Circular N° A7724 del Banco Central de la República de Argentina, 10-03-2023

• Número de circular: A7724
• Fecha: 10 Marzo 2023
• Materia: RUNOR

"1983/2023 - 40 AÑOS DE DEMOCRACIA"

COMUNICACIÓN “A” 7724

10/03/2023

A LAS ENTIDADES FINANCIERAS:

Ref.: Circular

RUNOR 1-1785:

Requisitos mínimos para la gestión y control de

los riesgos de tecnología y seguridad de la infor-

mación.

___________________________________________________________________________

Nos dirigimos a Uds. para comunicarles que esta Institución adopto la siguiente resolu-

ción:

“1. Derogar las normas sobre “Requisitos mínimos de gestión, implementación y control de los ries-

gos relacionados con tecnología informática, sistemas de información y recursos asociados para

las entidades financieras”.

2. Aprobar las normas sobre “Requisitos mínimos para la gestión y control de los riesgos de tecno-

logía y seguridad de la información” que constan en anexo y forman parte de la presente comu-

nicación.

3. Establecer que la presente comunicación tendrá vigencia a los 180 días corridos contados desde

su difusión.”

Saludamos a Uds. atentamente.

BANCO CENTRAL DE LA REPÚBLICA ARGENTINA

Mara I. Misto Macias

María D. Bossio

Gerenta Principal de Normas de Seguridad

de la Información en Entidades

Subgerenta General

de Regulación Financiera

ANEXO

-1-

-Índice-

Sección 1. Disposiciones generales.

1.1. Sujetos obligados.

1.2. Aspectos generales.

Sección 2. Gobierno de tecnología y seguridad de la información.

2.1. Roles, responsabilidades y funciones de gobierno.

2.2. Segregación de funciones.

2.3. Marco normativo.

Sección 3. Gestión de riesgos de tecnología y seguridad de la información.

Sección 4. Gestión de tecnología de la información.

4.1. Estrategia de tecnología de la información.

4.2. Arquitectura empresarial.

4.3. Presupuesto, inversiones y gestión de portafolio.

4.4. Gestión de datos.

4.5. Gestión de activos de información.

4.6. Inteligencia artificial o aprendizaje automático.

4.7. Control y reportes de gestión.

Sección 5. Gestión de seguridad de la información.

5.1. Marco de gestión de seguridad de la información.

5.2. Estrategia de seguridad de la información.

5.3. Normas y procedimientos.

5.4. Presupuesto, inversiones y gestión de proyectos.

5.5. Programas de capacitación y concientización.

5.6. Control y reportes de gestión.

5.7. Control de accesos físico, a sistemas y a datos.

5.8. Operaciones de seguridad.

Sección 6. Gestión de la continuidad del negocio.

6.1. Marco de gestión de la continuidad.

6.2. Ciberresiliencia en la continuidad del negocio.

6.3. Análisis de impacto y evaluación de riesgos.

6.4. Estrategias de continuidad del negocio.

6.5. Programa de capacitación y concientización.

6.6. Ejercicios y pruebas de los planes de continuidad del negocio.

6.7. Mantenimiento de los planes de la continuidad del negocio.

6.8. Control y reportes de gestión.

B.C.R.A.

TEXTO ORDENADO DE LAS NORMAS SOBRE

“REQUISITOS MÍNIMOS PARA LA GESTIÓN Y CONTROL DE LOS

RIESGOS DE TECNOLOGÍA Y SEGURIDAD DE LA INFORMACIÓN”

Anexo a la

Com. “A”

7724

-2-

Sección 7. Infraestructura tecnológica y procesamiento.

7.1. Gestión de la infraestructura tecnológica.

7.2. Gestión de cambios.

7.3. Actualización de la infraestructura tecnológica.

7.4. Gestión de las comunicaciones.

7.5. Procesamiento de datos.

7.6. Gestión de copias de respaldo de datos.

7.7. Monitoreo de la infraestructura tecnológica y procesamiento.

Sección 8. Gestión de ciberincidentes.

8.1. Preparación de la respuesta ante ciberincidentes.

8.2. Ejercicios y pruebas de la respuesta ante ciberincidentes.

8.3. Control y reportes de gestión.

Sección 9. Desarrollo, adquisición y mantenimiento de “software”.

9.1. Requisitos para los sistemas y aplicaciones.

9.2. Gestión del ciclo de vida de “software”.

Sección 10. Gestión de la relación con terceras partes

10.1. Marco de gestión de la relación con terceras partes.

10.2. Formalización de la relación.

10.3. Control y monitoreo

10.4. Informes de auditoría interna y externa.

Sección 11. Canales Electrónicos.

11.1. Alcance.

11.2. Procesos de referencia.

11.3. Requisitos generales.

11.4. Escenarios de Canales Electrónicos.

11.5. Matriz de escenarios.

11.6. Glosario.

11.7. Tablas de requisitos técnico-operativos.

Sección 12. Glosario de términos.