La Circular Externa 007 de 2018 de la Superintendencia Financiera de Colombia (SFC) establece los requerimientos mínimos que las entidades vigiladas deben cumplir para gestionar el riesgo de ciberseguridad. Adicionó el Capítulo V al Título IV, Parte I de la Circular Básica Jurídica (Circular Externa 029 de 2014) y complementa las normas de riesgo operativo (SARO) y de seguridad de la información. En esencia, obliga a bancos, aseguradoras, comisionistas y demás entidades vigiladas a contar con políticas de ciberseguridad aprobadas por la junta directiva, una unidad dedicada, y un esquema de prevención, detección y respuesta a incidentes.
Nació del auge de la digitalización financiera y del aumento de los ataques cibernéticos, y hoy es la norma de referencia en ciberseguridad para el sector financiero colombiano.
Qué es la Circular Externa 007 de 2018
La Circular Externa 007 de 2018 es la norma con la que la Superintendencia Financiera de Colombia impartió instrucciones sobre los requerimientos mínimos para la gestión del riesgo de ciberseguridad en las entidades vigiladas. Se expidió ante el auge de la digitalización de los servicios financieros, la mayor interconectividad de los agentes y la masificación de los canales electrónicos, factores que aumentaron la exposición del sector a los ataques cibernéticos.
La norma no reemplaza, sino que complementa el marco existente: se apoya en la administración del riesgo operativo (SARO) y en la seguridad de la información, y añade una capa específica de ciberseguridad. Se estructuró para entrar en vigencia de forma escalonada, en tres etapas, dando a las entidades tiempo de adecuarse.
A quién aplica
La Circular 007 aplica a las entidades sometidas a la inspección y vigilancia de la Superintendencia Financiera de Colombia, además de los operadores de información de la PILA. En la práctica, comprende:
La aplicación es proporcional: cada entidad ajusta sus controles a su estructura, tamaño y perfil de riesgo, pero el estándar mínimo es obligatorio para todas.
Cómo se conecta con el SARO y la seguridad de la información
Un punto clave para entender la norma: la ciberseguridad no vive aislada. La Circular 007 se integra con el Sistema de Administración de Riesgo Operativo (SARO) —el riesgo cibernético es, en el fondo, un riesgo operativo— y con las reglas de seguridad de la información. Por eso, muchas entidades gestionan estos tres frentes como un Sistema de Gestión de Seguridad de la Información (SGSI) unificado, en el que la ciberseguridad de la Circular 007 es la capa orientada específicamente a las amenazas del ciberespacio.
Requerimientos mínimos de ciberseguridad
La norma define un conjunto de medidas mínimas que toda entidad vigilada debe adoptar. Estos son algunos de los requerimientos centrales:
Las etapas de gestión del riesgo de ciberseguridad
La Circular 007 estructura la gestión del riesgo de ciberseguridad como un ciclo. Las entidades deben desarrollar e implementar controles adecuados a lo largo de etapas que, en conjunto, cubren la prevención, la detección, la respuesta y la recuperación:
- Prevención: políticas, controles de acceso, concientización y protección de los activos de información.
- Detección: monitoreo continuo (SOC) e identificación temprana de incidentes.
- Respuesta: protocolos para contener y gestionar un incidente cuando ocurre.
- Recuperación: restauración de la operación y del servicio tras un ataque, integrada al plan de continuidad del negocio.
La unidad de ciberseguridad y el rol de la junta directiva
Dos exigencias de gobernanza distinguen a la Circular 007. Primero, la entidad debe conformar una unidad —o asignar la función a un área— responsable de gestionar los riesgos de seguridad de la información y ciberseguridad, con los recursos técnicos y humanos necesarios. Segundo, la junta directiva asume un rol activo: debe aprobar la política de ciberseguridad y supervisar la gestión de este riesgo. Con esto, la ciberseguridad deja de ser un asunto puramente técnico del área de TI y se convierte en una responsabilidad del máximo órgano de gobierno.
Gestión de incidentes y deber de información al consumidor
Una obligación característica de la norma: cuando se materializa un incidente cibernético que afecta la confidencialidad o la integridad de la información de los consumidores financieros, la entidad debe informarles sobre lo ocurrido y sobre las medidas adoptadas para solucionarlo. Esto convierte la transparencia frente al consumidor en parte del cumplimiento, no solo en una buena práctica. Para cumplirlo, la entidad necesita un proceso de gestión de incidentes que detecte, clasifique, responda y documente cada evento.
Cómo cumplir la Circular 007 paso a paso
- Redacta la política de ciberseguridad y llévala a aprobación de la junta directiva.
- Conforma la unidad o asigna el área responsable de seguridad de la información y ciberseguridad.
- Inventaria y clasifica los activos de información y evalúa sus riesgos.
- Implementa los controles de prevención, detección, respuesta y recuperación.
- Pon en marcha el monitoreo continuo (SOC) para la detección de incidentes.
- Integra la ciberseguridad al plan de continuidad y prueba escenarios de ataque.
- Establece el proceso de gestión de incidentes y el deber de información al consumidor.
Cumple con la Circular 007 usando Pirani
Cumplir la Circular 007 exige demostrar, con evidencia, que la entidad gestiona el riesgo de ciberseguridad: activos identificados, riesgos evaluados, controles operando, incidentes documentados y una junta directiva que supervisa. Sostener todo eso en hojas de cálculo dispersas hace muy difícil probarlo ante la Superfinanciera.
Pirani ISMS permite construir el inventario y la clasificación de activos de información, gestionar la evaluación y el tratamiento de los riesgos de seguridad de la información y ciberseguridad, dar seguimiento a los controles y registrar los incidentes con su trazabilidad. Al integrar la ciberseguridad con el riesgo operativo (SARO) y la auditoría interna, ayuda a las entidades vigiladas colombianas a gestionar los tres frentes como un solo sistema y a demostrar el cumplimiento de la Circular 007 con evidencia, no con documentos sueltos. Así es como hacemos simple la gestión de riesgos.
Puedes agendar una demo o crear una cuenta gratis —no necesitas tarjeta de crédito— para ver cómo se gestiona la ciberseguridad y la seguridad de la información en la práctica.
Preguntas frecuentes
- ¿Qué es la Circular Externa 007 de 2018? Es la norma de la Superintendencia Financiera de Colombia que establece los requerimientos mínimos para la gestión del riesgo de ciberseguridad en las entidades vigiladas. Adicionó el Capítulo V al Título IV, Parte I de la Circular Básica Jurídica.
- ¿A quién aplica la Circular 007? A todas las entidades vigiladas por la Superintendencia Financiera de Colombia —bancos, aseguradoras, comisionistas de bolsa, fiduciarias, administradoras de pensiones, entre otras— y a los operadores de información de la PILA.
- ¿Qué exige la Circular 007 en ciberseguridad? Exige, como mínimo, una política de ciberseguridad aprobada por la junta directiva, una unidad responsable de la seguridad de la información y la ciberseguridad, monitoreo continuo de incidentes, gestión de incidentes, pruebas de continuidad ante ciberataques y el deber de informar a los consumidores afectados.
- ¿Cómo se relaciona la Circular 007 con el SARO? La ciberseguridad es una forma de riesgo operativo, por lo que la Circular 007 complementa el Sistema de Administración de Riesgo Operativo (SARO) y las reglas de seguridad de la información, y suele gestionarse de forma integrada dentro de un SGSI.
- ¿La Circular 007 obliga a informar los incidentes a los clientes? Sí. Cuando un incidente cibernético afecta la confidencialidad o integridad de la información de los consumidores financieros, la entidad debe informarles sobre lo ocurrido y sobre las medidas adoptadas para resolverlo.
Modalidades de lavado de dinero desapercibidas en las empresas
5 mejores software para gestionar riesgos de lavado de activos en 2026
