El Reglamento General de Gobierno y Gestión de la Tecnología de Información le pide a las entidades supervisadas un plan anual de cultura de seguridad, con indicadores que midan el nivel de concientización de sus colaboradores y clientes. Te damos los programas, las evaluaciones y la evidencia de auditoría, mapeados a los artículos del reglamento y segmentados por audiencia.
Según el Informe DBIR de Verizon, el factor humano interviene en cerca de 6 de cada 10 brechas de seguridad. El Acuerdo CONASSIF 5-24 convierte ese riesgo en obligaciones concretas: clasificar la información en cuatro niveles de uso, gestionar cada incidente por fases y comunicar a los clientes las medidas de remediación en un plazo máximo de cinco días hábiles desde el cierre del incidente. Ninguna de esas obligaciones se cumple sin personas que sepan leer la etiqueta de un archivo y reconocer la señal de un incidente.
El Acuerdo CONASSIF 5-24 rige desde su publicación en La Gaceta, el 22 de julio de 2024, y alcanza a los bancos, las financieras, las cooperativas, los puestos de bolsa, las aseguradoras y las operadoras de pensiones supervisadas por la SUGEF, la SUGEVAL, la SUGESE y la SUPEN. Tres obligaciones aterrizan directamente en tu programa de concientización. Lo desarrollamos en detalle en qué le exige el Acuerdo CONASSIF 5-24 a las personas.
El artículo 35 exige diseñar e implementar cada año un plan de promoción de la cultura de seguridad de la información, con actividades de capacitación, concientización, divulgación y comunicación dirigidas a los colaboradores y a los clientes. El plan tiene que incluir indicadores que midan el nivel de concientización, y el artículo 9 pone su aprobación en manos del Órgano de Dirección.
El artículo 19 obliga a clasificar y etiquetar los activos de información según el modelo del reglamento: uso público, uso interno, uso confidencial y uso sensible. La etiqueta protege algo solo si quien abre, guarda o reenvía un archivo sabe qué le permite cada nivel.
El artículo 36 pide un proceso de gestión de incidentes por fases, con controles para recopilar la evidencia forense. El artículo 40 obliga a avisar a los clientes cuando se afecta la confidencialidad o la integridad de su información, y a comunicarles las medidas de remediación en un plazo máximo de cinco días hábiles desde el cierre del incidente. Ese circuito empieza cuando alguien reporta a tiempo y sin borrar nada.
Para las cooperativas de ahorro y crédito sujetas al Acuerdo SUGEF 25-23 y para las sociedades corredoras de seguros, el artículo 3 deja el plan anual del artículo 35 como una sana práctica de adopción discrecional.
No tienes que diseñarlo desde cero. El contenido del CONASSIF 5-24 ya viene preparado y segmentado por audiencia, en dos programas automáticos que se asignan en un par de clics.
Los cuatro módulos enseñan qué permite cada nivel de uso antes de enviar un archivo, dónde debe vivir la información de la entidad y qué expone un enlace compartido, qué hacer en la primera hora ante una señal de incidente y cómo responder cuando un cliente pregunta si un mensaje es de la entidad. Son hábitos aplicables desde el primer día.
Son seis módulos que van del reglamento a la mesa de decisiones: los deberes de gobierno y de resiliencia del Órgano de Dirección, el SGSI y su declaración de aplicabilidad, el plan anual de cultura con sus indicadores, la clasificación de activos, el ciclo completo del incidente y la responsabilidad sobre terceros, nube y software.
Cada contenido está vinculado a los artículos del reglamento que cubre. Son 11 los artículos del CONASSIF 5-24 mapeados en la plataforma. Desde la gestión de normativas de la plataforma podrás verificar el grado de cumplimiento según el entrenamiento asignado a cada persona.
Y cada pieza deja trazabilidad: quién completó qué, qué resultado obtuvo y cómo evolucionó. Sobre esa base se construyen los indicadores del nivel de concientización que pide el artículo 35.
Llevamos más de 10 años acompañando a organizaciones de banca, salud, sector público e infraestructura crítica a reducir el riesgo humano y a dejar evidencia auditable de que lo hacen. La diferencia frente a una campaña genérica es la trazabilidad: quién completó cada módulo, qué resultado obtuvo, cómo respondió ante una simulación de phishing o ransomware y cómo mejoró con el tiempo. Esa es la evidencia que la Superintendencia va a pedir. Puedes ver el resto de los marcos que cubrimos en el centro de cumplimiento.
Déjanos tus datos y te mostraremos cómo cubrir cada obligación del reglamento con contenido mapeado a sus artículos, listo para tu entidad.