GERENCIA CORPORATIVA TECNOLOGÍA

El compañero @Diego Piedra Araya44A6A489-C493-4723-B4EF-43DC94ED0377​ labora en el área de Infraestructura de Seguridad y este año será su primera vez como expositor en la TechnoWeek 7.0 con el tema: 

Viaje al centro de la firma digital: Develando los principios de su funcionamiento

Es su primera vez participando como expositor de la TechnoWeek, ¿Qué siente al tener esta oportunidad?

Me emociona mucho poder compartir mis conocimientos en este espacio, y agradezco sinceramente la confianza depositada en mí. Es una oportunidad valiosa para contribuir al crecimiento colectivo desde mi experiencia.

¿Qué le motivó a proponer ese tema en particular?

Me motivó mi pasión por explicar la tecnología de una forma distinta, cercana y accesible. La firma digital es un tema fascinante que a menudo pasa desapercibido porque muchos lo consideran complicado. Mi objetivo es demostrar que puede entenderse con claridad si se presenta con el enfoque adecuado.

 ¿Qué pueden esperar quienes decidan participar de su charla?

Las personas técnicas y quienes apenas están comenzando con la tecnología podrán descubrir un mundo fascinante detrás de la firma digital, visto desde una perspectiva diferente. La charla está diseñada para despertar la curiosidad y demostrar que, aunque la tecnología sea avanzada, no tiene por qué ser incomprensible.

¿Qué le diría a los compañeros para que se animen a inscribirse en las charlas de la TechnoWeek?

Les diría que aprovechen la TechnoWeek como una oportunidad para alimentar esa curiosidad que compartimos quienes amamos la tecnología. Cada charla es una ventana al conocimiento, y la visión de cada persona puede despertar nuevas ideas e inspirar a otros.

¿Cómo se prepara?

He aprovechado mi familiaridad con el tema para explorarlo aún más a fondo. Me enfoqué en mis propias dudas e inquietudes, que seguramente también comparten muchas otras personas, y busqué respuestas que ahora deseo compartir. Mi preparación ha sido tanto técnica como reflexiva, con la intención de ofrecer una visión comprensible y enriquecedora.

La relación entre PCI y la ciberseguridad es muy estrecha, ya que el estándar PCI DSS (Payment Card Industry Data Security Standard) forma una parte clave de las prácticas de ciberseguridad en el manejo y protección de datos sensibles, en particular los datos de tarjetas de pago (como números de tarjetas de crédito y débito, códigos de seguridad, etc.).

Protección de la información sensible

El principal objetivo del PCI DSS es proteger la información sensible de los titulares de tarjetas, y esto está completamente alineado con los principios fundamentales de la ciberseguridad: confidencialidad, integridad y disponibilidad de los datos.

Para evitar exfiltraciones y robos de datos, el estándar exige medidas de seguridad en todos los aspectos del procesamiento de pagos, lo cual implica:

Cifrado de datos: Los datos de tarjetas deben ser cifrados tanto en tránsito (cuando se envían a través de redes) como en reposo (cuando se almacenan). Esto es crucial para proteger los datos frente a interceptaciones o accesos no autorizados.

Control de acceso: PCI DSS establece que solo las personas autorizadas deben tener acceso a los datos sensibles. Esto es un componente clave de la gestión de identidades y accesos (IAM), una parte fundamental de la ciberseguridad.

Mitigación de riesgos cibernéticos

Las amenazas cibernéticas, como los ataques de phishing, malware, exploits y ataques de denegación de servicio (DDoS), son riesgos constantes para las empresas que procesan pagos. El cumplimiento con PCI DSS ayuda a mitigar estos riesgos mediante:

Monitoreo de actividad: PCI DSS exige la implementación de mecanismos de monitoreo continuo para detectar actividad sospechosa en los sistemas, lo que contribuye a la detección temprana de posibles violaciones de seguridad.

Pruebas de vulnerabilidades: La norma también exige pruebas regulares de seguridad (por ejemplo, escaneos de vulnerabilidades y auditorías), lo que permite a las organizaciones identificar y corregir debilidades en sus sistemas antes de que los atacantes las exploten.

Fortalecimiento de la infraestructura de seguridad

El cumplimiento de PCI DSS requiere la implementación de tecnologías avanzadas de seguridad que, en muchos casos, son parte integral de un programa de ciberseguridad corporativa:

Firewall y redes protegidas: PCI DSS exige el uso de firewalls y otras tecnologías de protección de redes para aislar los sistemas que procesan datos de pago de otras redes y sistemas vulnerables. Esto es fundamental para prevenir ataques de acceso no autorizado, como el uso de redes comprometidas para robar datos.

Segmentación de redes: PCI DSS fomenta la segmentación de redes, lo que implica separar físicamente los sistemas de procesamiento de pagos de otros sistemas dentro de la organización. Esta es una práctica estándar de seguridad en la red que reduce la superficie de ataque y facilita el control de acceso.

FUENTE:
Linkedin
Artículo: ¿Como ayuda la ciberseguridad al cumplimiento de PCI?
Autora: Martha Paredes🔒
Inside Sales
Fecha de publicación: 19 nov 2024

Por: @Viviana Vega Zumbado86FB954A-AB2F-46E6-A83D-730F733142F5

​

Como parte de los entregables establecidos en el Proyecto Sistema de Mensajería y Notificación CFBCR, desde este lunes 26 de mayo 2025, se les notificará a nuestros clientes BCR, las siguientes transacciones ejecutadas en los canales digitales:

Transacciones Pagos Inmediatos (PIN)
(envió de fondos en tiempo real)

Débito en Tiempo Real (DTR)
(traer fondos en tiempo real)

Canal de notificación: BCRNotificacion@bancobcr.com

Ejemplo de correo de notificación de una transacción de Pagos Inmediatos (PIN) 

Ejemplo de correo de notificación de una transacción de un Debito en Tiempo Real (DTR)

Esto forma parte de los requisitos establecidos por los entes reguladores BCCR, CONASSIF y SUGEF 10-07, quienes dictan que se le debe notificar a los clientes aquellas acciones desde los canales electrónicos o los movimientos que se realicen desde su cuenta bancaria.

Como Institución, estamos seguros de que esto fortalecerá nuestros esquemas de seguridad y permitirá a los clientes estar informados casi de manera inmediata de cualquier movimiento en sus cuentas, para que estos tomen acciones rápidas en caso de ser necesario.

La habilitación de esta plataforma de notificaciones permitirá al Banco estandarizar y centralizar nuestros canales de notificación. 

Esta es tan solo una de las cuatro fases que se han definido en el proyecto, por lo que aún nos queda camino por recorrer, pero estamos seguros de que seguimos avanzando por la ruta correcta 😊 

Como parte del esfuerzo por mantener los recursos tecnológicos del Conglomerado actualizados y garantizar el uso eficiente de los mismos, en julio iniciará un proceso de depuración de sitios de SharePoint NO UTILIZADOS. 

En los próximos días, los usuarios que tengan espacios de Sharepoint creados, recibirán correos en los que se les solicitará certificar o eliminar los sitios que sean de su pertenencia. 

El correo tendrá dos opciones, la de certificar y la de eliminar; por favor ejecute la opción según corresponda, ya sea que desee mantener el sitio en uso o si desea eliminarlo.

IMPORTANTE:

• En caso de haber recibido un correo y no aplicar el procedimiento indicado, el sitio quedará en un modo de solo lectura, antes de realizar alguna otra acción correctiva

• En el caso de propietarios que tengan muchos sitios relacionados, se les enviará un correo por cada sitio favor mantener el orden en cada proceso.

• Si no recibió ningún correo, pero es dueño de algún sitio que no es requerido o utilizado, favor realizar un tiquete al departamento de Estrategia de nube para atenderlo y realizar la debida diligencia.

• Si por error se eliminó un sitio que no corresponde contaremos con un periodo de gracia de 30 días para que nos puedan hacer el tiquete de no eliminación, de lo contrario el sitio y todo lo relacionado se eliminará completamente.

Para más información o dudas favor escribir al correo per_1065@bancobcr.com

La Gerencia Corporativa de Tecnología ha iniciado este mes la implementación del cifrado de las computadoras de escritorio asignadas a cada una de las personas que laboran en oficinas comerciales, así como el cifrado de equipos de escritorio de oficinas backoffice y dispositivos de almacenamiento externo.

Este esfuerzo se ha informado a los encargados de oficina mediante sesiones virtuales y comunicados directos, en los cuales se han detallado sus responsabilidades, los pasos a seguir (guía de uso) y la coordinación del proceso según el horario laboral y de atención al público.

En total, se cifrarán 1400 equipos de escritorio 🔏 y 
más de 100 dispositivos de almacenamiento externo 
en un período aproximado de cinco meses. 

La supervisora de Soporte Técnico, @Raquel Cambronero Jimenez3C522149-7D60-4115-B11D-342BA134540F​, ha destacado la importancia de que los encargados de oficina estén atentos a las comunicaciones emitidas, con el fin de cumplir con el proyecto sin afectar la continuidad de los servicios. El proceso será remoto, pero se requiere disponibilidad de horario, ya que dicha tarea se ejecutará, según sea el caso, en horario laboral, al inicio de la jornada de trabajo o posterior al cierre de las oficinas, esto según la dinámica de atención al público y horarios de las oficinas.

Se debe recordar que, aunque la normativa institucional y las buenas prácticas de seguridad de la información indican que no se debe almacenar información sensible, confidencial y privada en los equipos, toda la información que contienen los equipos institucionales es de suma importancia. Por ello, el cifrado de equipos representa una línea más de defensa en materia de ciberseguridad y cumplimiento a los estándares de las Normas PCI.

Cuando se extravía o se roba una computadora o un dispositivo externo como USB o discos externos de almacenamiento, la información que contiene puede ser accesible para cualquiera que tenga el dispositivo, aún si estos tienen contraseña. Por ello, el cifrado es un factor de seguridad adicional que procura que una persona no autorizada no tenga acceso a la información.

Para cualquier consulta adicional, pueden dirigirla a la Unidad de Soporte Técnico (1072) a través del correo electrónico SoporteTecnico@bancobcr.com

Por: @Rosa Isela Rojas SolisDEC52D1B-2167-403E-B439-0B898FFF76FA​

​

Quizás usted ha escuchado frases como: “prevenir la obsolescencia”, “eliminar obsolescencia”, “a causa de la obsolescencia”, etc., cuando se habla de proyectos que tienen un componente tecnológico.

Pero ¿Qué significa esto? ¿es algo negativo? A continuación, abordemos el tema:

Teóricamente, la obsolescencia técnica implica la transición de un elemento de configuración de disponible a uno no disponible de acuerdo con la especificación original del fabricante o bien por los diferentes componentes que se requieren para el funcionamiento del sistema.

Los problemas imprevistos de obsolescencia técnica pueden ocurrir rápidamente, y costar una cantidad significativa de recursos no planificados para resolverlos, por lo que se podría poner en riesgo la estabilidad financiera, las operaciones y la reputación de una organización.

Por lo anterior, en el Conglomerado Financiero BCR contamos con un índice de obsolescencia: un indicador que nos permite monitorizar la cantidad de sistemas obsoletos en proceso de atención; considerando que no existen “niveles de obsolescencia”, es decir una aplicación está o no está obsoleta.

La vigilancia es la clave ✔

El monitoreo y la planificación adecuada, busca que las aplicaciones no lleguen a un punto crítico que ponga en riesgo el funcionamiento de la organización, por ello, la obsolescencia de las aplicaciones se revisa mensualmente, presentando resultados al Comité Ejecutivo de forma semestral y al Comité de Riesgos trimestralmente.

Es importante señalar, que la obsolescencia técnica es evaluada primero por los líderes técnicos de la Gerencia Corporativa de TI para determinar si puede ser resuelta a lo interno, o de lo contrario, si son los dueños de las aplicaciones los llamados a atenderla.

Aprovechamos los beneficios de la virtualización

Por: @Jeison Aguero Rojas91949615-13C4-42D0-BE58-FAB1968430F8​

A marzo de 2025 el BCR tiene el 95% de su operación virtualizada (ver: ¿qué es la virtualización?)

Dos ejemplos sencillos de cómo la virtualización ha beneficiado al BCR, son:

En la actualidad el Banco cuenta alrededor 3 500 escritorios virtuales, estos operan en tan solo 32 servidores físicos. Sin esta virtualización no sería posible ofrecer el servicio de teletrabajo a cerca de 3 200 colaboradores y 861 trabajadores externos, manteniendo la operación del Conglomerado sin afectación y con seguridad.

Además, a la misma fecha el Banco cuenta con 4 400 máquinas virtuales que operan en 104 servidores físicos, lo que significa que por cada uno de ellos tenemos 42.3 máquinas virtuales. Si llevásemos esas 4 400 máquinas virtuales a servidores físicos el aumento en costo para el Banco, solo por la adquisición de recursos, sería de un 90% aproximadamente, esto sin tomar en cuenta gastos operativos que se elevarían de manera considerable.

Hablemos del VMware 

Una de las soluciones de virtualización con las que cuenta el BCR es el software VMware y recientemente se concretó la renovación de dicho licenciamiento y hemos establecido un Plan Táctico para sacar el máximo provecho de esta herramienta; implementando soluciones de automatización que entreguen los productos automáticamente y listos para configurar las aplicaciones hechas a la medida para el Banco, reduciendo tiempos de espera al entregar las máquinas virtuales para colocar en ellas las aplicaciones de negocio.

Algunos beneficios: