La Superintendencia de Economía Popular y Solidaria, a través de Margarita Hernández, Superintendenta, en ejercicio de sus atribuciones y funciones, expidió el 3 de mayo de 2022, la “Norma de control respecto a la seguridad de la información en las entidades del Sector Financiero Popular y Solidario bajo control de la Superintendencia de Economía Popular y Solidaria”
La normativa tiene por objeto regular los niveles mínimos para la administración de seguridad de la información de las entidades, la Corporación Nacional de Finanzas Populares y Solidarias, CONAFIPS, y las empresas deben definir e implementar con el fin de resguardar y proteger sus activos de información, preservando su confidencialidad, disponibilidad e integridad.
Cristian Aguirre, Director Nacional de Seguridad de la Información de la SEPS, señaló que ha sido un trabajo de todo el equipo de la Superintendencia de Economía Popular y Solidaria, y el apoyo de organismos externos.
La norma está dividida en cinco capítulos de Seguridad de la Información, relacionados con el régimen general, especial y simplificado, donde se señala por ejemplo, la necesidad de contar con un Consejo de Seguridad de la Información, CSI, la votación en decisiones de este ámbito. Un aspecto relevante es la necesidad de contar con una unidad o departamento de seguridad de la información liderado por un Oficial de seguridad de la información con capacitación de al menos 40 horas y titulo universitario de tercer nivel, la Unidad debe estar adscrita a la gerencia general o representante legal.
Abarca temas relacionados con el Sistema de Gestión de Seguridad de la Información, medidas de control de acuerdo al análisis de riesgo; evaluación y cumplimiento, responsabilidades en la gestión de seguridad de la información, etc.
En las disposiciones transitorias señala los plazos previstos de la implementación en las entidades, empresas y la CONAFIPS.
Las cooperativas de ahorro y crédito del segmento 1, Cajas centrales, asociaciones y mutualistas de crédito para ahorro y vivienda y CONAFIPS tendrán un plazo de 12 meses para la implementación de las medidas señaladas en la normativa. Las del segmento 2 y compañías y organizaciones de servicio auxiliar tendrán 24 meses, las del segmento 3 tienen 36 meses y del segmento 4 y 5 tendrán 24 meses para su implementación.
