Seguridad del software de crédito: 8 evidencias que debes pedir
Al evaluar un sistema de cartera, pedir una lista de funciones no basta. Tu equipo también necesita saber quién puede ver la información, qué queda registrado y cómo se recupera la operación ante una falla. Usa estas ocho preguntas para preparar una conversación con el proveedor y documentar lo que realmente se demostró.
1. Alcance y responsabilidades
Solicita una descripción del servicio contratado y de las tareas que corresponden al proveedor, a la infraestructura en la nube y a tu financiera. Anota quién administra usuarios, configuraciones, integraciones e incidentes. Las responsabilidades varían según el servicio; no las deduzcas solo de la palabra nube.
2. Accesos por rol
Pide una demostración con perfiles distintos: promoción, análisis, cobranza y administración. Comprueba qué información puede consultar y qué cambios puede efectuar cada uno. La guía NIST SP 800-210 aborda controles de acceso para distintos modelos de nube.
3. Alta, cambio y baja de usuarios
Revisa quién autoriza una cuenta, cómo se modifica su acceso al cambiar de puesto y cómo se desactiva al salir de la entidad. Pregunta qué opciones de autenticación están disponibles y cuáles requieren configuración o un servicio adicional.
4. Registro de cambios
Solicita un ejemplo con datos de prueba: cambiar una condición autorizada o corregir una aplicación. Identifica usuario, fecha, acción y datos consultables para investigar el movimiento. Confirma quién puede acceder al registro y durante cuánto tiempo está disponible.
5. Recuperación de la operación
Pregunta qué información se respalda, qué recuperación está prevista y cómo se prueba. Distingue tener una copia de poder restaurar el servicio. Registra los compromisos documentados y los procedimientos que debe ejecutar tu equipo.
6. Manejo de incidentes
Define un canal de reporte, responsables y pasos de escalamiento. Pide que se expliquen las comunicaciones previstas y cómo se conservará la información necesaria para revisar un incidente.
7. Acceso y salida de tus datos
Consulta cómo se exportan datos e históricos, qué formatos se entregan y qué actividades requiere una migración. Incluye el tratamiento de archivos temporales y las condiciones de conservación o eliminación acordadas.
8. Evidencia de certificaciones y controles
Si se presenta un certificado o reporte, pide titular, alcance, servicio cubierto y vigencia. Distingue la evidencia del proveedor del software de la correspondiente a su infraestructura. Registra qué aspectos de tu operación quedan cubiertos y cuáles debes verificar por separado.
Una prueba sencilla para tu próxima demo
Escenario ilustrativo: una persona cambia de cobranza a análisis y deja de necesitar acceso a ciertas operaciones. Solicita que se muestre el cambio de permisos y la evidencia disponible. Después pregunta cómo se daría de baja su cuenta y quién autorizaría cada paso. Usa datos ficticios y registra cualquier punto pendiente de demostración.
Para comparar propuestas, utiliza una ficha por requisito: responsable, evidencia observada, alcance incluido y pendiente. Si algo solo se explicó verbalmente, márcalo como pendiente de confirmar; así tu equipo puede decidir con la misma información.
Conecta la revisión con tus procesos
Lleva esta lista a la evaluación de módulos e integraciones de tu financiera. La demostración debe ayudarte a definir el alcance y las responsabilidades que necesitas documentar.
Controles de Softcrédito y alcance del servicio
Softcrédito permite organizar el acceso a sus funcionalidades mediante usuarios, perfiles y permisos, conforme a las responsabilidades y necesidades operativas de cada institución.
Las herramientas de seguimiento y supervisión de operaciones crediticias facilitan identificar movimientos, mantener el control administrativo y revisar información financiera. La automatización de cálculos, amortización y administración de cartera contribuye a reducir la dependencia de captura manual y procesamiento descentralizado.
Los módulos especializados ofrecen apoyo a KYC, PLD/FT, evaluación de riesgos y seguimiento de operaciones. La disponibilidad depende de los módulos y servicios contratados.
El modelo de servicio contempla administración tecnológica, mantenimiento, soporte y seguimiento de incidencias conforme a las condiciones contratadas. Al evaluar una propuesta, identifica los controles incluidos y las responsabilidades de tu equipo.
Comentarios