Conselho de Mandatos da FSS responsabiliza riscos de terceirização de TI financeira

A Superintendência de Supervisão Financeira da Coreia do Sul anunciou no dia 29 novas diretrizes que exigem que conselhos de administração e a gestão de empresas financeiras assumam a responsabilidade final pelos riscos de terceirização de serviços de TI, incluindo incidentes de hacking em fornecedores terceiros. A SFS desenvolveu a estrutura em colaboração com associações do setor em diversos segmentos financeiros para lidar com a crescente exposição a riscos de TI de terceiros à medida que a digitalização leva mais empresas a terceirizar operações de processamento de informações. As diretrizes buscam reforçar a proteção ao consumidor diante do aumento das dependências externas de TI, com implementação prevista para novembro ou depois após a adoção dos códigos específicos de cada setor.

SFS estabelece responsabilização do conselho para riscos de TI de terceiros

A SFS designou explicitamente os conselhos de administração como responsáveis finais pelo gerenciamento de riscos de TI de terceiros. As diretrizes determinam que políticas de gerenciamento de riscos e questões supervisórias relevantes exigem deliberação e decisão do conselho. A gestão é designada como a entidade responsável por estabelecer, implementar e manter o sistema de gerenciamento de riscos de TI de terceiros, com a exigência de operar um departamento de gestão centralizado. Esse departamento deve formular e executar medidas efetivas de segurança, supervisionar o status da terceirização do processamento de informações entre as unidades de negócio e avaliar o status dos riscos de TI de terceiros e a adequação dos contratos.

Empresas financeiras obrigadas a operar um sistema de controle em três camadas

As instituições financeiras devem estabelecer e operar um sistema de controle em três camadas, composto por um departamento de gestão centralizado, um departamento de gerenciamento de riscos e um departamento de auditoria interna, para gerenciar sistematicamente os riscos de TI de terceiros. As empresas devem identificar a solidez financeira dos terceiros e as principais informações operacionais, incluindo os serviços prestados, os tipos e volumes de informações processadas, os métodos de criptografia e comunicação, sistemas de resposta a incidentes e instalações de computação. São necessárias inspeções regulares (pelo menos uma vez a cada semestre) para manter as informações atualizadas. As empresas financeiras devem também designar separadamente “terceiros principais”, que impactam significativamente as operações ou os consumidores, aplicando a esses entes um gerenciamento de riscos aprimorado.

Fonte: Financial Supervisory Service

As diretrizes trazem itens específicos de avaliação e checklists para avaliar de forma eficaz os riscos de TI de cada terceiro. Para riscos identificados, as empresas devem adotar medidas suplementares e, quando for impossível fazer controle, mitigação ou transferência, os contratos devem ser encerrados ou o conselho deve decidir pela continuidade.

Procedimentos padronizados de gerenciamento de riscos ao longo do ciclo de vida do contrato

A SFS sistematizou procedimentos de gerenciamento de riscos ao longo das etapas do contrato para permitir a identificação proativa e a resposta aos riscos de TI de terceiros. As exigências antes do contrato incluem verificar as capacidades do serviço e os sistemas de gerenciamento de proteção de informações por meio de inspeções presenciais, e refletir nos contratos assuntos essenciais, incluindo a distribuição de papéis entre o prestador terceirizado e as partes contratadas, além das relações de responsabilidade em caso de incidentes. Durante o período do contrato, as empresas devem inspecionar regularmente o status de implementação (pelo menos uma vez por ano) e preparar planos de contingência para interrupções de sistema, sistemas de backup para continuidade dos negócios e estratégias de saída para o encerramento do contrato.

Fonte: Financial Supervisory Service

Os procedimentos após o encerramento do contrato incluem devolver ativos de informação, revogar privilégios de acesso e garantir a destruição completa dos dados.

Associações do setor implementarão as diretrizes a partir de novembro

As associações do setor em diversos segmentos financeiros estabelecerão códigos de boas práticas com base nessas diretrizes para implementação a partir de novembro ou depois. As diretrizes apresentam padrões mínimos e princípios para gerenciamento de riscos de TI de terceiros, permitindo que as empresas financeiras os apliquem de modo flexível ao reforçar ou relaxar certos elementos de acordo com a importância e o nível de risco das operações terceirizadas de processamento de informações. Um responsável da SFS afirmou que a agência irá inspecionar e avaliar o status de implementação das diretrizes junto às associações do setor, melhorando continuamente e complementando deficiências para o avanço contínuo.

FAQ

O que a Financial Supervisory Service anunciou no dia 29 sobre terceirização de TI?

A SFS anunciou novas diretrizes que exigem que conselhos de administração e a gestão das empresas financeiras assumam a responsabilidade final pelos riscos de TI de terceiros, incluindo incidentes de hacking em fornecedores externos. A estrutura foi desenvolvida com associações do setor para lidar com os riscos decorrentes do aumento da terceirização de TI à medida que a digitalização financeira acelera.

Quando as empresas financeiras implementarão as novas diretrizes de riscos de TI de terceiros?

As associações do setor estabelecerão códigos de boas práticas com base nas diretrizes da SFS para implementação a partir de novembro ou depois. As empresas devem operar sistemas de controle em três camadas e realizar inspeções regulares ao menos semestralmente para monitoramento geral e ao menos anualmente para o status de implementação dos contratos.