GERENCIA CORPORATIVA TECNOLOGÍA

Múltiple factor de autenticación: Aprendamos

MFA, o Autenticación Multifactor, es un método de seguridad que requiere más de un factor de autenticación para verificar la identidad de un usuario. Esto añade una capa adicional de seguridad, ya que incluso si un atacante tiene acceso a una contraseña, necesitaría otro factor para acceder a la cuenta.

Tipos de MFA

• Conocimiento (algo que sabes): Por ejemplo, una contraseña o un PIN
• Posesión (algo que tienes): Un dispositivo físico como un teléfono móvil, token de seguridad o tarjeta inteligente. Proporciona mayor seguridad porque requiere un dispositivo que solo el usuario debería tener
• Inherencia (algo que eres): Biometría, como huellas dactilares, reconocimiento facial o de voz
• Comportamiento (algo que haces): Compuesto por el seguimiento y análisis de tu comportamiento

Ventajas para las organizaciones

• Mayor seguridad: dificulta el acceso no autorizado, al agregar una capa adicional de control
• Cumplimiento normativo: apoyo, atención y cumplimientos normativos
• Protección: protección contra cuentas comprometidas

En la Gerencia Corporativa de Tecnología estamos trabajando en la pronta adopción de este sistema. Pronto más detalles
 

Estrenamos nueva plataforma de balanceo 

La Unidad de Atención de Oficinas finalizó en setiembre de 2024 la habilitación de una nueva plataforma de balanceo de carga de aplicaciones que reúne las características adecuadas para las necesidades del Conglomerado.

Veámos cómo funciona:

Imagine un peaje en una autopista por donde pasan muchos autos para llegar a diferentes destinos. Si solo hubiera una caseta de peaje, se formaría una fila muy larga y los autos tardarían mucho en pasar o quedarían atrapados causando un embotellamiento.

Aquí es donde entra en juego un balanceador, que funciona como un organizador de casetas que, en lugar de dejar que todos los autos pasen por una sola, los distribuye entre varias casetas.

Además de reducir el tráfico, esto también permite:

1. Acelerar el proceso: asegura que algunas casetas cobren de manera más rápida usando tecnología más eficiente
2. Administrar el tráfico: si un destino está cerrado, redirige los autos a otro destino sin causar problemas en la autopista

Esta analogía nos permite entender el trabajo de nuestra plataforma de balanceo de cargas, que distribuye el tráfico de nuestros usuarios para llegar a diferentes destinos, es decir, a los servidores que ofrecen las aplicaciones y/o canales.

Un proyecto muchos participantes:

Nuestro nuevo balanceador de cargas se llama Balanceador AVI que cuenta con una infraestructura de virtualización que se acopla adecuadamente a la operación del Conglomerado y permitirá ir realizando la migración de las diferentes aplicaciones y servicios de forma coordinada y planificada en el futuro próximo.

“Quiero agradecer a la Unidad de Atención de Oficinas que tuvo a cargo esta implementación y a cada uno de los miembros del equipo interdisciplinario que participaron en este proyecto, que inició desde el 2023 con la valoración de pruebas de concepto y posterior seguimiento de planes de trabajo. Fueron muchos … a todos GRACIAS”, comenta @Marilyn Zumbado Soto0C7723F6-083D-435E-83DB-1D029012871B​, supervisor de TI, Atención de Oficinas.

API´s para flexibilizar nuestra capacidad de integración

Durante el 2024 y 2025 la Unidad de Integración de TI trabajará en el proyecto de sustitución del Web Service MQ por una pasarela de APIs en el API Gateway. 

¿Qué es esto? 

El Web Service MQ (WSMQ) es el primer aplicativo del Banco que permitió la integración entre sistemas, siendo el predecesor de lo hoy se conoce como Bus de Servicios. 

En la actualidad es muy utilizado por los canales para múltiples operaciones, entre ellas: la carga de todos los productos asociados a un cliente al ingresar al BancoBCR, la consulta de tipo de cambio y la de múltiples catálogos en diversas aplicaciones del Banco.

¿Por qué lo vamos a cambiar?

Un API o Interfaz de Programación de Aplicaciones es un conjunto de funciones y procedimientos que integra sistemas, permitiendo que sus funcionalidades puedan ser reutilizadas por otras aplicaciones o software.

Lo mismo que hoy en día hace el Web Service MQ, pero más moderno y robusto, evitando así incidentes que afecten un grupo amplio de servicios; esto último permite a su vez efectuar transacciones más eficientes a otros sistemas, entre ellos el SICC y SISTAR. 

¿Qué hemos logrado hasta hoy?

• Realizamos la validación del funcionamiento actual del WSMQ, para determinar todas las operaciones que deben ser migradas y efectuamos un plan para el retiro controlado de un grupo de funcionalidades

• Los primeros entregables fueron puestos en producción en septiembre 2024 con la liberación de las APIs que sustituyen el MQLOGON (las funcionalidades que permiten que BCR Movil y BancoBCR autentiquen a los usuarios) y un grupo de 5 operaciones del MQSICC (permite integrar distintas aplicaciones con el SICC

• El plan continuará su marcha durante el 2025, disponiendo de más de 50 funcionalidades con el fin de que las aplicaciones se puedan modernizar al migrar a esta nueva pasarela aumentando la seguridad y flexibilidad en la capacidad de integración

“Este proyecto requiere de una reingeniería completa para analizar su funcionamiento y posteriormente desarrollar soluciones aplicadas a los estándares actuales. Nos salimos de nuestra zona de confort, atendiendo de una manera integral la necesidad al tener que integrar tanto el área “front end” que consume el servicio, así como el “back end” siendo este quien retorna la información necesaria y generar así una solución completa y funcional”, afirma @William Rodriguez MoraBF04EED6-ACA5-4E32-AC5E-B79E700F5C61, Supervisor de Fábrica de Integración y Conectividades

Por: @Evelyn Marcela Arguedas Andrade84AE617B-4D4F-4207-8B2F-B3638CD92D45

​

Una prueba de continuidad de TI es un ejercicio o ensayo en el cual se simula una falla en la infraestructura de un aplicativo/plataforma para asegurar que sea capaz de seguir trabajando de manera estable en un ambiente contingente.

Durante las pruebas se aplican las actividades definidas en el protocolo de recuperación de TI para trasladar, habilitar o verificar la operativa en el ambiente contingente (centro alterno de procesamiento).

Realizar estas pruebas es importante para:

• Probar las estrategias de recuperación de TI asegurando su operatividad en un ambiente contingente ante un evento de alto riesgo o desastre
• Determinar posibles mejoras en el protocolo
• Identificar mejoras en los aplicativos/plataforma
• Reconocer necesidades de conocimiento en la gestión de la continuidad de TI o en los aplicativos/plataformas

Las pruebas se realizan en el transcurso del año, en horarios que afecten en lo mínimo el servicio al cliente y se dividen en cinco etapas:

A. Diseño:

Se define el escenario y la infraestructura del aplicativo a probar, se corroboran la fechas y horas en que se llevará a cabo la prueba, el personal involucrado (interno/externo), las limitaciones y condiciones de ejecución.

B.  Ejecución:

Se realizan las fases de recuperación y retorno entre los centros de procesamiento. 

1. Fase de recuperación: permite el traslado de la operación del centro principal de procesamiento al centro alterno de procesamiento. 
2. Fase de retorno: luego de transcurridos unos días, la operación del aplicativo se devuelve del centro alterno de procesamiento al centro principal de procesamiento. 

C.  Evaluación:   

Se analizan los resultados y las situaciones presentadas durante la ejecución del proceso; concluyendo en hallazgos y compromisos para la atención de estos.

D. Informe de resultados:

Los resultados se informan a las partes interesadas, incluyendo a: los responsables del negocio y de TI del aplicativo, Unidad de continuidad de negocio, Unidad seguridad de la información y TI (Gerencia de riesgos), Comité de continuidad de negocio, Gerencia corporativa de TI y jefes de TI de subsidiarias.

E.  Seguimiento:

Se valida mensualmente la atención de los compromisos generados en la evaluación.

¿Quién las realiza? 

Las pruebas son lideradas por la vertical de Continuidad de TI de la Unidad de Soporte Especializado; sin embargo, en ellas participan los responsables técnicos del aplicativo, usuarios expertos del negocio, Unidad de Monitoreo, especialistas de TI y de ser requerido el/los contratistas.