Diagnóstico de Controles de Acceso Lógico a Archivos con Información PII y PCI Aplicaciones Core de las Áreas de Operaciones de una Entidad Financiera

Abstract

El presente proyecto tiene como objetivo diagnosticar los controles de acceso lógico a archivos que contienen información sensible (PII y PCI) en las aplicaciones Core de las áreas operativas de una entidad financiera. Esta información es crítica para la operación del banco y su protección es esencial para garantizar la confidencialidad, integridad y disponibilidad de los datos. El diagnóstico se realizó con base en estándares internacionales como ISO/IEC27001:2022, ISO/IEC 27005:2022, PCI DSS v4.0.1 y la Circular Externa 029 de 2014 de la Superintendencia Financiera de Colombia. Se identificaron brechas en la gestión de accesos, incluyendo accesos excesivos, falta de trazabilidad, ausencia de segregación de funciones y controles manuales sin respaldo tecnológico. Como resultado, se propusieron controles compensatorios para mitigar los riesgos mientras se implementan soluciones definitivas. Estos incluyen revisiones periódicas de accesos, registro formal de solicitudes, definición clara de roles, monitoreo manual de logs y talleres de concientización. Se diseñó un plan de implementación con fases, responsables y cronograma, acompañado de un presupuesto estimado, que cubre capacitación, consultoría, herramientas tecnológicas y auditoría interna. La ejecución de este plan permitirá fortalecer la postura de seguridad del banco, reducir el riesgo de exposición de datos sensibles y asegurar el cumplimiento normativo, protegiendo la confianza de los clientes y la reputación institucional.

This project aims to assess the effectiveness of logical access controls applied to files containing sensitive information specifically Personally Identifiable Information (PII) and Payment Card Industry (PCI) data within core applications used by the Operations areas of financial institution. These controls are critical to ensuring that only authorized users can access, modify, or interact with sensitive data, thereby reducing the risk of unauthorized access and data breaches. The diagnostic was conducted based on internationally recognized standards and regulatory frameworks, including ISO/IEC 27001:2022, ISO/IEC 27005:2022, PCI DSS v4.0.1, and Colombia’s External Circular 029 of 2014. The assessment revealed several gaps in access management, such as excessive privileges, lack of traceability, insufficient segregation of duties, and manual controls lacking technological support. To mitigate these risks, compensatory controls were proposed, including periodic access reviews, formal access request tracking, clearly defined roles and responsibilities, manual log monitoring, and staff awareness training. A structured implementation plan was developed, detailing phases, responsibilities, and a budget estimate. The project contributes to strengthening the bank’s information security posture, ensuring regulatory compliance, and protecting customer trust by minimizing the exposure of sensitive data through unauthorized channels.