La Secretaría de Hacienda y Crédito Público (SHCP), el Banco de México (Banxico), la Comisión Nacional Bancaria y de Valores (CNBV) y la Procuraduría General de la República (PGR), crearon el Grupo de Respuesta a Incidentes de Seguridad de la Información (GRI) con el objetivo de tener un protocolo de seguridad ante ataques cibernéticos. El grupo forma parte del convenio de seguridad de la información anunciado hace unos días por las autoridades financieras, luego de que se diera a conocer un ataque cibernético en el que se sustrajeron más de 300 mil millones de pesos de diferentes bancos a través de transferencias ilegales. En esta estrategia, además, se establecen 16 bases de colaboración, mismas que será presentadas oficialmente la tarde de este jueves. Cabe mencionar que el GRI estará conformado por un representante de cada una de las instituciones financieras añadidas, las cuales estarán obligadas a crear, además, un “equipo interno de identificación y respuesta a incidentes sensibles de seguridad de la información, con responsabilidades definidas”, detalla la estrategia. Dichos equipos que deberán tener áreas específicas de sistemas, comunicación y jurídica, tendrán la tarea de informar, “sin demora”, a la autoridad competente sobre “incidentes sensibles de seguridad de la información” que pudieran significar un potencial peligro a la “confidencialidad, integridad o disponibilidad de un componente o la totalidad de la infraestructura tecnológica o de la información que se procesa, almacena o transmite”.
“Cualquier incidente que pudiera representar una pérdida, alteración o extravío de información; o bien que constituya una violación o una amenaza inminente de violación de las políticas de seguridad, procedimientos de seguridad o políticas de uso aceptable; que pueda derivar en interrupción del servicio o bien, en daño o pérdida para los clientes de la institución afectada, para el público en general, para sus contrapartes o para la entidad misma”.
El informe deberá detalla desde qué servicios fueron interrumpidos, hasta el tiempo estimado para recuperar la operación; las operaciones no reconocidas y la pérdida económica con el monto estimado; el tipo de recursos o información alterada, robada o perdida; las situaciones que pongan en riesgo la seguridad de los clientes, empleados o las instalaciones; y la clasificación del impacto del incidente con base en la información que la propia entidad tenga disponible. Luego de presentado el informe, la autoridad financiera deberá evaluar el grado de impacto y definir si es se trata de un incidente sensible de seguridad de la información, que deba ser comunicado a todos los miembros del GRI. Cabe mencionar que, además de la SHCP, la CNBV, Banxico y la PGR, el documento será firmado esta tarde por la Comisión Nacional para la Protección y Defensa de los Usuarios de los Servicios Financieros (Condusef), la Comisión Nacional del Ahorro para el Retiro (Consar), la Comisión Nacional de Seguros y Fianzas, así como la Asociación de Bancos de México, La Asociación Mexicana de Instituciones de Seguros (AMIS). (Con información de La Jornada y El Universal) erc