El día de ayer se publicó en el Diario Oficial de la Federación, la circular 13/2023 emitida por el BANXICO y dirigida a los participantes en el Sistema de Pagos Interbancarios en dólares, relativa a las Modificaciones a la circular 4/2016 (FORTALECIMIENTO DE LAS DISPOSICIONES EN MATERIA DE CIBERSEGURIDAD Y TECNOLOGÍAS DE LA INFORMACIÓN DEL SISTEMA DE PAGOS INTERBANCARIOS EN DÓLARES).
A través de la circular en cuestión, el Banco de México ha modificado los marcos de ciberseguridad aplicables a las Reglas del Sistema de Pagos Electrónicos Interbancarios en Dólares (SPID), con el propósito de dar mayor claridad respecto a los componente que implican la infraestructura tecnológica, toda vez que, son estos los que deberán cumplir con los nuevos requisitos de ciberseguridad; asimismo, el BANXICO busca precisar los elementos obligacionales que los participantes en los sistemas deben cumplir respecto a los requisitos de seguridad informática actualmente contenidos en las Reglas y establecer las obligaciones de los participantes en el SPID relacionados con la designación de oficiales de seguridad de la información y las actividades que realizarán.
Asimismo, se incluyen elementos adicionales que permiten reforzar el marco de ciberseguridad y ciberresiliencia de los participantes del SPID.
Como dijimos antes, a fin de esclarecer lo que comprende o implican los componentes de la infraestructura tecnológica, empieza por modificar dicho concepto, precisando que debemos entender como tal a: a la Infraestructura de Cómputo, Infraestructura de Telecomunicaciones y aplicaciones que utilizan los Participantes para interconectarse y operar con el SPID.
Acorde con la primera intención, incluye nuevas definiciones tales como: centro de datos, Ciberresiliencia,Infraestructura de Cómputo e, Infraestructura de Telecomunicaciones,entre otros. Conceptos esclarecen los componentes de la infraestructura tecnológica para facilitar el cumplimiento de los nuevos (muchos) requisitos.
Esta circular también modifica temas como Contingencias de los Participantes, Requisitos para la admisión como Participante, adiciona una nueva sección denominada: Responsables de cumplimiento normativo y oficial de seguridad de la información del SPID.
Dispone como obligación para los interesados en fungir como participantes, el designar a un oficial de seguridad de la información del SPID y, a un suplente. Cuyas obligaciones serán las siguientes:
43a. Bis. Oficial de Seguridad de la Información del SPID.-
I. Participar en la definición y verificar la implementación y continuo cumplimiento de las políticas y procedimientos de seguridad informática señalados en la Regla 42a., fracción I, de las presentes Reglas, respecto de los Participantes.
II. Verificar, al menos trimestralmente o antes, en caso de que se presenten los eventos o se detecten las circunstancias o amenazas irregulares a que se refiere la Regla 29a. anterior, que se revisen las actividades realizadas en los diferentes componentes de la Infraestructura Tecnológica del Participante, incluyendo aquellas del personal técnico que cuente con altos privilegios, tales como administrador de sistemas operativos y de bases de datos, con el fin de detectar actividades inusuales o no autorizadas.
III. Aprobar y verificar el cumplimiento de las medidas que se hayan adoptado para subsanar deficiencias detectadas con motivo de las funciones a que se refieren las fracciones I y II anteriores, así como de los hallazgos tanto de auditoría interna como externa relacionada con la Infraestructura Tecnológica y de seguridad de la información.
IV. Validar la gestión de los eventos, circunstancias o amenazas irregulares a que se refiere la Regla 29a. anterior, considerando las etapas de identificación, protección, detección, respuesta y recuperación, así como los aspectos de gobierno, preparación, pruebas, concientización y evaluación y aprendizaje.
V. Informar al comité de auditoría y al comité de riesgos del Participante o a las instancias que ejerzan dichas funciones, en la sesión inmediata siguiente a la verificación del evento, circunstancia o amenaza irregulares a que se refiere la Regla 29a. anterior, respecto de las acciones tomadas y del seguimiento a las medidas para prevenir o evitar que se presenten nuevamente los mencionados incidentes.
Los oficiales de seguridad de la información del SPID a los que hace referencia el párrafo anterior deberán ser designados por el director general de la Institución de Crédito.
Los Participantes deberán asegurarse de que el oficial de seguridad de la información tenga a su disposición el listado actualizado de las personas que cuenten con acceso a la información relacionada con las operaciones en las que interviene el propio Participante, tanto de aquellas que se encuentren en el extranjero como de los usuarios de la Infraestructura Tecnológica que cuenten con altos privilegios, tales como administración de sistemas operativos y de bases de datos, así como de sus prestadores de servicios. Dicho listado deberá incluir el nivel de acceso y los privilegios asociados a dichos accesos a la Infraestructura Tecnológica propia, así como aquella otra infraestructura tecnológica de terceros que involucren a la operación del SPID, que corresponda a cada una de dichas personas.»
Respecto a los designados como oficial de seguridad y su suplente, la circular establece que deberán dedicarse exclusivamente a la realización de las tareas que competen a dicho encargo.
Te sugiero conocer el documento completo en el siguiente link: DOF – Diario Oficial de la Federación, toda vez que entrará en vigor el 19 de diciembre del presente año. Salvo:
- Las modificaciones al inciso b) y sus numerales 1 y 4, al inciso c) y su numeral 2, al inciso d) y sus numerales 1 y 3, al inciso e) y su numeral 1, de la fracción I de la 42a., así como las adiciones de los numerales 3, 4, 5, 6, 7, 8, 9 y 10 al inciso e) de la fracción I de la 42a., entrarán en vigor el 19 de diciembre de 2024.
- Las modificaciones al inciso a), a los numerales 2, 3, 6 y 7 del inciso b), a los numerales 1 y 3 del inciso c) y al numeral 2 del inciso d) de la fracción I de la 42a., así como las adiciones de los numerales 2 Bis, 4 Bis y 6 Bis al inciso b) y del inciso f) a la fracción I de la 42a., entrarán en vigor el 19 de diciembre de 2025 y,
- Las modificaciones a la 44a., así como lo dispuesto en las 43a. Bis, 43a. Bis 1, de la presente Circular entrará en vigor el 22 de noviembre de 2023. No obstante lo anterior, aquellos sujetos que, a la fecha de publicación de la presente Circular, hayan quedado admitidos como Participantes del SPID de conformidad con las Reglas a que se refiere esta misma Circular, deberán designar a la persona que se desempeñe como oficial de seguridad de la información del SPID de cada Participante, en términos de lo dispuesto en la 43a. Bis de las Reglas contenidas en esta Circular, así como informar al Banco de México el nombre de dichas personas de conformidad con lo establecido en la 44a. de dichas Reglas, a más tardar el 4 de abril de 2024.
Estaremos subiendo las modificaciones por partes y en el orden en el que entrarán en vigor. Cualquier duda o comentario podrás plantearlo en el chat de la página siguiente, con gusto te atenderemos: www.debengoa.com.mx