Regulaciones de ciberseguridad del sector financiero en México
El sector financiero mexicano es uno de los más regulados del mundo en materia de ciberseguridad. Bancos, aseguradoras, casas de bolsa, SOFOMES y fintechs operan bajo un entramado regulatorio que incluye disposiciones de la CNBV, circulares del BANXICO, la Ley Fintech de 2018, y los requisitos trasversales de la LFPDPPP.
El incumplimiento no se mide solo en multas: una institución financiera que sufre una brecha sin haber cumplido con las disposiciones técnicas puede enfrentar intervención regulatoria, pérdida de autorización para operar y daño reputacional irreparable.
Esta guía responde la pregunta concreta que enfrentan los directores de tecnología, cumplimiento y riesgo en México: ¿qué exigen exactamente los reguladores, cómo se demuestra el cumplimiento, y qué rol juega el pentesting?
El ecosistema regulatorio financiero en México
México no tiene un único supervisor financiero. El sector opera bajo una arquitectura de múltiples reguladores con mandatos específicos:
| Regulador | Entidades supervisadas | Mandato principal |
|---|---|---|
| CNBV (Comisión Nacional Bancaria y de Valores) | Bancos, casas de bolsa, SOFOMES reguladas, fondos de inversión, uniones de crédito | Supervisión prudencial, normativa de seguridad operacional |
| BANXICO (Banco de México) | Todas las entidades que participan en sistemas de pago | Seguridad de sistemas de pago, SPEI, regulación cambiaria |
| CONDUSEF (Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros) | Todo el sector financiero en su relación con clientes | Protección al usuario, disputas, transparencia |
| CNSF (Comisión Nacional de Seguros y Fianzas) | Aseguradoras y afianzadoras | Supervisión del sector asegurador |
| CONSAR (Comisión Nacional del Sistema de Ahorro para el Retiro) | Afores | Supervisión del sistema de ahorro para el retiro |
| INAI | Todo el sector privado | Protección de datos personales (LFPDPPP) |
Para efectos de ciberseguridad, los reguladores de mayor relevancia operacional son la CNBV y BANXICO.
CNBV: las Disposiciones de Carácter General en materia de ciberseguridad
La CNBV ha emitido disposiciones de carácter general que incluyen requerimientos explícitos de seguridad tecnológica para las instituciones bajo su supervisión. Las más relevantes son:
Disposiciones para Instituciones de Crédito
Las Disposiciones de Carácter General Aplicables a las Instituciones de Crédito (conocidas como "la Circular Única de Bancos" o CUB) incluyen un apartado específico de seguridad de la información. Entre las obligaciones más relevantes para ciberseguridad:
Gestión de riesgos tecnológicos:
- Identificar, medir, monitorear y controlar los riesgos tecnológicos
- Contar con una estrategia formal de seguridad de la información aprobada por el Consejo de Administración
- Designar un responsable de seguridad de la información con reporte directo a la alta dirección
Controles técnicos obligatorios:
- Gestión de accesos e identidades con principio de mínimo privilegio
- Cifrado de datos en tránsito y en reposo para información sensible
- Segmentación de redes y ambientes (producción vs. desarrollo)
- Monitoreo continuo de eventos de seguridad (SIEM o equivalente)
- Gestión de vulnerabilidades y parches con plazos definidos por criticidad
- Pruebas de penetración periódicas a sistemas críticos — requerimiento explícito en varias versiones de las disposiciones
Gestión de incidentes:
- Contar con un plan de respuesta a incidentes documentado y probado
- Notificar a la CNBV los incidentes que afecten la continuidad operativa o la seguridad de los clientes
- Los plazos de notificación varían según la severidad del incidente (generalmente entre 24 y 72 horas para incidentes críticos)
Continuidad de negocio:
- Plan de continuidad de negocio (BCP) y plan de recuperación ante desastres (DRP) probados al menos anualmente
- Objetivos de tiempo de recuperación (RTO) y objetivos de punto de recuperación (RPO) definidos y auditados
SOFOMES y entidades financieras no bancarias
Las SOFOMES reguladas (supervisadas por la CNBV) tienen obligaciones similares a las instituciones de crédito, aunque en algunos aspectos la regulación admite proporcionalidad según el tamaño y complejidad de la entidad. Las SOFOMES no reguladas están fuera del alcance directo de la CNBV pero siguen sujetas a la LFPDPPP del INAI y, si participan en sistemas de pago, a las disposiciones de BANXICO.
BANXICO: seguridad de los sistemas de pago
El Banco de México emite circulares que regulan la participación de las instituciones en los sistemas de pago, incluyendo el SPEI (Sistema de Pagos Electrónicos Interbancarios). Las disposiciones de BANXICO en materia de seguridad son especialmente rigurosas porque los sistemas de pago son infraestructura crítica nacional.
Requisitos de BANXICO para el SPEI
El ataque al SPEI en 2018 — en el que actores maliciosos comprometieron los sistemas internos de varios bancos e inyectaron transferencias fraudulentas, sustrayendo entre 300 y 400 millones de pesos según los reportes forenses de la propia BANXICO — fue un punto de inflexión regulatorio (Banxico — Reporte de análisis forense, versión pública). BANXICO respondió con disposiciones más estrictas:
Obligaciones derivadas de los incidentes de 2018:
- Auditorías de seguridad obligatorias para participantes en el SPEI
- Revisión periódica de la seguridad de los sistemas que se conectan al SPEI
- Controles reforzados sobre los módulos de autenticación y autorización de transferencias
- Monitoreo de transacciones en tiempo real con alertas de anomalías
Circular 3/2012 de BANXICO y modificaciones posteriores:
- Emitida por el Banco de México (texto compilado, Banxico), establece disposiciones aplicables a las operaciones de las instituciones de crédito, incluyendo requisitos de certificación para conectarse a los sistemas de pago que administra BANXICO
- Exige que los participantes realicen pruebas de certificación y seguridad a los sistemas que interactúan con la infraestructura de BANXICO
- Los incidentes que afecten la disponibilidad o integridad de las conexiones deben reportarse a BANXICO en tiempos muy cortos
Nota sobre CECOBAN: El Centro de Compensación Bancaria (CECOBAN) es una empresa privada que opera la compensación y liquidación de cheques en México. No es un regulador y no emite circulares con fuerza normativa. Las obligaciones regulatorias en materia de pagos y ciberseguridad provienen de BANXICO y, para el ámbito prudencial, de la CNBV.
La lección del ataque al SPEI: los grupos atacantes comprometieron los sistemas internos de los bancos (no el SPEI directamente) e inyectaron órdenes de transferencia fraudulentas. La CNBV y BANXICO reforzaron los requisitos de seguridad de los sistemas internos que se conectan a infraestructura de pagos como consecuencia directa. Hoy, un pentest del perímetro externo no es suficiente: se requieren pruebas de los sistemas internos, aplicaciones de banca corporativa y módulos de autorización de pagos.
La Ley Fintech: el régimen más reciente
La Ley para Regular las Instituciones de Tecnología Financiera (Ley Fintech), publicada el 9 de marzo de 2018 en el DOF (Diario Oficial de la Federación), creó un marco regulatorio específico para las entidades de tecnología financiera. Define dos tipos principales de Instituciones de Tecnología Financiera (ITF):
- Instituciones de Fondos de Pago Electrónico (IFPE): billeteras digitales, prepago, dinero electrónico
- Instituciones de Financiamiento Colectivo (IFC): crowdfunding de deuda, capital y donación
Requisitos de ciberseguridad bajo la Ley Fintech
La Ley Fintech y sus disposiciones secundarias (emitidas por BANXICO, CNBV y SHCP) establecen:
Para las ITF:
- Obtener autorización de la CNBV para operar — el proceso incluye presentar un programa de gestión de riesgos tecnológicos
- Implementar controles de seguridad de la información antes de iniciar operaciones
- Contar con una estrategia de ciberseguridad documentada y aprobada por la dirección
- Realizar pruebas de seguridad periódicas a los sistemas que manejan recursos de clientes
- Notificar incidentes de ciberseguridad a la CNBV y, según el tipo, a BANXICO y a los usuarios afectados
Uso de interfaces de programación de aplicaciones (APIs): La Ley Fintech es pionera en Latinoamérica al regular explícitamente las APIs de open banking. Las disposiciones de BANXICO sobre APIs establecen:
- Requisitos de autenticación para el acceso a APIs
- Cifrado obligatorio de las comunicaciones
- Auditorías de seguridad de las interfaces abiertas
- Registro de accesos y monitoreo de uso
La seguridad de APIs es un vector de ataque frecuente en fintechs: pruebas de penetración de APIs (OWASP API Security Top 10) son hoy un requerimiento funcional, no solo una buena práctica.
Modelos novedosos (sandbox regulatorio): Las empresas que operan bajo el sandbox regulatorio de la Ley Fintech tienen requisitos proporcionales mientras prueban su modelo, pero deben demostrar madurez en ciberseguridad antes de obtener autorización definitiva.
Intersección con la LFPDPPP
Las instituciones financieras son uno de los sectores con mayor doble exposición regulatoria: la CNBV o BANXICO por un lado, y el INAI por el otro. Un incidente de ciberseguridad que comprometa datos de clientes puede desencadenar:
- Un procedimiento de verificación del INAI bajo la LFPDPPP
- Una revisión de la CNBV sobre cumplimiento de las disposiciones de seguridad
- Requerimientos de notificación de BANXICO si se afectan sistemas de pago
- Denuncias ante la CONDUSEF por parte de usuarios afectados
La convergencia de estos procedimientos puede generar sanciones acumuladas, auditorías simultáneas de múltiples reguladores y — en casos graves — la suspensión temporal o cancelación de la autorización para operar.
El SPEI y la seguridad de la infraestructura de pagos
El SPEI procesa diariamente más de 10 millones de transferencias, con un valor acumulado de varios billones de pesos al año — equivalente a varias veces el PIB de México (Banxico — Información operativa del SPEI). Su importancia para la economía mexicana lo convierte en objetivo de alto valor para actores maliciosos estatales y criminales.
Vectores de ataque relevantes para instituciones que usan el SPEI
| Vector | Descripción | Control recomendado |
|---|---|---|
| Compromiso de módulos de autorización | Inyección de transacciones no autorizadas (técnica usada en 2018) | Pentesting de los módulos internos de autorización de pagos |
| Phishing dirigido a operadores de tesorería | Robo de credenciales para acceder a sistemas de transferencias | Simulación de phishing + pruebas de controles MFA |
| Vulnerabilidades en conectores SPEI | Explotación de interfaces entre core bancario y SPEI | Revisión de código y pruebas de los conectores |
| Ataques de supply chain | Comprometer proveedores de software financiero | Evaluación de terceros críticos |
Qué busca la CNBV en una auditoría de ciberseguridad
Cuando la CNBV audita a una institución financiera en materia de seguridad tecnológica, los revisores evalúan:
- Documentación: ¿Existe una política de seguridad de la información aprobada por el Consejo? ¿Está actualizada?
- Organización: ¿Hay un CISO o equivalente con reporte adecuado? ¿El comité de riesgos incluye riesgos tecnológicos?
- Controles técnicos: ¿Se implementan los controles listados en las disposiciones? ¿Hay evidencia de su operación (logs, reportes)?
- Pruebas de seguridad: ¿Se realizan pentests periódicos? ¿Los hallazgos se remedian en plazos razonables? ¿Hay evidencia de retest?
- Gestión de vulnerabilidades: ¿Se parchean los sistemas críticos en los plazos establecidos por la institución?
- Gestión de incidentes: ¿El plan de respuesta a incidentes ha sido probado? ¿Los incidentes pasados se gestionaron adecuadamente?
- Terceros: ¿Los contratos con proveedores de servicios tecnológicos incluyen obligaciones de seguridad?
La ausencia de evidencia de pentesting periódico — o de una hoja de ruta clara de remediación y retest — es una observación frecuente en las visitas de inspección de la CNBV, y puede escalar a un requerimiento formal o a una sanción.
Panorama de amenazas para el sector financiero mexicano
El sector financiero mexicano enfrenta amenazas específicas:
- Grupos de ransomware: ataques a bancos medianos y SOFOMES que no tienen la misma madurez defensiva que los grandes bancos
- Fraude en banca digital: ingeniería social, SIM swapping, y explotación de vulnerabilidades en apps móviles
- Amenazas internas: empleados con acceso a sistemas core que realizan transferencias no autorizadas
- Ataques a la cadena de suministro: comprometer proveedores de software financiero para llegar a múltiples instituciones
- APT con motivación financiera: grupos sofisticados con capacidad de persistir en redes financieras durante meses antes de activar su payload
El ataque de 2018 al SPEI se ha atribuido al Grupo Lazarus (vinculado a Corea del Norte). La atribución proviene de reportes forenses preliminares de firmas de ciberseguridad y de declaraciones de autoridades mexicanas. Este mismo grupo ha sido señalado también en ataques a infraestructura de mensajería SWIFT en otras instituciones financieras (MITRE ATT&CK — Lazarus Group).
Esta atribución no ha sido confirmada por una investigación judicial cerrada. Se presenta aquí como una hipótesis respaldada por evidencia técnica, no como un hecho judicialmente establecido. Las instituciones mexicanas siguen siendo objetivo activo de actores con motivación financiera.
Hoja de ruta de cumplimiento para instituciones financieras
| Prioridad | Acción | Regulador relevante |
|---|---|---|
| Inmediata | Auditoría de la política de seguridad de la información vs. disposiciones vigentes de la CNBV | CNBV |
| Inmediata | Inventario de sistemas críticos y clasificación de activos | CNBV, BANXICO |
| Mes 1–2 | Pentest de sistemas que interactúan con SPEI y módulos de autorización de pagos | BANXICO |
| Mes 1–2 | Pentest de aplicaciones de banca digital (web y móvil) | CNBV |
| Mes 2–3 | Pentest de APIs (incluyendo APIs de open banking si aplica) | CNBV, BANXICO |
| Mes 3 | Remediación de hallazgos críticos y altos | Todos |
| Mes 4 | Retest de hallazgos remediados | Todos |
| Mes 4–5 | Revisión y prueba del plan de respuesta a incidentes | CNBV |
| Mes 5–6 | Auditoría de terceros críticos (proveedores de software, outsourcing de TI) | CNBV |
| Anual | Pentest completo + revisión de política de seguridad | Todos |
Preguntas frecuentes
¿Con qué frecuencia deben hacer pentests las instituciones financieras en México?
La CNBV exige pruebas de seguridad periódicas a sistemas críticos; el estándar de mercado es al menos una vez al año para aplicaciones y perímetro externo. Las instituciones que participan en el SPEI deben evaluar los módulos internos de autorización de pagos de forma regular, especialmente tras cambios significativos en los sistemas conectados a la infraestructura de BANXICO.
¿Qué exige la CNBV en materia de pruebas de seguridad tecnológica?
Las Disposiciones de Carácter General de la CNBV para instituciones de crédito incluyen la gestión de vulnerabilidades y la realización de pruebas de penetración periódicas a sistemas críticos como requisitos explícitos. Los auditores de la CNBV verifican que existan reportes de pentest recientes, que los hallazgos hayan sido remediados en plazos razonables y que haya evidencia documentada de retest.
¿Qué sanciones puede imponer la CNBV por incumplimiento de requisitos de seguridad?
La CNBV puede emitir requerimientos formales de mejora, aplicar sanciones económicas y, en casos graves, escalar a acciones de intervención regulatoria. Un incidente que exponga datos de clientes puede desencadenar procedimientos simultáneos de la CNBV, el INAI, BANXICO y la CONDUSEF, con sanciones acumuladas y riesgo de suspensión de la autorización para operar.
¿Están obligadas las fintechs a realizar pentests bajo la Ley Fintech?
Sí. Las disposiciones secundarias de la Ley Fintech exigen que las Instituciones de Tecnología Financiera (ITF) realicen pruebas de seguridad periódicas a los sistemas que manejan recursos de clientes. Esto incluye las APIs de open banking, las aplicaciones móviles y los sistemas de pago. El proceso de autorización ante la CNBV requiere presentar un programa de gestión de riesgos tecnológicos que contemple estas evaluaciones.
¿Qué sucedió en el ataque al SPEI de 2018 y cómo cambió la regulación?
En 2018, grupos delictivos comprometieron sistemas internos de varios bancos e inyectaron transferencias fraudulentas a través del SPEI, robando aproximadamente 400 millones de pesos. BANXICO respondió con disposiciones más estrictas: auditorías de seguridad obligatorias para participantes en el SPEI, controles reforzados sobre módulos de autorización y monitoreo de transacciones en tiempo real con alertas de anomalías.
Las instituciones que buscan demostrar cumplimiento ante la CNBV o Banxico necesitan pentests con reportes estructurados para presentar ante reguladores. Proveedores especializados en el sector financiero, como WhiteJaguars, realizan estas evaluaciones con metodología documentada y mapeo regulatorio específico para el contexto mexicano. Para detalles de selección de proveedor, ver la guía para contratar pentesting en México.
Las instituciones financieras de México que operan en un entorno regulatorio exigente se benefician de una visión integrada de la ciberseguridad del sector. El segmento de mayor crecimiento en los últimos años ha sido el de las plataformas digitales: para conocer los riesgos y requisitos específicos del ecosistema digital, el artículo sobre ciberseguridad para fintechs en México es una referencia complementaria directa. Para seleccionar el proveedor adecuado de auditoría de seguridad, puede consultar el análisis de proveedores de pentesting para el sector financiero en México, que evalúa metodología, certificaciones y tiempos de entrega.
¿Buscas un proveedor de pentesting confiable?
Consulta nuestra guía comparativa con los criterios clave para evaluar proveedores: certificaciones verificables, metodología, SLAs, reportes y soporte. Toma una decisión informada.
Análisis independiente · Sin patrocinio comercial · Basado en criterios verificables