Regulación e informe a supervisores

En Colombia, la Superintendencia Financiera (SFC) supervisa a las entidades vigiladas. Su Circular Externa 007 de 2018 añadió a la Circular Básica Jurídica un capítulo con requerimientos mínimos para gestionar el riesgo de ciberseguridad. En su numeral 3.7, la estrategia de comunicación de la entidad incluye tres ejes: reportar a la SFC los incidentes de ciberseguridad que afecten de manera significativa la confidencialidad, integridad o disponibilidad de su información, con una breve descripción, su impacto y las medidas (3.7.1); reportar a las autoridades del modelo nacional de gestión de incidentes (3.7.2); e informar a los consumidores financieros los incidentes que afectaron la confidencialidad o integridad de su información, con las medidas para remediarlo (3.7.3).

Si además hay datos personales de por medio, la ley de protección de datos abre otra línea ante su autoridad, que la entidad atiende por separado. Qué es «significativo» lo decide la entidad con su criterio; el plazo y el formato se toman del texto vigente y del procedimiento interno, y aquí se usa un plazo de la casa, inventado para el módulo. Este resumen se comprobó el 8 de octubre de 2026 contra una compilación oficial del texto; antes de usarlo en un caso real, se revisa la versión vigente.

Abre la consola y ejecuta SELECT * FROM criterio_significancia y SELECT * FROM incidentes_semana. Pasa cada incidente por los tres criterios. No todo fraude es un incidente significativo de ciberseguridad, y no toda caída de un servicio crítico pasa el umbral de minutos. Un dato «en verificación» todavía no es una exposición confirmada.

Ejecuta SELECT * FROM cronologia_inc_0214 y SELECT * FROM procedimiento_reporte. Un incidente tiene varios momentos: cuando se recibe el aviso, cuando se confirma y cuando el comité lo califica. El procedimiento dice cuál de ellos pone en marcha el plazo. Contar desde el momento equivocado hace que el informe salga tarde o que alguien crea que salió tarde.

Ejecuta SELECT * FROM borrador_informe. Un informe al supervisor es un documento que se cita después. Cada línea tiene que poder sostenerse con su fuente: lo verificado va como hecho, lo que es posible va con su nivel de confianza, y lo que alguien dijo sin pruebas va como lo que es.

El reporte lo firma la entidad y lo arma cumplimiento con legal. Inteligencia aporta lo que solo ella tiene: si el incidente encaja en una campaña conocida, qué indicadores sirven a otros y con qué confianza se dice cada cosa. Lo que no le toca es inventar una causa ni sumar datos de personas que el supervisor no necesita.