Proyecto de ley 149 de 2012 cámara
PROYECTO DE LEY 149 DE 2012 CÁMARA. por medio de la cual se establece seguridad en banca electrónica y otras disposiciones.
El Congreso de Colombia
DECRETA:
Seguridad en banca electrónica
Objeto. La presente ley tiene como objeto el uso de las tecnologías de la información y de las comunicaciones en materia de comercio electrónico, a través del fortalecimiento de los mecanismos de autenticación en las operaciones desarrolladas por entidades financieras por medios electrónicos, mitigando los riesgos propios de las operaciones financieras electrónicas, propiciando el control de fraudes en la utilización de los canales de esta naturaleza.
°. Ámbito de aplicación. La presente ley aplica para aquellas entidades vigiladas por la Superintendencia Financiera de Colombia que implementen canales o medios electrónicos para uso de sus clientes, proveedores y usuarios.
Para el desarrollo de la presente ley se adoptan las siguientes definiciones:
Autenticidad: Atributo de seguridad, que garantiza la identificación del autor de un mensaje de datos, mitigando el riesgo de suplantación de identidad en el tratamiento de la información electrónica.
Banca electrónica: Desarrollo de productos financieros a través de canales o medios electrónicos, entre los que se encuentra la banca a través de portales de internet, cajeros electrónicos, servicios de acceso remoto a sistemas de información, banca móvil, banca telefónica entre otros. O en general a través de cualquier canal o medio electrónico.
Banca a través de portales de internet: Prestación de servicios financieros u ofrecimientos de productos por parte de entidades vigiladas por la Superintendencia Financiera de Colombia, utilizando páginas o servicios web como canal transaccional con el cliente o usuario.
Banca Móvil: Prestación de servicios financieros en los cuales el teléfono móvil es el dispositivo a través del cual se realiza la operación.
Confidencialidad: Atributo de seguridad que permite garantizar que el acceso a la información electrónica es exclusivo entre el emisor y el destinatario de la misma.
Integridad: Atributo de seguridad que permite garantizar que una información electrónica no ha sido alterada en su generación, envío o recepción.
Disponibilidad: Atributo de seguridad que permite garantizar que la información electrónica es susceptible de posterior consulta durante el período de conservación asociado a la información electrónica, de conformidad con su naturaleza jurídica.
Estampa cronológica certificada: Sello digital de tiempo que permite garantizar la fecha y hora exacta en la que sucede una operación electrónica. La certeza temporal se puede obtener en tres momentos posibles de la comunicación: generación, envío o recepción de los mensajes de datos.
Mecanismos OTP (One Time Passwod): Mecanismo de autenticación consistente en una clave o contraseña de un solo uso, vinculado a una operación financiera electrónica de manera exclusiva.
Firma electrónica certificada: Mecanismo técnico tanto confiable como apropiado que identifica a una persona ante un sistema de información y que se encuentra certificado por una entidad de certificación digital, de conformidad con el artículo 30 de la Ley 527 de 1999.
Firma digital: Procedimiento matemático que identifica de manera idónea al autor de un mensaje de datos y que permite verificar si el mensaje ha sido alterado en el proceso de comunicación electrónica.
Integridad: Atributo de seguridad, que implica la verificación sobre la inalterabilidad de un mensaje de datos o información electrónica, ya sea en su generación, en su proceso de comunicación electrónica o en su conservación.
Cliente:Es la persona natural o jurídica con quien las entidades vigiladas establecen relaciones de origen legal o contractual, para el suministro de productos o servicios, en desarrollo de su objeto social.
Usuario: Es la persona natural o jurídica quien, sin ser cliente, utiliza los servicios de una entidad vigilada.
Canal o medio electrónico: Canal de intercambio electrónico a través del cual las entidades ofrecen, distribuyen y ejecutan actividades tendientes a desarrollar productos y servicios.
°. Seguridad en la prestación de servicios financieros por medios electrónicos. En la prestación de servicios financieros a través de medios o canales electrónicos o que utilicen cualquier tipo de tecnología de la información y la comunicación, se deberán garantizar atributos de seguridad como autenticidad, integridad, confidencialidad y disponibilidad de las operaciones electrónicas, con la finalidad de mitigar, controlar o suprimir los riesgos de suplantación de identidad, alteración de mensajes de datos, acceso indebido a la información e indebida conservación de la información electrónica.
Las entidades vigiladas por la Superintendencia Financiera de Colombia, deberán proveer a sus clientes y usuarios los mecanismos que permitan garantizar los atributos de seguridad descritos en el primer inciso.
Todo lo anterior dentro de la debida diligencia mejorada en el desarrollo de las actividades financieras.
°. Requerimientos mínimos de seguridad en la prestación de servicios financieros por canales o medios electrónicos. Las entidades vigiladas por la Superintendencia Financiera de Colombia, que realicen operaciones a través de canales o medios electrónicos deberán cumplir con los siguientes requerimientos mínimos para el desarrollo de las operaciones a través de canales o medios electrónicos:
-
Las operaciones realizadas a través de canales o medios electrónicos deben identificar siempre al autor de la operación. En este orden de ideas, en canales o medios electrónicos debe vincularse de manera idónea la identidad del cliente, a través de mecanismos fuertes de autenticación, de conformidad con la presente ley;
-
Implementar los algoritmos y protocolos necesarios para brindar una comunicación segura, en el entendido de que será segura aquella comunicación que cumpla con los atributos de confidencialidad, integridad y disponibilidad;
-
Realizar como mínimo dos veces al año una prueba de vulnerabilidad y penetración de los canales o medios electrónicos usados en la realización de operaciones. Sin embargo cuando se realicen cambios en la plataforma que afecten la seguridad del canal deberán hacerse pruebas adicionales de vulnerabilidad y penetración, de conformidad con la reglamentación técnica que para los efectos expida en este caso la Superintendencia Financiera;
-
Posibilitar el uso de mecanismos de autenticación fuertes donde intervengan terceros de confianza, para que la entidad no sea juez y parte en el proceso de autenticación de sus clientes, previo el cumplimiento de los procedimientos de vinculación del cliente propios de cada entidad;
-
Implementar mecanismos de autenticación que permitan confirmar que el canal o medio electrónico dispuesto por la entidad, es un mecanismo autorizado dentro de la red de la entidad;
-
Permitir al cliente confirmar la información suministrada en la realización de la operación;
-
Informar al cliente, al inicio de cada sesión, la fecha y hora del último ingreso al respectivo canal o medio electrónico. La certificación de fecha y hora deberá cumplir con los requisitos establecidos para las estampas cronológicas, de conformidad con la Ley 527 de 1999;
-
Implementar mecanismos que permitan a la entidad financiera verificar constantemente que no sean modificados los enlaces (links) de su sitio web, ni suplantados sus certificados digitales, ni modificada indebidamente la resolución de sus nombres de dominio (DNS).
°. Responsabilidad de las entidades financieras en la prestación de servicios a través de canales o medios electrónicos. Las entidades vigiladas por la Superintendencia Financiera de Colombia, responderán por los perjuicios ocasionados al consumidor financiero que utilice canales o medios electrónicos para el desarrollo de operaciones, cuando:
-
No suministre mecanismos de autenticación fuertes, y estos se vean suplantados en su identidad;
-
No adopte las máximas y mejores medidas de seguridad en la totalidad del servicio que ofrece y presta a través de canales o medios electrónicos. Una medida de seguridad será mejor en la medida que garantice de manera idónea la autenticidad, integridad, confidencialidad y disponibilidad de la operación financiera electrónica;
-
No asegure adecuadamente los canales o medios electrónicos puestos a disposición;
-
Por su negligencia se pierdan datos o información personal.
La actividad ejercida por las entidades financieras en el desarrollo de servicios por canales o medios electrónicos, requieren unos márgenes más altos de exigibilidad en la diligencia, seguridad, eficiencia, cuidado y razonabilidad en el manejo.
La responsabilidad de la entidad estará siempre precedida de un análisis de su conducta, determinándose a partir de un análisis subjetivo, dentro del criterio de máxima diligencia.
Para continuar leyendo
Solicita tu prueba