Implementación de controles de ciberseguridad bajo el marco NIST para la protección de los servicios tecnológicos de una entidad de microfinanzas

Abstract

El presente documento refleja el complejo trabajo realizado para la implementación de los controles más críticos de ciberseguridad adoptando el marco de referencia internacional NIST (National Institute of Standards and Technology). El objetivo primordial de este trabajo ha sido salvaguardar los activos de información y los servicios tecnológicos de la Entidad de Microfinanzas. Esta implementación recoge las mejores recomendaciones de la industria bajo estándares tecnológicos apoyadas por la experiencia que obtuve a lo largo de los años como profesional como consultor de riesgo y cumplimiento de ciberseguridad. Dicha implementación permitió a la Entidad de Microfinanzas tener un control y posterior reducción de los diferentes niveles de riesgos que fueron identificados en las etapas previas en las auditorías internas y externas; así como, para poder cumplir con las exigencias del mercado y el frente regulatorio que una entidad financiera debe cubrir. Dentro del marco regulatorio, toda entidad financiera está sujeta a cumplir la Resolución 504-2021 de la Superintendencia de Banca, Seguros y AFP (SBS) y el estándar PCI-DSS (que en sus siglas en inglés significa Payment Card Industry Data Security Standard). La implementación de estos controles de ciberseguridad se hizo bajo una metodología ágil compuesto por profesionales tanto de Tecnologías de la Información como del área de negocios. Todo el equipo comprometido con los objetivos se alineó a los estándares vigentes, a las política, procedimientos y normas sin perder el enfoque en los objetivos establecidos durante la estrategia análisis e implementación. Durante la implementación de los controles, se siguió de forma rigurosa los procesos internos tales como: la gestión de vulnerabilidades, gestión de cambios, gestión de incidentes y la gestión de la continuidad basados en ITIL que dieron un orden y control sobre todas las actividades ejecutadas.