La Superintendencia de Banca, Seguros y AFP de Perú publicó un reglamento obligatorio que impone a las instituciones financieras comunicar incidentes cibernéticos con rapidez y reforzar sus defensas operacionales.
El paquete normativo fue formalizado tras la conclusión de una serie de simulaciones de ataques a gran escala realizadas en coordinación con los principales bancos comerciales, cajas municipales y administradoras de fondos de pensiones con sede en Lima. La autoridad reguladora del sistema financiero peruano constató la necesidad de estandarizar la respuesta ante amenazas digitales avanzadas, estableciendo criterios claros para la mitigación de vulnerabilidades que puedan comprometer la liquidez, los canales de atención o los saldos de los cuentahabientes.
Con la nueva regulación, Perú alinea sus parámetros prudenciales a las directrices del Comité de Basilea para la resiliencia operacional, imponiendo obligaciones técnicas que abarcan desde grandes conglomerados bancarios hasta plataformas emergentes de pagos electrónicos. El objetivo central es contener la propagación de riesgos cibernéticos y blindar las infraestructuras de liquidación financiera frente a acciones de grupos criminales transnacionales.
Protocolos de notificación inmediata y transparencia con cuentahabientes
El reglamento establece una jerarquía de clasificación de incidentes com plazos obligatorios de reporte. Cualquier evento de seguridad digital clasificado como de impacto crítico, incluyendo intrusiones en bases de datos centrales, paralizaciones prolongadas de aplicaciones móviles o incidentes de secuestro de datos por ransomware, debe informarse formalmente a la superintendencia en un plazo de pocas horas tras su detección inicial por el equipo técnico encargado de la vigilancia perimetral.
Además de la comunicación célere al organismo supervisor, la norma innova al consagrar la obligación de transparencia ante los usuarios finales del sistema financiero. Cuando un ataque comprometa credenciales de autenticación, información catastral o personal sensible o la disponibilidade de recursos depositados, las entidades bancarias están obligadas a emitir notificaciones claras y sin tecnicismos a los clientes afectados. El aviso debe detallar las medidas correctivas en curso y las orientaciones preventivas que los cuentahabientes deben adoptar para evitar perjuicios patrimoniales adicionales derivados de estafas de ingeniería social.
La medida rompe con la antigua práctica de ocultamiento de fallos de seguridad motivada por el temor a daños reputacionales a la imagen institucional de los bancos. Según la justificación de la superintendencia, la notificación oportuna a los consumidores representa una salvaguarda elemental de protección al consumidor, permitiendo que los cuentahabientes bloqueen tarjetas o modifiquen credenciales antes de que criminales consigan monetizar las informaciones filtradas en el mercado clandestino de la web oscura.
Arquitectura de confianza cero y gobernanza de servicios en la nube
En el plano estrictamente técnico, la resolución de la autoridad financiera establece la obligatoriedad de adopción de los principios de arquitectura de confianza cero en las redes corporativas de las instituciones supervisadas. El modelo exige verificación continua de identidad, autenticación multifactor obligatoria para todos los accesos administrativos y microsegmentación rigurosa de los entornos de procesamiento que custodian activos críticos y datos transaccionales, impidiendo el movimiento lateral de intrusos.
La contratación de proveedores externos de servicios en la nube también pasa a ser regulada bajo condiciones estrictas de gobernanza. Las instituciones financieras permanecen plenamente responsables por la seguridad de los datos alojados en proveedores externos y deben asegurar contractualmente el derecho de realizar auditorías independientes periódicas en los centros de datos contratados. La norma prohíbe expresamente cláusulas contractuales que limiten la capacidad de fiscalización de los inspectores de la superintendencia sobre sistemas alojados en servidores situados fuera del territorio peruano.
Otro punto destacado reside en la exigencia de pruebas periódicas de continuidad de negocio y planes de recuperación ante desastres. Los bancos deberán mantener réplicas operacionales aisladas de sus bases contables y demostrar capacidad técnica para restaurar sistemas vitales en plazos predeterminados en caso de destrucción lógica causada por códigos maliciosos de última generación, preservando los registros históricos de saldos y transacciones en cajas fuertes digitales inmutables.
Mitigación de riesgos sistémicos y madurez de la custodia de datos
La modernización regulatoria responde al crecimiento exponencial de los medios de pago digitales en Perú en los últimos años. Herramientas como billeteras digitales y transferencias interbancarias instantáneas se han vuelto omnipresentes en el comercio urbano, elevando la dependencia de sistemas digitales ininterrumpidos para el funcionamiento del comercio minorista y de la economía real. En este contexto, la interrupción prolongada de una infraestructura bancaria acarrea repercusiones inmediatas en la estabilidad social y en el comercio cotidiano de ciudades enteras.
Para asegurar que las instituciones de menor tamaño, como cooperativas de ahorro y crédito rurales, consigan adecuarse a las exigencias sin inviabilizar sus operaciones financieras, la superintendencia estableció un cronograma de implementación escalonado. Las exigencias más complejas de gobernanza en la nube se cobrarán inicialmente a los bancos de mayor relevancia sistémica, con plazos extendidos y guías operacionales simplificadas puestas a disposición de entidades regionales y cooperativas comunitarias.
El equipo de supervisión de riesgos de tecnología de la información de la SBS intensificará las inspecciones presenciales y remotas a partir del primer trimestre del próximo año para verificar el cumplimiento de los nuevos planes de resiliencia. Las entidades que incumplan los protocolos de notificación o descuiden la corrección de vulnerabilidades conocidas estarán sujetas a sanciones administrativas severas, fortaleciendo la confianza de los ciudadanos en la infraestructura digital del país y estimulando inversiones en ciberdefensa de vanguardia.
