Recursos · Regulación financiera, Colombia, SFC, Gestión de vulnerabilidades
Circular 007 de la SFC: qué exige sobre vulnerabilidades
La Superintendencia Financiera de Colombia pide a las entidades vigiladas gestionar las vulnerabilidades de sus plataformas críticas expuestas en internet y probar la continuidad frente a ciberataques, sin fijar una frecuencia. Qué dice cada numeral, qué evidencia conservar y qué se informa a la SFC.
Nuestra opinión
La SFC no dice cada cuánto probar ni con qué herramienta. Pide gestionar las vulnerabilidades de las plataformas críticas expuestas en internet, y eso empieza por saber cuáles son. Un escaneo o una prueba de penetración (pentest) no cumplen el capítulo por sí solos: aportan evidencia de que esa gestión existe.
IntruForce
Respuesta corta: la Superintendencia Financiera de Colombia (SFC) exige a las entidades que vigila gestionar las vulnerabilidades de las plataformas que soportan activos de información críticos y que están expuestas en internet (numeral 4.2.2), y probar el plan de continuidad del negocio con simulaciones de ciberataques (numeral 4.1.6). No fija con qué frecuencia hacer ninguna de las dos cosas. Estas reglas vienen de la Circular Externa 007 de 2018 y hoy están en el capítulo V del título IV, parte I, de la Circular Básica Jurídica (CBJ).
Qué entidades están obligadas
Según el numeral 1, el capítulo se aplica a las entidades sometidas a la inspección y vigilancia de la SFC, como bancos, aseguradoras, sociedades fiduciarias y administradoras de fondos de pensiones, y a los operadores de información de la PILA.
Quedan fuera el Fondo Nacional de Garantías, FONADE, los almacenes generales de depósito, los fondos de garantía del mercado de valores, los fondos mutuos de inversión, los fondos ganaderos, las sociedades calificadoras de valores o de riesgo, las oficinas de representación de instituciones financieras y de reaseguros del exterior, los corredores de seguros y de reaseguros, los comisionistas independientes de valores, las sociedades comisionistas de bolsas agropecuarias y los organismos de autorregulación. Estas entidades no quedan del todo exentas: deben hacer periódicamente una autoevaluación y tener sus resultados y su plan de acción a disposición de la SFC.
Qué pide sobre vulnerabilidades y pruebas, numeral por numeral
El capítulo no usa las palabras «pentest», «escaneo» ni «hacking ético». Habla de gestionar vulnerabilidades, de monitorear y de probar. Estos son los numerales más cercanos a ese trabajo. Los apartados «En la práctica» y «Evidencia a conservar» son una práctica recomendada, no texto de la norma.
4.2.2: vulnerabilidades de plataformas expuestas
- Qué dice: «Gestionar las vulnerabilidades de aquellas plataformas que soporten activos de información críticos y que estén expuestos en el ciberespacio.»
- En la práctica: saber qué plataformas con activos críticos son accesibles desde internet, encontrar sus vulnerabilidades, decidir qué se corrige primero, corregir y comprobar que la corrección funcionó.
- Evidencia a conservar: el inventario de esas plataformas con su fecha, los resultados de las revisiones, la decisión tomada sobre cada hallazgo con su responsable y su plazo, y la comprobación posterior.
4.1.6: pruebas de continuidad que simulan ciberataques
- Qué dice: «Realizar pruebas del plan de continuidad del negocio que simulen la materialización de ataques cibernéticos.»
- En la práctica: ejercicios en los que un ciberataque simulado, como un cifrado de servidores por ransomware o la caída de un canal digital, activa el plan de continuidad. El capítulo no dice qué tipo de prueba usar; un pentest o una simulación de phishing pueden servir de punto de partida para el escenario.
- Evidencia a conservar: el escenario, quién participó, cuánto tardó cada paso de la respuesta y la recuperación, qué falló y qué se cambió en el plan después.
4.2.3: monitoreo continuo
- Qué dice: «Realizar un monitoreo continuo a su plataforma tecnológica con el propósito de identificar comportamientos inusuales que puedan evidenciar ciberataques contra la entidad.»
- En la práctica: vigilar la actividad de los sistemas para detectar un ataque en curso. Es detección de comportamientos, no búsqueda de vulnerabilidades; el numeral 4.1.7 pide contar con herramientas o servicios de correlación de eventos, como un SIEM, que alerten sobre incidentes de seguridad.
- Evidencia a conservar: qué sistemas se vigilan, qué alertas se generaron y qué se hizo con ellas.
4.1.8: vigilar lo que se publica sobre la entidad
- Qué dice: según su estructura, canales de atención, volumen transaccional y número de clientes, la entidad debe «monitorear diferentes fuentes de información tales como sitios web, blogs y redes sociales, con el propósito de identificar posibles ataques cibernéticos contra la entidad».
- En la práctica: buscar dominios que imitan el de la entidad, perfiles falsos, campañas de phishing en preparación y menciones de datos filtrados.
- Evidencia a conservar: qué fuentes se revisan, con qué frecuencia y qué se hizo con cada hallazgo, por ejemplo una solicitud de suspensión de un dominio falso.
3.9 y 3.10: terceros críticos
- Qué dicen: los contratos con terceros críticos incluyen las medidas y obligaciones de seguridad de la información y ciberseguridad (3.9), y la entidad verifica periódicamente que se cumplen (3.10).
- En la práctica: pedir en el contrato evidencia de que el proveedor gestiona sus vulnerabilidades y avisa de sus incidentes, y revisarla en una fecha fijada.
- Evidencia a conservar: las cláusulas firmadas y el registro de cada verificación.
Otros numerales se relacionan con el tema de forma indirecta. El 3.8 pide incluir la seguridad en todo el ciclo de vida del software, «hasta las pruebas de seguridad pertinentes y producción». El 3.3 pide un sistema de gestión de la ciberseguridad y da como referencia, entre otros, la norma ISO 27032, las publicaciones del NIST y los controles CIS. El 3.2.3 pide que la unidad de seguridad informe de su gestión a la junta directiva y a la alta dirección con una periodicidad «al menos, semestral». Es la única periodicidad concreta que fija el capítulo.
Como el texto no fija frecuencias para las revisiones ni para las pruebas, la entidad las define en su propia política y las justifica según su riesgo. Conviene dejar esa decisión por escrito: también es evidencia.
«Expuestos en el ciberespacio»: primero saber qué está expuesto
El numeral 4.2.2 se refiere a plataformas expuestas en el ciberespacio. Para gestionar sus vulnerabilidades, primero hay que saber cuáles son. El inventario oficial y lo que de verdad responde en internet a menudo no coinciden: quedan el subdominio de una campaña antigua, un entorno de pruebas publicado por error o un servicio que administra un proveedor. Cómo cruzar ambas listas lo explicamos en perímetro declarado y perímetro real.
Con la lista completa, el siguiente paso es decidir qué corregir primero. Además de la gravedad técnica, cuenta si la vulnerabilidad ya se está explotando y si la plataforma afectada soporta activos críticos. Lo desarrollamos en dónde encaja la explotabilidad al corregir.
SeguriScan solo ve lo que es accesible desde internet. No revisa las plataformas internas, no sustituye las pruebas de continuidad del numeral 4.1.6 ni el monitoreo del 4.2.3. Sus resultados pueden formar parte de la evidencia del 4.2.2 para las plataformas expuestas: qué se encontró, cuándo y cuándo dejó de detectarse.
Reportes a la SFC
El numeral 3.7 pide una estrategia de comunicación que defina, entre otros puntos, qué se informará a la SFC sobre los incidentes de ciberseguridad que afecten de manera significativa la confidencialidad, la integridad o la disponibilidad de la información de la entidad, con una breve descripción, su impacto y las medidas adoptadas (3.7.1). El numeral 5 añade cómo: con la taxonomía única de incidentes cibernéticos (TUIC) publicada por la SFC, con las etiquetas del protocolo TLP (Traffic Light Protocol), que indican con quién puede compartirse cada comunicación, y desde las cuentas de correo configuradas para ello. El capítulo no fija un plazo para este reporte.
Esa estrategia incluye también qué se informará a los consumidores financieros sobre los incidentes que hayan afectado la confidencialidad o la integridad de su información, con las medidas tomadas (3.7.3). El 4.3.3 pide tener un procedimiento para reportar al ColCERT, cuando se considere pertinente, los ataques que requieran su gestión.
La Circular Externa 033 de 2020 creó además el Formato 408, un reporte trimestral de métricas de seguridad de la información y ciberseguridad. Ese formato se creó en la propia circular, no en el texto de la CBJ, y por eso el capítulo no lo menciona. Antes de planificar el reporte, confirme con la SFC su vigencia y su instructivo.
Fuentes
- Circular Básica Jurídica, reexpedida mediante la Circular Externa 006 de 2025, Superintendencia Financiera de Colombia: parte I, título IV, capítulo V, numerales 1, 3, 4 y 5.