Contratación para el cumplimiento de los requisitos de Seguridad de la Información en los procesos de BCR Valores S.A.

1)Contar con al menos 5 años de experiencia demostrables en la prestación de servicios de consultoría y auditoría, evaluación o fortalecimiento de Sistemas de Gestión de Seguridad de la información, gestión de riesgos, ciberseguridad o cumplimiento normativo relacionado con la Seguridad de la Información
Para acreditar este requisito deberá aportar una declaración donde detalle los principales proyectos ejecutados, indicando al menos:
oNombre del cliente.
oAmplia descripción del servicio brindado.
oPeríodo de ejecución.
oAlcance del proyecto
oPersona de contacto y medio de localización.
2)Requisitos de los profesionales que realicen la verificación:
a.El oferente deberá cumplir con el siguiente perfil, demostrándolo con la presentación del currículum vitae y los documentos que acrediten lo establecido en el currículo:
1.Al menos un consultor con grado académico universitario de al menos Licenciatura o Maestría en Ciencias Económicas o Ingeniería Industrial-
2.Al menos un consultor deberá contar con grado académico de al menos Bachillerado universitario en una carrera afín a Ciencias en Informática o Computación (Obligatorio).
3.En el equipo ofrecido debe haber consultores que cuenten con la Certificación en ISO 27001 y al menos una de las siguientes certificaciones:
•Certificación “CISSP (Certified Information Systems Security Professional) del (ISC)2 (International Information Systems Security Certification Consortium, Inc), y/o
•CISM (Certified Information)
Para acreditar este requisito los oferentes deberán aportar fotocopia de los títulos académicos y de las certificaciones obtenidas al presentar su oferta.
3)El oferente deberá declarar bajo fe de juramento que dispone de los recursos técnicos, profesionales y metodológicos necesarios para ejecutar satisfactoriamente el objeto contractual y entregar todos los productos requeridos dentro de los plazos establecidos por BCR Valores S.A

1. Verificar el cumplimiento en los procesos internos de BCR Valores S.A. de lo señalado a continuación:
1.1) los requisitos de la norma ISO 27001;
1.2) los artículos 92 de Seguridad de la Información y artículo 94 de Tercerización del Acuerdo de Sugef 2-10 Reglamento sobre Administración Integral de Riesgos.
1.3) los requisitos del Capítulo IV del CONASSIF 05-24 “Seguridad de la información y Seguridad cibernética”.
1.4) el cumplimiento de la Ley 8968 Ley de Protección de la Persona frente al Tratamiento de sus datos personales;
2. Precisar las tareas por proceso, los controles que cada uno debe tener, definir los responsables internos de recibir, custodiar y analizar la información y las evidencias de cumplimiento;
3. Identificar las brechas para el cumplimiento de los requisitos señalados en los puntos anteriores y sugerir en conjunto con BCR Valores la forma de subsanarlas.
4. Servicio de capacitación para 75 funcionarios de BCR Valores que concienticen al personal de BCR Valores, por medio de charlas o capacitación de no más de 1 hr y 30 minutos cada una sobre los aspectos relevantes del cumplimiento de los requisitos antes mencionados, la importancia de la gestión de la Seguridad de la Información en la organización y el papel de cada funcionario dentro del sistema de Gestión de Seguridad de la Información. Se solicitan 2 capacitaciones dentro de la vigencia del contrato, una al inicio del contrato y otra al final de la contratación.

La revisión debe hacerse para los procesos internos de BCR Valores S.A., que es un puesto de bolsa sujeto a la legislación costarricense, con infraestructura propia o tercerizada, uso de banca electrónica/canales remotos, intercambio de información con la Bolsa Nacional de Valores, custodios, entidades del grupo financiero BCR y proveedores de tecnología.
Es importante mencionar que ya hemos revisado con el Banco de Costa Rica, casa matriz del Conglomerado BCR, al cual pertenece BCR Valores, el cumplimiento de los requisitos de la ISO 27001 sobre los procesos que están bajo la dirección de Ti del banco en manos de lasunidades de TISO y CISO y que le aplican a BCR Valores , así como el cumplimiento de los requisitos del artículo IV del Acuerdo Conassif 05-24 Reglamento General de Gobierno y Gestión de Tecnología de la Información.
El oferente deberá evaluar la seguridad de la información de los procesos del mapa de procesos del puesto de bolsa que se resumen así:
Total, de funcionarios: 75 personas divididos en los siguientes procesos:
•2 procesos Estratégicos.
•6 procesos de Negocio.

De igual forma, se indica que la normativa interna por revisar es la siguiente:
•Disposiciones Administrativas para el Uso de la Tecnología y la Seguridad de la Información en el Conglomerado Financiero BCR (B-02-04).
•Disposiciones sobre Seguridad de la Información del Conglomerado Financiero BCR (B-96-10
•Políticas para la gestión de la calidad en BCR Valores S.A. (V-88-14)
•Manual del sistema integrado de gestión calidad y Seguridad de la Información de BCR Valores(V-76-15)
•Procedimiento para el control de salidas no conforme en BCR Valores S.A (V-132-14)
•Procedimiento para iniciar, ejecutar y documentar las auditorías internas del sistema de gestión de calidad y las acciones correctivas en BCR Valores S.A. (V-91-14)
•Procedimiento revisión por la dirección en BCR Valores S.A (V-142-14)
•Instructivo para la ejecución de actividades de Gestión de Calidad Software en BCR Valores S.A.(V-01-22)
•Procedimiento para la gestión de indicadores en BCR Valores S.A. (V-23-18 )

Información por verificar:
El oferente deberá evaluar el SGSI (Sistema de Gestion de Seguridad de la Información), dentro del siguiente alcance:
•Alcance definido y documentado del SGSI (límites, aplicabilidad)
•Procesos, activos, sistemas de información y dependencias con terceros.
Cumplimiento integral de los requisitos establecidos en los capítulos 4 al 10 de la norma ISO 27001:2022, los artículos 92 de Seguridad de la Información y artículo 94 de Tercerización del Acuerdo de Sugef 2-10 Reglamento sobre Administración Integral de Riesgos, los requisitos del Capítulo IV del CONASSIF 05-24 “Seguridad de la información y Seguridad cibernética” y el cumplimiento de la Ley 8968 Ley de Protección de la Persona frente al Tratamiento de sus datos personales.
La evaluación debe considerar tanto:
•Procesos internos
•Servicios externalizados o relacionados con proveedores

Alcance técnico de la verificación
El ente contratado deberá evaluar, como mínimo:
Contexto y gobernanza
•Identificación del contexto organizacional y partes interesadas.
•Definición del alcance del SGSI.
•Política de seguridad de la información documentada.
•Roles, responsabilidades y liderazgo de la alta dirección.
Gestión de riesgos
•Existencia de una metodología formal de evaluación de riesgos.
•Identificación, análisis y evaluación de riesgos.
•Plan de tratamiento de riesgos aprobado.
•Declaración de aplicabilidad (SoA) de controles.

Implementación del SGSI
•Objetivos de seguridad definidos y medibles.
•Disponibilidad de recursos, competencias y formación.
•Control de la información documentada.
•Gestión de comunicaciones internas y externas.
Operación y controles
•Implementación de controles de seguridad basados en riesgos.
•
Gestión de proveedores y servicios externos.
•Control de procesos y operaciones del SGSI.
Evaluación del desempeño
•Definición de métricas y seguimiento del SGSI.
•Ejecución de auditorías internas.
•
Revisión por la alta dirección.
Mejora continua
•Gestión de no conformidades.
•Acciones correctivas implementadas.
•Evidencia de mejora continua del sistema.

Controles de seguridad
•Validación de controles aplicables (organizativos, físicos, tecnológicos).
•Coherencia entre riesgos identificados y controles implementados.
•Justificación de inclusión/exclusión de controles (SoA).

Metodología de trabajo
El oferente deberá:
1.Revisar documentación del SGSI
2.Realizar entrevistas a personal clave
3.Evaluar evidencias documentadas
4.Verificar implementación de controles
5.Validar cumplimiento de requisitos normativos
6.Revisar el Acuerdo de Nivel de Servicio con el Conglomerado BCR y sugerir cambios en caso necesario.
7.Sugerir el mecanismo de aplicación de las auditorías internas futuras sobre Seguridad de la Información alineado el sistema de gestión de calidad de BCR Valores S.A.

Entregables mínimos
•Informe de evaluación del SGSI que incorpore: conformidades, no conformidades, oportunidades de mejora, conclusión sobre el grado de cumplimiento de la norma y recomendaciones para mejora continua.
•Revisión de la Política marco del Sistema de Integrado de Calidad y Seguridad de la información aprobada, para que cumpla con requerimientos mínimos de seguridad de la información según la CONASSIF 5-24.
•Matriz RACI de responsabilidades
•Inventario de activos e información, con clasificación y propietarios.
•Matriz de riesgos de seguridad de la información y ciberseguridad, con plan de tratamiento.
•Actualización o creación de los Procedimientos formales de accesos, gestión de cambios, vulnerabilidades, incidentes, respaldos, continuidad y gestión de terceros, para que incluyan seguridad de la información.
•Matriz de cumplimiento normativo aplicable al puesto de bolsa.
•Indicadores ejecutivos mensuales o trimestrales para gerencia relacionados con la seguridad de la información
•Plan anual de pruebas: vulnerabilidades, restauración, continuidad, recertificación de accesos y campañas de concienciación.
•Roadmap de remediación con fechas, costos y responsables.

Las actividades y el cronograma deben ser gestionadas por un Project Manager certificado como PMP Professional o certificado en Scrum, o por un profesional con el grado de Licenciatura o Maestría en Gestión de proyectos.