Madurez seguridad de los sistemas de información · Reglamento COBAC seguridad SI

El reglamento COBAC sobre la seguridad de los sistemas de información impone a las entidades sujetas de la zona CEMAC un dispositivo formalizado de control del riesgo informático. Abarca la gobernanza del SI y la responsabilidad del órgano deliberante, la política de seguridad, la clasificación de los activos y de los datos, la gestión de los accesos y de las autorizaciones, la seguridad de las infraestructuras y de las aplicaciones, la continuidad y la recuperación de la actividad, la gestión de incidentes y su notificación a la Comisión Bancaria, así como el encuadre de los proveedores informáticos. El control periódico y el reporte al supervisor completan el dispositivo.

En la práctica, la exigencia es más fácil de enunciar que de gestionar. Las entidades de la subregión combinan a menudo un núcleo bancario antiguo, una actividad de tarjetas externalizada, canales de banca digital recientes y sucursales con enlaces heterogéneos. Tres preguntas se repiten sistemáticamente. ¿Se aplica realmente la política de seguridad en las filiales y sucursales, o solo se aprueba en la sede? ¿Se revisan las autorizaciones en fechas fijas, incluidas las cuentas de proveedores y las cuentas con privilegios? ¿Se ha probado el plan de continuidad con un escenario real, con un acta que el control periódico pueda utilizar?

Conviene disipar dos confusiones. La primera consiste en equiparar el cumplimiento del reglamento a la existencia de un presupuesto informático y de un cortafuegos: el texto trata sobre un dispositivo de control, es decir, sobre roles, procedimientos, pruebas y revisiones, no sobre un inventario de equipos. La segunda consiste en tratar la seguridad SI como un asunto puramente técnico, cuando el reglamento compromete al órgano deliberante y se articula con los dispositivos de control interno, de riesgo operacional y de subcontratación ya exigidos por la COBAC. El mapa de riesgos informáticos debe leerse dentro del mapa de riesgos de la entidad.

Una auditoría de cumplimiento concluye con una constatación binaria: la exigencia se cumple o no se cumple. El diagnóstico de madurez responde a otra pregunta. Sitúa cada práctica en una escala progresiva, desde el gesto puntual hasta el dispositivo gestionado y revisado, e indica la acción precisa que permite pasar al nivel siguiente. Esta lectura es la que necesita una dirección general que debe decidir entre varios proyectos en un mismo ejercicio y justificar sus prioridades ante el comité de auditoría.

El marco de referencia está listo para usar en Datamensio y sigue siendo adaptable. La IA ajusta los ámbitos, las preguntas y los niveles a su perfil, banco comercial, entidad de microfinanzas o entidad de pago, o construye una variante a partir de su política de seguridad y de sus informes de control. Las brechas detectadas alimentan directamente un plan de acción priorizado, consolidable en varias entidades del grupo.