Entrevista

Mario Rivera

Gerente del BCR

Edad 48 años Estado civil Casado Profesión Administrador

‘El banco sí está preocupado’

 El funcionario responde preguntas sobre por qué, si se sabía que era necesario un segundo sistema de identificación, la Clave Dinámica salió hasta después de que surgieron los fraudes. También se le consulta si el BCR le debe una disculpa a sus clientes.

¿Cómo reacciona el Banco de Costa Rica a la sentencia?

Llegamos a la conclusión de que no se prueba que hubo vulnerabilidad de los sistemas del banco. En eso me parece que quedamos bien.

Ustedes dicen que el sistema del banco es seguro porque los hackers no pueden entrar, pero el sistema también incluye los mecanismos de acceso que le dan a los usuarios y, ahí, la seguridad no fue tan buena.

Quizá el mecanismo de seguridad que introdujimos es relativamente nuevo, de unos 10 meses, pero eso no quiere decir que los bancos no hayan insistido en medidas de seguridad.

Si desde el 2005 en los Estados Unidos se decía que no es seguro operar con solo un mecanismo de identificación, ¿por qué el Banco de Costa Rica no puso en operación la Clave Dinámica desde el principio?

Uno de los mecanismos que valoramos como mecanismo de seguridad es la firma digital. No sale el sistema por diferentes situaciones y el banco toma la decisión de buscar otro mecanismo.

“Esto no quiere decir que el banco reacciona por esos hechos (los fraudes), sino que ya veníamos buscando un mecanismo suficientemente efectivo.

Clave de seguridad

El BCR sabía que se necesitaba un segundo mecanismo y aún así dejó a los clientes con solo uno, sin ni siquiera decirles claramente que eso era más arriesgado y darles toda la información.

Sí, ahí el tema es de un segundo mecanismo de autenticación. No quiere decir que no hayamos tomado medidas a nivel de seguridad interna.

Pero en la seguridad externa, como dice el mismo fallo, el banco no es tan estricto. Eso es peor, porque ahí es donde está el usuario, que está menos preparado que el banco. El segundo mecanismo hubiera evitado casos como el de doña Marielos.

Tal vez no, no sabemos.

Pero la Clave Dinámica es más segura y con ella no se han presentado casos.

Hasta el momento.

Entonces, ¿sí se puede decir que reduce los casos?

Sí, puede ser.

Entonces, ¿no era una responsabilidad del banco poner ese segundo mecanismo desde el principio? ¿Algo que el banco debía a sus clientes?

Habría que ver.

(El director legal del Banco de Costa Rica, Eduardo Ramírez, interviene) Es importante tratar de armar un escenario completo de esto y verlo a nivel de la industria bancaria en Costa Rica. Los que primero reaccionan como un sistema de doble autenticación somos el BAC y nosotros (…).

“El banco también tiene que preocuparse de que esa parte (la seguridad del usuario) también funcione bien, pero las responsabilidades del cliente también son importantes, no son complicadas.

“¿Qué es lo que le pedimos al cliente? Que no le entregue su clave a nadie y que use el servicio en lugares seguros. ¿Qué es lo que pasa? Según como se entienda esta resolución, hemos tenido un sistema de seguridad y sabemos que los sistemas de doble autenticación han dado mayor seguridad. Lástima que no los teníamos antes.”

¿Por qué no los tenían antes?

(Ramírez) No tengo la respuesta en este momento.

(Rivera) Vuelvo a decir. Hubiera sido genial tener la firma digital, porque nos hubiera dado un mayor margen de autenticación con el cliente, que eventualmente era lo que perseguíamos, pero que la firma digital se sigue discutiendo. (La firma digital es un proyecto de varias entidades del Estado que pretende crear un sistema de identificación segura de los costarricenses, para hacer trámites y transacciones en línea).

Ahí es donde un cliente puede decir que el banco falló.

Bueno, es que de los mecanismos que tenía el banco a lo interno no hay duda, vuelvo a insistir en que podemos probar fehacientemente que los sistemas del banco no son vulnerables.

“La única forma de obtener acceso a las cuentas es con el manejo de las claves de los clientes.

Sí y esa parte, que es la más vulnerable, fue la que menos se reforzó. ¿Por qué, si se sabía que era tan importante?

Es lo mismo que con los cajeros automáticos…

No, no es lo mismo. El hecho de que la Clave Dinámica evita el fraude lo demuestra.

El banco sí está preocupado. Yo entiendo que los bancos sí tienen la obligación de tener sistemas seguros para los clientes.

“Esa tesis está muy razonable y así tiene que funcionar, porque si no los clientes no tendrían confianza”.

No funcionó así en este caso. ¿Debería el banco ofrecerles una disculpa a sus clientes?

Aquí usted tiene que comprender y probablemente usted haya encontrado una actitud diferente en los bancos privados, aunque no sé cómo han actuado en estos casos.

“El hecho es que los bancos públicos manejamos fondos públicos (explicó que por ser entidades estatales, están sujetas a la Ley general de administración pública y esta no permite aceptar el pago de daños si estos fueron causados por el cliente o por un tercero)”.