Los proveedores de servicios en la nube y las empresas tecnológicas desempeñan un papel cada vez más crítico dentro del ecosistema financiero argentino.


Aunque la normativa local no replica el estándar alemán BSI C5, las exigencias del Banco Central de la República Argentina (BCRA) en materia de gestión de riesgos tecnológicos, ciberseguridad, continuidad del negocio y control de terceros hacen que los controles sobre el personal adquieran una importancia creciente. ¿Qué medidas deberían implementar los proveedores Cloud para fortalecer su postura de seguridad?


La seguridad Cloud ya no depende únicamente de la tecnología

La transformación digital del sistema financiero ha incrementado la dependencia de servicios en la nube, plataformas SaaS, proveedores tecnológicos y terceros especializados. Como consecuencia, la superficie de ataque ya no se limita a la infraestructura informática de una entidad financiera, sino que se extiende hacia toda su cadena de suministro tecnológica.

En respuesta a este escenario, el Banco Central de la República Argentina (BCRA) ha desarrollado lineamientos y guías de supervisión orientados a la gestión de riesgos tecnológicos, la ciberseguridad, la continuidad del negocio, la gestión de terceros y la protección de la información, promoviendo un enfoque integral donde personas, procesos y tecnología forman parte del mismo sistema de control (Guías de Supervisión del BCRA; Comunicación "A" 7724; Comunicación "A" 6375; ISO/IEC 27001; ISO/IEC 27017; ISO/IEC 27018).


En este contexto, la gestión del riesgo humano comienza a ocupar un lugar tan relevante como los controles tecnológicos tradicionales.


El factor humano continúa siendo uno de los principales riesgos de ciberseguridad

Los programas modernos de ciberseguridad ya no se concentran exclusivamente en firewalls, autenticación multifactor o herramientas de detección de amenazas.

El acceso privilegiado de administradores de sistemas, ingenieros DevOps, arquitectos Cloud, analistas de infraestructura y proveedores externos representa un componente crítico dentro de cualquier estrategia de protección de la información.

Las propias guías de supervisión del BCRA ponen especial énfasis en la definición de roles y responsabilidades, la administración de privilegios, la gestión de accesos, la continuidad operativa y los controles sobre terceros, reconociendo que la resiliencia tecnológica depende tanto de los procesos como de las personas que los administran (BCRA — Guía de Supervisión para la Ciberseguridad y Ciberresiliencia; Guía de Gestión de Tecnología Informática).


¿Qué controles de Recursos Humanos fortalecen la seguridad de un proveedor Cloud?

Las mejores prácticas internacionales recomiendan incorporar controles preventivos a lo largo de todo el ciclo de vida laboral de quienes tendrán acceso a infraestructura crítica.

Esto puede incluir la verificación de identidad, la confirmación de antecedentes laborales, la validación de títulos académicos, la revisión de certificaciones técnicas, acuerdos de confidencialidad, políticas de segregación de funciones, revisiones periódicas de privilegios y procesos de re-screening para posiciones especialmente sensibles.

Lejos de representar una práctica aislada de Recursos Humanos, estos controles complementan marcos internacionales como ISO/IEC 27001, ISO/IEC 27017, Cloud Security Alliance (CSA CCM) y NIST Cybersecurity Framework, todos ellos orientados a fortalecer la gestión integral del riesgo en entornos Cloud (ISO/IEC 27001; ISO/IEC 27017; NIST CSF; CSA Cloud Controls Matrix).


La gestión de terceros también implica gestionar riesgos humanos

Uno de los aspectos más relevantes del modelo actual de servicios Cloud es la creciente dependencia de proveedores externos.

Desarrolladores, consultores, ingenieros de soporte, empresas de mantenimiento, proveedores SaaS y especialistas con acceso remoto pueden administrar información altamente sensible sin pertenecer formalmente a la organización contratante.

Precisamente por ello, las recomendaciones del BCRA enfatizan la necesidad de establecer controles sobre la relación con terceros, asegurando que existan procedimientos adecuados para administrar accesos, responsabilidades, confidencialidad y seguridad durante toda la vigencia del vínculo contractual (Comunicación "A" 7724; Guías de Supervisión del BCRA sobre Tecnología Informática y Gestión de Terceros).


Background Screening como parte del Human Risk Management

Cada vez más organizaciones integran los procesos de Background Screening dentro de programas de Human Risk Management, considerando que la confianza depositada en una persona con acceso privilegiado constituye un activo de seguridad tan importante como cualquier control tecnológico.

La verificación proporcional de credenciales, experiencia profesional y antecedentes relacionados con funciones críticas permite complementar las estrategias de gestión de riesgos sin sustituir los controles técnicos ni las obligaciones de cumplimiento regulatorio.

Naturalmente, todo proceso de verificación debe desarrollarse respetando la Ley N.º 25.326 de Protección de los Datos Personales, aplicando criterios de finalidad, proporcionalidad, minimización de datos, confidencialidad y seguridad de la información (Ley N.º 25.326; AAIP).


Conclusión

Aunque Argentina no cuenta con un estándar equivalente al BSI C5, las exigencias regulatorias del BCRA en materia de ciberseguridad, gestión de riesgos tecnológicos y supervisión de terceros reflejan una tendencia clara: la seguridad ya no depende únicamente de la infraestructura tecnológica.

Para los proveedores Cloud que prestan servicios al sector financiero, incorporar controles de Recursos Humanos, procesos de Background Screening y estrategias de Human Risk Management puede fortalecer significativamente la postura de seguridad, mejorar la confianza de los clientes y demostrar un compromiso con las mejores prácticas internacionales en materia de gobernanza, ciberseguridad y protección de la información (BCRA; ISO/IEC 27001; ISO/IEC 27017; NIST CSF; CSA Cloud Controls Matrix).


Fuentes y marco normativo consultado:

  1. Banco Central de la República Argentina (BCRA), Guías de Supervisión para la Ciberseguridad y Ciberresiliencia y Guía de Gestión de Tecnología Informática.
  2. Banco Central de la República Argentina (BCRA), Comunicación "A" 7724.
  3. Banco Central de la República Argentina (BCRA), Comunicación "A" 6375.
  4. Ley N.º 25.326 de Protección de los Datos Personales; Agencia de Acceso a la Información Pública (AAIP).
  5. ISO/IEC 27001; ISO/IEC 27017; ISO/IEC 27018 (estándares internacionales voluntarios).
  6. NIST Cybersecurity Framework.
  7. Cloud Security Alliance, Cloud Controls Matrix (CSA CCM).
  8. BSI C5 (estándar alemán de referencia internacional, no vigente ni equivalente en Argentina).