Cómo AWS lo ayuda a cumplir con requisitos regulatorios

© 2020, Amazon Web Services, Inc. or its Affiliates. All rights reserved.© 2020, Amazon Web Services, Inc. or its Affiliates. All rights reserved.
Regulatory & Compliance Chile
March 11th 2020

AWS brinda la infraestructura
para que las instituciones
financieras en Chile puedan
cumplir holgadamente con los
requerimientos regulatorios, de
una forma más eficiente a nivel
de costos y esfuerzos.

© 2020, Amazon Web Services, Inc. or its Affiliates. All rights reserved.
Modelo de responsabilidad compartida

Cloud Governance
Customer risk appetite and desired control environment
Shared Responsibility Model
3.1
3.2

Regulatory
Introduction

Compliance Center – ATLAS (www.atlas.aws)

Gestión de Acceso
y Identidad Controles de
Detección
Seguridad de
Infraestructura
Respuesta a
Incidentes
Protección de
Datos
Soluciones de seguridad de AWS

What regulations apply to FI in Chile using AWS?
Financial institutions in Chile may be subject to a number of different legal
and regulatory requirements when they use cloud services. Relevant
regulations include:
RAN 20-7 Externalización de Servicios (Outsourcing) establishes requirements for financial
institutions (AFI) regulated by the (SBIF) for outsourcing, including requirements for Cloud
services.
RAN 1-13 Clasificación de Gestión y Solvencia (Classification of Management and Solvency)
and RAN 20-8 Información de Incidentes Operacionales (Operational Incident Information) contain
guidelines and good practices applicable to cybersecurity management.
RAN 20-9 Gestión de la Continuidad de Negocio (Business Continuity Management) set the
requirements for data processing sites and technological infrastructure, including cloud services.

What regulations apply to FI in Chile using AWS?
RAN 20-7 Externalización de Servicios (Outsourcing) establishes requirements
for financial institutions (FI) regulated by the (SBIF) for outsourcing, including
requirements for Cloud services.
I. ÁMBITO DE APLICACIÓN
II. PRINCIPALES RIESGOS DE LA EXTERNALIZACIÓN DE SERVICIOS
III. CONDICIONES EN LA EXTERNALIZACIÓN DE SERVICIOS
IV. FACTORES A CONSIDERAR ERVICIOS DE PROCESAMIENTO DE DATOS
V. DILIGENCIA REFORZADA PARA SERVICIOS EN LA NUBE
VI. REVISIONES DE ESTA COMISIÓN
ANEXO N° 1: ASPECTOS MÍNIMOS PARA LA EXTERNALIZACION DE SERVICIOS
ANEXO N° 2: ADICIONALES PARA LA EXTERNALIZACIÓN DE SERVICIOS DE PROCESAMIENTO DE DATOS

RAN 20-7
1. Condiciones generales
2. Política de contratación y gestión de actividades relativas a la
externalización de servicios
3. Continuidad del negocio.
4. Seguridad de la información propia y de sus clientes, en los casos
que corresponda
5. Riesgo país
6. Responsabilidad por la gestión.
7. Acceso a la información por parte del supervisor

RAN 20-7
1. Condiciones generales
• a. Risk Assessment for Outsourced services
• b. Third Party Management Policy
• c. Logical Segregation and Access Management (AWS IAM)
• d. Selection Criteria and Monitoring for CSP (AWS Personal Health Dashboard)
• e. Vendor Management (Contract) and Certifications (AWS Certifications)
• f. System/Application inventory and procedures (AWS Config)
• g. Service Level Agreements (AWS SLA)






RAN 20-7
1. Condiciones generales (Cont.)
• h. Independent Audit for auditing Third Party Risks
• i. AWS Certifications (ISO/PCI) and Audit Reports (SOC)
• j. Information Access by the Regulator/Supervisor (Artifact)
• k. Risks for subcontractors by CSP
• l. Adding Risk assessment for Outsourced Services
• m. Data Residency: AWS Region Selection




Programas de Conformidad AWS
• 203 certificaciones y acreditaciones
• + 2.600 controles auditados anualmente.
• Informes de auditoría y conformidad
disponibles para los clientes en el portal de
servicios - AWS Artifact.

RAN 20-7
2. Política de contratación y gestión de actividades relativas a la externalización de
servicios
• a. Organization, Roles and Responsibilities
• b. Risk Management Process and Procedures
• c. Risk Management KPIs
• d. Vendor Selection Criteria
• e. Risk Classification

RAN 20-7
2. Política de contratación y gestión de actividades relativas a la externalización de
servicios (cont.)
• f. Authorization Process for Critical Services/Applications
• g. Policy and Procedure Update
• h. CSP Contract terms
• i. Bank Secrecy Authorization (Ley General de Bancos – article 154)
• j. Risk Management for non strategic services


RAN 20-7
3. Continuidad del negocio.
• AWS Continuity Plan – Certification ISO and SOC Report
• Financial Institutions Exit Plan
• AWS Global Infraestructure
• More Info:
• https://aws.amazon.com/compliance/
• https://aws.amazon.com/compliance/data-center/
• https://aws.amazon.com/disaster-recovery/
• https://aws.amazon.com/legal/service-level-agreements/
• https://aws.amazon.com/about-aws/global-infrastructure/



RAN 20-7
The AWS global infrastructure is built for resiliency
22Geographic Regions – 69Availability Zones – 216 Points of Presence*
• Regions are autonomous and isolated
• Availability Zones are physically
separated and independent
• Points of presence securely deliver
data, videos, and APIs globally with low
latency
To avoid single points of failure, AWS
minimizes interconnectedness within our
global infrastructure:

RAN 20-7
Environmental Perimeter Infrastructure Data Hardware
TheAWS global
infrastructure is built on
Amazon hardware and
provides customers
with the highest levels
of reliability
AWS protects the data
layer by maintaining a
separation of privilege
for each layer and
deploying threat
detection devices and
system protocols
AWS monitors
equipment and performs
preventative
maintenance to maintain
continued operability
Data center access
is granted only to
employees and
third-parties with a
valid business
justification
AWS data centers are secure by design
Data center locations
are selected to mitigate
environmental risk and
AvailabilityZones are
independent and
physically separated

RAN 20-7
4. Seguridad de la información propia y de sus clientes, en los casos que corresponda.
• Certifications (ISO 27017/18) and Audit Reports (SOC)
• AWS Identity and Access Management (IAM) and AWS CloudTrail
• Encrypted Communication Channels (TLS/VPN/IPsec)
• Services Monitoring (AWS Personal Health Dashboard)
• Pen Test: Certifications (ISO) and Audit Report (SOC)
• Data Encryption: Transit and Rest (KMS/CloudHSM)
• Physical Documentation: N/A







RAN 20-7
5. Riesgo País: Investment Grade ó Ley de Privacidad de datos
6. Responsabilidad por la gestión:
Gestión en Chile.
Organizaciones globales pueden tener gestión descentralizada.
7. Acceso a la información por parte del supervisor.

RAN 20-7
IV. FACTORES A CONSIDERAR AL EXTERNALIZAR
SERVICIOS DE PROCESAMIENTO DE DATOS
1. Ubicación geográfica del proveedor: Servicios realizados en el extranjero
• Certifications (ISO 27017/18) and Audit Reports (SOC)
• CSP Contract, including subcontrators
• Contingency in Chile(*): http://www.cmfchile.cl/portal/prensa/604/w3-article-
28049.html. "Las modificaciones flexibilizan la exigencia de mantener un sitio
de procesamiento de datos en Chile para los servicios que se externalizan
fuera del país y que afectan actividades consideradas críticas o
estratégicas." Dec 26th 2019.
• Services Monitoring (AWS Personal Health Dashboard)




RAN 20-7
V. DILIGENCIA REFORZADA PARA SERVICIOS EN LA NUBE.
• Annual Risk Assessment for Cloud
• Certifications (ISO 27017/18) and Audit Reports (SOC) – Artifact
• Contract between FI and CSP
• Data Privacy Law: Data Processing and Residency
• AWS Global Infrastructure: Data Center Controls
(https://aws.amazon.com/compliance/data-center/controls/)
• Data Classification (Macie)
• Data Encryption (KMS/CloudHSM)
VI. REVISIONES DE ESTA COMISIÓN







RAN 20-7
ANEXO N° 1: ASPECTOS MÍNIMOS QUE DEBEN CONSIDERARSE PARA
LA EXTERNALIZACION DE SERVICIOS.
1. Evaluación del riesgo.: Risk Assessment
2. Selección del proveedor de servicios: CSP Selection Criteria
3. Contrato: Roles and Responsibilities, SLA, Exit Terms, Pricing(*).
4. Control Permanente:
• Services Monitoring: SLA
• Change Management
• KPI Managemnet
(*)AWS ofrece un marco contractual que ayuda a que las instituciones financieras que se
encuentran reguladas por la CMF para dar cumplimiento a la regulación.

RAN 20-7
ANEXO N° 2: ANTECEDENTES ADICIONALES PARA LA
EXTERNALIZACIÓN DE SERVICIOS DE PROCESAMIENTO DE DATOS
I. Información general: Organizational Management and Cost analysis
II. Información del Proyecto:
I. Risk Assessment
II. Selection Criteria
III. Contract
IV. Technical documentation (System, Architecture, Tools)
V. Process and Procedures for the Project
VI. Contingency Plan Documentation

• AWS Identity & Access
Management (IAM)
• AWS Config
• AWS CloudTrail
• AWS Key Management
Service (KMS)
• AWS CloudHSM
• AWS Certificate
Manager
• Amazon Macie
• Reglas AWS Config
• AWS Personal
Health Dashboard
Gestión de Acceso
y Identidad Controles de
Detección
Seguridad de
Infraestructura
Respuesta a
Incidentes
Protección de
Datos
Soluciones de seguridad de AWS

Gracias
Mauricio Munoz
maumunoz@amazon.com
Marco Souza
masouza@amazon.com

Cómo AWS lo ayuda a cumplir con requisitos regulatorios

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to Cómo AWS lo ayuda a cumplir con requisitos regulatorios

Similar to Cómo AWS lo ayuda a cumplir con requisitos regulatorios (20)

More from Amazon Web Services LATAM

More from Amazon Web Services LATAM (20)

Recently uploaded

Recently uploaded (20)

Cómo AWS lo ayuda a cumplir con requisitos regulatorios

Editor's Notes