Protección de Datos, Ciberseguridad y Tecnologías de la Información
Capítulo 20-10 de la RAN: gestión de seguridad de la información y ciberseguridad para entidades supervisadas por la CMF
Recopilación Actualizada de Normas, Capítulo 20-10, gestión de la seguridad de la información y ciberseguridad.
- Norma
- RAN Capítulo 20-10
- Fiscaliza
- Comisión para el Mercado Financiero
- Unidad de sanción
- UF, según la Ley 21.000, con medidas correctivas asociadas
Qué exige la norma
El Capítulo 20-10 de la Recopilación Actualizada de Normas es la pieza con que la Comisión para el Mercado Financiero supervisa específicamente la ciberseguridad de la banca. Se distingue de la Ley Marco de Ciberseguridad en dos cosas: es sectorial y es anterior, de modo que las entidades financieras llevan años operando bajo un estándar propio que ahora convive con el régimen general de la ANCI. Para un banco, la pregunta relevante no es cuál de los dos aplica, sino cómo se articulan.
La norma organiza la materia alrededor del gobierno del riesgo. La política de seguridad de la información y ciberseguridad debe ser aprobada por el directorio, revisada con periodicidad y sostenida por una estructura con responsabilidades definidas. Esta exigencia de gobierno es la que suele generar hallazgos: no porque falten controles técnicos, sino porque no hay evidencia de que la discusión de riesgo tecnológico haya llegado efectivamente al órgano de administración.
El segundo eje es la identificación de los activos de información y, dentro de ellos, de aquellos que integran la infraestructura crítica de la industria financiera y del sistema de pagos. De esa clasificación dependen la profundidad de los controles, las obligaciones de continuidad y el tratamiento de los incidentes, incluido el intercambio técnico de información sobre amenazas con el resto del sector, que la norma trata como un deber y no como una buena práctica voluntaria.
A quién obliga
- Bancos e instituciones financieras fiscalizadas por la CMF.
- Sociedades de apoyo al giro y filiales que operan procesos críticos del negocio bancario.
- Entidades que participan de la infraestructura de pagos supervisada.
Qué revisa la evaluación
Las dimensiones en que se organiza esta evaluación.
- 01
Gobierno y responsabilidad del directorio
Aprobación de la política, revisión periódica y evidencia de que el riesgo de ciberseguridad llega al órgano de administración.
- 02
Identificación de activos críticos
Inventario de activos de información, clasificación y determinación de los que forman parte de la infraestructura crítica del sistema financiero.
- 03
Gestión de incidentes
Detección, escalamiento, reporte a la CMF y análisis posterior con lecciones aplicadas.
- 04
Intercambio de información
Participación en los mecanismos de intercambio técnico sobre amenazas e incidentes del sector.
- 05
Terceros y continuidad
Externalización de servicios, evaluación de proveedores y articulación con las normas de continuidad del negocio.
Cómo se sanciona
La CMF sanciona conforme a la Ley 21.000, con multas expresadas en UF que pueden alcanzar a la entidad y también, personalmente, a directores y gerentes cuando se acredita su participación en el incumplimiento. Antes de la multa suele venir lo más costoso en términos operativos: instrucciones específicas, planes de regularización con plazo y observaciones que quedan registradas en la evaluación de gestión de la entidad.
La evaluación traduce los incumplimientos detectados a una exposición económica estimada en pesos, calculada con la unidad y el tipo de cambio del día en que se responde. El valor queda congelado en ese momento: el informe no cambia después.
Cuándo conviene evaluar
- 01
La entidad está supervisada por la CMF y su política de seguridad no ha vuelto al directorio en el último año.
- 02
Hay procesos críticos externalizados sin una evaluación formal de riesgo del proveedor.
- 03
No está distinguido qué activos forman parte de la infraestructura crítica del sistema financiero.
- 04
Los incidentes se resuelven en el área técnica sin un circuito de reporte al regulador.
Normativas que suelen cruzarse con esta
Ver la exposición frente a esta norma
Mostramos cómo se ve el informe de una evaluación real y revisamos juntos si RAN Capítulo 20-10 aplica a la operación. En el catálogo completo se puede comparar con otras materias.