El día de ayer se publicó en el DOF (Diario Oficial de la Federación) la circular 12/2023 dirigida a los Participantes del Sistema de Pagos electrónicos Interbancarios y demás interesados en participar con tal carácter, relativa a las modificaciones efectuadas a la circular 14/2017 emitida por el Banco de México para el FORTALECIMIENTO DE LAS DISPOSICIONES EN MATERIA DE CIBERSEGURIDAD Y TECNOLOGIAS DE LA INFORMACIÓN DEL SISTEMA DE PAGOS ELECTRÓNICOS INTERBANCARIOS.
A través de la circular en cuestión, el Banco de México ha modificado los marcos de ciberseguridad aplicables a las Reglas del Sistema de Pagos Electrónicos Interbancarios (SPEI), con el propósito de dar mayor claridad respecto a los componente que implican la infraestructura tecnológica, toda vez que, son estos los que deberán cumplir con los nuevos requisitos de ciberseguridad; asimismo, el BANXICO busca precisar los elementos obligacionales que los participantes en el SPEI deben cumplir respecto a los requisitos de seguridad informática actualmente contenidos en las Reglas.
Al respecto, se incluyen elementos adicionales que permiten reforzar el marco de ciberseguridad y de ciberresiliencia de los participantes en el SPEI.
Dicho lo anterior, veamos en qué consisten algunas de las modificaciones efectuadas a las REGLAS DEL SISTEMA DE PAGOS ELECTRÓNICOS INTERBANCARIOS, a través de la circular 12/2023 que nos ocupa:
Como dijimos antes, a fin de esclarecer lo que comprende o implican los componentes de la infraestructura tecnológica, empieza por modificar dicho concepto, precisando que debemos entender como tal a: a la Infraestructura de Cómputo, Infraestructura de Telecomunicaciones y aplicaciones que utilizan los Participantes para interconectarse y operar con el SPEI.
Acorde con la primera intención, incluye nuevas definiciones tales como: centro de datos, Ciberresiliencia,Infraestructura de Cómputo e, Infraestructura de Telecomunicaciones,entre otros. Conceptos que como podemos apreciar, esclarecen los componentes de la infraestructura tecnológica. En el recuadro siguiente podrás encontrar las definiciones y el numeral en el que podrás localizarlas.
| TEXTO ANTERIOR | TEXTO REFORMADO |
| 2a. Definiciones.- Para los efectos de estas Reglas, sin perjuicio del alcance o definiciones que cualquier otra normativa dé a los términos indicados a continuación, se entenderá por: | |
| Adicionado | VI Bis.- Centro de datos: al sitio de alojamiento físico de equipos de cómputo, telecomunicaciones y almacenamiento de información empleados por el Participante para operar con el SPEI. |
| Adicionado | VII Bis.- Ciberresiliencia: a la capacidad del Participante de prevenir, adaptar, responder o recuperar su operación en el SPEI ante ciberataques o incidentes que puedan afectar a la confidencialidad, integridad, disponibilidad o continuidad operativa de la Infraestructura Tecnológica, así como de la información que esta utilice. Lo anterior, a través de la implementación de herramientas tecnológicas, controles, estructuras, estrategias, políticas, procesos y prácticas |
| Adicionado | XXVII Quáter. Infraestructura de Cómputo: a los elementos de cómputo, ya sean físicos o virtuales, cuya finalidad sea el procesamiento y almacenamiento de datos utilizados por los Participantes para operar con el SPEI |
| Adicionado | XXVII Quinquies. Infraestructura de Telecomunicaciones: a los elementos de red físicos o lógicos, los cuales brindan el servicio de conectividad y transportan los datos de los diferentes programas de cómputo, y que son utilizados por los Participantes para interconectarse y operar con el SPEI. |
| XXVIII.- Infraestructura tecnológica: a la infraestructura de cómputo, telecomunicaciones, y aplicaciones que utilizan los Participantes para interconectarse y operar con el SPEI. | XVIII.-Infraestructura tecnológica: a la Infraestructura de Cómputo, Infraestructura de Telecomunicaciones y aplicaciones que utilizan los Participantes para interconectarse y operar con el SPEI. |
Adicionalmente, entre las reformas podemos encontrar la relativa a:
i.- Requisitos para la admisión como Participante.- ahora los interesados deberán tener en su estructura organizacional un área designada como responsable de que la seguridad informática en la Infraestructura Tecnológica se lleve a cabo de conformidad con las Normas Internas del SPEI, así como que dicha área realice el seguimiento al cumplimiento de las citadas Normas Internas.
De igual manera, deberán:
- Establecer y mantener controles de seguridad informática, así como de Ciberresiliencia en la Infraestructura Tecnológica.
- Utilizar en la Infraestructura de Cómputo protocolos seguros de comunicación utilizados en la Infraestructura Tecnológica y prescindir de aquellos que se consideren inseguros;
- Utilizar herramientas tecnológicas y contar con procedimientos para llevar a cabo la detección de virus informáticos y códigos maliciosos en la Infraestructura de Cómputo, así como mantener actualizadas dichas herramientas y procedimientos,
- Utilizar herramientas para el monitoreo de la integridad de la información en la Infraestructura de Cómputo,
- Utilizar herramientas tecnológicas y contar con procedimientos para la detección y gestión de vulnerabilidades informáticas en la Infraestructura de Cómputo,
- Impedir la ejecución de archivos no autorizados en la Infraestructura de Cómputo a través de herramientas tecnológicas.
- Implementar controles y políticas que se obliguen a seguir respecto de la Infraestructura Tecnológica, que deberán establecer, conforme a lo especificado en el Apéndice M del Manual, lo siguiente:
- Procedimientos que permitan contar con un inventario de la Infraestructura Tecnológica con la que se cuente conforme a lo especificado en el Apéndice M del Manual,
- Proceso de gestión de entrada y salida de equipos de cómputo y telecomunicaciones al Centro de Datos;
- Sistemas electromecánicos y de protección contra incendios del Centro de Datos;
- Proceso de mantenimiento de la Infraestructura de Cómputo;
- Proceso de gestión del acceso físico a los medios usados para el respaldo de información, y
- Proceso de gestión del acceso remoto
Es importante saber que las modificaciones a la circular en comento entrarán en vigor el 19 de diciembre de 2023, con excepción de:
- al inciso b) y sus numerales 1 y 4, al inciso d) y su numeral 2, al inciso e) y sus numerales 1 y 3, al inciso f) y su numeral 1, del apartado A de la fracción I de la 58a., así como las adiciones de los numerales 3, 4, 5, 6, 7, 8, 9 y 10 al inciso f) del apartado A de la fracción I de la 58a., entrarán en vigor el 19 de diciembre de 2024
- Las modificaciones al inciso a), a los numerales 2, 3, 5 y 6 del inciso b), a los numerales 1 y 3 del inciso d) y al numeral 2 del inciso e) del apartado A de la fracción I de la 58a., así como las adiciones de los numerales 2 bis, 4 bis y 5 bis al inciso b) y del inciso g) al apartado A de la fracción I de la 58a., entrarán en vigor el 19 de diciembre de 2025
- Las instituciones para el depósito de valores que a la entrada en vigor de la presente Circular hayan sido admitidas como Participantes, deberán ejecutar los procedimientos de contingencia a que refiere el octavo párrafo de la 46a. de las Reglas del Sistema de Pagos Electrónicos Interbancarios, emitidas mediante la Circular 14/2017 del Banco de México, a partir del 20 de noviembre de 2024. Asimismo, deberán entregar al Administrador un informe, con las características previstas en la 74a. de las presentes Reglas, mediante el cual se verifique el cumplimiento de los requisitos de seguridad informática, gestión del riesgo operacional y certificación establecidos en las fracciones I, II y III de la 58a. de las presentes Reglas, de únicamente la infraestructura que hayan implementado para ejecutar los procedimientos de contingencia a que refiere el presente párrafo, a más tardar el 19 de mayo de 2025.
- Las derogaciones del inciso a) Bis y el numeral 6 del inciso d) del apartado A de la fracción I de la 58a., entrarán en vigor el 19 de diciembre de 2025
Por lo anterior, te invito a conocer el documento completo. Puedes consultarlo en el siguiente link: DOF – Diario Oficial de la Federación
Estaremos subiendo las modificaciones por partes y en el orden en el que entrarán en vigor. Cualquier duda o comentario podrás plantearlo en el chat de nuestra página, con gusto te atenderemos: www.debengoa.com.mx