrix/. [Último acceso: 21 junio 2022].
[38] ISO/IEC, «ISO/IEC 27007:2020 Seguridad de la información,
ciberseguridad y protección de la privacidad — Directrices para la auditoría de
sistemas de gestión de la seguridad de la información,» enero 2020. [En línea].
Available: https://www.iso.org/standard/77802.html. [Último acceso: 20 junio
2022].

[20] ISACA, «Acerca de,» [En línea]. Available: https://www.isaca.org/why-

isaca/spanish. [Último acceso: 24 junio 2022].

[21] ISACA, «Marco de Referencia COBIT 2019: Introducción y metodología,»

2018.

[22] ISACA, «Marco de Referencia CobiT 2019: Objetivos de Gobierno y

Gestión,» 2018. [En línea]. Available: https://www.isaca.org/en/resources/cobit.
[Último acceso: 24 junio 2022].

[23] ISACA, «Guía de Estudio de Fundamentos de la Ciberseguridad

(Cibersecurity Nexus),» 2015.

[24] MICIT, «Decreto Nº 37052-MICIT Creación del Centro de Respuesta de

incidentes de Seguridad Informática CSIRT-CR,» SCIJ, San José, 2012.

[25] Ministerio de Ciencia, Tecnología y Telecomunicaciones, «Estrategia

Nacional de Cibserseguridad de Costa Rica,» MICITT, San José, 20 17.

[26] CONASSIF, «Normativa de Tecnología de Información para las Entidades

Fiscalizadas por la Superintendencia General de Entidades Financieras,» SCIJ,
San José, 2002.

[27] CONASSIF, «Reglamento sobre gestión de la tecnología de información.

Acuerdo SUGEF 14-09,» SCIJ, San José, 2009.

[28] CONASSIF, «Reglamento General de Gestión de TI Acuerdo SUGEF 14-

17,» SIJC, San José, 2017.

Página 24 de 37
 APENDICES

Apéndice 1 Entidades incluidas en el Reglamento General de Gestión de TI

En este apéndice se detalla una lista de los tipos de entidades supervisadas.

Supervisados por SUGEF:
1. Bancos comerciales del Estado;
2. Bancos creados por ley especial;
3. Bancos privados;
4. Empresas financieras no bancarias;
5. Organizaciones cooperativas de ahorro y crédito;
6. Mutuales de ahorro y préstamo y
7. Caja de ahorro y préstamos de la ANDE;
8. Cualquier otro intermediario financiero sujeto a supervisión por SUGEF.
Supervisados por SUGEVAL:
1. Puestos de Bolsa y Sociedades Administradoras de Fondos de Inversión;
2. Bolsas de Valores;
3. Sociedades de compensación y liquidación;
4. Proveedores de Precio;
5. Entidades que brindan servicios de custodia;
6. Centrales de Valores;
7. Sistemas de Anotación Electrónica en Cuenta, y
8. Sociedades titularizadoras y fiduciarias.
Supervisados por SUGESE:
1. Entidades Aseguradoras y sociedades Reaseguradoras;
2. Sucursales de entidades aseguradoras extranjeras.
Supervisados por SUPEN:
1. Operadoras de Pensiones Complementarias;
2. Fondos complementarios creados por leyes especiales o convenciones colectivas;
3. Regímenes públicos sustitutos del Régimen de Invalidez, Vejez y Muerte de la Caja Costarricense de Seguro Social.
Se exceptúan los regímenes administrados por la Dirección Nacional de Pensiones del Ministerio de Trabajo, las entidades
reguladas y fondos en proceso de liquidación, los fondos creados por leyes especiales cuya gestión de TI es contratada a una
operadora de pensiones, así como los fondos de pensiones cerrados a nuevas afiliaciones.

Página 25 de 37
 Apéndice 2 Técnica árbol de problemas y objetivos

En este apéndice se detalla la técnica del árbol de problema y objetivos.

Fuente: Elaboración propia 2022. Adaptado de Metodología del marco lógico. CEPAL [8]

Página 26 de 37
Fuente: Elaboración propia 2022. Adaptado de Metodología del marco lógico. CEPAL

Página 27 de 37
 Apéndice 3 Análisis del problemas y objetivos

En este apéndice se detalla el análisis de causa raíz del problema y la propuesta de fines y objetivos.

Página 28 de 37
Página 29 de 37
Página 30 de 37
Página 31 de 37
Página 32 de 37
Página 33 de 37
 Apéndice 4 Comparativo de Procesos del MGTI con las funciones del NIST

En este apéndice se detalla un comparativo de alto nivel de los procesos del Marco de Gestión de TI con las funciones del Marco
de referencia de ciberseguridad de la NIS.

Página 34 de 37
 Apéndice 5 Alineación del modelo de SBR al Marco de Gestión de TI

En este apéndice se detalla el mapeo de los procesos del Marco de Gestión de TI con las funciones del modelo de SBR, el cual
permite orientar la evaluación realizada por los supervisores de TI.

Página 35 de 37
 Apéndice 6 Consideraciones de los Auditores Externos de TI

En este apéndice se detalla una lista de aspectos que los Superviso res de TI deben considerar al definir los Alcances de las
Auditorías Externas de TI, a saber:

Evaluar los controles específicos de

Sistemas, Servicios y Procesos de TI Evaluar los controles específicos de
Revisar el marco de gestión de TI
que respalden las actividades los procesos de negocio mediante
mediante la ejecución de pruebas críticas del negocio mediante la la ejecución de pruebas analíticas y
analíticas y sustantivas.
ejecución de pruebas analíticas y sustantivas.
sustantivas.

Evaluar los controles específicos de

Evaluar los controles específicos de
la cadena proveedores de servicios
de información y de tecnologías
mediante la ejecución de pruebas
analíticas y sustantivas.
las áreas prioritarias de TI
(Seguridad de la Información,
Ciberseguridad, Computación en la
nube, entre otras) mediante la
ejecución de pruebas analíticas y
sustantivas.

Página 36 de 37
 Apéndice 7 Diseño documental del proceso de Supervisión de TI

En este apéndice se detalla una lista de aspectos que se consideraron en el diseño documental del proceso de Supervisión de TI, a
saber:
1. Controles generales de la documentación. Todos los documentos de la propuesta desarrollada contienen al menos pero
no limitado la siguiente estructura de alto nivel en su diseño: 1. Propósito; 2. Alcance; 3. Documentos relacionados; 4.
Definiciones; 5. Vigencia; 6. Responsabilidades, incorporando una matriz RACI; 7. Apartado que varía según el tipo del
documento; 8 Control de Registro; 9 Control de versiones. En el caso de las política s y procedimientos se incorpora un
apartado denominado Identificación de riesgos; y las políticas incluyen un apartado sobre incumplimiento y sanciones.
2. Manual del proceso de supervisión de TI. Uso. Externo. Este documento tiene como fin presentar una descripción general
del proceso de Supervisión transversal de TI. Puede ser entregado a cualquier parte relacionada relevante interesada
pueda conocer la operación y elementos de control del proceso sin revelar aspectos confidenciales o propios de la
opera tiva.
3. Ficha del proceso de supervisión de TI. Uso Interno. Este documento tiene como fin establecer los alcances del proceso
de Supervisión transversal de TI del CONASSIF y sus Órganos de Desconcentración Máxima, la estructura del
documento contiene al menos pero no limitados los apartados siguientes: Identificador; unidades de negocio relacionadas;
procesos y sub procesos con sus respectivas entradas y salidas; objetivo y descripción del proceso; responsable; criticidad
del proceso; dependencia tecnológica; descripción del recurso humano; descripción de la infraestructura; características
del ambiente de trabajo; identificación de riesgos; métricas e indicadores; flujograma; documentos relacionados.
4. Política del proceso. Uso Interno. Este documento establecer las directrices de alto nivel y la intención sobre el proceso
de Supervisión transversal de TI del CONASSIF y sus Órganos de Desconcentración Máxima. Se hace referencia a cinco
grupos de políticas, el primero corresponde a las políticas generales sobre el proceso de supervisión y las cuatro restantes
a las particularidades de cada industria.
5. Procedimiento general de supervisión transversal de TI. Uso Interno. Este documento establece las actividades, tareas y
pasos que se deben ejecutar para la Supervisión transversal de TI, el documento contiene al menos pero no limitado las
secciones siguientes: Planificar, Ejecutar, Reportar y consolidar, Dar seguimiento e Identificar oportunidades de mejoras.
6. Instructivo de homologación de cumplimiento regulatorio y SBR. Uso Interno. Esta instrucción técnica contiene una guía
para que los supervisores de TI puedan alinear los procesos del Marco de gestión de TI con las funciones gestión y control
del modelo de Supervisión Basada en Riesgos.
7. Instructivo de SBR – Riesgo Inherente. Uso Interno. Esta instrucción técnica contiene una guía para que los supervisores
de TI puedan identificar los riesgos inherentes de TI
8. Instructivo SBR – Gestión de TI. Uso Interno. Esta instrucción técnica contiene una guía para que los supervisores de TI
puedan valorar la gestión de TI alineada al Marco de Gestión de TI.
9. Instructivo SBR – Funciones de control. Uso Interno. Esta instrucción técnica contiene una guía para que los supervisores
de TI puedan valorar las funciones de control relacionadas con TI alineada a los procesos del Marco de Gestión de TI, y
otras guías de áreas prioritarias de TI.
10. Instructivos Áreas prioritarias de TI. Uso Interno/Externo. Corresponde a un conjunto de instrucciones técnicas sobre las
guías para que los supervisores de TI puedan valorar las diferentes áreas prioritarias de TI tales como: Seguridad de la
Información, Ciberseguridad, Elementos mínimos de los contratos y acuerdos de nivel de servicio, Automatización de
procesos con RPA, entre otros.
11. Formularios. Interno/Externo. Corresponde a un conjunto de plantillas o formularios que permiten evidenciar las
actividades, tareas o pasos de los procesos.
12. Procedimientos, Instructivos y formularios de cumplimiento normativo. Uso Interno/Externo. Corresponde a un conjunto
de documentos que permiten controlar las actividades establecidas en el Reglamento General de Gestión de TI. Acuerdo
SUGEF 14-17; los cuales incorporan la gestión de: El perfil de TI, La Matriz de evaluación, Los Planes de acción,
Definición del Alcance de la Auditoría Externa de TI, Perfil de TI, Revisión y valoración del Informe del auditor externo
de TI, Remisión del Reporte de Supervisión, Establecer la Resolución Razonada sobre el Marco de Gestión de TI, entre
otros.

Página 37 de 37