Las necesarias hacen funcionar el sitio. Las demás miden qué páginas ayudan y qué anuncios traen a quien necesita a DM11. Tú eliges, y puedes revisarlo desde el pie de página.
BANCO CENTRAL DE BRASIL · SEGURIDAD CIBERNÉTICA
La revisión de diciembre de 2025 cambió un texto de principios por una lista de lo que debe existir, ítem por ítem. Instituciones de pago, sociedades corredoras y distribuidoras de títulos y valores y corredoras de cambio autorizadas por el Banco Central tenían hasta el 1 de marzo de 2026 para adecuarse. Quien no llegó no está atrasado respecto de una buena práctica: está en incumplimiento de una norma vigente.
DM11 implanta los controles con tu equipo y ejecuta la prueba de intrusión que la norma exige. Cuando hacemos las dos cosas, la prueba la conduce un equipo independiente del que implantó, porque la norma pide independencia e imparcialidad y mezclar los papeles debilita la evidencia. La supervisión es del Banco Central, y la interpretación regulatoria la acompaña el área jurídica de tu institución.
Quién conduce la adecuación
Equipo propio de prueba de intrusión, con CEH, CPTE, SYCP y SYES
CISA, auditoría de sistemas de información
ISO/IEC 27001 Lead Auditor certificado por BSI
17 años de gobernanza, riesgos y cumplimiento
QUÉ CAMBIÓ
La Resolución BCB 85, del 8 de abril de 2021, definió la política de seguridad cibernética de las instituciones de pago, y la Resolución BCB 538, de diciembre de 2025, la reescribió en buena parte. El texto anterior describía qué debía contemplar la política; el actual lista qué debe estar implantado, y detalla cada ítem en un párrafo propio. La misma lógica vale para las instituciones financieras, por la vía de las resoluciones del Consejo Monetario Nacional.
El art. 3º, § 2º lista autenticación, criptografía, prevención y detección de intrusión, prevención de fugas, protección contra software malicioso, trazabilidad, copias de seguridad, evaluación y corrección de vulnerabilidades, controles de acceso, perfiles de configuración segura, protección de red, gestión de certificados digitales, seguridad en la integración por interfaces electrónicas y, en el ítem catorce, acciones de inteligencia en el ambiente cibernético, con monitoreo en internet, en la Deep Web y en la Dark Web, además de grupos privados de comunicación. Monitorear la Dark Web dejó de ser un servicio opcional.
El art. 22-A es específico: periodicidad mínima anual, ejecución con independencia e imparcialidad por persona natural o empresa especializada contratada para esa finalidad, y resultados documentados con plan de acción para las vulnerabilidades encontradas. Y afirma con todas las letras que eso no desplaza las pruebas hechas por los equipos de la propia institución, es decir, el equipo interno no sustituye a la prueba independiente. El resultado además entra en el informe anual.
El art. 3º-A trata de la comunicación en la red del sistema financiero nacional y exige múltiples factores de autenticación en el acceso administrativo a Pix y al sistema de transferencia de reservas, aislamiento físico y lógico del ambiente Pix respecto de los demás sistemas, con instancia dedicada cuando haya nube contratada, validación de integridad de extremo a extremo de las transacciones antes de la firma y prohibición de acceso de prestadores de servicio a las claves privadas de firma de mensajes.
El art. 2º de la Resolución 538 dio a las instituciones en funcionamiento hasta esa fecha para promover las adaptaciones. No hay escalonamiento por tamaño ni régimen de transición. Para quien está fuera, la pregunta dejó de ser cuándo empezar y pasó a ser en qué orden cerrar, y qué se puede documentar primero.
QUIÉN LO NECESITA
El alcance de la Resolución 538 va más allá de lo que muchos suponen: instituciones de pago, sociedades corredoras y distribuidoras de títulos y valores y sociedades corredoras de cambio autorizadas por el Banco Central.
La operación escaló, el equipo de tecnología acompañó al producto y la seguridad quedó en lo que se podía hacer. Existe una política aprobada porque alguien tuvo que aprobar una, y existe distancia entre ella y lo que de hecho corre. Es el caso más común, y el más rápido de resolver cuando alguien mide antes de opinar.
Las corredoras y distribuidoras de títulos y valores y las corredoras de cambio están nombradas en la resolución. Parte de ellas trataba la seguridad cibernética como asunto de buena práctica, y pasó a tener una obligación con artículo, plazo y supervisión.
Se hizo para la redacción antigua, la aprobó el directorio y se archivó. No menciona los catorce controles ni la prueba anual independiente, y no va a mencionarlos sola. Aquí el trabajo empieza comparando lo que existe con lo que pide la redacción actual, y la brecha suele ser menor que el susto inicial.
Traducción
Antes que nada hay que saber por qué vía se le exige a su institución: las instituciones de pago siguen las resoluciones del Banco Central, las instituciones financieras las del Consejo Monetario Nacional. El contenido converge, los textos no son los mismos, y responder por la resolución equivocada es el tipo de error que solo aparece en la inspección.
| Lo que le llega | Lo que significa | Lo que cambia en el trabajo |
|---|---|---|
| “Necesitamos adecuarnos a la resolución” | Solicitud sin alcance. Falta saber si la institución es de pago o financiera, y qué vía regulatoria aplica. | Es la primera pregunta. La estructura del trabajo es parecida, pero el texto que sostiene cada evidencia cambia, y la evidencia es lo que lee el supervisor. |
| “La auditoría interna señaló la política desactualizada” | Hallazgo de auditoría con plazo de respuesta. La política debe reflejar la operación de hoy y tener aprobación registrada. | Trabajo corto si la operación ya existe y solo no está escrita. Largo si la política describe una empresa que ya no existe. |
| “Vamos a contratar nube relevante” | Contratación con regla propia: comunicación previa, requisitos en el contrato y plan de salida. | Entra antes que el resto, porque tiene plazo propio y traba la contratación. Hacerlo después de firmar es rehacerlo. |
| “Nunca hicimos una prueba de intrusión” | Obligación anual, con independencia e imparcialidad de quien la ejecuta. | Quien implantó el control no puede probarlo. Eso define a quién contratar, y DM11 dice dónde ella misma no puede entrar. |
| “Pasamos el plazo del 1 de marzo de 2026” | Situación común, y el trabajo no cambia por eso. Lo que cambia es el orden. | Se prioriza lo que el supervisor pregunta primero y lo que sostiene la respuesta a un cuestionamiento, en vez de seguir el orden del texto. |
| “Somos socios de una institución regulada, ¿nos aplica?” | Suele llegar por contrato, y no por el regulador. La institución traslada la exigencia a quien sostiene su servicio. | El alcance es el servicio prestado, no la empresa entera. Más cerca de una diligencia de terceros que de un programa regulatorio. |
Nada de esto es precio. La vía regulatoria y el estado actual de la política cambian el esfuerzo en órdenes de magnitud, y por eso la conversación empieza por ahí.
Lo que se repite
La parte que casi nadie presupuesta es la que vuelve cada año. La institución que trata la resolución como proyecto lo entrega todo, respira, y al año siguiente está irregular de nuevo, con la política vencida y la prueba sin hacer.
Alta dirección
Revisión y aprobación registradas. Una política que no se ha reabierto desde 2021 es el hallazgo más común, y no se arregla con una fecha nueva en la portada.
Tercero independiente
Periodicidad mínima anual, cubriendo la infraestructura y las aplicaciones que sostienen el servicio. El informe y el plan de corrección son parte de la evidencia, no solo la ejecución.
La institución
Ejercitar el plan, y no solo mantenerlo. Un plan nunca ensayado falla la primera vez que se usa, que es justo el peor momento para descubrirlo.
Área responsable
Informe anual sobre cómo se comportaron los controles, que sube a la alta dirección y a la auditoría. Es el documento que el supervisor pide primero.
HISTORIAS
Cambiamos los nombres de los clientes con el mismo sigilo que protegerá a tu institución después. Los nombres cambian, el patrón de los problemas se repite. Cuando el cliente lo autoriza, damos referencias con nombre en una conversación.
Institución de pago
Existía una política de seguridad cibernética aprobada, bien escrita y genérica. Cuando la redacción nueva trajo la lista ítem por ítem, nadie podía decir cuáles de los catorce controles estaban implantados, porque el documento hablaba de objetivos y no de controles con dueño y evidencia.
Armamos la lectura en el orden de la norma, control por control, exigiendo evidencia para cada uno marcado como cumplido. Lo que existía de hecho quedó probado; lo que era intención se volvió plan con responsable y fecha. La política se reescribió después, y no antes, para reflejar la operación real.
Nueve de los catorce ya existían y nadie sabía demostrarlos. El trabajo pesado se concentró en los cinco restantes, y la dirección pasó a discutir un plan corto en lugar de un proyecto indefinido.
Corredora de valores
La institución seguía las normas de seguridad cibernética a distancia, entendiendo que se aplicaban a bancos y a instituciones de pago. La redacción actual nombra a las sociedades corredoras, y la percepción cambió cuando el plazo ya estaba cerca.
Empezamos por el encuadre, junto a jurídico, para no trabajar sobre una suposición. Definido el alcance, priorizamos lo documentable rápido, control de acceso, revisión de permisos y múltiples factores en el acceso externo, y dejamos para después lo que depende de inversión.
En pocas semanas la institución pasó de no tener respuesta a tener plan fechado y evidencia de lo ya cerrado, que es la diferencia entre estar atrasado y no tener nada que mostrar.
Fintech con Pix
El ambiente que se comunica con Pix corría en la misma infraestructura que el resto de la plataforma, con acceso administrativo por credencial única y sin separación. Funcionaba bien, y era exactamente lo que la redacción nueva pasó a prohibir.
Separamos el ambiente Pix física y lógicamente del resto, con instancia dedicada en la nube contratada, e implantamos múltiples factores en el acceso administrativo. Revisamos también qué prestadores tenían alcance a las claves privadas usadas en la firma de mensajes.
La revisión de claves fue el hallazgo que nadie esperaba: un prestador tenía un acceso que no necesitaba y nadie recordaba haberlo concedido. Cortado antes de volverse observación de supervisión.
AUTODIAGNÓSTICO
Veintiuna preguntas: tres sobre el encuadre y dieciocho sobre los controles que la norma exige. El resultado aparece completo en la pantalla, con la nota de cada frente. Es una autoevaluación tuya, hecha con nuestra lectura de la norma, y no una posición del Banco Central sobre tu institución.
La lectura de cada área, en las tres franjas de resultado. Es el mismo texto que llega por correo a quien se identifica, publicado aquí para quien quiere entender qué mide la nota antes de responder.
Menos de 50
Una nota baja aquí suele significar que el tema existe por costumbre y no por designación: alguien de tecnología responde en la práctica, y ningún acto de gobernanza lo dice. El efecto aparece en la primera pregunta de quien verifica, porque no hay a quién dirigirla ni documento que la responda. El paso concreto es llevar a la instancia competente un acto único que designe al director responsable, describa las atribuciones y nombre a la persona en ejercicio. Hecho eso, la revisión de la política y el armado del informe anual pasan a tener dueño y dejan de depender de una movilización.
De 50 a 79
En este rango el ciclo formal existe y no cierra. Los dos patrones que más vemos son la política revisada por calendario, sin confrontación ítem por ítem con la redacción vigente, y el informe presentado sin que las evidencias citadas sean recuperables después. Lo que resuelve es trabajo simple y repetitivo: una tabla que conecte cada afirmación del informe con el documento que la sostiene, con la ubicación del archivo. Mientras esa conexión no exista, cada ciclo anual vuelve a empezar de cero y consume más tiempo del que debería.
80 o más
Gobernanza formal en su lugar. Lo que todavía se escapa en este rango es el desfase entre la revisión y el cambio de redacción: una política revisada en enero y una norma modificada en marzo genera un documento correcto en la fecha y desactualizado en la lectura. Conviene marcar una verificación corta en cada publicación relevante, con registro de que se hizo incluso cuando nada cambia. El registro de que nada cambió es lo que demuestra seguimiento, y es justamente lo que casi nadie guarda.
Menos de 50
El acceso es donde la distancia entre lo que se cree y lo que existe suele ser mayor, porque la excepción no aparece en el inventario de quien la creó. El camino con mejor retorno es levantar todos los caminos de entrada desde afuera, incluidas VPN antigua, consola de nube, herramienta de soporte de proveedor y cuentas de servicio, y solo después decidir dónde entra el segundo factor. Hacerlo al revés protege el camino principal y deja abierto lo que nadie recordaba. La revisión de permisos viene enseguida, empezando por quien ya no trabaja aquí.
De 50 a 79
Una nota intermedia en acceso casi siempre quiere decir buena cobertura con el tercerizado afuera. La norma cita la revisión de permisos de colaboradores tercerizados de forma expresa, y ahí es donde el ciclo se detiene: el contrato termina, la credencial física vuelve, la cuenta permanece. El paso concreto es cruzar la lista de contratos activos con la lista de cuentas activas y registrar lo que se revoque, con fecha y responsable. Ese cruce suele revelar más que cualquier herramienta nueva.
80 o más
Cobertura demostrable. El punto de atención aquí deja de ser la regla y pasa a ser la excepción autorizada: acceso de emergencia, cuenta de integración y credencial compartida por un sistema heredado sobreviven a la mejor política cuando nadie las registra como excepción. Mantén una lista corta de ellas, con justificación, plazo y control compensatorio. Una excepción documentada es defendible; una excepción que nadie mapeó es la que aparece tarde.
Menos de 50
Es el frente más lento de recuperar después y el que menos molesta en el día a día, porque una red plana y logs dispersos no estorban la operación. El mayor efecto de una nota baja aquí no es regulatorio, es operativo: el día de un incidente, sin segmentación y sin traza confiable, nadie consigue decir qué fue alcanzado. Empieza separando producción del resto y decidiendo el plazo de retención por tipo de procesamiento, aunque el plazo inicial sea conservador. La guarda de claves privadas entra en el mismo frente, y el primer paso es descubrir dónde están hoy.
De 50 a 79
Aquí el patrón es buena técnica y decisión ausente: los logs existen, quedan en tres lugares distintos y nadie decidió cuánto tiempo se guarda cada tipo. La regla de firewall acumulada tiene un síntoma parecido, crece por demanda y nunca encoge. Lo que cierra la brecha es una decisión escrita de retención por tipo de procesamiento y una revisión fechada de las reglas, con lo removido registrado. Ninguna de las dos exige herramienta nueva, y las dos producen evidencia inmediata.
80 o más
Frente maduro. Lo que todavía suele faltar en este rango es la protección de la propia traza contra alteración y la validación de certificados revocados, los dos ítems que casi todo el mundo asume resueltos por la herramienta. Vale probarlo de verdad: pídele a alguien que intente borrar un registro de auditoría y mira qué pasa. Y verifica si el inventario de claves y certificados tiene dueño por ítem, y no solo fecha de expiración.
Menos de 50
Dos cosas distintas caen en esta nota, y conviene separarlas. Detección sin lector produce registro, no detección: si la alerta llega y nadie tiene el deber de mirarla, el control no existe en la práctica. La inteligencia en el ambiente cibernético es el decimocuarto ítem de la lista de controles y suele ser el más olvidado, porque nadie lo asocia con seguridad de red. El paso inicial es definir quién lee qué y en cuánto tiempo escala, antes de discutir qué herramienta entra.
De 50 a 79
En este rango la cobertura es parcial y casi siempre desconocida: se sabe qué detecta la herramienta y no se sabe qué deja fuera. El escalamiento informal es el otro síntoma, funciona mientras la persona correcta está disponible y falla en el feriado. El próximo paso es mapear la cobertura contra los ambientes que sostienen procesos críticos y escribir el camino de escalamiento con nombre, canal y plazo. Del lado de la inteligencia, el monitoreo propio cuenta: lo que la norma pide es periodicidad y alguien que actúe, no un proveedor.
80 o más
Detección acompañada e inteligencia en operación. Lo que sostiene esta nota a lo largo del tiempo es el registro de lo que se hizo con cada hallazgo, y no el volumen de alertas. Guarda lo que se volvió acción, lo que se descartó y por qué, porque esa serie es la que demuestra que el control opera. Conviene revisar la cobertura cada vez que entra un ambiente nuevo, que es cuando la brecha reaparece sin aviso.
Menos de 50
Un plan de respuesta que vive como párrafo dentro de la política no sobrevive al primer incidente real, porque en el momento en que ocurre nadie busca la política. La parte más difícil no es la técnica, es la comunicación: quién habla con el cliente, quién habla con el supervisor, con qué texto y en cuánto tiempo. Escribe primero los papeles y el guion de un único tipo de incidente, el más probable en tu ambiente, y registra la próxima ocurrencia tratada, aunque sea pequeña. El histórico de ocurrencias es lo que prueba que el plan opera, y solo se forma con el tiempo.
De 50 a 79
Un plan escrito y nunca ejercitado es una suposición sobre cómo reaccionarían las personas bajo presión. Un ejercicio de mesa corto, con las personas correctas en la sala, revela más brechas que cualquier revisión de texto. Del lado de la comunicación, lo que suele faltar es el modelo aprobado antes: un comunicado revisado por el área jurídica mientras nadie está bajo presión vale más que un diagrama bonito. La interlocución formal con el supervisor es siempre de la propia institución, y por eso necesita estar acordada antes.
80 o más
Plan ejercitado y comunicación definida. Lo que diferencia en este rango es el después del incidente: cada ocurrencia relevante debería cambiar algo, un control, un guion o una capacitación, y ese cambio necesita quedar registrado. La pregunta que revela madurez es simple, qué cambió después del último incidente. Conviene revisar los modelos de comunicado cuando cambia el producto o la base de clientes, porque un texto aprobado envejece junto con la operación.
Menos de 50
Este es el dominio más contractual de la norma y el más lento de resolver, porque cada corrección depende de que un tercero acepte. Una nota baja aquí suele significar que nunca se clasificó qué es servicio relevante, y sin esa clasificación no hay forma de saber qué contratos necesitan requisitos de seguridad ni qué contrataciones exigían comunicación previa. Empieza por la lista de quién procesa, almacena u hospeda datos tuyos, con el papel de cada uno, antes de abrir cualquier contrato. Involucra a compliance y al área jurídica desde la primera reunión, porque la mitad de las respuestas está con ellos.
De 50 a 79
En este rango la lista existe y envejeció, o las cláusulas varían de contrato en contrato según quién negoció en cada época. Vale un cuidado antes de concluir que la comunicación previa no se hizo: quien responde este diagnóstico suele ser de tecnología, y el registro de esas comunicaciones suele vivir en compliance o en el área jurídica. Confirma antes de tratarlo como brecha. El paso siguiente es estandarizar el anexo de seguridad de los contratos y definir quién actualiza la lista cuando entra un proveedor nuevo.
80 o más
Contratación bajo control. El punto de atención de este rango es el servicio de comunicación en la red del sistema financiero, que pasó a tratarse como relevante y no siempre fue reclasificado en las listas armadas antes de eso. Revisa si entró en la tuya, y si el contrato correspondiente lleva los mismos requisitos que los demás servicios relevantes. Vale revisar también la salida: un proveedor que termina el contrato manteniendo acceso o manteniendo datos es el hallazgo más silencioso de este frente.
Menos de 50
Un barrido automatizado y una prueba de intrusión no son lo mismo, y la diferencia aparece justamente en lo que la norma pide: periodicidad anual, independencia de quien implantó los controles, resultado documentado y plan de acción. Una nota baja aquí suele venir de uno de dos escenarios, ninguna prueba en el período o prueba conducida por el propio equipo que opera el ambiente. El paso concreto es definir alcance y fecha de la próxima prueba antes de discutir quién la ejecuta, porque un alcance indefinido es lo que traba la decisión. Conviene recordar que ningún proveedor, nosotros incluidos, atesta conformidad ante el Banco Central: lo que se entrega es la prueba con independencia y el resultado documentado.
De 50 a 79
El patrón intermedio más común es prueba hecha y ciclo abierto: informe entregado, algunas correcciones aplicadas y ningún retest que pruebe el cierre. Del lado de las vulnerabilidades, el síntoma es la fila sin dueño, con plazo definido en el papel y la misma lista repitiéndose de un informe a otro. Lo que cierra esto es combinar plazo por criticidad con alguien responsable de insistir hasta que exista evidencia de cierre. El retest es la parte más corta del trabajo y la que más transforma un informe en prueba.
80 o más
Ciclo completo, con prueba independiente y corrección acompañada. Lo que sostiene esta nota es el calendario: una prueba anual no se concluye, se repite, y el alcance necesita acompañar lo que cambió en el ambiente desde la anterior. Conviene registrar por escrito quién la ejecutó y por qué esa persona o empresa es independiente de quien implantó, porque es esa información la que falta cuando alguien pide la evidencia meses después. La independencia es característica del arreglo, y quien la evalúa en supervisión es el Banco Central.
Menos de 50
Un backup que corre y nunca se restauró mide rutina, no capacidad de volver. Es la nota que menos molesta en el día a día y la que más pesa en el peor día, porque el descubrimiento ocurre exactamente cuando no hay alternativa. El primer paso no es un proyecto de continuidad, es una restauración real de un sistema, cronometrada, con el resultado registrado. Esa única prueba suele revelar una dependencia que ningún documento preveía.
De 50 a 79
En este rango existe un plan y fue escrito sobre percepción, no sobre medición. El síntoma es la ausencia de plazo de recuperación medido: se sabe que el dato vuelve, no se sabe en cuánto tiempo ni si los sistemas críticos están cubiertos. El paso concreto es elegir los dos o tres procesos que realmente no pueden parar y probar su restauración con cronómetro, registrando qué se demoró. Cuando todavía no se sabe qué procesos son críticos, esa es la pregunta a resolver antes de cualquier prueba.
80 o más
Continuidad ejercitada y restauración medida. Lo que todavía se escapa en este rango es la protección de la propia copia contra alteración y borrado, que es el punto donde un buen plan deja de funcionar. Confirma que la copia no pueda ser borrada por quien administra el ambiente de origen, y que el ejercicio cubra también el escenario en que el ambiente principal está indisponible por completo. Registrar las mejoras que salieron de cada ejercicio es lo que mantiene la evidencia viva entre un ciclo y otro.
CÓMO LO CONDUCIMOS
La norma es prescriptiva, así que la evaluación también lo es: cada control cumple o no cumple, con evidencia adjunta. Una nota subjetiva no sirve aquí, porque el supervisor no pregunta cuán madura se siente la institución, pregunta si el control existe y pide verlo.
Confirmamos con jurídico qué resolución alcanza a la institución, porque la vía de las instituciones de pago y la de las financieras son distintas. Después leemos los controles contra el ambiente real, uno por uno, exigiendo evidencia para cada respuesta positiva.
Encuadre confirmado, con la resolución aplicable identificada
Evaluación de los catorce controles, con evidencia por ítem
Lectura separada de los requisitos de Pix, STR y conexión con la red del sistema financiero
Brechas en orden de riesgo y esfuerzo, separando lo rápido de lo que exige inversión
Hito de entregaEstado actual medido, sin control marcado como cumplido sin documento que lo sostenga.
Implantamos con tu equipo lo que la lista pide: segmentación de red protegiendo producción, múltiples factores en el acceso externo, revisión de permisos incluyendo tercerizados, perfiles de configuración segura, trazabilidad con retención definida, guarda de claves privadas y las acciones de inteligencia, incluido el monitoreo en Deep Web y Dark Web.
Segmentación de red y aislamiento de los ambientes críticos
Múltiples factores de autenticación en el acceso externo y en el acceso administrativo a Pix y STR
Trazas de auditoría con retención definida por tipo de procesamiento
Monitoreo de inteligencia cibernética en operación, con informe periódico
Hito de entregaControles de mayor riesgo implantados y verificados, con evidencia archivada.
Ejecutamos la prueba que pide el art. 22-A, con un equipo independiente de quien implantó. Metodología declarada, resultado documentado y plan de acción para cada vulnerabilidad encontrada, en el formato que el informe anual deberá citar.
Prueba de intrusión con alcance y metodología declarados
Informe con las vulnerabilidades y la criticidad de cada una
Plan de acción de corrección, con responsable y plazo
Reprueba de las correcciones, para que la evidencia cierre el ciclo
Hito de entregaPrueba ejecutada por equipo independiente, con plan de acción documentado.
Organizamos lo que el informe anual debe llevar, incluidos los resultados de las pruebas y los planes de corrección, y definimos la rutina que lo mantiene vivo: quién revisa, cuándo, y dónde queda guardada la documentación por el plazo que la norma exige.
Insumos del informe anual organizados para la fecha base
Repositorio de evidencias, con plazo de guarda definido
Rutina de revisión de la política y del plan de respuesta a incidentes
Calendario del próximo ciclo, incluida la prueba del año siguiente
Hito de entregaInforme anual listo para llevar al directorio, con evidencia rastreable en cada afirmación.
CUÁNTO TIEMPO LLEVA
No publicamos plazo estándar, porque plazo publicado se convierte en promesa. Con el plazo regulatorio ya vencido, la conversación que importa no es cuánto lleva el todo, sino qué se puede cerrar y documentar primero. Estos son los tres factores que más mueven el reloj.
Una institución que ya mantenía el ambiente Pix aislado resuelve el art. 3º-A con ajustes. Quien corre todo junto tiene por delante un cambio de arquitectura, y esa es la parte más larga de todo el proyecto, con nube o sin ella.
Un documento aprobado y no implantado es el caso más frecuente, y engaña en los dos sentidos. A veces la institución está mucho mejor de lo que sugiere el papel, porque el equipo lo hizo sin registrarlo. A veces es al revés, y eso es peor descubrirlo durante una supervisión.
El servicio de comunicación en la red del sistema financiero pasó a considerarse relevante para las reglas de contratación, lo que arrastra esos contratos dentro de las exigencias de nube, con comunicación previa al Banco Central. Revisar un contrato depende del proveedor, y esa suele ser la conversación más lenta.
LA NORMA EXIGE SEPARACIÓN
Este es el único punto de esta página en que separar los papeles no es elección nuestra ni buena práctica de mercado: está escrito en el art. 22-A. La prueba de intrusión debe realizarse con independencia e imparcialidad, por persona natural o empresa especializada contratada para esa finalidad, y el texto deja claro que las pruebas conducidas por los equipos de la propia institución no ocupan ese lugar. Cuando DM11 implanta y prueba, las dos frentes las conducen equipos distintos.
Periodicidad mínima anual, y la prueba del equipo interno no sustituye
Resultado documentado, con plan de acción para cada vulnerabilidad
Los resultados y los planes entran en el informe anual
Cuando implantamos y probamos, quien prueba no es quien implantó
PREGUNTAS FRECUENTES
Las dudas que aparecen en casi toda primera reunión, respondidas sin rodeos.
La Resolución BCB 85, en su redacción actual, nombra a instituciones de pago, sociedades corredoras y distribuidoras de títulos y valores y sociedades corredoras de cambio autorizadas por el Banco Central. Las instituciones financieras siguen la vía de las resoluciones del Consejo Monetario Nacional, con estructura equivalente. El encuadre es lo primero que confirmamos, con tu área jurídica, porque trabajar sobre una suposición aquí sale caro en los dos sentidos.
Sirve, y bastante. La adecuación no es un interruptor: lo que cambia la conversación con el supervisor es tener un retrato honesto del estado actual, un plan fechado y evidencia de lo ya cerrado. Una institución que llega a una supervisión con plan en ejecución está en una situación distinta de la que llega sin respuesta. Por eso priorizamos lo documentable rápido antes de lo que depende de inversión.
Debes, y la norma no deja margen. El art. 22-A exige una prueba con periodicidad mínima anual, ejecutada con independencia e imparcialidad por persona natural o empresa especializada contratada para esa finalidad, y afirma que eso no desplaza las pruebas hechas por los equipos de la propia institución. Es decir, la prueba interna sigue valiendo y sigue siendo buena, y no ocupa el lugar de la independiente.
Dos puntos. El ambiente Pix necesita instancia dedicada y apartada cuando el servicio se contrata en la nube, lo que es decisión de arquitectura y no solo de contrato. Y el servicio de comunicación electrónica en la red del sistema financiero pasó a considerarse relevante, lo que trae ese contrato dentro de las reglas de contratación de procesamiento, almacenamiento y nube, incluida la comunicación previa al Banco Central y requisitos propios cuando el servicio se presta en el exterior.
El decimocuarto control de la lista trata de acciones de inteligencia en el ambiente cibernético, incluido el monitoreo de información de interés de la institución en internet, en la Deep Web y en la Dark Web, además de grupos privados de comunicación. En la práctica es buscar credenciales filtradas, datos de clientes en venta, menciones a la marca en foros de fraude y material que indique preparación de un ataque. No es una herramienta que se enciende y se olvida: el valor está en que alguien lea lo que aparece y actúe.
Ayuda bastante y no sustituye. Buena parte de los catorce controles tiene correspondencia en el Anexo A, y la evidencia se aprovecha casi entera: control de acceso, registro, gestión de terceros, respuesta a incidentes, copias de seguridad. Lo que no viene de la ISO es lo que la norma tiene de específico del sistema financiero: Pix, sistema de transferencia de reservas, conexión con la red del sistema financiero y la prueba anual con independencia exigida por artículo.
La evaluación recorre los catorce controles y los requisitos de Pix y STR, con evidencia exigida en cada respuesta positiva. Sales con el retrato del estado actual, la lista de lo que falta en orden de riesgo y lo que se puede documentar primero.
Comparativas sobre este tema
Ver las 13 comparativas