Gu�a de Supervisi�n de Infraestructuras del Mercado Financiero (IMF)

De acuerdo con el Texto Ordenado (TO) �Principios para las Infraestructuras del Mercado Financiero�, se define el alcance para C�mara de Alto Valor, C�mara de Bajo Valor, Redes de Cajeros Autom�ticos y toda otra Infraestructura de �ndole similar, agregada, modificada y/o complementaria.

Los procedimientos de supervisi�n estar�n destinados a determinar la implementaci�n de los controles requeridos por el marco normativo vigente sobre el gobierno de la Tecnolog�a Inform�tica y los Sistemas de Informaci�n de las Infraestructuras del Mercado Financiero argentino.

Son complementarios a aquellos procedimientos que pudieran aplicarse a las infraestructuras alcanzadas, la provisi�n de servicios de tecnolog�a inform�tica tercerizados de las entidades financieras.

Asimismo, son complementarios a las obligaciones establecidas para las c�maras electr�nicas de compensaci�n seg�n el marco normativo aplicable.

Entre otros aspectos, se evaluar�n:

� La existencia de autoevaluaciones vinculadas con el entorno de procesamiento, la tecnolog�a y los sistemas de informaci�n.
� La definici�n de mecanismos de gobierno formalizados, claros y transparentes, que incluyan:

- La definici�n de objetivos vinculados con la seguridad de sus operaciones.
- La asignaci�n clara de responsabilidades y obligaciones de rendici�n de cuentas.
- La definici�n formal de las funciones y responsabilidades del �rgano m�ximo de administraci�n (Directorio o autoridad equivalente), de la alta gerencia y de las Gerencias de l�nea, respecto del gobierno y la gesti�n de tecnolog�a y sistemas de informaci�n.

� La revisi�n peri�dica de los procedimientos y el marco normativo.

� La ejecuci�n de un proceso establecido y formalizado de gesti�n de riesgos, que incluya una pol�tica de tolerancia al riesgo claramente definida y aprobada, y contemple los riesgos operacionales vinculados con la gesti�n de tecnolog�a y sistemas de informaci�n.

� La existencia de un Comit� de Tecnolog�a inform�tica que cumpla con las siguientes condiciones:

- Formalizaci�n mediante un reglamento que describa sus responsabilidades, las cuales deber�n encontrarse en consonancia con el TO vigente (�Principios para las Infraestructuras del Mercado Financiero�).
- Frecuencia de reuni�n m�nima trimestral, formalizada mediante actas puestas en conocimiento del �rgano de administraci�n.

� La existencia de un marco para la gesti�n integral que incluya a los riesgos operativos vinculados con la tecnolog�a inform�tica y los sistemas de informaci�n.

� La definici�n de pol�ticas, procedimientos y sistemas de gesti�n de riesgos que le permitan identificar, medir, monitorear y gestionar la gama de riesgos que pudieran surgir en cada IMF o que sean asumidos por ella.

� La ejecuci�n de una revisi�n peri�dica, al menos anual, de los marcos de gesti�n de riesgos establecidos, manteniendo informado al Directorio o autoridad equivalente sobre las conclusiones de la misma.

� La realizaci�n de revisiones peri�dicas de los riesgos importantes vinculados con la tecnolog�a y los sistemas de informaci�n a los que est� expuesta por su relaci�n con terceros, manteniendo informado al Directorio o autoridad equivalente sobre las conclusiones de las mismas.

� La implementaci�n de un marco de control del grado de exposici�n a potenciales riesgos vinculados con los sistemas de informaci�n, la tecnolog�a inform�tica y sus recursos asociados, considerando tambi�n aspectos relacionados con ciberataques y ciberresiliencia, que incluyan:

- La existencia de documentaci�n que constate los an�lisis de riesgos formalmente realizados.
- La gesti�n de la correcci�n de las debilidades que expongan a la entidad a niveles de riesgo alto o inaceptable.
- La identificaci�n, vigilancia y gesti�n de los riesgos que los principales participantes, otras IMF y quienes provean servicios puedan representar para sus actividades.
- La identificaci�n, control y gesti�n de los riesgos que sus actividades puedan representar para otras IMF.
- La definici�n clara de las responsabilidades vinculadas con el riesgo operacional relacionado con la tecnolog�a inform�tica, los sistemas de informaci�n y sus recursos asociados, y una efectiva comunicaci�n de los resultados, de todos los aspectos previamente mencionados, a la superioridad.

� La realizaci�n de an�lisis de la capacidad, que permita adecuarse a gestionar un aumento de los vol�menes de tensi�n cumpliendo con sus objetivos de nivel de servicio.

� La existencia de pol�ticas integrales de seguridad f�sica y de la informaci�n, revisadas, como m�nimo, anualmente.

� La existencia de procesos establecidos para el planeamiento, la implementaci�n y el mejoramiento continuo de los procesos de administraci�n y control de seguridad sobre la protecci�n de los activos de informaci�n.

� La elaboraci�n de planes operativos que contemplen los factores cr�ticos para un efectivo control de las aplicaciones, que deber�n ser regularmente monitoreados, con el fin de verificar la existencia de posibles cambios que pudiesen afectarlos.

� La inclusi�n, en las etapas iniciales de los nuevos proyectos inform�ticos, de requerimientos a distintas �reas de la organizaci�n (Auditor�a Interna, Protecci�n al Usuario de Servicios Financieros, etc.), que aseguren el dise�o y la implementaci�n de apropiados controles y registros de seguridad una vez implementados.

� El establecimiento de un plan de continuidad del servicio, que cumpla las siguientes condiciones:

- Se base en los resultados de una evaluaci�n de riesgos para determinar el impacto de distintos eventos, tanto en t�rminos de magnitud de da�o como del per�odo de recuperaci�n y la vuelta a la normalidad.
- Se establezca un sitio secundario para la provisi�n de los servicios cr�ticos.
- Se recuperen los servicios cr�ticos en un plazo de dos horas a partir del incidente.
- Se complete la liquidaci�n transaccional antes de finalizar la jornada, incluso ante circunstancias extremas.
- Se pruebe la soluci�n adoptada, como m�nimo, anualmente.
- Se incluya un plan de contingencia tecnol�gica.

Gu�a de supervisi�n espec�fica: C�maras Electr�nicas de Compensaci�n

Los procedimientos de supervisi�n estar�n destinados a determinar la implementaci�n de los controles requeridos por el marco normativo vigente para las c�maras de compensaci�n:

� La implementaci�n de medidas que aseguren la alta disponibilidad y la resiliencia del servicio:

o el cumplimiento diario de los horarios de corte de procesos definidos en los documentos de Modelo y Dise�o Conceptual de cada producto.
- La disponibilidad de los sistemas para que las entidades adheridas puedan intercambiar la totalidad de sus transacciones dentro de las ventanas de operaci�n definidas.
- El procesamiento de todas las transacciones dentro de la ventana de operaci�n diaria en un 99% de los d�as del a�o, y una demora no mayor a 2 (dos) horas ante fallas.
- La incorporaci�n de medidas suficientes de redundancia en el dise�o de cada estrato de su arquitectura. - La medici�n, planeamiento y actualizaci�n de la capacidad de procesamiento, memoria y almacenamiento en funci�n de las necesidades del mercado.

� La aplicaci�n de medidas de continuidad para el funcionamiento de las instalaciones y la infraestructura, que alcancen:
- La continuidad del servicio el�ctrico y la existencia de sistemas para el monitoreo de equipos y de la provisi�n de electricidad.
- El dise�o de las redes de manera tal que permita la continuidad de las comunicaciones con el centro de procesamiento alternativo y quienes integran el sistema.

� El establecimiento de servicios de mantenimiento de equipos y sistemas.

� La existencia de procedimientos alternativos de comunicaciones para el caso de fallas en el medio de acceso principal.

� La definici�n de adecuadas medidas de seguridad l�gica de las c�maras electr�nicas que incluyan:

- La encripci�n de la informaci�n transmitida a trav�s de los enlaces que interconectan a las C�maras Electr�nicas entre s� y con las entidades financieras, el uso de algoritmos adecuados y la definici�n de procesos espec�ficos para el intercambio de claves y la autenticaci�n de la informaci�n.
- La implementaci�n de directivas de seguridad y mecanismos de control de acceso en los sistemas operativos, las bases de datos y las aplicaciones de las c�maras.
- Registros de auditor�a del uso de aplicaciones y/o utilitarios del sistema.
- La implementaci�n de una separaci�n de ambientes entre producci�n y los ambientes de desarrollo, pruebas u otros.

� La definici�n de adecuadas medidas de seguridad f�sica en los centros de procesamiento (principal y alternativo), que incluya, como m�nimo:

- Seguridad en general del edificio
- Control de acceso al �mbito de sistemas
- Sistema de detecci�n, aviso y extinci�n de fuego
- Sistemas de refrigeraci�n

� La existencia, aprobaci�n formal y actualizaci�n peri�dica de un plan de contingencias que permita restablecer el servicio desde su lugar habitual, o su sitio de operaci�n alternativo, con una demora m�xima de 2 (dos) horas respecto a la ventana de operaci�n diaria.

� La realizaci�n de pruebas completas a la contingencia, por lo menos, dos veces por a�o.

� La formalizaci�n de las relaciones contractuales con terceras partes que brinden servicios a la c�mara, que incluya cl�usulas de rescisi�n y mecanismos para la continuidad del servicio.

� La implementaci�n de un esquema de resguardo de datos que garantice como m�nimo:

- Obtenci�n de versiones respaldatorias de la informaci�n procesada.
- Almacenamiento cr�tico adecuado.
- Testeos y recuperos peri�dicos en forma aleatoria para asegurar la calidad del contenido de los resguardos.
- La definici�n de 2 (dos) Comit�s de Crisis que tendr�n a su cargo el manejo de la situaci�n de cr�tica vinculada con dificultades de los miembros para liquidar sus saldos. Adicionalmente, entre otros aspectos, se deber�n considerar:

� La existencia de autoevaluaciones vinculadas con el entorno de procesamiento, la tecnolog�a y los sistemas de informaci�n.

� La generaci�n de mecanismos de gobierno formalizados, claros y transparentes, que incluyan la definici�n formal de las funciones y responsabilidades del �rgano m�ximo de administraci�n (Directorio o autoridad equivalente), de la Alta gerencia y de las Gerencias de l�nea, la definici�n de objetivos vinculados con la seguridad de sus operaciones, y la asignaci�n clara de responsabilidades y obligaciones de rendici�n de cuentas.

Junio, 2020. Versi�n inicial