3
Cumplimos con norma técnica exigida por el BCCR para el servicio SINPE
El Banco Central de Costa Rica (BCCR) estableció que todas las entidades afiliadas al servicio de SINPE deben cumplir una serie de regulaciones dirigidas a adoptar MARCOS DE CIBERSEGURIDAD para la protección del sistema a nivel nacional.
Para ello, el 01 de agosto de 2023 emitió una norma técnica que las entidades deben atender obligatoriamente y que constituye un requisito para adquirir y mantener la condición de afiliado.
También, estableció que el cumplimiento de la norma debía ser evaluado por una firma de auditores externos. Para tal efecto, se asignó a Crowe Horwath CR, S.A. como los responsables de emitir el informe que determinara el cumplimiento de los controles ante el BCCR.
La Gerencia Corporativa de Tecnología asignó al equipo de la Unidad de Integración de Canales la tarea de analizar la norma y asegurar el cumplimiento de la misma.
Este proceso incluyó:
- Un esfuerzo integral que involucró 18 áreas de Tecnología y 6 áreas de negocio.
- El mapeo de los 47 controles solicitados por el BCCR; de los cuales 40 son de carácter obligatorio y 7 opcionales.
- El análisis para determinar servicios, responsables, entregables y planes de acción (de setiembre a diciembre 2023)
- La puesta en marcha de los planes de acción para recolectar, analizar, clasificar y revisar las evidencias entregadas según los requisitos establecidos. En total se recolectaron aproximadamente 270 evidencias (de enero a mayo 2024)
- La construcción y modificación de algunos procesos para lograr el cumplimiento de la norma.
Finalmente, luego de muchas horas de trabajo se logra la emisión del informe por parte de la firma auditora el 26 de junio de 2024, el cual da como resultado el cumplimiento de los 40 controles obligatorios y 4 opcionales 
, sobrepasando la meta primordial que era el cumplimiento de los 40 controles obligatorios antes del 30 de junio 
“El 10 de julio de 2024 recibimos repuesta del BCCR donde dan por aceptado el informe y cumplimiento del Conglomerado Financiero BCR a la norma, lo cual celebramos y por lo que nos sentimos muy satisfechos”, afirma @Viviana Vega Zumbado, Supervisora de la Unidad de Integración de canales.
CONOCIMIENTO APLIADO:
- Aplicativos que tienen interfaz directa con el SINPE:
BCR Gestor de Pagos Entrantes
BCR Gestor de Pagos Salientes
BCR Gestor de Firma y Sello Electrónico
BCR OPC Gestor de Pagos
Gestor de Pagos de BCR Valores
BCR Monex BCCR
BCR Nodo de Emisión de Firma Digital
BCR Nodo SINPE
- Herramientas de Software Empleadas: se utilizaron todas estas herramientas especializadas dirigidas a optimizar la gestión y seguridad de la información y así contribuir con el cumplimiento de la norma:
- BCR Endpoint Central: Destinado al inventario de equipos, software, y VMs, y la aplicación de parches para sistemas operativos Windows.
- Panorama de PaloAlto: Administra el firewall, esencial para la protección perimetral.
- Cisco ISE: Implementa funciones AAA para mejorar la seguridad y gestión de identidades.
- Cisco Duo: Refuerza la seguridad mediante autenticación multifactor.
- Cortex: Ofrece servicios de detección y respuesta para endpoints.
- ProofPoint: Protege contra amenazas avanzadas de correo electrónico.
- Service-Now: Gestiona tiquetes y la documentación operativa.
- vCenter Sphere VMware: Gestiona las máquinas virtuales, permitiendo un control centralizado.
- Avamar: Proporciona soluciones de respaldo de datos y VMs.
- Safeguard: Facilita acceso seguro a VMs a través de usuarios administradores locales.
- EventLog y SolarWinds: Recopilan logs de seguridad y auditoría, cruciales para el cumplimiento y la vigilancia de la seguridad.
- Tenable IO: Evaluación continua de la vulnerabilidad y la conformidad de la seguridad de los activos de TI
- Qradar: Gestión de eventos e información de seguridad (SIEM) que facilita la detección avanzada de amenazas y anomalías en tiempo real
- SOC: Monitorear, analizar y proteger al Conglomerado contra ciberataques de forma continua.
