Banca y fintech · CNBV · Banxico · LFPDPPP
La CNBV pide un oficial de seguridad, un equipo de respuesta y pruebas de penetración. ¿Quién sostiene cada parte?
Transformation Trends forma y prepara para la certificación a la persona que va a sostener cada obligación. La certificación es de la persona y se la lleva a donde vaya.
El contexto
Obligaciones con artículo y plazo
Las disposiciones de la CNBV para instituciones de crédito tienen una sección de seguridad de la información (arts. 168 Bis 11 a 168 Bis 17, incorporada en noviembre de 2018). Piden un oficial en jefe de seguridad de la información que reporte directo al director general y que no opere la seguridad, un Plan Director de Seguridad, escaneos de vulnerabilidades con calendario anual, al menos dos pruebas de penetración al año hechas por un tercero independiente y capacitación anual de todo el personal. Las instituciones de fondos de pago electrónico y de financiamiento colectivo tienen reglas equivalentes, y en ellas el oficial puede ser un tercero.
Ante un incidente, el aviso a la CNBV es inmediato y la información de los anexos va en cinco días hábiles. Cuando se afectó información sensible, el aviso a los clientes va en 48 horas en banca y financiamiento colectivo, y en 24 horas en fondos de pago electrónico.
Ninguna de estas reglas exige ISO/IEC 27001 ni una certificación para el oficial. Para quien hace las pruebas de penetración piden personal con capacidad técnica comprobable mediante «certificaciones especializadas de la industria en la materia», sin nombrarlas.
La oferta organizada por obligación
Qué se pide y quién lo puede sostener
Cada bloque es una obligación y la persona a la que le toca. Elija los bloques que aplican a su equipo: no hace falta llevarlos todos.
Para ser el oficial en jefe de seguridad de la información
CUB 168 Bis 13 y 14 · IFPE arts. 35 y 36 · ITF arts. 65 y 66 · SPEI 59a. Bis
Qué se pide
Elaborar el Plan Director de Seguridad, revisar los perfiles de acceso al menos una vez al año, gestionar alertas e incidentes en sus etapas de identificación, protección, detección, respuesta y recuperación, presidir el equipo de respuesta e informar cada mes al director general. Los participantes del SPEI designan además un oficial de seguridad de la información del SPEI con dedicación exclusiva.
A quién le toca
La persona designada como oficial en jefe, o el tercero que da el servicio en una fintech.
Nota: Al oficial la norma le pide nivel, independencia y no operar la seguridad. Estas certificaciones lo forman para definir y verificar, que es lo que le toca.
Para atender, investigar y reportar un incidente a tiempo
CUB 168 Bis 11 fr. IX y 168 Bis 16 · IFPE arts. 32 y 42 · ITF art. 67
Qué se pide
Detección, clasificación, contención, investigación y, en su caso, análisis forense digital; recolección y resguardo de evidencias; aviso inmediato al regulador, información en cinco días hábiles, plan de trabajo en quince y aviso a clientes en 24 o 48 horas, según la entidad.
A quién le toca
El equipo de respuesta que designa el director general y que preside el oficial en jefe.
Para hacer o supervisar las pruebas de penetración
CUB 168 Bis 12 fr. III y IV · IFPE arts. 21 y 34 · ITF art. 64
Qué se pide
Pruebas de penetración por un tercero independiente con personal que acredite su capacidad técnica con certificaciones especializadas de la industria: dos al año en banca y financiamiento colectivo, y cada dos años en fondos de pago electrónico. Escaneos de vulnerabilidades con calendario anual. El oficial en jefe valida el alcance y la metodología.
A quién le toca
El personal del proveedor que ejecuta las pruebas y, del lado de la institución, el equipo que las valida.
Nota: La norma no nombra certificaciones. C|PENT, C|EH (Practical) y C|EH son certificaciones de la industria en pruebas de penetración y hacking ético.
Para vigilar la infraestructura y detectar amenazas
CUB 168 Bis 11 fr. III y XIV · 168 Bis 12 fr. IX · SPEI regla 58a.
Qué se pide
Mecanismos automatizados para detectar y prevenir incidentes y fuga de información, con correlación de datos; segregación de redes; búsqueda proactiva de amenazas como correos fraudulentos, sitios falsos y bases de datos filtradas, y, en el SPEI, un registro centralizado de bitácoras que identifique patrones anómalos.
A quién le toca
El centro de operaciones de seguridad (SOC), propio o del proveedor.
Para sostener y evaluar la continuidad del negocio
CUB 164 Bis · IFPE arts. 37 a 40 y Anexo 6 · ITF arts. 59 a 62
Qué se pide
Un Plan de Continuidad de Negocio, que en fondos de pago electrónico se evalúa y se prueba al menos una vez al año. Ahí, el evaluador externo de continuidad debe acreditar al menos dos de estas certificaciones: ISO 31000, ISO 22301, Basilea II y COSO II, o sus equivalentes.
A quién le toca
Responsable de contingencias operativas y, en fondos de pago electrónico, el evaluador independiente.
Nota: El Anexo 6 nombra las normas, no el organismo que emite la certificación.
Para desarrollar y liberar software seguro
CUB 168 Bis 11 fr. III y IV
Qué se pide
Seguridad en todo el ciclo de vida de la infraestructura tecnológica, con pruebas de vulnerabilidades y análisis de código antes de la puesta en producción, y ambientes de desarrollo, pruebas y producción separados.
A quién le toca
Desarrollo y DevOps de la institución o de su proveedor.
Lo que se dice y lo que dice el texto
Antes de invertir, cinco aclaraciones
- «La CNBV exige ISO/IEC 27001»
- No aparece en las disposiciones de banca ni de fintech, ni en las reglas del SPEI.
- «El oficial en jefe tiene que tener cierta certificación»
- Las reglas piden nivel, reporte directo e independencia. No piden una certificación.
- «El banco puede hacer su propia prueba de penetración»
- Las reglas piden un tercero independiente. El escaneo de vulnerabilidades sí puede ser propio.
- «Hay 72 horas para avisar, como en Europa»
- Al regulador, de inmediato. A clientes, 24 o 48 horas según la entidad, y tres días hábiles en SOFIPO y cooperativas de ahorro y préstamo.
- «El oficial de una fintech tiene que ser empleado»
- En fondos de pago electrónico y financiamiento colectivo puede ser un tercero.
Cómo se entrega
Las modalidades, explicadas una vez
Autoestudio con examen
Material oficial; el participante avanza a su ritmo y presenta el examen en línea. Disponible para todo el catálogo.
eLearning con video
Video grabado por instructor certificado, en la plataforma oficial de PECB. El video en español está disponible en ISO/IEC 27001 Lead Implementer y Lead Auditor. En el resto del catálogo el video es en inglés, aunque el material y el examen sean en español.
En línea en vivo con instructor
Sesiones por videoconferencia impartidas por Transformation Trends, EC-Council Accredited Training Center (ATC) y PECB Authorized Partner. En EC-Council, la clase en vivo es en español para grupos de al menos seis personas.
Presencial en sus instalaciones
Grupo cerrado en su organización. Es la modalidad natural cuando hay que capacitar a varias áreas al mismo tiempo.
Lo que recibe su organización
Qué entrega Transformation Trends
- ✓Constancia con fecha y nombre del participante
- ✓Lista de asistencia
- ✓Temario oficial
- ✓Resultado de examen
- ✓Credencial del organismo certificador cuando el participante aprueba
Sirven como registro de la capacitación ante auditores, clientes y autoridades.
Límites claros
Lo que una certificación de personas no sustituye
- ·Las obligaciones de la institución y de su director general: aprobar el Plan Director, avisar a la CNBV y a Banxico, notificar a los clientes.
- ·La contratación del tercero independiente que hace las pruebas de penetración.
- ·La certificación PCI DSS de la institución y de sus sistemas.
- ·Las certificaciones CISSP, CISA o CISM que el Anexo 6 pide al evaluador de seguridad de un fondo de pago electrónico, que emiten otros organismos.
- ·La estructura que da independencia al oficial en jefe y la certificación ISO/IEC 27001 de la institución.
Siguiente paso
Formamos a quien va a sostener cada obligación.
Cuéntenos cuántas personas son y qué áreas tiene su equipo. Le decimos qué aplica y cómo se entrega.
EC-Council Accredited Training Center (ATC) · PECB Authorized Partner
¿Prefiere escribir por correo?
contacto@transformationtrends.mx