Ciberataques: lo que el BRH exige a los bancos con la circular 126

Ante el aumento de los ciberataques, el Banco de la República de Haití (BRH) recuerda que los bancos y demás instituciones financieras del país están sujetos a normas de seguridad informática. Esas normas las fija la circular 126, vigente desde el 1 de febrero de 2022.

En un aviso al público del 19 de octubre, el gobernador Ronald Gabriel recordó además que ninguna institución financiera está autorizada a negociar con ciberdelincuentes que exigen un rescate. Ante un ataque, debe activar su plan de contingencia y de continuidad, y luego reforzar sus sistemas según los resultados del análisis del incidente.

Una política escrita y un responsable independiente

La circular exige primero una organización. Cada institución debe tener una política de seguridad informática por escrito, actualizada cada año y aprobada por su consejo de administración. Los bancos deben tener además un comité de seguridad informática.

Debe nombrar a un responsable de seguridad informática independiente del departamento de informática, que dependa de la gestión de riesgos o de la dirección general. También debe formar a su personal sobre los riesgos.

Proteger los datos de los clientes

El texto pide garantizar la disponibilidad, la integridad, la confidencialidad y la trazabilidad de los datos. Las instituciones deben clasificar su información según su nivel de confidencialidad, protegerse contra códigos maliciosos, asegurar el acceso remoto y controlar el acceso físico a sus salas de servidores.

Cuando un proveedor trata datos por cuenta de un banco, es el banco el que debe comprobar que cumple estas normas.

Un plan de emergencia probado

Cada institución debe preparar, probar y mantener al día un plan de contingencia para seguir funcionando en cualquier circunstancia. Debe prever un sitio informático de respaldo alejado del principal y copias de seguridad verificadas con regularidad para no perder datos. También se exige una fuente de electricidad de respaldo.

Una auditoría cada tres años

La seguridad del sistema informático debe auditarse al menos cada tres años. Una institución que no lo haga se expone a una multa de 200.000 gourdes, y el BRH puede encargar la auditoría a costa de la institución. Si no corrige los problemas detectados, la multa es de 100.000 gourdes por día.

A principios de octubre, Capital Bank cerró sus sucursales durante varios días tras un incidente informático. El grupo de piratas LockBit reivindicó un ataque, sin que el banco confirmara esa relación.