Asobancaria tiene cerca de 90 años de historia y su función es representar al sector financiero de dicho país. ¿Cuáles son sus líneas de acción y en qué proyectos de ciberseguridad está trabajando?
La seguridad digital constituye una de las principales prioridades del gremio, abordada de manera integral desde diversos frentes. Entre ellos destacan la participación en la construcción de políticas públicas en materia de ciberseguridad, la prevención del fraude y la protección de la seguridad tanto digital como física de clientes y usuarios financieros.
En particular, desde 2019, las directivas del gremio redoblaron esfuerzos mediante la creación del primer equipo de respuesta a incidentes cibernéticos sectorial del país con el propósito de contar con un equipo y con un centro especializado en monitoreo, generación de alertas y gestión del intercambio de información sobre ciberamenazas para las entidades bancarias colombianas.
Actualmente, participan de esta iniciativa 30 entidades bancarias conectadas y proveedores críticos del sector, dispone de la base de datos de malware más completa del país y cuenta con un equipo de expertos que monitorea fuentes internacionales para anticipar y alertar sobre posibles incidentes cibernéticos que puedan afectar al sector financiero colombiano.
¿Qué nivel de madurez percibe en la protección de las entidades financieras frente a ciberataques? ¿Y de la cultura de ciberseguridad de los usuarios?
En el caso colombiano, el sector financiero se encuentra entre los más robustos de la región: cuenta con marcos regulatorios sólidos, equipos especializados, altos estándares de gestión de riesgos y una creciente coordinación gremial en torno a la ciberseguridad. La existencia de iniciativas sectoriales —como el CSIRT Financiero— ha permitido fortalecer la capacidad de detección temprana, respuesta y colaboración frente a amenazas sofisticadas.
En cuanto a la cultura de ciberseguridad de los usuarios, el progreso ha sido más lento. Este tema resulta de mayor importancia teniendo en cuenta que, según el último informe de amenazas cibernéticas del CSIRT Financiero, el phishing sigue siendo el principal vector de fraude en los ciberataques en nuestro país.
Aunque la conciencia sobre los riesgos digitales ha aumentado, todavía persiste una brecha entre el conocimiento y la práctica: los usuarios aún no son conscientes del valor de sus datos tal como lo hacen en el mundo físico. Este trabajo no tiene punto de llegada; es un trabajo constante que debe acompañar el acelerado proceso de servicios financieros digitales, y en el cual debe haber colaboración entre el sector público y privado.
En un ecosistema financiero cada vez más digital y abierto, ¿cuáles son los ciberriesgos más significativos que enfrentan los bancos y fintech?
El nuevo punto de partida tiene como origen el sistema financiero cada vez más digital, interconectado y dependiente de terceros. Los riesgos más significativos para bancos y nuevos jugadores como las fintech giran en torno a la ampliación de la superficie de ataque y a la complejidad del entorno tecnológico.
Desde nuestro CSIRT Financiero buscamos contar con un panorama global, regional y local de los ciberataques para informar de primera mano a las entidades bancarias que hacen parte. Desde allí hemos visto tendencias de ataques más sofisticados y persistentes; entre ellos el ransomware, campañas de phishing avanzado y ataques a la cadena de suministro, que buscan comprometer infraestructuras críticas o datos sensibles. También hemos visualizado nuevas capacidades de uso malicioso de la inteligencia artificial y la automatización, que permiten escalar ataques con mayor precisión y velocidad. Los ataques al usuario financiero siguen siendo las mismas tipologías evolucionadas, para parecer más creíbles y engañar.
Además, se encuentran los riesgos derivados de la interconexión con terceros y proveedores tecnológicos, especialmente en entornos de open finance, donde una brecha en un eslabón puede impactar a todo el ecosistema en materia de confianza y reputación.
«Es necesario generar inversiones desde el Gobierno en mecanismos de intercambio de información verdaderamente robustos y sostenibles»
¿Cómo valora los mecanismos de intercambio de información sobre amenazas y el estado de la colaboración en ciberseguridad actuales?
Valoro positivamente los avances logrados en materia regulatoria y de articulación interinstitucional. En particular, el Decreto 338 de 2022 del Ministerio de Tecnologías de la Información y las Comunicaciones representó un paso importante al establecer lineamientos para la gestión de incidentes y el fortalecimiento del ecosistema nacional de ciberseguridad, incluyendo la creación del Repositorio Nacional de Incidentes Cibernéticos, que promueve una mayor trazabilidad y coordinación.
Asimismo, se ha consolidado una línea de trabajo colaborativa entre múltiples sectores —sector financiero, operadores de infraestructura crítica, entidades gubernamentales y comunidad técnica— que evidencia una creciente conciencia sobre la necesidad de cooperación ante las amenazas digitales.
Sin embargo, es necesario generar inversiones desde el Gobierno en mecanismos de intercambio de información verdaderamente robustos y sostenibles, así como tener una agenda para fortalecer las capacidades tecnológicas y humanas en todos los sectores, especialmente en las 13 infraestructuras críticas del país y en las autoridades nacionales responsables de la respuesta y coordinación. Solo con una base técnica sólida, talento especializado y confianza institucional se podrá evolucionar hacia un modelo de colaboración ágil, seguro y de alcance nacional.
¿Qué papel desempeña la innovación dentro de la estrategia de ciberseguridad de una organización?
La innovación desempeña un papel fundamental dentro de la estrategia de ciberseguridad de una organización. Tradicionalmente, la innovación se ha asociado al desarrollo de nuevos canales, aplicaciones o soluciones orientadas al cliente; pese a ello, existe mucho potencial también en la evolución de los procesos de seguridad de la información y ciberseguridad.
Innovar en este ámbito significa anticiparse a las amenazas, optimizar la detección y respuesta, incorporar tecnologías emergentes —como la inteligencia artificial o la analítica avanzada— y fomentar una cultura organizacional basada en la mejora continua.
En el caso de Asobancaria, esta visión se materializó con el reconocimiento Digital Award Innovation otorgado por la Federación Latinoamericana de Bancos, el septiembre pasado, que destacó nuestro modelo de ciberseguridad sectorial y la plataforma de inteligencia de amenazas como una iniciativa de ciberseguridad pionera en la región. Este logro demuestra que la innovación aplicada a la ciberseguridad no solo protege, sino que también impulsa la competitividad y la sostenibilidad del sistema financiero.
¿Qué opina sobre el contexto legislativo de ciberseguridad existente en Colombia y Latinoamérica? ¿Cuáles diría que son sus fortalezas y debilidades?
En los diferentes países de América Latina, el marco legislativo en materia de ciberseguridad ha avanzado de manera progresiva, inspirado en mejores prácticas internacionales y en estándares de referencia como el NIST, la Directiva NIS2 o el Reglamento DORA de la Unión Europea. Sin embargo, el ritmo de adopción y madurez es desigual: mientras algunos países han desarrollado estrategias nacionales sólidas y estructuras institucionales claras, otros aún se encuentran en fases incipientes de formulación o implementación.
En el caso de Colombia, se evidencia un progreso relevante con la promulgación del Decreto 338 de 2022 del Ministerio de Tecnologías de la Información y las Comunicaciones, que estableció la estructura del Sistema Nacional de Seguridad Digital, el cual busca fortalecer la coordinación interinstitucional y definir responsabilidades claras entre los actores públicos y privados.
Entre las fortalezas del contexto legislativo regional destacan la creciente conciencia política del riesgo cibernético, la armonización normativa con estándares globales y el rol activo de los sectores críticos, como el financiero, que ha liderado la adopción de marcos avanzados de gestión de riesgos.
No obstante, las principales debilidades persisten en la implementación efectiva, la disparidad de capacidades tecnológicas y humanas entre sectores y la ausencia de mecanismos sostenibles de cooperación local y regional. Aún falta traducir las normas en capacidades operativas que permitan prevenir, identificar y responder de manera coordinada a las amenazas cibernéticas que hoy son, por naturaleza, transnacionales.
Usted trabaja con multitud de CISO del sector financiero. Desde su experiencia, ¿cuáles diría que son sus principales necesidades?
Las principales necesidades de los CISO no son únicamente tecnológicas, sino estratégicas: ganar eficiencia, construir resiliencia organizacional, desarrollar agilidad adaptativa y generar una cultura organizacional fuerte que apoye y adopte la seguridad digital como parte de la promesa de valor de los productos y servicios. En ese sentido, las necesidades más críticas están en ampliar la conciencia hacia el cambio cultural, asignar responsabilidades empresariales sobre riesgos de terceros y construir capacidades para operar en escenarios de disrupción. En el sector financiero, esto se traduce en fortalecer la continuidad operativa, la gestión de proveedores críticos y la coordinación sectorial frente a ciberataques sistémicos.
En primer lugar, buscan optimizar el desempeño de sus programas de ciberseguridad. Esto implica evolucionar hacia modelos más eficientes, medibles y alineados al negocio. Los CISO demandan marcos que les permitan eliminar controles redundantes, automatizar procesos, integrar inteligencia artificial para optimizar la gestión del riesgo y fortalecer la cultura organizacional de ciberseguridad.
En segundo lugar, la resiliencia se ha convertido en una prioridad absoluta. Los líderes reconocen que ya no basta con proteger, sino que es necesario resistir, recuperarse y adaptarse ante incidentes.
Finalmente, la agilidad emerge como un diferencial. Los CISO necesitan estructuras más adaptables, capaces de ajustar sus prioridades e inversiones ante la evolución del entorno digital y regulatorio.
