SEGURIDAD Y CALIDAD DE INFORMACIÓN, SEGURIDAD

SEGURIDAD Y CALIDAD DE INFORMACIÓN, SEGURIDAD TRANSACCIONES
BANCARIAS, MECANISMOS FUERTES DE AUTENTICACIÓN
Concepto 2008035388-001 del 30 de junio de 2008.
Síntesis: Se ha instruido a las entidades vigiladas para que ofrezcan a sus clientes tarjetas
débito y/o tarjetas crédito que manejen internamente cualquiera de los mecanismos fuertes
de autenticación, tales como: OTP (One Time Pasword), biometría, entre otros. Las
entidades que no estén expresamente exceptuadas deberán ofrecer a sus clientes de tarjetas
débito y/o crédito las seguridades que estimen adecuadas, siempre y cuando las mismas
manejen mecanismos fuertes de autenticación, seguridades que deberán ser implementadas
en un plazo máximo que vence el 1° de enero de 2010.
«(…) efectúa denuncias y sugerencias en relación con la seguridad de las transacciones
bancarias.Sobre el particular, resultan pertinentes los siguientes comentarios:
1.- Esta Superintendencia ha expedido varias normas que propenden por la seguridad de las
operaciones y las transacciones por los diferentes canales mediante los cuales las entidades
vigiladas distribuyen sus servicios. La Circular Externa 052 de octubre 25 de 2007 es la
instrucción más reciente, en la cual se establecen “los requisitos mínimos de seguridad y
calidad que deben atender para el manejo de la información a través de los diferentes
medios y canales utilizados para la distribución de los productos y servicios que ofrecen a
sus clientes y usuarios”.2.- Para dar cumplimiento al instructivo antes mencionado, las entidades vigiladas deberán
disponer de hardware, software y equipos de telecomunicaciones, así como de los
procedimientos y controles necesarios, que permitan prestar los servicios y manejar la
información en condiciones de seguridad y calidad. Además deberán gestionar la seguridad
de la información, teniendo como referencia los estándares internacionalmente
desarrollados para el efecto.3.- Teniendo en cuenta las características propias de cada canal de distribución de servicios
financieros 1 , la norma en comento ha establecido unos requerimientos mínimos
particulares.4.- Para referirnos concretamente al tema de su interés, relacionado con seguridades
adicionales a la clave para las tarjetas débito y/o crédito (tales como la huella digital), nos
permitimos confirmarle que la norma a la que nos hemos venido refiriendo, en su numeral
6.11. instruye a las entidades vigiladas para que ofrezcan a sus clientes tarjetas débito y/o
1
Los canales son: oficinas, cajeros automáticos, receptores de cheques, receptores de dinero en efectivo, POS, Sistemas
de Audio Respuesta, centro de atención telefónica, sistemas de acceso remoto para clientes, Internet y dispositivos móviles.
tarjetas crédito que manejen internamente cualquiera de los mecanismos fuertes de
autenticación, tales como: OTP (One Time Pasword), biometría, etc; dichas tarjetas deberán
servir indistintamente para realizar transacciones en cajeros automáticos (ATM), en puntos
de pago (POS), en Internet y en sistemas de audiorespuesta (IVR).
5.- El concepto de seguridad basado en la biometría 2 de que trata la norma, no solamente
comprende características físicas estáticas (como las huellas dactilares, las retinas, el iris,
los patrones faciales, de venas de la mano o la geometría de la palma de la mano), sino
también dinámicas o del comportamiento (como la firma, el paso y el tecleo). La voz se
considera una mezcla de características físicas y del comportamiento, pero todos los rasgos
biométricos comparten aspectos físicos y del comportamiento.6.- En este orden de ideas, las entidades vigiladas por esta Superintendencia y que no estén
expresamente exceptuadas del cumplimiento de la Circular que estamos comentando,
deberán ofrecer a sus clientes de tarjetas débito y/o crédito las seguridades que estimen
adecuadas, siempre y cuando las mismas manejen mecanismos fuertes de autenticación.
Dichas seguridades deberán ser implementadas en un plazo máximo que vence el 1° de
enero de 2010. Para su referencia, el texto completo de la Circular Externa 052 de 2007, se
encuentra disponible en la siguiente dirección electrónica:
superfinanciera.gov.co/NormatjvaFinanciera/Archivos/ce052 07.rtf
El cumplimiento de los requerimientos contenidos en la Circular Externa 052 de 2007
deberá traducirse en una mejoría de los estándares de seguridad y calidad de la información
que las entidades vigiladas manejan a través de canales y medios de distribución de
productos y servicios para clientes y usuarios.-
(…).»
2
Estudio de métodos automáticos para el reconocimiento único de humanos basados en uno o más rasgos conductuales o
físicos intrínsecos (Definición y desarrollo del término tomados de Wikipedia, en: http://es.wikipeda.orq)