BANCO CENTRAL DE LA REPÚBLICA ARGENTINA

1 2006 - A o de Homenaje al Dr. Ram n CARRILLO . BANCO CENTRAL DE LA REP BLICA ARGENTINA . COMUNICACI N A 4609 27/12/2006. A LAS ENTIDADES FINANCIERAS, A LAS CAMARAS ELECTR NICAS DE COMPENSACI N: Ref.: Circular RUNOR 1 805. Requisitos m nimos de gesti n, implemen- taci n y control de los riesgos relacionados con tecnolog a inform tica y sistemas de in- formaci n _____. Nos dirigimos a Uds. para comunicarles que esta Instituci n adopt la siguiente resolu- ci n: 1. Aprobar las normas sobre Requisitos M nimos de Gesti n, Implementaci n y Control de los Riesgos Relacionados con Tecnolog a Inform tica, Sistemas de Informaci n y Recursos Aso- ciados para las Entidades Financieras a que se refiere el Anexo a la presente Comunicaci n.

2 2. Dejar sin efecto (a partir de la entrada en vigencia de la presente comunicaci n) las disposicio- nes dadas a conocer mediante la Comunicaci n A 3198 para el caso de Entidades Financie- ras solamente, manteniendo su aplicaci n para las C maras Electr nicas de Compensaci n. 3. Establecer la vigencia de la nueva norma de la siguiente forma: a. A partir de la fecha de su emisi n para las nuevas entidades que se autoricen. b. A partir de los 180 d as corridos desde su emisi n, para las Entidades Financieras que est n autorizadas a la fecha . Saludamos a Uds. muy atentamente. BANCO CENTRAL DE LA REPUBLICA ARGENTINA .

3 Marcelo D. Fern ndez Pablo L. Carbajo Gerente de Auditoria Externa Subgerente General de An lisis de Sistemas y Auditoria ANEXO. TEXTO ORDENADO ACTUALIZADO DE LAS NORMAS SOBRE REQUISITOS M - NIMOS DE GESTI N, IMPLEMENTACI N, Y CONTROL DE LOS RIESGOS RELA- CIONADOS CON TECNOLOG A INFORM TICA, SISTEMAS DE INFORMACI N Y. RECURSOS ASOCIADOS PARA LAS ENTIDADES FINANCIERAS . ndice Secci n 1. Aspectos generales. Eficacia. Eficiencia. Confidencialidad. Integridad. Disponibilidad. Cumplimiento. Confiabilidad. Secci n 2. Organizaci n funcional y gesti n de tecnolog a inform tica y sistemas. Comit de Tecnolog a Inform tica.

4 Integraci n y funciones. Pol ticas y procedimientos. An lisis de Riesgos. Dependencia del rea de Tecnolog a Inform tica y Sistemas. Gesti n de Tecnolog a Inform tica y Sistemas. Secci n 3. Protecci n de activos de informaci n. Gesti n de la seguridad. Implementaci n de los controles de seguridad f sica aplicados a los activos de in- formaci n. Secci n 4. Continuidad del procesamiento electr nico de datos. Responsabilidades sobre la planificaci n de la continuidad del procesamiento de da- tos. An lisis de impacto. Instalaciones alternativas de procesamiento de datos. Plan de continuidad del procesamiento de datos.

5 Mantenimiento y actualizaci n del plan de continuidad de procesamiento de datos. Pruebas de continuidad del procesamiento de datos. Secci n 5. Operaciones y procesamiento de datos. Responsabilidad del rea. Inventario tecnol gico. Pol ticas y procedimientos para la operaci n de los sistemas inform ticos y maneja- dores de datos. Procedimientos de resguardos de informaci n, sistemas productivos y sistemas de base. Mantenimiento preventivo de los recursos tecnol gicos. Vigencia: Versi n: 1a. COMUNICACI N A 4609 P gina 1. 27/12/2006. REQUISITOS M NIMOS DE GESTI N, IMPLEMENTACI N, Y CONTROL DE LOS.

6 RIESGOS RELACIONADOS CON TECNOLOG A INFORM TICA, SISTEMAS DE. INFORMACI N Y RECURSOS ASOCIADOS PARA LAS ENTIDADES FINANCIERAS. ndice Administraci n de las bases de datos. Gesti n de cambios al software de base. Control de cambios a los sistemas productivos. Mecanismos de distribuci n de informaci n. Manejo de incidentes. Medici n y planeamiento de la capacidad. Soporte a usuarios. Secci n 6. Banca electr nica por diversos medios. Controles generales. Operatoria y control de las transacciones cursadas por cajeros autom ticos (ATM's). Operatoria y control de las transacciones cursadas por medio de puntos de venta (POS) utilizando d bito directo en cuentas con tarjetas de d bito.

7 Operatoria y control de las transacciones cursadas por medio de Internet (e- banking). Operatoria y control de las transacciones cursadas por medio de dispositivos m vi- les, que utilicen comunicaciones de telefon a celular o de redes inal mbricas de rea amplia. Operatoria y control de las transacciones cursadas por medio de atenci n telef nica (Phone Banking). Operatoria y control de las transacciones cursadas por medio de otros mecanismos no contemplados en la presente normativa. Secci n 7. Delegaci n de actividades propias de la entidad en terceros. Actividades Factibles de Delegaci n.

8 Responsabilidades propias de la entidad. Formalizaci n de la delegaci n. Responsabilidades del tercero. Implementaci n del procesamiento de datos en un tercero. Control de las actividades delegadas. Planificaci n de continuidad de la operatoria delegada. Secci n 8. Sistemas aplicativos de informaci n. Cumplimiento de requisitos normativos. Integridad y validez de la informaci n. Administraci n y registro de las operaciones. Sistemas de informaci n que generan el r gimen informativo a remitir y/o a disposi- ci n del BANCO CENTRAL de la Rep blica ARGENTINA . Documentaci n de los sistemas de informaci n.

9 Vigencia: Versi n: 1a. COMUNICACI N A 4609 P gina 2. 27/12/2006. REQUISITOS M NIMOS DE GESTI N, IMPLEMENTACI N, Y CONTROL. DE LOS RIESGOS RELACIONADOS CON TECNOLOG A INFORM TICA, SISTEMAS DE INFORMACI N Y RECURSOS ASOCIADOS PARA LAS. ENTIDADES FINANCIERAS. Secci n 1. Aspectos generales. El Directorio o autoridad equivalente de la entidad (Consejo de Administraci n, en el caso de enti- dades financieras cooperativas, o Funcionario de primer nivel jer rquico, en el caso de sucursales de entidades financieras extranjeras) es el responsable primario del establecimiento y la existencia de un rea que gestione la administraci n y/o procesamiento de datos, sistemas o tecnolog as rela- cionadas para todos los canales electr nicos por los que las entidades financieras realizan el ofre- cimiento de sus productos y servicios.

10 Dicha rea evidenciar una clara separaci n organizacional con relaci n a los sectores usuarios de la misma. Del mismo modo, ser responsable de que existan pol ticas generales y planes estrat gicos de cor- to y mediano plazo, y de la asignaci n de los recursos necesarios para la mencionada rea. Debe estar involucrado con los aspectos generales que gobiernen la tecnolog a de la informaci n y sus actividades relacionadas, los riesgos que conllevan, y evidenciar mediante documentaci n for- mal la toma de decisiones, el seguimiento y el control de lo establecido. Los procedimientos que deben llevarse a cabo para el desarrollo de la tarea y control de las reas de sistemas de informaci n, los cuales involucran al Directorio, Consejo de Administraci n o autori- dad equivalente, Gerencia General, Gerencia de Sistemas de Informaci n (SI) y personal de la enti- dad, deben estar dise ados para proveer un grado razonable de seguridad en relaci n con el logro de los objetivos y los recursos aplicados en los siguientes aspectos: Eficacia.