Banco de la Reserva de la India – Directrices de externalización de servicios de tecnología de la información 2023
Las entidades reguladas indias han estado aprovechando ampliamente la tecnología de la información y los servicios habilitados por TI (ITeS) para respaldar sus modelos de negocio, así como los productos y servicios que ofrecen a sus clientes. Las entidades reguladas también externalizan una parte considerable de sus actividades de TI a terceros, lo que las expone a diversos riesgos.
Para garantizar una gestión eficaz de los riesgos asociados, el Banco de la Reserva de la India (RBI) finalizó las Directrices sobre la Externalización de Servicios de Tecnología de la Información de 2023 el 10 de abril de 2023, que entraron en vigor el 1 de octubre de 2023.
Como una de las entidades líderes en seguridad de los datos, Thales permite que las entidades reguladas cumplan el control relativo al uso de servicios de computación en la nube establecido en las Directrices.
Descripción general del reglamento
Las Directrices sobre la Externalización de Servicios de Tecnología de la Información del RBI han establecido 9 áreas de control, con anexos relativos al uso de servicios de computación en la nube, la externalización del Centro de Operaciones de Seguridad y los servicios que no se consideran externalización de servicios de TI.
¿Qué organizaciones están sujetas a las Directrices?
- Bancos comerciales programados, incluidos los bancos extranjeros ubicados en la India, los bancos locales, los bancos de financiación para pequeñas empresas y los bancos de pagos, con excepción de los bancos rurales regionales.
- Bancos cooperativos primarios (urbanos), excluidos los bancos cooperativos urbanos de nivel 1 y 2.
- Empresas de información crediticia (CIC).
- Sociedades financieras no bancarias («NBFC»).
- Todas las instituciones financieras de la India (EXIM Bank, NABARD, NaBFID, NHB y SIDBI).
¿Cuándo entraron en vigor las Directrices?
El RBI ha concedido a las entidades reguladas un plazo de hasta 12 meses desde la fecha de publicación de las Directrices para revisar sus acuerdos de externalización y cumplir los requisitos establecidos en ellas si dichas renovaciones vencen antes del 1 de octubre de 2023, y un plazo de 36 meses desde la fecha de publicación de las Directrices si sus contratos deben renovarse después del 1 de octubre de 2023.
Definiciones
- Externalización material de servicios de TI
El término «externalización material de servicios de TI» se refiere a cualquier servicio que, «si se interrumpe o se ve comprometido, tenga el potencial de afectar de manera significativa a las operaciones comerciales de la entidad regulada»; o que «pueda tener un impacto material en los clientes de la entidad regulada en caso de acceso no autorizado, pérdida o robo de información de los clientes». - Externalización de servicios de TI incluye la externalización de las siguientes actividades:
- Gestión, mantenimiento y soporte de infraestructuras informáticas (hardware, software o firmware).
- Soluciones de red y seguridad, mantenimiento (hardware, software o firmware).
- Desarrollo, mantenimiento y pruebas de aplicaciones; proveedores de servicios de aplicaciones (ASP), incluidos los ASP de conmutadores ATM.
- Servicios y operaciones relacionados con los centros de datos.
- Servicios de computación en la nube.
- Gestión de la infraestructura de TI y de los servicios tecnológicos asociados al ecosistema de los sistemas de pago.
Los servicios restantes que no se consideren externalización de servicios de TI o que estén incluidos en el Apéndice III se considerarán externalización de servicios financieros y no estarán cubiertos por estas Directrices de Externalización de TI.
Cumplimiento del ICS
Thales ayuda a las entidades reguladas a cumplir las Directrices sobre la Externalización de Servicios de TI de 2023 abordando dos de los controles y el requisito relativo al uso de servicios de computación en la nube.
Las Directrices | Soluciones de Thales |
|---|---|
Capítulo VI: Gestión de riesgos | 17 Marco de gestión de riesgos | |
(e) «…las entidades reguladas deberán procurar garantizar la preservación y protección de la seguridad y la confidencialidad de la información de los clientes que esté bajo la custodia o en posesión del proveedor de servicios…» (f) «…la entidad regulada sigue siendo responsable de comprender y supervisar el entorno de control de todos los proveedores de servicios que tengan acceso a los datos, sistemas, registros o recursos de la entidad regulada…» | CipherTrust Data Security Platform es un conjunto integrado de productos y soluciones de seguridad centrados en los datos que unifican el descubrimiento, la protección y el control de los datos en una sola plataforma. La plataforma CipherTrust ofrece múltiples capacidades para proteger los datos en reposo en archivos, volúmenes y bases de datos. Entre ellas se incluyen:
Data Security Fabric proporciona una visión unificada de los datos en diferentes plataformas, lo que permite realizar auditorías en sistemas relacionales, NoSQL, mainframes, big data y «data warehouses». |
(i) «...revisar y supervisar los procesos de control y las prácticas de seguridad del proveedor de servicios para notificar brechas de seguridad...» | CipherTrust Transparent Encryption Ransomware Protection (CTE-RWP) detecta actividad anómala de E/S, alerta o bloquea la actividad maliciosa y evita que el ransomware tome el control de los puntos finales y los servidores. Imperva Data Security Fabric Threat Detection supervisa el acceso y la actividad sobre los datos, proporcionando la visibilidad necesaria para identificar accesos a datos de riesgo por parte de todos los usuarios, incluidos los usuarios con privilegios. Emite alertas en tiempo real, bloquea las infracciones de las políticas y retiene los datos de manera rentable para poder realizar auditorías. |
Capítulo X: Estrategia de salida | |
b) «…eliminación/destrucción segura de los datos, el hardware y todos los registros (digitales y físicos), según proceda…» | CipherTrust Enterprise Key Management agiliza y refuerza la gestión de claves en entornos empresariales y en la nube, permitiendo a las entidades reguladas eliminar eficazmente la información cifrada gestionada por los proveedores de servicios en la nube. |
Apéndice I | Uso de los servicios de computación en la nube | |
3. «…la seguridad en la nube es una responsabilidad compartida entre la entidad regulada y el proveedor de servicios en la nube (CSP). Las entidades reguladas pueden remitirse a algunas de las prácticas recomendadas de seguridad en la nube para implementar los controles necesarios…» | Las entidades reguladas pueden tomar el control de su seguridad en la nube y mejorar la visibilidad con CipherTrust Cloud Key Management (CCKM) de Thales. CCKM ofrece una vista unificada para los usuarios nativos de la nube, garantizando la protección del tiempo y de los datos. Admite casos de uso BYOK («traiga su propia clave») en múltiples infraestructuras en la nube y aplicaciones SaaS. La tecnología HYOK («aloje su propia clave») refuerza el control de las entidades reguladas sobre las claves de cifrado, permitiendo una clara separación de funciones y una delimitación explícita de las responsabilidades en las actividades de servicios en la nube con el proveedor de servicios en la nube. |
6. Gestión de servicios en la nube y consideraciones de seguridad a. Arquitectura de servicios y tecnología
| Thales ofrece soluciones integradas de cifrado y gestión de claves para proteger las aplicaciones basadas en la nube de las entidades reguladas mediante las metodologías «BYOE», que permiten aportar y gestionar su propio cifrado, y «BYOK», que permiten aportar y gestionar sus propias claves de cifrado.
|
| Los módulos de seguridad de hardware (HSM) Luna de Thales proporcionan a las organizaciones hardware dedicado para el control de claves criptográficas, ofreciendo un entorno a prueba de manipulaciones para el procesamiento criptográfico seguro, la generación de claves y el cifrado. |
| CipherTrust Transparent Encryption Container Security ofrece capacidades dentro de contenedores para el cifrado, los controles de acceso y el registro de accesos a los datos, de modo que las organizaciones puedan establecer salvaguardas sólidas en torno a los datos en entornos de contenedores dinámicos. |
| CipherTrust Enterprise Key Management es un dispositivo de alta disponibilidad que centraliza la gestión de claves de cifrado para la cartera de soluciones de seguridad de datos de Thales y para soluciones de cifrado de terceros. Gestiona las tareas del ciclo de vida de las claves, los certificados y los secretos, y ofrece dominios multiusuario para aumentar la seguridad. |
b. Gestión de identidades y accesos (IAM) | Las soluciones de gestión de identidades y accesos OneWelcome de Thales limitan el acceso de los usuarios internos y externos basándose en sus funciones y el contexto.
|
Recursos relacionados
Documento de cumplimiento
Cumplimiento de la seguridad de los datos con el Banco de la Reserva de la India
Otras normativas clave en materia de protección de datos y seguridad
PCI HSM
MANDATO | EN VIGOR
La especificación PCI HSM define un conjunto de estándares de cumplimiento de seguridad lógica y física para los HSM, específicamente orientados al sector de los pagos. La certificación de cumplimiento PCI HSM depende del cumplimiento de dichos estándares.
DORA
REGLAMENTO | EN VIGOR
DORA tiene como objetivo reforzar la seguridad informática de las entidades financieras para garantizar que el sector financiero en Europa sea resiliente frente al creciente volumen y gravedad de los ciberataques.
Leyes de notificación de brechas de datos
REGLAMENTO | EN VIGOR
Los requisitos de notificación de brechas de datos tras la pérdida de información personal han sido promulgados por países de todo el mundo. Varían según la jurisdicción, pero casi universalmente incluyen una cláusula de «puerto seguro».
GLBA
REGLAMENTO | EN VIGOR
La Ley Gramm-Leach-Bliley (GLBA), también conocida como la Ley de Modernización de los Servicios Financieros de 1999, exige que las instituciones financieras expliquen a sus clientes sus prácticas de intercambio de información y protejan los datos sensibles.