Chile refuerza ciberseguridad en pagos

El Ministerio de Hacienda de Chile incorporó exigencias de ciberseguridad para el proveedor que opere el Sistema de Transacción para Formadores de Mercado, o STFM, dentro del programa para la deuda soberana en moneda local. El documento pide certificaciones de seguridad de la información, planes de continuidad operacional y recuperación ante desastres, protocolos de gestión de incidentes con reporte al Agente Fiscal y a los Formadores afectados, y garantías de segregación y protección de datos de cotización y transacción.

¿Qué exige el programa de Formadores de Mercado?

El documento del programa obliga al proveedor del STFM a demostrar controles concretos sobre seguridad, continuidad y manejo de incidentes. Entre los resguardos pedidos figuran certificaciones como ISO/IEC 27001 o equivalentes, además de mecanismos para separar y proteger los datos que se generen en cotización y transacción.

La exigencia no se limita a la infraestructura técnica. También incluye procedimientos de respuesta a incidentes que contemplan la notificación al Agente Fiscal y a los Formadores de Mercado afectados, lo que deja el tratamiento de esos eventos sujeto a una cadena formal de reporte.

¿Qué rol tiene la CMF en ese esquema?

El sistema de negociación operado para el STFM queda bajo supervisión de la Comisión para el Mercado Financiero, según el documento del Ministerio de Hacienda. Esa referencia implica que los resguardos de ciberseguridad exigidos al proveedor se inscriben dentro de una supervisión regulatoria financiera.

En la práctica, el STFM no aparece como una plataforma aislada, sino como parte de una arquitectura con control regulatorio sobre su operación. El texto conecta la operación técnica con la fiscalización de la CMF, algo relevante para cualquier proveedor que deba sostener disponibilidad, integridad y resguardo de información en un mercado de deuda soberana.

¿Cómo se amplía el perímetro del Sistema de Finanzas Abiertas?

Las guías técnicas sobre el Sistema de Finanzas Abiertas indican que la NCG 514 de la CMF clasifica a los participantes en grupos y que el Grupo 2 abarca actores más allá de la banca tradicional. Ese grupo incluye operadores de tarjetas de pago, cooperativas de ahorro y crédito, aseguradoras, agentes de crédito hipotecario, colocadores masivos de crédito, administradoras de fondos, corredores de bolsa y prestadores de servicios financieros registrados.

Según Ozone API, esa clasificación amplía el alcance del esquema de seguridad FAPI, OAuth y OpenID a un conjunto más amplio de entidades financieras y relacionadas con pagos y crédito. El punto es relevante porque extiende las exigencias técnicas del sistema a participantes con perfiles y riesgos operativos distintos.

¿Qué muestra en conjunto este marco regulatorio?

La combinación de la Ley Marco de Ciberseguridad, la nueva ley de datos personales y las exigencias técnicas de la CMF dibuja un entorno más estricto para infraestructura financiera y tratamiento de información. En el caso del STFM, el foco está en continuidad operativa, incidentes y segregación de datos. En el Sistema de Finanzas Abiertas, el alcance se ensancha hacia múltiples categorías de participantes bajo reglas de autenticación y autorización más formales.