Acuerdo CONASSIF 5-24 en Costa Rica: gestión de tecnología y pruebas

El Art. 1 dice para qué existe el reglamento: gobierno y gestión de la tecnología de información, y los riesgos que vienen con ella, en las entidades supervisadas del sistema financiero. El Art. 2 reparte eso entre SUGEF, SUGEVAL, SUGESE y SUPEN.

En SUGEF están los bancos del Estado, los creados por ley especial, los privados, las financieras no bancarias, las cooperativas de ahorro y crédito, las mutuales y la Caja de Ahorro y Préstamos de la ANDE. SUGEVAL mete puestos de bolsa, administradoras de fondos, bolsas, custodios y otras figuras del mercado de valores. SUGESE, a las aseguradoras, las reaseguradoras y las corredoras. SUPEN, a las operadoras de pensiones y a los regímenes sustitutos. Quedan fuera, entre otros, los fondos en liquidación y los regímenes que administra la Dirección Nacional de Pensiones.

Hay que tener un sistema de gestión de la seguridad de la información, armado y vigilado. Los controles salen del riesgo y se anotan en una declaración de aplicabilidad. El artículo deja usar estándares internacionales. No escribe ISO 27001.

La norma puede servir para ordenar el trabajo. El reglamento no la pide. Si alguien certifica ese sistema, es un organismo de certificación. Ni Toukan ni SUGEF.

Cada año tiene que haber un programa de análisis de vulnerabilidades y de pruebas sobre los controles de seguridad de la información y de seguridad cibernética. El tipo de prueba y el alcance van con el riesgo. Las puede correr personal interno, personal de afuera, o los dos.

En la versión 3 del PDF de SUGEF, la del 15 de julio de 2025, el Art. 3 deja los artículos 33, 34 y 35 como prácticas que dos grupos adoptan si les hace falta, según su riesgo: las cooperativas sujetas al Acuerdo SUGEF 25-23 y las corredoras de seguros de SUGESE. Al resto de las entidades del Art. 2, el programa anual del Art. 33 les sigue escrito como tal.

La transitoria séptima da hasta tres años, contados desde esa publicación en La Gaceta, para terminar los planes de implementación cuando hay brechas frente a la modificación. No es un permiso para dejarlo todo al final. La misma transitoria dice que el plan tiene que respetar los plazos más cortos de otros artículos, entre ellos el de avisar incidentes.

Un pentest no reemplaza el sistema de gestión. Puede ser una de las pruebas del Art. 33, si el alcance se escribió con eso en mente, y el informe queda para cuando la Superintendencia pida los planes. Si el PDF lo hizo otra firma y lo que falta es corregir, eso es otro encargo. Quien le audita no debería venderle la corrección.