|
Botón
de pánico, alertas contra fraudes y atención 24 horas: así es la nueva norma
de ciberseguridad para cooperativas, mutualistas y otras entidades La
SEPS estableció nuevas exigencias para aplicaciones móviles, banca móvil,
cajeros automáticos, tarjetas y otros canales, con el fin de proteger a
usuarios.
La Superintendencia de Economía Popular y Solidaria (Seps) estableció plazos para la implementación de la nueva normativa. Cooperativas
de ahorro y crédito, mutualistas, cajas centrales y las organizaciones y
compañías de servicios auxiliares del sector financiero popular y solidario
están obligadas a reforzar la seguridad de sus canales electrónicos, para
prevenir fraudes digitales y mejorar los mecanismos de protección de sus
usuarios. La
obligación fue establecida por la Superintendencia de Economía Popular y
Solidaria (Seps), que emitió norma de control de seguridades en el uso de
canales electrónicos para las entidades financieras del sector financiero
popular y solidario. La
norma fue publicada en el Registro Oficial 395, del 22 de octubre de 2026. El objeto es determinar el marco normativo y las medidas mínimas de seguridad de la información, ciberseguridad y gestión de riesgos tecnológicos que deberán implementar las entidades, organizaciones y compañías de servicios auxiliares que operen u ofrezcan productos y servicios financieros mediante canales electrónicos. La
regulación establece controles sobre: aplicaciones móviles, banca
electrónica, banca móvil, aplicaciones transaccionales, canales digitales de
autoservicio, interfaces de programación de aplicaciones (APIs) asociadas a
servicios financieros, cajeros automáticos, tarjetas con chip de crédito y
débito, tarjetas virtuales y/o tokenizadas, pagos inalámbricos seguros, dispositivos
móviles, y cualquier otro canal tecnológico utilizado para la prestación de
servicios financieros digitales. La
norma contiene medidas de seguridad específicas por cada servicio. Y fija
responsabilidades para cada tipo de entidad financiera. En
el caso de transacciones y operaciones inusuales, irregulares o sospechosas,
las entidades financieras deberán notificar de forma inmediata a los usuarios
sobre alertas asociadas a las operaciones realizadas a través de los canales
electrónicos, que se desvíen de su perfil transaccional. Como
medidas de seguridad de la información que deben implementarse en los canales
electrónicos para brindar servicios financieros son varias, entre ellas:
Así
mismo, se disponen 19 medidas de seguridad tecnológicas. Una de ellas
determina contar con herramientas para prevenir la suplantación de identidad
ante amenazas basadas en phishing, spam, spear-phishing, entre
otros. Las entidades deberán contar con herramientas de prevención de pérdida
de datos. Para
transacciones electrónicas también se contemplan varias reglas para proteger
a los usuarios. Por
ejemplo, incorporar procedimientos de bloqueo cuando se presenten eventos
inusuales que adviertan situaciones fraudulentas, o después de un número
máximo de tres intentos de acceso fallido. Además,
poner a disposición de los usuarios una línea telefónica para emergencias con
atención las veinticuatro horas, siete días a la semana. Las
entidades deberán contar con procedimientos actualizados para atender
reclamos de los usuarios. Tienen
que habilitar un canal de comunicación específico para reportar fraudes o cualquier
emergencia bancaria, el cual deberá operar de manera ininterrumpida las 24
horas del día, los 365 días del año. Para
la atención de transacciones no reconocidas, el canal incorporará los
siguientes mecanismos:
Si
una operación fraudulenta ocurre debido a fallas, vulneraciones o
insuficiencias de seguridad atribuibles a la entidad financiera o a sus
proveedores, la institución está obligada a reintegrar, compensar o revetir
los montos comprometidos al usuario sin recargos adicionales. Adicionalmente,
las entidades deben contratar pólizas de seguros para cubrir las pérdidas
económicas derivadas de incidentes de seguridad cibernética en sus
plataformas. Plazos
de implementación La
implementación de esta nueva normativa contará con un período de transición
para que las instituciones adapten progresivamente sus políticas,
aplicaciones e infraestructura tecnológica. Las
cooperativas de ahorro y crédito que pertenecen a los segmentos 1, 2 y 3, así
como las cajas centrales y las asociaciones mutualistas de ahorro y crédito
para la vivienda, dispondrán de un plazo máximo de doce meses, contados a
partir de la vigencia de la resolución. En
cambio, para las cooperativas de ahorro y crédito de los segmentos 4 y 5, el
ente de control ha fijado un período más extenso, otorgándoles hasta
veinticuatro meses para completar sus adecuaciones. Durante
este tiempo de transición, todas las entidades financieras obligadas deben
elaborar y aprobar un plan de adecuación interno que identifique sus brechas
actuales frente a la norma e implemente los nuevos requerimientos de manera
progresiva. Además,
la disposición exige que las instituciones prioricen de inmediato la
instalación de controles de seguridad, sistemas de monitoreo y bloqueos
preventivos en aquellos canales y operaciones que representen el mayor riesgo
de fraude o vulnerabilidad tecnológica para los usuarios. Descargar Normativa RESOLUCIÓN-No.-SEPS-IGT-IGS-IGJ-INSESF-INR-INGINT-INSEPS-2026-0157. 2.- Ley Cyberseguridad Ecuador 3.- COIP - Delitos informáticos |
