{ "fuente": "Circular 14/2017 de Banco de México – Reglas del SPEI (texto compilado, incluye modificaciones hasta la Circular 9/2026) + Circular 12/2023 (transitorias)", "alcance": "Controles de seguridad de la Infraestructura Tecnológica y reglas directamente relacionadas", "nota": "descripcion_larga es el texto literal de la regla; descripcion_corta es un resumen. El detalle técnico de muchos controles remite al Apéndice M del Manual del SPEI, que no forma parte de este documento.", "definiciones": { "Infraestructura de Cómputo": "XXVII Quinquies. Infraestructura de a los elementos de cómputo, ya sean físicos o Cómputo: (Modificada por la Circular 9/2026) virtuales, cuya finalidad sea el procesamiento y almacenamiento de datos utilizados por los Participantes para operar con el SPEI. (Adicionada por la Circular 12/2023)", "Infraestructura de Telecomunicaciones": "XXVII Sexies. Infraestructura de a los elementos de red físicos o lógicos, los cuales Telecomunicaciones: (Modificada brindan el servicio de conectividad y transportan por la Circular 9/2026) los datos de los diferentes programas de cómputo, y que son utilizados por los Participantes para interconectarse y operar con el SPEI. (Adicionada por la Circular 12/2023)", "Infraestructura Tecnológica": "XXVIII. Infraestructura a la Infraestructura de Cómputo, Infraestructura Tecnológica: de Telecomunicaciones y aplicaciones que utilizan los Participantes para interconectarse y operar con el SPEI. (Modificada por la Circular 12/2023)", "Ciberresiliencia": "VII Bis. Ciberresiliencia: a la capacidad del Participante de prevenir, adaptar, responder o recuperar su operación en el SPEI ante ciberataques o incidentes que puedan afectar a la confidencialidad, integridad, disponibilidad o continuidad operativa de la Infraestructura Tecnológica, así como de la información que esta utilice. Lo anterior, a través de la implementación de herramientas tecnológicas, controles, estructuras, estrategias, políticas, procesos y prácticas. (Adicionada por la Circular 12/2023)", "Centro de Datos": "VI Bis. Centro de Datos: al sitio de alojamiento físico de equipos de cómputo, telecomunicaciones y almacenamiento de información empleados por el Participante para operar con el SPEI. (Adicionada por la Circular 12/2023)" }, "total_controles": 83, "controles": [ { "id": 1, "numero_regla": "58a. I.A", "descripcion_corta": "Políticas y procedimientos documentados de seguridad en la Infraestructura Tecnológica", "descripcion_larga": "58a. Requisitos para la admisión como Participante.- El interesado en actuar como Participante que presente una solicitud de admisión de conformidad con la 57a. de las presentes Reglas deberá acreditar, a satisfacción del Administrador, que cumple con los requisitos que se indican a continuación, en términos de las especificaciones incluidas en el Apéndice M del Manual. (Modificado por la Circular 11/2018) I. Requisitos de seguridad informática: A. En la Infraestructura Tecnológica. El interesado deberá contar con políticas y procedimientos documentados e implementados que, al menos, incluyan lo siguiente: (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 11/2018)", "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2023-12-19", "transitoria": "PRIMERA", "nota": "Párrafo primero del apartado A" }, "kyber_cobertura": { "tipo": "encabezado", "automatizacion": "n/a", "limitaciones": "Encabezado del inciso; la cobertura se mide en sus numerales." }, "mapeo_frameworks": { "iso27001_2022": [ "5.1", "5.37" ], "pci_dss_v4": [ "12.1", "12.4" ], "soc2_tsc": [ "CC5.3" ] } }, { "id": 2, "numero_regla": "58a. I.A.a)", "descripcion_corta": "Área responsable de seguridad informática", "descripcion_larga": "a) Tener en su estructura organizacional un área designada como responsable de que la seguridad informática en la Infraestructura Tecnológica se lleve a cabo de conformidad con las Normas Internas del SPEI, así como que dicha área realice el seguimiento al cumplimiento de las citadas Normas Internas. (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "ninguna", "limitaciones": "Evidencia organizacional (organigrama, nombramiento, funciones). Generador de políticas puede redactarla." }, "mapeo_frameworks": { "iso27001_2022": [ "5.2", "5.4" ], "pci_dss_v4": [ "12.4.1", "12.5" ], "soc2_tsc": [ "CC1.3" ] } }, { "id": 3, "numero_regla": "58a. I.A.b)", "descripcion_corta": "Controles de seguridad informática y Ciberresiliencia (encabezado)", "descripcion_larga": "b) Establecer y mantener controles de seguridad informática, así como de Ciberresiliencia en la Infraestructura Tecnológica que, al menos, incorporen lo siguiente: (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "encabezado", "automatizacion": "n/a", "limitaciones": "Encabezado del inciso; la cobertura se mide en sus numerales." }, "mapeo_frameworks": { "iso27001_2022": [ "5.1", "8.9" ], "pci_dss_v4": [ "2.2" ], "soc2_tsc": [ "CC5.2" ] } }, { "id": 4, "numero_regla": "58a. I.A.b).1", "descripcion_corta": "Uso de protocolos seguros de comunicación; eliminar protocolos inseguros", "descripcion_larga": "1. Utilizar en la Infraestructura de Cómputo protocolos seguros de comunicación utilizados en la Infraestructura Tecnológica y prescindir de aquellos que se consideren inseguros, conforme a lo especificado en el Apéndice M del Manual; (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "checks_aws": [ "Políticas TLS de ALB/NLB/CloudFront/API Gateway (rechazar TLS<1.2)", "Security groups con puertos de protocolos inseguros abiertos (21, 23, 69, 110, 143, 161, 445, 3389 sin restricción)", "Snapshot: sshd_config (Protocol, Ciphers, MACs), servicios telnet/ftp/rsh instalados", "RDS/ElastiCache con transporte cifrado forzado" ], "limitaciones": "La lista oficial de protocolos inseguros está en el Apéndice M; usar baseline CIS/NIST mientras tanto." }, "mapeo_frameworks": { "iso27001_2022": [ "8.20", "8.21", "8.24" ], "pci_dss_v4": [ "2.2.5", "2.2.7", "4.2.1" ], "soc2_tsc": [ "CC6.1", "CC6.7" ] } }, { "id": 5, "numero_regla": "58a. I.A.b).2", "descripcion_corta": "Antimalware: detección de virus y código malicioso, con herramientas actualizadas", "descripcion_larga": "2. Utilizar herramientas tecnológicas y contar con procedimientos para llevar a cabo la detección de virus informáticos y códigos maliciosos en la Infraestructura de Cómputo, así como mantener actualizadas dichas herramientas y procedimientos. Lo anterior, conforme a lo especificado en el Apéndice M del Manual; (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "deteccion_presencia", "automatizacion": "media", "complemento": [ "documental" ], "checks_aws": [ "Snapshot: agente antimalware instalado y fecha de firmas", "GuardDuty Malware Protection habilitado para EC2/S3" ], "limitaciones": "Se valida existencia y actualización de firmas, no eficacia. Procedimientos son evidencia documental." }, "mapeo_frameworks": { "iso27001_2022": [ "8.7" ], "pci_dss_v4": [ "5.2.1", "5.2.2", "5.3.1", "5.3.2" ], "soc2_tsc": [ "CC6.8" ] } }, { "id": 6, "numero_regla": "58a. I.A.b).2 bis", "descripcion_corta": "Monitoreo de integridad de la información (FIM)", "descripcion_larga": "2. bis. Utilizar herramientas para el monitoreo de la integridad de la información en la Infraestructura de Cómputo, conforme a lo especificado en el Apéndice M del Manual; (Adicionado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Adicionado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "deteccion_presencia", "automatizacion": "media", "checks_aws": [ "Snapshot: AIDE/OSSEC/Wazuh/Tripwire u otro FIM instalado y configurado", "Base de datos de FIM presente y reciente" ], "limitaciones": "No verifica que las alertas se atiendan." }, "mapeo_frameworks": { "iso27001_2022": [ "8.16", "8.9" ], "pci_dss_v4": [ "11.5.2" ], "soc2_tsc": [ "CC7.1" ] } }, { "id": 7, "numero_regla": "58a. I.A.b).3", "descripcion_corta": "Detección y gestión de vulnerabilidades", "descripcion_larga": "3. Utilizar herramientas tecnológicas y contar con procedimientos para la detección y gestión de vulnerabilidades informáticas en la Infraestructura de Cómputo. Lo anterior, conforme a lo especificado en el Apéndice M del Manual; (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "complemento": [ "documental" ], "checks_aws": [ "Escaneo de CVEs en paquetes del snapshot EBS", "Imágenes ECR (scan on push / Inspector)", "Versiones de motor RDS/EKS fuera de soporte", "Antigüedad de hallazgos abiertos por severidad" ], "limitaciones": "Núcleo de Kyber. El proceso de gestión (SLA de remediación) es documental; los plazos oficiales podrían estar en el Apéndice M." }, "mapeo_frameworks": { "iso27001_2022": [ "8.8" ], "pci_dss_v4": [ "6.3.1", "6.3.3", "11.3.1" ], "soc2_tsc": [ "CC7.1" ] } }, { "id": 8, "numero_regla": "58a. I.A.b).4", "descripcion_corta": "Hardening: deshabilitar servicios y software no indispensables", "descripcion_larga": "4. Inhibir tanto la activación de cualquier servicio, así como la instalación de aplicaciones o software en la Infraestructura de Cómputo, que no sean indispensables para la operación con el SPEI. Lo anterior, conforme a lo especificado en el Apéndice M del Manual; (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "checks_aws": [ "Snapshot: servicios habilitados (systemd) y paquetes vs. baseline de la función del host", "Puertos en escucha no justificados vs. security groups", "Compiladores/herramientas de desarrollo en servidores productivos" ], "limitaciones": "Requiere que el cliente declare el rol de cada host para distinguir lo 'indispensable'." }, "mapeo_frameworks": { "iso27001_2022": [ "8.9", "8.19" ], "pci_dss_v4": [ "2.2.1", "2.2.4" ], "soc2_tsc": [ "CC6.8", "CC7.1" ] } }, { "id": 9, "numero_regla": "58a. I.A.b).4 bis", "descripcion_corta": "Control de ejecución de aplicaciones (application whitelisting)", "descripcion_larga": "4. bis. Impedir la ejecución de archivos no autorizados en la Infraestructura de Cómputo a través de herramientas tecnológicas. Lo anterior, conforme a lo especificado en el Apéndice M del Manual; (Adicionado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Adicionado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "deteccion_presencia", "automatizacion": "media", "checks_aws": [ "Snapshot: fapolicyd/AppArmor/SELinux enforcing u otra herramienta de allowlisting", "Windows: AppLocker/WDAC configurado" ], "limitaciones": "Detectar la herramienta no prueba que bloquee ejecuciones; revisar política cargada." }, "mapeo_frameworks": { "iso27001_2022": [ "8.19", "8.7" ], "pci_dss_v4": [], "soc2_tsc": [ "CC6.8" ] } }, { "id": 10, "numero_regla": "58a. I.A.b).5", "descripcion_corta": "Detección y gestión de incidentes de seguridad informática", "descripcion_larga": "5. Detectar y gestionar incidentes de seguridad informática en la Infraestructura Tecnológica, así como en aquella otra infraestructura tecnológica utilizada por el Participante que pudiera derivar en una afectación a su operación en el SPEI. Lo anterior, de conformidad con lo especificado en el Apéndice M del Manual; (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "baja", "complemento": [ "deteccion_presencia" ], "checks_aws": [ "GuardDuty y Security Hub habilitados como fuente de detección" ], "limitaciones": "La gestión (playbooks, roles, tiempos) es proceso. Se liga a la 46a." }, "mapeo_frameworks": { "iso27001_2022": [ "5.24", "5.25", "5.26", "5.28" ], "pci_dss_v4": [ "12.10.1" ], "soc2_tsc": [ "CC7.3", "CC7.4" ] } }, { "id": 11, "numero_regla": "58a. I.A.b).5 bis", "descripcion_corta": "Centralización de bitácoras y detección de anomalías (SIEM)", "descripcion_larga": "5. bis. Utilizar herramientas tecnológicas que lleven a cabo el registro centralizado de bitácoras de los diferentes componentes de la Infraestructura Tecnológica, así como que identifiquen patrones anómalos y detecten incidentes de seguridad informática. Lo anterior, de conformidad con lo especificado en el Apéndice M del Manual, y (Adicionado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Adicionado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "deteccion_presencia", "automatizacion": "media", "checks_aws": [ "CloudTrail multi-región/organización hacia bucket central", "VPC Flow Logs y logs de ALB/WAF centralizados", "Security Hub / SIEM con reglas de anomalías activas", "Snapshot: agente de envío de logs (CloudWatch agent, Fluent Bit)" ], "limitaciones": "Verifica centralización; la calidad de las reglas de detección no es escaneable." }, "mapeo_frameworks": { "iso27001_2022": [ "8.15", "8.16" ], "pci_dss_v4": [ "10.2.1", "10.4.1.1" ], "soc2_tsc": [ "CC7.2" ] } }, { "id": 12, "numero_regla": "58a. I.A.b).6", "descripcion_corta": "Pruebas de penetración con planes de trabajo y reportes", "descripcion_larga": "6. Realizar pruebas de penetración a la Infraestructura Tecnológica, así como elaborar los planes de trabajo y reportes que deriven de los resultados de dichas pruebas. La periodicidad de las pruebas de penetración, los reportes y planes de trabajo que se deben emitir con motivo de las mismas, así como las características que deben reunir las personas que ejecuten las mencionadas pruebas de penetración, serán aquellas especificadas en el Apéndice M del Manual. (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "servicio", "automatizacion": "ninguna", "limitaciones": "Requiere pentest ejecutado por persona con perfil definido en Apéndice M. Oportunidad directa para la línea de pentesting de Kyber." }, "mapeo_frameworks": { "iso27001_2022": [ "8.8", "8.29", "5.35" ], "pci_dss_v4": [ "11.4.1", "11.4.2", "11.4.3" ], "soc2_tsc": [ "CC4.1" ] } }, { "id": 13, "numero_regla": "58a. I.A.c)", "descripcion_corta": "Política de desarrollo/implementación del Aplicativo SPEI (propio o por tercero)", "descripcion_larga": "c) Política para la implementación del Aplicativo SPEI, ya sea por parte del Participante o por medio de una empresa externa especializada en el desarrollo de programas de cómputo (software) contratada por aquel, que contengan los procedimientos siguientes: (Modificado por la Circular 1/2022)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Aplicativo SPEI)", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "encabezado", "automatizacion": "n/a", "limitaciones": "Encabezado del inciso; la cobertura se mide en sus numerales." }, "mapeo_frameworks": { "iso27001_2022": [ "8.25" ], "pci_dss_v4": [ "6.2" ], "soc2_tsc": [ "CC8.1" ] } }, { "id": 14, "numero_regla": "58a. I.A.c).1", "descripcion_corta": "Ciclo de desarrollo formal y documentado (diseño, desarrollo, validación, implantación, control de cambios)", "descripcion_larga": "1. Procedimientos que aseguren que se sigue un proceso de desarrollo formal y documentado para la implementación de su Aplicativo SPEI. El proceso de desarrollo deberá considerar, al menos, las siguientes etapas: (Modificado por la Circular 1/2022) i. Diseño del Aplicativo SPEI. (Modificado por la Circular 1/2022) ii. Desarrollo del Aplicativo SPEI conforme al diseño anterior. (Modificado por la Circular 1/2022) iii. Validación de funcionalidades, propósito, capacidad y calidad del Aplicativo SPEI. (Modificado por la Circular 1/2022) iv. Implantación del Aplicativo SPEI. (Modificado por la Circular 1/2022) v. Seguimiento formal a cambios en el Aplicativo SPEI. (Modificado por la Circular 1/2022)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Aplicativo SPEI)", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)", "(Modificado por la Circular 1/2022)", "(Modificado por la Circular 1/2022)", "(Modificado por la Circular 1/2022)", "(Modificado por la Circular 1/2022)", "(Modificado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "baja", "checks_aws": [ "Evidencia en GitLab/GitHub: ramas protegidas, merge requests con aprobación, pipelines" ], "limitaciones": "El SDLC es proceso; el repositorio da evidencia parcial de control de cambios." }, "mapeo_frameworks": { "iso27001_2022": [ "8.25", "8.32" ], "pci_dss_v4": [ "6.2.1", "6.5.1" ], "soc2_tsc": [ "CC8.1" ] } }, { "id": 15, "numero_regla": "58a. I.A.c).2", "descripcion_corta": "Seguridad integrada en todas las etapas del desarrollo (SSDLC)", "descripcion_larga": "2. Procedimientos que aseguren que la seguridad informática sea considerada durante las diferentes etapas de su proceso de desarrollo;", "categoria": "Seguridad informática – Infraestructura Tecnológica (Aplicativo SPEI)", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "baja", "limitaciones": "Evidencia de requisitos y revisiones de seguridad en diseño." }, "mapeo_frameworks": { "iso27001_2022": [ "8.25", "8.26", "8.27" ], "pci_dss_v4": [ "6.2.1", "6.2.2" ], "soc2_tsc": [ "CC8.1" ] } }, { "id": 16, "numero_regla": "58a. I.A.c).3", "descripcion_corta": "Vigencia de componentes y mecanismos de seguridad del Aplicativo SPEI", "descripcion_larga": "3. Procedimientos que aseguren que los componentes o mecanismos que brindan seguridad a su Aplicativo SPEI se encuentren vigentes y que se revise su vigencia conforme a lo especificado en el Apéndice M del Manual; (Modificado por la Circular 1/2022)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Aplicativo SPEI)", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "complemento": [ "documental" ], "checks_aws": [ "Certificados ACM próximos a expirar o expirados", "Dependencias con fin de vida (SCA sobre imágenes/artefactos)", "Rotación de llaves KMS" ], "limitaciones": "'Componentes que brindan seguridad' puede incluir librerías criptográficas y certificados; periodicidad en Apéndice M." }, "mapeo_frameworks": { "iso27001_2022": [ "8.24", "8.8" ], "pci_dss_v4": [ "4.2.1.1", "6.3.2" ], "soc2_tsc": [ "CC7.1" ] } }, { "id": 17, "numero_regla": "58a. I.A.c).4", "descripcion_corta": "Revisión de seguridad estática y dinámica (SAST/DAST)", "descripcion_larga": "4. Procedimientos que aseguren que la seguridad del Aplicativo SPEI sea revisada de forma estática y dinámica; (Modificado por la Circular 1/2022)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Aplicativo SPEI)", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "media", "complemento": [ "escaneable_directo" ], "checks_aws": [ "Integración con CI: evidencia de SAST/DAST en pipelines del Aplicativo SPEI" ], "limitaciones": "Kyber puede verificar que el pipeline ejecuta SAST/DAST, no la calidad del análisis." }, "mapeo_frameworks": { "iso27001_2022": [ "8.28", "8.29" ], "pci_dss_v4": [ "6.2.3", "6.2.4" ], "soc2_tsc": [ "CC8.1" ] } }, { "id": 18, "numero_regla": "58a. I.A.c).5", "descripcion_corta": "Trazabilidad de accesos y actividades de usuarios; retención ≥ 6 meses", "descripcion_larga": "5. Procedimientos que permitan vigilar, auditar y rastrear los accesos y actividades realizadas por los diferentes usuarios del Aplicativo SPEI con independencia del nivel de privilegios que se establezca para su acceso y el medio o protocolo de comunicación de acceso. Estos procedimientos deberán considerar el resguardo de la información recabada por un periodo de al menos seis meses, y (Modificado por la Circular 1/2022)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Aplicativo SPEI)", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "retencion_medible", "automatizacion": "alta", "complemento": [ "documental" ], "checks_aws": [ "Retención de log groups de CloudWatch del Aplicativo SPEI ≥ 180 días", "Lifecycle de bucket de logs no expira antes de 180 días", "Logs de acceso (ALB, CloudTrail) habilitados" ], "limitaciones": "Solo mide retención; que el aplicativo registre accesos de todos los usuarios es revisión del aplicativo." }, "mapeo_frameworks": { "iso27001_2022": [ "8.15" ], "pci_dss_v4": [ "10.2.1", "10.5.1" ], "soc2_tsc": [ "CC7.2" ] } }, { "id": 19, "numero_regla": "58a. I.A.c).6", "descripcion_corta": "Trazabilidad de todas las operaciones del Aplicativo SPEI; retención ≥ 6 meses", "descripcion_larga": "6. Procedimientos que permitan vigilar, auditar y rastrear todas las operaciones realizadas en el Aplicativo SPEI. Estos procedimientos deberán considerar el resguardo de la información recabada por un periodo de al menos seis meses. (Modificado por la Circular 1/2022)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Aplicativo SPEI)", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "retencion_medible", "automatizacion": "alta", "complemento": [ "documental" ], "checks_aws": [ "Retención de logs transaccionales del Aplicativo SPEI ≥ 180 días", "Protección contra borrado (S3 Object Lock / políticas de bucket)" ], "limitaciones": "PCI exige 12 meses; si el cliente también es PCI, usar el umbral mayor." }, "mapeo_frameworks": { "iso27001_2022": [ "8.15" ], "pci_dss_v4": [ "10.2.1", "10.5.1" ], "soc2_tsc": [ "CC7.2", "PI1.4" ] } }, { "id": 20, "numero_regla": "58a. I.A.d)", "descripcion_corta": "Manejo seguro de la información electrónica (encabezado)", "descripcion_larga": "d) Establecer y mantener controles de acuerdo con sus políticas y procedimientos para el manejo seguro de la información electrónica, a las que refiere el Apéndice M del Manual y en los que quede referido, al menos, lo siguiente: (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "encabezado", "automatizacion": "n/a", "limitaciones": "Encabezado del inciso; la cobertura se mide en sus numerales." }, "mapeo_frameworks": { "iso27001_2022": [ "5.12", "5.33" ], "pci_dss_v4": [ "3.1" ], "soc2_tsc": [ "C1.1" ] } }, { "id": 21, "numero_regla": "58a. I.A.d).1", "descripcion_corta": "Borrado seguro de información en cómputo y telecomunicaciones", "descripcion_larga": "1. Utilizar herramientas tecnológicas para borrar la información de forma segura en la Infraestructura de Cómputo y en la Infraestructura de Telecomunicaciones. Lo anterior, conforme a lo especificado en el Apéndice M del Manual; (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "baja", "complemento": [ "heredado_proveedor" ], "checks_aws": [ "Uso de cifrado en EBS/S3 que permita borrado criptográfico (crypto-shredding vía KMS)" ], "limitaciones": "En nube el borrado físico lo hace el proveedor (heredado); el procedimiento del cliente es documental." }, "mapeo_frameworks": { "iso27001_2022": [ "8.10", "7.14" ], "pci_dss_v4": [ "3.2.1", "9.4.7" ], "soc2_tsc": [ "CC6.5", "C1.2" ] } }, { "id": 22, "numero_regla": "58a. I.A.d).2", "descripcion_corta": "Bloqueo lógico de puertos físicos, medios extraíbles y periféricos", "descripcion_larga": "2. Inhibir, a través de mecanismos lógicos, el acceso a los puertos físicos de conexión, así como el uso de dispositivos de almacenamiento extraíbles y periféricos de la Infraestructura de Cómputo. Lo anterior, conforme a lo especificado en el Apéndice M del Manual; (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "fuera_alcance_agentless", "automatizacion": "ninguna", "limitaciones": "Puertos físicos y medios extraíbles viven en endpoints y servidores on-prem de operadores SPEI. En EC2 no hay puertos físicos: declararlo no aplicable para instancias en nube y mantener el hueco para estaciones de trabajo." }, "mapeo_frameworks": { "iso27001_2022": [ "7.10", "8.1", "8.12" ], "pci_dss_v4": [ "5.3.3", "9.4.1" ], "soc2_tsc": [ "CC6.7" ] } }, { "id": 23, "numero_regla": "58a. I.A.d).3", "descripcion_corta": "Bitácoras de auditoría de cuentas del sistema operativo", "descripcion_larga": "3. Generar y resguardar bitácoras de los eventos de auditoría referentes a la actividad de las cuentas del sistema operativo de la Infraestructura de Cómputo, de acuerdo con sus procedimientos. Lo anterior, conforme a lo especificado en el Apéndice M del Manual; (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "complemento": [ "retencion_medible" ], "checks_aws": [ "Snapshot: auditd habilitado con reglas para cuentas y privilegios (Linux) / política de auditoría (Windows)", "Envío de logs de SO a destino central", "Retención del destino" ] }, "mapeo_frameworks": { "iso27001_2022": [ "8.15" ], "pci_dss_v4": [ "10.2.1", "10.2.2" ], "soc2_tsc": [ "CC7.2" ] } }, { "id": 24, "numero_regla": "58a. I.A.d).4", "descripcion_corta": "Detección de alteración o falsificación de información en el Aplicativo SPEI", "descripcion_larga": "4. Procedimientos que permitan detectar la alteración o falsificación de la información contenida en el Aplicativo SPEI; (Modificado por la Circular 1/2022)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "deteccion_presencia", "automatizacion": "baja", "complemento": [ "documental" ], "checks_aws": [ "Validación de integridad de logs de CloudTrail habilitada", "S3 Object Lock / versionado en buckets con datos del aplicativo" ], "limitaciones": "Detectar alteración dentro del Aplicativo SPEI (firmas, hashes de registros) es revisión del aplicativo." }, "mapeo_frameworks": { "iso27001_2022": [ "8.16", "8.24" ], "pci_dss_v4": [ "10.3.2", "11.5.2" ], "soc2_tsc": [ "PI1.5", "CC7.1" ] } }, { "id": 25, "numero_regla": "58a. I.A.d).5", "descripcion_corta": "Cifrado de información sensible en el Aplicativo SPEI", "descripcion_larga": "5. Procedimientos que permitan cifrar la información sensible en el Aplicativo SPEI, y (Modificado por la Circular 1/2022)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "checks_aws": [ "EBS, RDS, S3, DynamoDB, EFS cifrados con KMS", "Llaves CMK vs. llaves administradas por AWS", "Secrets Manager en vez de credenciales en variables de entorno" ], "limitaciones": "Cifrado a nivel aplicación de campos sensibles no es visible desde la infraestructura." }, "mapeo_frameworks": { "iso27001_2022": [ "8.24" ], "pci_dss_v4": [ "3.5.1", "3.6.1" ], "soc2_tsc": [ "CC6.1", "C1.1" ] } }, { "id": 26, "numero_regla": "58a. I.A.e)", "descripcion_corta": "Controles de acceso robustos y seguros (encabezado)", "descripcion_larga": "e) Implementar controles de acceso a la Infraestructura Tecnológica, que sean robustos y seguros, de acuerdo con sus políticas y procedimientos, en los que quede referido, al menos, lo siguiente: (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "encabezado", "automatizacion": "n/a", "limitaciones": "Encabezado del inciso; la cobertura se mide en sus numerales." }, "mapeo_frameworks": { "iso27001_2022": [ "5.15" ], "pci_dss_v4": [ "7.2", "8.2" ], "soc2_tsc": [ "CC6.1" ] } }, { "id": 27, "numero_regla": "58a. I.A.e).1", "descripcion_corta": "Control de acceso lógico a la Infraestructura de Cómputo", "descripcion_larga": "1. Controlar el acceso lógico a la Infraestructura de Cómputo de acuerdo con sus procedimientos. Lo anterior, conforme a lo especificado en el Apéndice M del Manual; (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "checks_aws": [ "IAM: políticas con '*:*', roles sobre-privilegiados, acceso cross-account", "Security groups de administración abiertos a 0.0.0.0/0", "EC2 con Instance Metadata v1", "Acceso a hosts vía SSM vs. llaves SSH compartidas" ] }, "mapeo_frameworks": { "iso27001_2022": [ "5.15", "8.2", "8.3" ], "pci_dss_v4": [ "7.2.1", "7.2.2" ], "soc2_tsc": [ "CC6.1", "CC6.3" ] } }, { "id": 28, "numero_regla": "58a. I.A.e).2", "descripcion_corta": "Gestión de cuentas de usuario y contraseñas", "descripcion_larga": "2. Gestionar el acceso a las cuentas de usuarios de la Infraestructura de Cómputo y sus contraseñas, de acuerdo con sus procedimientos. Lo anterior, conforme a lo especificado en el Apéndice M del Manual; (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "checks_aws": [ "Política de contraseñas IAM", "MFA en root y usuarios IAM", "Access keys con antigüedad > 90 días o sin uso", "Usuarios IAM inactivos", "Snapshot: cuentas locales, políticas PAM/login.defs, contraseñas vacías" ], "limitaciones": "Parámetros oficiales (longitud, expiración) en Apéndice M; mientras tanto usar PCI 8.3.6 (12 caracteres) como baseline." }, "mapeo_frameworks": { "iso27001_2022": [ "5.16", "5.17", "5.18", "8.5" ], "pci_dss_v4": [ "8.2.6", "8.3.1", "8.3.6", "8.3.9", "8.4.2" ], "soc2_tsc": [ "CC6.2", "CC6.3" ] } }, { "id": 29, "numero_regla": "58a. I.A.e).3", "descripcion_corta": "Bloqueo manual y automático por inactividad", "descripcion_larga": "3. Bloquear de manera manual y automática la Infraestructura de Cómputo al registrar inactividad. Lo anterior, conforme a lo especificado en el Apéndice M del Manual; (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "complemento": [ "fuera_alcance_agentless" ], "checks_aws": [ "Snapshot: TMOUT en shell, ClientAliveInterval en sshd", "Timeout de sesión de SSM Session Manager", "Duración máxima de sesión de roles IAM" ], "limitaciones": "El bloqueo manual de pantalla en estaciones de operadores queda fuera de alcance agentless." }, "mapeo_frameworks": { "iso27001_2022": [ "8.5", "7.7" ], "pci_dss_v4": [ "8.2.8" ], "soc2_tsc": [ "CC6.1" ] } }, { "id": 30, "numero_regla": "58a. I.A.e).4", "descripcion_corta": "Gestión de privilegios de acceso al Aplicativo SPEI", "descripcion_larga": "4. Procedimientos para la gestión de privilegios de acceso al Aplicativo SPEI, y (Modificado por la Circular 1/2022)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "baja", "limitaciones": "Privilegios dentro del Aplicativo SPEI (roles de operador). Evidencia: matriz de roles y revisiones periódicas." }, "mapeo_frameworks": { "iso27001_2022": [ "8.2", "5.18" ], "pci_dss_v4": [ "7.2.1", "7.2.4" ], "soc2_tsc": [ "CC6.3" ] } }, { "id": 31, "numero_regla": "58a. I.A.e).5", "descripcion_corta": "Monitoreo y auditoría de accesos al Aplicativo SPEI; retención ≥ 6 meses y seguimiento a posibles fraudes", "descripcion_larga": "5. Procedimientos que permitan vigilar y auditar los accesos y actividades realizadas por los usuarios del Aplicativo SPEI. Estos procedimientos deberán considerar el resguardo de la información recabada por un periodo de, al menos, seis meses, así como la atención y seguimiento a los posibles eventos de fraude relacionados con transferencias. (Modificado por la Circular 1/2022)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "retencion_medible", "automatizacion": "media", "complemento": [ "documental" ], "checks_aws": [ "Retención de logs de acceso del aplicativo ≥ 180 días" ], "limitaciones": "El seguimiento a posibles fraudes es proceso de negocio." }, "mapeo_frameworks": { "iso27001_2022": [ "8.15", "8.16" ], "pci_dss_v4": [ "10.2.1", "10.5.1" ], "soc2_tsc": [ "CC7.2" ] } }, { "id": 32, "numero_regla": "58a. I.A.f)", "descripcion_corta": "Controles de Infraestructura de Cómputo y Telecomunicaciones (encabezado)", "descripcion_larga": "f) Documentar e implementar los controles de la Infraestructura de Cómputo y de la Infraestructura de Telecomunicaciones siguientes, en términos de las especificaciones establecidas en el Apéndice M del Manual: (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Red / Telecomunicaciones)", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "encabezado", "automatizacion": "n/a", "limitaciones": "Encabezado del inciso; la cobertura se mide en sus numerales." }, "mapeo_frameworks": { "iso27001_2022": [ "8.20" ], "pci_dss_v4": [ "1.2" ], "soc2_tsc": [ "CC6.6" ] } }, { "id": 33, "numero_regla": "58a. I.A.f).1", "descripcion_corta": "Bloqueo de acceso a internet desde la Infraestructura de Cómputo", "descripcion_larga": "1. Inhibir a través de mecanismos lógicos el acceso a internet desde la Infraestructura de Cómputo de acuerdo con sus procedimientos. Lo anterior, conforme a lo especificado en el Apéndice M del Manual; (Modificado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Red / Telecomunicaciones)", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "complemento": [ "fuera_alcance_agentless" ], "checks_aws": [ "Subredes de cómputo SPEI sin ruta a Internet Gateway", "Rutas 0.0.0.0/0 hacia NAT en subredes en alcance", "Egress de security groups abierto a 0.0.0.0/0", "Uso de VPC endpoints en vez de salida a internet para servicios AWS" ], "limitaciones": "Aplicado a estaciones de trabajo de operadores queda fuera de alcance agentless." }, "mapeo_frameworks": { "iso27001_2022": [ "8.20", "8.23" ], "pci_dss_v4": [ "1.3.2", "1.4.1" ], "soc2_tsc": [ "CC6.6" ] } }, { "id": 34, "numero_regla": "58a. I.A.f).2", "descripcion_corta": "Gestión de red eficiente y segura para comunicación con Banco de México", "descripcion_larga": "2. Procedimientos para la gestión de una red de telecomunicaciones que permita la comunicación con el Banco de México de una manera eficiente y segura.", "categoria": "Seguridad informática – Infraestructura Tecnológica (Red / Telecomunicaciones)", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio sustantivo", "nota": "Se reprodujo en la Circular 12/2023 pero no está en la lista de modificaciones" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "media", "complemento": [ "escaneable_directo" ], "checks_aws": [ "Existencia de VPN site-to-site / Direct Connect hacia Banxico y su estado" ], "limitaciones": "La gestión de la red hacia Banxico depende del esquema de conexión que indique el Administrador (47a)." }, "mapeo_frameworks": { "iso27001_2022": [ "8.21" ], "pci_dss_v4": [ "1.2.1" ], "soc2_tsc": [ "CC6.6" ] } }, { "id": 35, "numero_regla": "58a. I.A.f).3", "descripcion_corta": "Segmentación física o lógica de la red en dominios y subredes", "descripcion_larga": "3. Segmentar física o lógicamente, la red de la Infraestructura de Telecomunicaciones en distintos dominios y subredes; (Adicionado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Red / Telecomunicaciones)", "historial_modificaciones": [ "(Adicionado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "checks_aws": [ "Recursos SPEI en VPC/subredes dedicadas", "Peering y Transit Gateway: rutas entre dominios", "Security groups que permiten todo el tráfico entre subredes" ] }, "mapeo_frameworks": { "iso27001_2022": [ "8.22" ], "pci_dss_v4": [ "1.2.1", "1.3.1", "11.4.5" ], "soc2_tsc": [ "CC6.6" ] } }, { "id": 36, "numero_regla": "58a. I.A.f).4", "descripcion_corta": "Documentación de arquitectura: diagramas de red e interconexiones", "descripcion_larga": "4. Contar con la documentación que muestre los componentes que conforman la Infraestructura de Cómputo y la Infraestructura de Telecomunicaciones, así como la interconexión entre ellos, como son diagramas de red, esquemas o mapas. Lo anterior, conforme a la información con la que cada componente de la Infraestructura de Telecomunicaciones cuenta para determinar el flujo de los paquetes de datos; (Adicionado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Red / Telecomunicaciones)", "historial_modificaciones": [ "(Adicionado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "evidencia_generada", "automatizacion": "alta", "checks_aws": [ "Generar diagrama de red automático desde VPC, subredes, rutas, SG, TGW, VPN/DX" ], "limitaciones": "El diagrama autogenerado cubre la nube; la parte on-prem debe completarla el cliente." }, "mapeo_frameworks": { "iso27001_2022": [ "5.9", "8.20" ], "pci_dss_v4": [ "1.2.3", "1.2.4" ], "soc2_tsc": [ "CC2.1" ] } }, { "id": 37, "numero_regla": "58a. I.A.f).5", "descripcion_corta": "Bitácoras de telecomunicaciones con reloj sincronizado", "descripcion_larga": "5. Implementar y almacenar las bitácoras de los eventos generados por la Infraestructura de Telecomunicaciones. Dichas bitácoras deberán contener la estampa de tiempo del reloj de los componentes de la Infraestructura de Telecomunicaciones, el cual debe estar sincronizado contra una referencia de tiempo; (Adicionado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Red / Telecomunicaciones)", "historial_modificaciones": [ "(Adicionado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "checks_aws": [ "VPC Flow Logs habilitados en VPC en alcance", "Logs de Network Firewall/WAF/TGW", "Snapshot: chrony/ntpd configurado (Amazon Time Sync 169.254.169.123)" ], "limitaciones": "Liga con la 49a (relojes)." }, "mapeo_frameworks": { "iso27001_2022": [ "8.15", "8.17" ], "pci_dss_v4": [ "10.2.1", "10.6.1", "10.6.2" ], "soc2_tsc": [ "CC7.2" ] } }, { "id": 38, "numero_regla": "58a. I.A.f).6", "descripcion_corta": "Políticas de filtrado de tráfico; NAT solo uno a uno", "descripcion_larga": "6. Generar e implementar las políticas de filtrado de datos en la Infraestructura de Telecomunicaciones para controlar y especificar los flujos de información. En caso de requerirse la implementación de protocolos de reasignación de direccionamiento IP en uno o varios componentes de la Infraestructura de Telecomunicaciones, éstos deberán configurarse en un formato de uno a uno; (Adicionado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Red / Telecomunicaciones)", "historial_modificaciones": [ "(Adicionado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "checks_aws": [ "Reglas de SG y NACL: any-any, rangos amplios", "Network Firewall con política de filtrado", "NAT Gateway compartido por múltiples instancias (traducción N:1) — RIESGO A VALIDAR contra el requisito de reasignación uno a uno", "Elastic IP 1:1 como alternativa" ], "limitaciones": "La interpretación del 'uno a uno' para NAT de nube no está clara sin el Apéndice M; reportar como riesgo, no como incumplimiento." }, "mapeo_frameworks": { "iso27001_2022": [ "8.20", "8.22" ], "pci_dss_v4": [ "1.2.5", "1.3.1", "1.3.2" ], "soc2_tsc": [ "CC6.6" ] } }, { "id": 39, "numero_regla": "58a. I.A.f).7", "descripcion_corta": "Respaldo de configuraciones de equipos de red", "descripcion_larga": "7. Generar y almacenar los respaldos de la configuración de la Infraestructura de Telecomunicaciones mediante una o más herramientas; (Adicionado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Red / Telecomunicaciones)", "historial_modificaciones": [ "(Adicionado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "complemento": [ "deteccion_presencia" ], "checks_aws": [ "AWS Config recorder habilitado con historial de configuraciones de red", "IaC (Terraform/CloudFormation) versionada", "Respaldos de configuración de equipos de red virtuales/on-prem" ], "limitaciones": "Equipos de red on-prem requieren evidencia del cliente." }, "mapeo_frameworks": { "iso27001_2022": [ "8.9", "8.13" ], "pci_dss_v4": [ "1.2.8" ], "soc2_tsc": [ "CC7.1", "A1.2" ] } }, { "id": 40, "numero_regla": "58a. I.A.f).8", "descripcion_corta": "Administración de red con control, autenticación, autorización y registro (AAA)", "descripcion_larga": "8. Administrar la Infraestructura de Telecomunicaciones mediante protocolos y mecanismos que permitan controlar, autenticar, autorizar y registrar las actividades de los administradores; (Adicionado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Red / Telecomunicaciones)", "historial_modificaciones": [ "(Adicionado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "checks_aws": [ "CloudTrail registrando cambios a VPC, SG, rutas, TGW, Network Firewall", "Administración con roles IAM con MFA (no usuarios compartidos)", "Alarmas de cambios de red" ] }, "mapeo_frameworks": { "iso27001_2022": [ "8.2", "8.5", "8.15" ], "pci_dss_v4": [ "8.4.1", "10.2.1.2", "10.2.1.5" ], "soc2_tsc": [ "CC6.1", "CC7.2" ] } }, { "id": 41, "numero_regla": "58a. I.A.f).9", "descripcion_corta": "Cifrado de enlaces de interconexión", "descripcion_larga": "9. Asegurar la información que se transmite por los enlaces de interconexión de la Infraestructura de Telecomunicaciones, mediante protocolos y algoritmos de cifrado de datos, y (Adicionado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Red / Telecomunicaciones)", "historial_modificaciones": [ "(Adicionado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "checks_aws": [ "VPN IPsec con algoritmos fuertes (IKEv2, AES-256, SHA-256+)", "Direct Connect sin cifrado (sin MACsec ni VPN sobre DX)", "Peering/TGW con tráfico en claro entre componentes SPEI" ] }, "mapeo_frameworks": { "iso27001_2022": [ "8.24", "8.21" ], "pci_dss_v4": [ "4.2.1" ], "soc2_tsc": [ "CC6.7" ] } }, { "id": 42, "numero_regla": "58a. I.A.f).10", "descripcion_corta": "Monitoreo de la Infraestructura de Telecomunicaciones", "descripcion_larga": "10. Monitorizar la Infraestructura de Telecomunicaciones mediante herramientas y protocolos específicos para dicha función. (Adicionado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Red / Telecomunicaciones)", "historial_modificaciones": [ "(Adicionado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2024-12-19", "transitoria": "SEGUNDA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [ "Alarmas de CloudWatch sobre VPN/DX/NAT/Network Firewall", "Métricas y health checks de componentes de red" ] }, "mapeo_frameworks": { "iso27001_2022": [ "8.16" ], "pci_dss_v4": [ "10.7.1", "10.7.2" ], "soc2_tsc": [ "CC7.2", "A1.1" ] } }, { "id": 43, "numero_regla": "58a. I.A.g)", "descripcion_corta": "Controles y políticas generales de la Infraestructura Tecnológica (encabezado)", "descripcion_larga": "g) Implementar controles y políticas que se obliguen a seguir respecto de la Infraestructura Tecnológica, que deberán establecer, conforme a lo especificado en el Apéndice M del Manual, lo siguiente:", "categoria": "Seguridad informática – Infraestructura Tecnológica (Operación / Física)", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "encabezado", "automatizacion": "n/a", "limitaciones": "Encabezado del inciso; la cobertura se mide en sus numerales." }, "mapeo_frameworks": { "iso27001_2022": [ "5.9", "7.1" ], "pci_dss_v4": [ "12.5.1" ], "soc2_tsc": [ "CC6.4" ] } }, { "id": 44, "numero_regla": "58a. I.A.g).1", "descripcion_corta": "Inventario de la Infraestructura Tecnológica", "descripcion_larga": "1. Procedimientos que permitan contar con un inventario de la Infraestructura Tecnológica con la que se cuente conforme a lo especificado en el Apéndice M del Manual;", "categoria": "Seguridad informática – Infraestructura Tecnológica (Operación / Física)", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "evidencia_generada", "automatizacion": "alta", "checks_aws": [ "Inventario automático de recursos en alcance (EC2, RDS, EKS, Lambda, S3, red) con etiquetas y dueños" ], "limitaciones": "Kyber produce el inventario de nube; activos on-prem los aporta el cliente." }, "mapeo_frameworks": { "iso27001_2022": [ "5.9" ], "pci_dss_v4": [ "12.5.1" ], "soc2_tsc": [ "CC6.1" ] } }, { "id": 45, "numero_regla": "58a. I.A.g).2", "descripcion_corta": "Control de entrada y salida de equipos del Centro de Datos", "descripcion_larga": "2. Proceso de gestión de entrada y salida de equipos de cómputo y telecomunicaciones al Centro de Datos;", "categoria": "Seguridad informática – Infraestructura Tecnológica (Operación / Física)", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "heredado_proveedor", "automatizacion": "ninguna", "limitaciones": "En nube lo controla el proveedor; referenciar reporte SOC 2 de AWS vía AWS Artifact. Centros de datos propios o de colocación requieren evidencia del cliente." }, "mapeo_frameworks": { "iso27001_2022": [ "7.2", "7.9" ], "pci_dss_v4": [ "9.4.3" ], "soc2_tsc": [ "CC6.4" ] } }, { "id": 46, "numero_regla": "58a. I.A.g).3", "descripcion_corta": "Sistemas electromecánicos y contra incendios del Centro de Datos", "descripcion_larga": "3. Sistemas electromecánicos y de protección contra incendios del Centro de Datos;", "categoria": "Seguridad informática – Infraestructura Tecnológica (Operación / Física)", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "heredado_proveedor", "automatizacion": "ninguna", "limitaciones": "Idem g).2 (reportes del proveedor)." }, "mapeo_frameworks": { "iso27001_2022": [ "7.5", "7.11" ], "pci_dss_v4": [], "soc2_tsc": [ "A1.2" ] } }, { "id": 47, "numero_regla": "58a. I.A.g).4", "descripcion_corta": "Mantenimiento de la Infraestructura de Cómputo", "descripcion_larga": "4. Proceso de mantenimiento de la Infraestructura de Cómputo;", "categoria": "Seguridad informática – Infraestructura Tecnológica (Operación / Física)", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "media", "complemento": [ "escaneable_directo" ], "checks_aws": [ "Ventanas de mantenimiento/parcheo (SSM Patch Manager, maintenance windows RDS)" ] }, "mapeo_frameworks": { "iso27001_2022": [ "7.13", "8.8" ], "pci_dss_v4": [ "6.3.3" ], "soc2_tsc": [ "CC7.1", "A1.2" ] } }, { "id": 48, "numero_regla": "58a. I.A.g).5", "descripcion_corta": "Control de acceso físico a medios de respaldo", "descripcion_larga": "5. Proceso de gestión del acceso físico a los medios usados para el respaldo de información, y", "categoria": "Seguridad informática – Infraestructura Tecnológica (Operación / Física)", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "heredado_proveedor", "automatizacion": "baja", "complemento": [ "escaneable_directo" ], "checks_aws": [ "Respaldos en AWS Backup con vault lock y acceso restringido" ], "limitaciones": "Acceso físico a medios: heredado; acceso lógico a respaldos sí es escaneable." }, "mapeo_frameworks": { "iso27001_2022": [ "7.10", "8.13" ], "pci_dss_v4": [ "9.4.1" ], "soc2_tsc": [ "CC6.4", "A1.2" ] } }, { "id": 49, "numero_regla": "58a. I.A.g).6", "descripcion_corta": "Gestión del acceso remoto", "descripcion_larga": "6. Proceso de gestión del acceso remoto. (Adicionado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica (Operación / Física)", "historial_modificaciones": [ "(Adicionado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2025-12-19", "transitoria": "TERCERA" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "complemento": [ "documental" ], "checks_aws": [ "SSH/RDP expuestos a internet", "Uso de SSM Session Manager/bastión con MFA", "Client VPN con autenticación fuerte y logs" ], "limitaciones": "Política de acceso remoto del personal es documental." }, "mapeo_frameworks": { "iso27001_2022": [ "6.7", "8.5", "8.20" ], "pci_dss_v4": [ "8.4.3", "1.2.5" ], "soc2_tsc": [ "CC6.1", "CC6.6" ] } }, { "id": 50, "numero_regla": "58a. I.A (controles alternos)", "descripcion_corta": "Autorización de controles compensatorios equivalentes (alineados a NIST/ISO)", "descripcion_larga": "El Administrador podrá autorizar el uso de mecanismos de control alternos a los referidos en los numerales 2, 2 bis, 3, 4 bis, y 5 bis, del inciso b), 1 y 2 del inciso d), así como 1 del inciso f), correspondientes a la fracción I, apartado A, de la presente Regla 58a., y cuyas características son establecidas en el Apéndice M del Manual. (Adicionado por la Circular 12/2023) Para efecto de lo señalado en el párrafo anterior, el Participante de que se trate deberá enviar previamente una comunicación, con las características previstas en el Anexo C del Apéndice M del Manual, a la Dirección de Operación y Continuidad de Sistemas de Pagos e Infraestructuras de Mercados, en términos de la 98a. de estas Reglas, que acredite que los mecanismos de control alternos que pretende implementar permiten producir condiciones de seguridad equivalentes o mayores a aquellas producidas por los elementos descritos en los numerales 2, 2 bis, 3, 4 bis y 5 bis del inciso b), 1 y 2 del inciso d), así como 1 del inciso f), correspondientes a la fracción I, apartado A, de la presente Regla 58a., y se encuentran alineados con las mejores prácticas establecidas sobre la materia por parte de entidades de reconocido prestigio en dicha materia en el país u otras jurisdicciones, tales como el Instituto Nacional de Estándares y Tecnología de los Estados Unidos de América o de la Organización de Estándares Internacionales (NIST e ISO por sus siglas en inglés, respectivamente), así como aquellos que el propio Banco de México determine como equivalentes. (Adicionado por la Circular 12/2023)", "categoria": "Seguridad informática – Infraestructura Tecnológica", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Adicionado por la Circular 12/2023)", "(Adicionado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "adicionado", "entrada_en_vigor": "2023-12-19", "transitoria": "PRIMERA", "nota": "Párrafos segundo y tercero del apartado A" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "ninguna", "limitaciones": "Si el cliente usa controles compensatorios (b.2, 2 bis, 3, 4 bis, 5 bis; d.1, d.2; f.1) debe tener autorización de Banxico vía Anexo C del Apéndice M. Kyber debe registrar si hay autorización vigente para no reportar falsos incumplimientos." }, "mapeo_frameworks": { "iso27001_2022": [ "5.36" ], "pci_dss_v4": [ "Apéndice B (controles compensatorios)" ], "soc2_tsc": [ "CC5.1" ] } }, { "id": 51, "numero_regla": "58a. I.B", "descripcion_corta": "Procesos y sistemas documentados de seguridad en Canales Electrónicos (encabezado)", "descripcion_larga": "B. En los Canales Electrónicos. Los interesados que ofrezcan a sus Clientes Emisores Canales Electrónicos deberán contar con procesos y/o sistemas debidamente documentados que consideren al menos:", "categoria": "Seguridad informática – Canales Electrónicos", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "encabezado", "automatizacion": "n/a", "limitaciones": "Encabezado del inciso; la cobertura se mide en sus numerales." }, "mapeo_frameworks": { "iso27001_2022": [ "8.25", "8.26" ], "pci_dss_v4": [ "6.4" ], "soc2_tsc": [ "CC5.2" ] } }, { "id": 52, "numero_regla": "58a. I.B.a)", "descripcion_corta": "Segregación de funciones entre desarrollo y operación", "descripcion_larga": "a) Contar con una estructura organizacional que permita la separación de actividades y roles, diferenciando entre las áreas responsables del desarrollo y operación de los Canales Electrónicos.", "categoria": "Seguridad informática – Canales Electrónicos", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "baja", "complemento": [ "escaneable_directo" ], "checks_aws": [ "Separación de cuentas AWS de desarrollo y producción (AWS Organizations)" ] }, "mapeo_frameworks": { "iso27001_2022": [ "5.3", "8.31" ], "pci_dss_v4": [ "6.5.3", "6.5.4" ], "soc2_tsc": [ "CC5.1" ] } }, { "id": 53, "numero_regla": "58a. I.B.b)", "descripcion_corta": "Gestión de vulnerabilidades en Canales Electrónicos", "descripcion_larga": "b) Procedimientos que permitan administrar las vulnerabilidades de seguridad informática derivadas de, entre otros factores, cambios, actualizaciones o errores en los Canales Electrónicos.", "categoria": "Seguridad informática – Canales Electrónicos", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "complemento": [ "documental" ], "checks_aws": [ "Escaneo DAST externo de banca web/API", "CVEs en contenedores/hosts del canal", "WAF frente al canal" ] }, "mapeo_frameworks": { "iso27001_2022": [ "8.8" ], "pci_dss_v4": [ "6.3.1", "6.4.1", "6.4.2", "11.3.2" ], "soc2_tsc": [ "CC7.1" ] } }, { "id": 54, "numero_regla": "58a. I.B.c)", "descripcion_corta": "Desarrollo formal con control de versiones", "descripcion_larga": "c) Contar con un proceso de desarrollo de software formal y documentado que contemple al menos el seguimiento y control de versiones del software de los Canales Electrónicos.", "categoria": "Seguridad informática – Canales Electrónicos", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "baja", "checks_aws": [ "Repositorio con control de versiones, tags de release y pipeline" ] }, "mapeo_frameworks": { "iso27001_2022": [ "8.25", "8.32", "8.4" ], "pci_dss_v4": [ "6.5.1" ], "soc2_tsc": [ "CC8.1" ] } }, { "id": 55, "numero_regla": "58a. I.B.d)", "descripcion_corta": "Bitácoras de operación de clientes; retención ≥ 1 año", "descripcion_larga": "d) Procedimientos que permitan el resguardo de bitácoras detalladas sobre la operación de los Clientes Emisores en los Canales Electrónicos, incluyendo las incidencias. Las bitácoras deben ser resguardadas por un periodo de al menos un año.", "categoria": "Seguridad informática – Canales Electrónicos", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "retencion_medible", "automatizacion": "alta", "checks_aws": [ "Retención de logs del canal ≥ 365 días" ], "limitaciones": "El contenido detallado de la bitácora (campos del 58a IV.B.d) es revisión del aplicativo." }, "mapeo_frameworks": { "iso27001_2022": [ "8.15" ], "pci_dss_v4": [ "10.5.1" ], "soc2_tsc": [ "CC7.2" ] } }, { "id": 56, "numero_regla": "58a. I.B.e)", "descripcion_corta": "Control de acceso a bitácoras", "descripcion_larga": "e) Procedimientos que establezcan controles para el acceso a las bitácoras.", "categoria": "Seguridad informática – Canales Electrónicos", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "checks_aws": [ "Políticas de bucket y KMS de logs restringidas", "Acceso a log groups solo por roles autorizados", "Object Lock en bitácoras" ] }, "mapeo_frameworks": { "iso27001_2022": [ "8.15", "8.3" ], "pci_dss_v4": [ "10.3.1", "10.3.2" ], "soc2_tsc": [ "CC6.1" ] } }, { "id": 57, "numero_regla": "58a. I.B.f)", "descripcion_corta": "Antimalware obligatorio y actualizado", "descripcion_larga": "f) Procedimientos que contemplen el uso obligatorio de herramientas que permitan detectar virus informáticos y códigos maliciosos en los Canales Electrónicos, así como procedimientos que permitan su actualización periódica.", "categoria": "Seguridad informática – Canales Electrónicos", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "deteccion_presencia", "automatizacion": "media", "checks_aws": [ "Agente antimalware en hosts del canal", "Escaneo de malware en archivos subidos (S3)" ] }, "mapeo_frameworks": { "iso27001_2022": [ "8.7" ], "pci_dss_v4": [ "5.2.1", "5.3.1" ], "soc2_tsc": [ "CC6.8" ] } }, { "id": 58, "numero_regla": "58a. I.B.g)", "descripcion_corta": "Atención de incidentes de seguridad en Canales Electrónicos", "descripcion_larga": "g) Las medidas y acciones que deberá adoptar, conforme a lo establecido en el Manual, para la atención de incidentes de seguridad de la información en sus Canales Electrónicos. (Adicionado por la Circular 11/2018)", "categoria": "Seguridad informática – Canales Electrónicos", "historial_modificaciones": [ "(Adicionado por la Circular 11/2018)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "baja", "limitaciones": "Plan de respuesta específico para Canales Electrónicos." }, "mapeo_frameworks": { "iso27001_2022": [ "5.24", "5.26" ], "pci_dss_v4": [ "12.10.1" ], "soc2_tsc": [ "CC7.4" ] } }, { "id": 59, "numero_regla": "58a. I.C", "descripcion_corta": "Seguridad en apps móviles para CoDi / transferencias por número celular (encabezado)", "descripcion_larga": "C. En los programas informáticos instalados en dispositivos móviles de telecomunicación. Los interesados que, a través de programas informáticos instalados en dispositivos móviles de telecomunicación, ofrezcan a sus Clientes el servicio de procesamiento de Mensajes de Cobro y Órdenes de Transferencia CoDi, o el servicio de envío o recepción de Órdenes de Transferencias derivadas de Solicitudes de Envío en que los Clientes Emisores respectivos hayan indicado únicamente los diez dígitos de números de telefonía celular deberán contar con procesos o sistemas debidamente documentados que incluyan al menos:", "categoria": "Seguridad informática – Aplicaciones móviles", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "encabezado", "automatizacion": "n/a", "limitaciones": "Encabezado del inciso; la cobertura se mide en sus numerales." }, "mapeo_frameworks": { "iso27001_2022": [ "8.25", "8.26" ], "pci_dss_v4": [], "soc2_tsc": [ "CC5.2" ] } }, { "id": 60, "numero_regla": "58a. I.C.a)", "descripcion_corta": "Instalación correcta y actualización de versiones de la app", "descripcion_larga": "a) Implementación de procedimientos para promover la correcta instalación y actualizaciones de nuevas versiones disponibles en los programas informáticos instalados en dispositivos móviles de telecomunicación y que permitan proteger la información sensible procesada en dichos canales.", "categoria": "Seguridad informática – Aplicaciones móviles", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "fuera_alcance_agentless", "automatizacion": "ninguna", "complemento": [ "servicio" ], "limitaciones": "Controles en la app móvil; requieren MAST o revisión del binario. Posible línea de servicio junto a pentesting." }, "mapeo_frameworks": { "iso27001_2022": [ "8.8", "8.19" ], "pci_dss_v4": [], "soc2_tsc": [ "CC7.1" ] } }, { "id": 61, "numero_regla": "58a. I.C.b)", "descripcion_corta": "Cifrado y almacenamiento seguro de información sensible en la app", "descripcion_larga": "b) Cifrado y almacenamiento de forma segura de la información sensible en los programas informáticos instalados en dispositivos móviles de telecomunicación.", "categoria": "Seguridad informática – Aplicaciones móviles", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "servicio", "automatizacion": "ninguna", "limitaciones": "Revisión de almacenamiento local de la app (MAST)." }, "mapeo_frameworks": { "iso27001_2022": [ "8.24" ], "pci_dss_v4": [ "3.5.1" ], "soc2_tsc": [ "C1.1" ] } }, { "id": 62, "numero_regla": "58a. I.C.c)", "descripcion_corta": "Cifrado de comunicaciones entre la app y otros servicios", "descripcion_larga": "c) Implementación de procedimientos y controles que permitan cifrar la comunicación entre los programas informáticos instalados en dispositivos móviles de telecomunicación y otras aplicaciones necesarias para proveer las funcionalidades.", "categoria": "Seguridad informática – Aplicaciones móviles", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "servicio", "automatizacion": "media", "complemento": [ "escaneable_directo" ], "checks_aws": [ "Backend de la app: TLS en API Gateway/ALB" ], "limitaciones": "Certificate pinning y cifrado en la app requieren MAST." }, "mapeo_frameworks": { "iso27001_2022": [ "8.24" ], "pci_dss_v4": [ "4.2.1" ], "soc2_tsc": [ "CC6.7" ] } }, { "id": 63, "numero_regla": "58a. I.C.d)", "descripcion_corta": "Factores de autenticación y manejo de sesiones", "descripcion_larga": "d) Incorporación de procedimientos y controles para contar con factores de autenticación y manejo de sesiones en los programas informáticos instalados en dispositivos móviles de telecomunicación.", "categoria": "Seguridad informática – Aplicaciones móviles", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "servicio", "automatizacion": "baja", "complemento": [ "escaneable_directo" ], "checks_aws": [ "Cognito/IdP: MFA habilitado y expiración de tokens" ] }, "mapeo_frameworks": { "iso27001_2022": [ "8.5" ], "pci_dss_v4": [ "8.4.2", "8.2.8" ], "soc2_tsc": [ "CC6.1" ] } }, { "id": 64, "numero_regla": "58a. I.C.e)", "descripcion_corta": "Desarrollo formal y documentado de funcionalidades", "descripcion_larga": "e) Procedimientos que aseguren que se sigue un proceso de desarrollo formal y documentado para la implementación de las funcionalidades.", "categoria": "Seguridad informática – Aplicaciones móviles", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "baja" }, "mapeo_frameworks": { "iso27001_2022": [ "8.25" ], "pci_dss_v4": [ "6.2.1" ], "soc2_tsc": [ "CC8.1" ] } }, { "id": 65, "numero_regla": "58a. I.C.f)", "descripcion_corta": "Prevenir ejecución con privilegios de administrador o en SO modificados (root/jailbreak)", "descripcion_larga": "f) Implementación de procedimientos y controles para prevenir la ejecución de los programas informáticos instalados en dispositivos móviles de telecomunicación con permisos de administración y en sistemas operativos modificados.", "categoria": "Seguridad informática – Aplicaciones móviles", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "servicio", "automatizacion": "ninguna", "limitaciones": "Detección de root/jailbreak se valida probando la app." }, "mapeo_frameworks": { "iso27001_2022": [ "8.1", "8.26" ], "pci_dss_v4": [], "soc2_tsc": [ "CC6.8" ] } }, { "id": 66, "numero_regla": "58a. I.C.g)", "descripcion_corta": "Revisión estática y dinámica y gestión de amenazas de la app", "descripcion_larga": "g) Implementación de procedimientos que aseguren que la seguridad de los programas informáticos instalados en dispositivos móviles de telecomunicación sea revisada de forma estática y dinámica y se gestionen las amenazas.", "categoria": "Seguridad informática – Aplicaciones móviles", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "servicio", "automatizacion": "ninguna", "limitaciones": "SAST/DAST móvil y modelado de amenazas." }, "mapeo_frameworks": { "iso27001_2022": [ "8.29" ], "pci_dss_v4": [ "6.2.3" ], "soc2_tsc": [ "CC7.1" ] } }, { "id": 67, "numero_regla": "58a. I.C.h)", "descripcion_corta": "Verificación de integridad de la app", "descripcion_larga": "h) Procedimientos que permitan verificar la integridad de los programas informáticos instalados en dispositivos móviles de telecomunicación. (Apartado adicionado por la Circular 2/2025)", "categoria": "Seguridad informática – Aplicaciones móviles", "historial_modificaciones": [ "(Apartado adicionado por la Circular 2/2025)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "servicio", "automatizacion": "ninguna", "limitaciones": "Verificación de integridad (app attestation, anti-tampering)." }, "mapeo_frameworks": { "iso27001_2022": [ "8.26" ], "pci_dss_v4": [], "soc2_tsc": [ "CC7.1" ] } }, { "id": 68, "numero_regla": "58a. I (pruebas de confianza)", "descripcion_corta": "Pruebas de confianza e integridad al personal y proveedores de TIC con acceso relevante", "descripcion_larga": "Además de lo anteriormente establecido en esta fracción, el interesado en actuar como Participante deberá contar con una política y procedimientos documentados que se obligue a seguir en materia de pruebas de confianza e integridad que deba aplicar a aquellos miembros de su personal, así como de los terceros que provean servicios en materia de tecnologías de la información y comunicación, que tengan acceso a información y sistemas relevantes en la operación con el SPEI. Lo dispuesto en la presente Regla no será aplicable al caso en que el Participante sea el Banco de México, en su carácter de fiduciario de cualquier fideicomiso sin estructura orgánica o un operador de un sistema internacional de liquidación de operaciones cambiarias que incluyan al peso como una de las divisas participantes. (Adicionado por la Circular 11/2018 y modificado por la Circular 18/2018)", "categoria": "Seguridad informática – Personal y terceros", "historial_modificaciones": [ "(Adicionado por la Circular 11/2018 y modificado por la Circular 18/2018)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "ninguna", "limitaciones": "Proceso de RH y de gestión de proveedores de TIC." }, "mapeo_frameworks": { "iso27001_2022": [ "6.1", "5.19", "5.20" ], "pci_dss_v4": [ "12.7.1", "12.8" ], "soc2_tsc": [ "CC1.4", "CC9.2" ] } }, { "id": 69, "numero_regla": "58a. II.a).2", "descripcion_corta": "Análisis de impacto al negocio (BIA): RTO ≤ 2 horas y RPO con conciliación", "descripcion_larga": "2. Una metodología para el análisis de impactos al negocio, que considere al menos: i. Identificar los procesos críticos relacionados con su operación con el SPEI; ii. Identificar y clasificar los impactos en el tiempo en el que se encuentra disponible el sistema al materializarse los riesgos operacionales identificados, conforme a la metodología de gestión del riesgo operacional definida; iii. Definir un tiempo objetivo de recuperación para cada proceso crítico relacionado con su operación con el SPEI, el cual deberá ser menor o igual a dos horas; iv. Definir un punto objetivo de recuperación ante la interrupción de su operación con el SPEI, que considere procedimientos de conciliación para recuperar la operación en un estado consistente de la información hasta antes de la interrupción; v. Identificar a las contrapartes críticas internas y externas relacionadas con su operación con el SPEI, y vi. Identificar los recursos materiales y humanos críticos para realizar la operación con el SPEI;", "categoria": "Gestión de riesgo operacional y continuidad", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "baja", "complemento": [ "escaneable_directo" ], "checks_aws": [ "Evidencia técnica que soporte RTO ≤ 2 h: Multi-AZ, réplicas, AWS Backup, planes de recuperación" ], "limitaciones": "El BIA es documental; Kyber puede señalar arquitecturas incompatibles con RTO de 2 horas (single-AZ, sin respaldos)." }, "mapeo_frameworks": { "iso27001_2022": [ "5.29", "5.30" ], "pci_dss_v4": [ "12.10.1" ], "soc2_tsc": [ "A1.2", "A1.3", "CC9.1" ] } }, { "id": 70, "numero_regla": "58a. II.b).2", "descripcion_corta": "Análisis de capacidad de recursos tecnológicos para altos volúmenes", "descripcion_larga": "2. Contar con un análisis de capacidad sobre los recursos tecnológicos, humanos y materiales dispuestos para la operación con el SPEI para asegurar que cuente con los recursos suficientes para manejar volúmenes altos de operación y cumplir con sus objetivos de nivel de servicio, y", "categoria": "Gestión de riesgo operacional y continuidad", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "complemento": [ "documental" ], "checks_aws": [ "Auto Scaling configurado, límites de servicio, alarmas de saturación" ], "limitaciones": "El análisis de capacidad formal es documental." }, "mapeo_frameworks": { "iso27001_2022": [ "8.6" ], "pci_dss_v4": [], "soc2_tsc": [ "A1.1" ] } }, { "id": 71, "numero_regla": "58a. II.b).3", "descripcion_corta": "Gestión de privilegios de acceso físico a sitios operativos y Centros de Datos", "descripcion_larga": "3. Contar con políticas y lineamientos para la gestión de privilegios de acceso físico a los sitios operativos desde donde se realiza la operación con el SPEI y a los Centros de Datos que alojan a la Infraestructura Tecnológica dispuesta para operar con el SPEI. (Modificado por la Circular 12/2023)", "categoria": "Gestión de riesgo operacional y continuidad", "historial_modificaciones": [ "(Modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2023-12-19", "transitoria": "PRIMERA" }, "kyber_cobertura": { "tipo": "heredado_proveedor", "automatizacion": "ninguna", "complemento": [ "documental" ], "limitaciones": "Acceso físico a Centros de Datos en nube: heredado del proveedor. Sitios operativos propios: evidencia del cliente." }, "mapeo_frameworks": { "iso27001_2022": [ "7.1", "7.2", "7.4" ], "pci_dss_v4": [ "9.2.1", "9.3.1" ], "soc2_tsc": [ "CC6.4" ] } }, { "id": 72, "numero_regla": "58a. II.c)", "descripcion_corta": "Continuidad, respuesta a incidentes, emergencias, restablecimiento y plan de pruebas", "descripcion_larga": "c) El interesado establezca procedimientos documentados que deberá seguir para la recuperación y restauración de la operación con el SPEI ante la materialización de alguno de los riesgos a que se refiere esta fracción, que incluyan: 1. Una política de continuidad, así como las estrategias y procedimientos que el interesado deberá seguir como Participante para que, ante la materialización de los escenarios de contingencia identificados en el análisis de riesgos, pueda continuar con la operación con el SPEI en un nivel mínimo aceptable; (Modificado por la Circular 1/2022) 2. Las acciones que deberá seguir para la atención de incidentes que causen una afectación en la operación normal con el SPEI que contemple las fases de identificación, diagnóstico, atención, recuperación, restauración y documentación e indique los roles y responsabilidades correspondientes; 3. Las actividades que deberá realizar para dar respuesta a emergencias ante la ocurrencia de algún incidente que afecte la operación normal con el SPEI en el que se considere la activación de las estrategias y procedimientos de continuidad implementados y se indiquen los roles y responsabilidades, los niveles y tiempo de escalamiento, el protocolo y los medios de comunicación interna y externa disponibles; 4. Las acciones que deberá seguir para el restablecimiento de la operación normal, una vez que se active alguna estrategia o se ejecute algún procedimiento de continuidad derivado de la ocurrencia de un incidente relacionado con la operación con el SPEI, y 5. Un plan de pruebas al que deberá dar seguimiento para evaluar las estrategias y procedimientos de continuidad implementados relacionados con la operación con el SPEI indicando los lineamientos, tipo de pruebas a realizar y periodicidad de las mismas.", "categoria": "Gestión de riesgo operacional y continuidad", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "baja", "checks_aws": [ "Evidencia de pruebas de restauración (AWS Backup restore testing)" ] }, "mapeo_frameworks": { "iso27001_2022": [ "5.24", "5.26", "5.29", "5.30" ], "pci_dss_v4": [ "12.10.1", "12.10.2" ], "soc2_tsc": [ "CC7.4", "CC7.5", "A1.3" ] } }, { "id": 73, "numero_regla": "46a.", "descripcion_corta": "Notificación de contingencias (>30 min) y amenazas inminentes/ciberataques a Banxico", "descripcion_larga": "46a. Contingencias de los Participantes.- En caso de que un Participante presente algún evento que afecte su operación con el SPEI o detecte cualquier circunstancia irregular en su operación con este, cuando la duración de dicho evento sea de más de treinta minutos, el Participante deberá notificar al Administrador vía telefónica a los contactos operativos del Administrador establecidos en la sección 10 del Manual y, posteriormente, a través de una comunicación suscrita digitalmente por el responsable del cumplimiento normativo del SPEI, por el oficial de seguridad de la información del SPEI o sus respectivos suplentes, de acuerdo con lo dispuesto en el Anexo B del Apéndice M del Manual y enviada en términos de lo establecido en la 98a. de las Reglas. (Modificado por la Circular 1/2022) La comunicación suscrita digitalmente señalada en el párrafo anterior deberá enviarse dentro de los sesenta minutos posteriores a que surja el referido evento o la detección de la circunstancia irregular, la cual deberá expresar la fecha y hora de inicio del evento, la indicación de si continúa o ha concluido y su duración, los procesos, sistemas y canales afectados, así como una descripción del evento que se haya registrado. Adicionalmente, en caso de que un Participante identifique alguna amenaza inminente a la operación del SPEI, como pudieran ser, entre otros, la presencia de códigos maliciosos, ataques a su Infraestructura Tecnológica o la realización de actos vinculados con posibles fraudes, el Participante deberá notificar esos hechos al Administrador de manera inmediata a su detección, vía telefónica a los contactos operativos del Administrador establecidos en la sección 10 del Manual y, adicionalmente, dentro de los sesenta minutos posteriores a la identificación de la amenaza, a través de una comunicación suscrita digitalmente por el responsable del cumplimiento normativo del SPEI, por el oficial de seguridad de la información del SPEI o sus respectivos suplentes, de acuerdo con lo dispuesto en el Anexo A del Apéndice M del Manual y enviada en términos de lo establecido en la 98a. de las Reglas. (Modificado por la Circular 1/2022) Cuando un Participante se ubique en los supuestos de contingencia previstos en los párrafos primero y tercero de la presente Regla y tenga Clientes con el carácter de Participantes Indirectos, deberá informar a estos últimos dichos eventos de contingencia. La comunicación por medio de la cual se notifique a los Participantes Indirectos respecto de la contingencia deberá enviarse dentro de los sesenta minutos posteriores a que surja el referido evento, a que se detecte la circunstancia irregular o se identifique la amenaza a la seguridad en la operación del SPEI, según corresponda, indicando de manera detallada si la afectación ocurre o no dentro de la infraestructura del propio Participante, incluyendo la Infraestructura Tecnológica, por medio de los canales de comunicación que para tales efectos hayan establecido previamente en el Contrato de Servicios de Participación Indirecta. (Adicionado por la Circular 1/2022)", "categoria": "Gestión de incidentes", "referencia_manual": "Apéndice M del Manual", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)", "(Modificado por la Circular 1/2022)", "(Adicionado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "media", "checks_aws": [ "Alertas de GuardDuty/Security Hub con enrutamiento a canal de respuesta para cumplir notificación inmediata y < 60 min" ], "limitaciones": "Kyber puede medir tiempo de detección a notificación si orquesta alertas; la notificación a Banxico requiere comunicación firmada por el responsable de cumplimiento u oficial de seguridad." }, "mapeo_frameworks": { "iso27001_2022": [ "5.24", "5.26", "6.8" ], "pci_dss_v4": [ "12.10.1", "12.10.5" ], "soc2_tsc": [ "CC7.3", "CC7.4", "CC2.3" ] } }, { "id": 74, "numero_regla": "46a. (infraestructura de contingencia)", "descripcion_corta": "Informe 74a sobre seguridad de la infraestructura de contingencia (participación >3%)", "descripcion_larga": "Adicionalmente, los Participantes a que se refiere el párrafo precedente deberán entregar al Administrador, dentro de los ciento ochenta días naturales siguientes al vencimiento del plazo de trescientos sesenta y cinco días naturales señalado en ese mismo párrafo, un informe con las características previstas en la 74a. de las presentes Reglas, que acredite el cumplimiento de los requisitos de seguridad informática, gestión del riesgo operacional y certificación establecidos en las fracciones I, II y III de la 58a. de las presentes Reglas, aplicables a la infraestructura utilizada por el Participante de que se trate, para ejecutar los procedimientos de contingencia que se establezcan de conformidad con el párrafo anterior. (Adicionado por la Circular 1/2022 y modificado por la Circular 12/2023)", "categoria": "Gestión de incidentes", "historial_modificaciones": [ "(Adicionado por la Circular 1/2022 y modificado por la Circular 12/2023)" ], "circular_12_2023": { "tipo_cambio": "modificado", "entrada_en_vigor": "2023-12-19", "transitoria": "PRIMERA", "nota": "Párrafos octavo y noveno. Transitoria CUARTA: instituciones para el depósito de valores ya admitidas ejecutan contingencia desde 2024-11-20 y entregan informe 74a a más tardar 2025-05-19" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "complemento": [ "documental" ], "checks_aws": [ "Aplicar los mismos checks de 58a I-III a la infraestructura de contingencia (región/cuenta secundaria)" ], "limitaciones": "Solo aplica a participantes con participación relativa > 3% o instituciones para el depósito de valores." }, "mapeo_frameworks": { "iso27001_2022": [ "5.30", "8.14" ], "pci_dss_v4": [], "soc2_tsc": [ "A1.2" ] } }, { "id": 75, "numero_regla": "47a.", "descripcion_corta": "Comunicación con el SPEI conforme a protocolos del Manual; APIs según Apéndice AO", "descripcion_larga": "47a. Comunicación con el SPEI.- Los mensajes, avisos y demás información que intercambie el Participante a través del SPEI deberán sujetarse a los horarios, protocolos, formularios, métodos de envío y procedimientos indicados en el Manual. Adicionalmente, el Participante deberá implementar el esquema de conexión que le indique el Administrador para conectarse con este y operar con las Instancias del SPEI correspondientes. (Modificado por la Circular 1/2022) En caso de que los Participantes deseen proveer servicios relacionados con el procesamiento de Órdenes de Transferencia mediante el SPEI a través de alguna interfaz de programación de aplicaciones informáticas estandarizadas, deberán realizarlo de conformidad con lo establecido en el Apéndice AO del Manual u obtener del Administrador, mediante la presentación de una solicitud, la autorización de algún esquema que cumpla con las características establecidas en el mencionado Apéndice. (Adicionado por la Circular 1/2022)", "categoria": "Reglas relacionadas", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)", "(Adicionado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "baja", "limitaciones": "Esquema de conexión definido por Banxico; APIs según Apéndice AO." }, "mapeo_frameworks": { "iso27001_2022": [ "8.21" ], "pci_dss_v4": [], "soc2_tsc": [ "CC6.6" ] } }, { "id": 76, "numero_regla": "48a.", "descripcion_corta": "Conexión y disponibilidad con las Instancias del SPEI", "descripcion_larga": "48a. Conexión con el SPEI.- Los Participantes que tengan el carácter de Institución de Crédito y los demás que estén autorizados a llevar a sus Clientes cuentas de depósito de dinero, así como las Cámaras de Compensación de Transferencias a Través de Dispositivos Móviles, deberán mantener su conexión con el SPEI, para dar cumplimiento a los horarios de operación que se establecen en la 19a. de estas Reglas o, en su defecto, aquel que determine e informe el Administrador de conformidad con la 36a. y 39a. de estas Reglas. En cualquier caso, cada Participante deberá mantener su conexión con el SPEI de acuerdo con los índices anuales de disponibilidad medidos para cada Instancia del SPEI definidos en la sección 5 del Manual. En caso de que, por cualquier circunstancia, el Participante pierda la conexión, estará obligado a restablecer dicha conexión con el SPEI en términos de lo previsto en el Manual, así como informar al Administrador de conformidad con lo establecido en la 46a. de estas Reglas. (Modificado por la Circular 1/2022)", "categoria": "Reglas relacionadas", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "media", "checks_aws": [ "Monitoreo de disponibilidad de túneles/enlaces hacia Banxico", "Redundancia del enlace" ], "limitaciones": "Los índices de disponibilidad están en la sección 5 del Manual." }, "mapeo_frameworks": { "iso27001_2022": [ "8.14", "8.16" ], "pci_dss_v4": [], "soc2_tsc": [ "A1.1", "A1.2" ] } }, { "id": 77, "numero_regla": "49a.", "descripcion_corta": "Sincronización de relojes de la Infraestructura Tecnológica", "descripcion_larga": "49a. Características técnicas necesarias de los relojes.- Los Participantes deberán asegurarse que los relojes de sus respectivas Infraestructuras Tecnológicas que utilicen para operar en el SPEI, así como el de las infraestructuras tecnológicas y de telecomunicaciones dedicadas a la administración de Cuentas de Clientes, cumplan con las características previstas en la sección 6 del Manual.", "categoria": "Reglas relacionadas", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "escaneable_directo", "automatizacion": "alta", "checks_aws": [ "Snapshot: chrony/ntpd apuntando a fuente confiable", "Desfase de reloj reportado" ], "limitaciones": "Características exactas del reloj en la sección 6 del Manual." }, "mapeo_frameworks": { "iso27001_2022": [ "8.17" ], "pci_dss_v4": [ "10.6.1", "10.6.2", "10.6.3" ], "soc2_tsc": [ "CC7.2" ] } }, { "id": 78, "numero_regla": "59a. Bis", "descripcion_corta": "Oficial de Seguridad de la Información del SPEI: designación, independencia y funciones", "descripcion_larga": "59a. Bis. Oficial de Seguridad de la Información del SPEI.- Cada interesado que solicite su admisión como Participante deberá designar, conforme al modelo establecido para estos efectos en el Apéndice AB del Manual, a una persona que se desempeñe como oficial de seguridad de la información del SPEI y a su respectivo suplente, los cuales el Participante deberá ratificar anualmente durante mayo, mediante escrito dirigido al Administrador, por conducto de la Dirección de Operación y Continuidad de Sistemas de Pagos e Infraestructuras de Mercados en términos del referido Apéndice AB, quienes deberán tener independencia respecto de las unidades de negocio y las áreas de sistemas informáticos y de auditoria de dicho sujeto, así como quedar encargados de lo siguiente: (Modificado por la Circular 1/2022) I. Participar en la definición y verificar la implementación y continuo cumplimiento de las políticas y procedimientos de seguridad informática señalados en la Regla 58a., fracción I, apartados A y B, respecto de los Participantes, y verificar la implementación y cumplimiento de las políticas y procedimientos de seguridad informática señalados en la 9a. Bis 4., fracción V, de las presentes Reglas. (Modificada por la Circular 1/2022) II. Verificar, al menos trimestralmente o antes, en caso de que se presenten los eventos o se detecten las circunstancias o amenazas irregulares a que se refiere la Regla 46a. anterior, que se revisen las actividades realizadas en los diferentes componentes de la Infraestructura Tecnológica del Participante o en los Canales Electrónicos en caso de que el sujeto a que se refiere esta Regla los ofrezca a sus Clientes, incluyendo aquellas del personal técnico que cuente con altos privilegios, tales como administrador de sistemas operativos y de bases de datos, con el fin de detectar actividades inusuales o no autorizadas. III. Aprobar y verificar el cumplimiento de las medidas que se hayan adoptado para subsanar deficiencias detectadas con motivo de las funciones a que se refieren las fracciones I y II anteriores, así como de los hallazgos tanto de auditoría interna como externa relacionada con la Infraestructura Tecnológica y de seguridad de la información. IV. Validar la gestión de los eventos, circunstancias o amenazas irregulares a que se refiere la Regla 46a. anterior, considerando las etapas de identificación, protección, detección, respuesta y recuperación, así como los aspectos de gobierno, preparación, pruebas, concientización y evaluación y aprendizaje. V. Informar al comité de auditoría y al comité de riesgos del Participante o a las instancias que ejerzan dichas funciones, en la sesión inmediata siguiente a la verificación del evento, circunstancia o amenaza irregulares a que se refiere la Regla 46a. anterior, respecto de las acciones tomadas y del seguimiento a las medidas para prevenir o evitar que se presenten nuevamente los mencionados incidentes. (Adicionada por la Circular 11/2018 y modificada por la Circular 18/2018) VI. Se deroga. (Derogada por la Circular 18/2018) Los Participantes deberán asegurarse de que el oficial de seguridad de la información tenga a su disposición el listado actualizado de las personas que cuenten con acceso a la información relacionada con las operaciones en las que interviene el propio Participante, tanto de aquellas que se encuentren en el extranjero como de los usuarios de la Infraestructura Tecnológica que cuenten con altos privilegios, tales como administración de sistemas operativos y de bases de datos, así como de sus prestadores de servicios. Dicho listado deberá incluir el nivel de acceso y los privilegios asociados a dichos accesos a la Infraestructura Tecnológica propia, así como aquella otra infraestructura tecnológica de terceros que involucren a la operación del SPEI, que corresponda a cada una de dichas personas. En caso que algún Participante sustituya a la persona que haya designado como oficial de seguridad de la información del SPEI o al suplente de este, dicho Participante deberá hacer del conocimiento del Administrador esa situación mediante escrito que envíe a la Dirección de Operación y Continuidad de Sistemas de Pagos e Infraestructuras de Mercados, a más tardar el quinto Día Hábil Bancario contado a partir de aquel en que se presente la situación, de conformidad con lo establecido en la 98a. de las presentes Reglas. (Adicionado por la Circular 1/2022) Lo dispuesto en la presente Regla no será aplicable al caso en que el Participante sea el Banco de México, en su carácter de fiduciario de cualquier fideicomiso sin estructura orgánica o un operador de un sistema internacional de liquidación de operaciones cambiarias que incluyan al peso como una de las divisas participantes. (Regla adicionada por la Circular 11/2018 y párrafo adicionado por la Circular 18/2018)", "categoria": "Gobierno de seguridad", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)", "(Modificada por la Circular 1/2022)", "(Adicionada por la Circular 11/2018 y modificada por la Circular 18/2018)", "(Derogada por la Circular 18/2018)", "(Adicionado por la Circular 1/2022)", "(Regla adicionada por la Circular 11/2018 y párrafo adicionado por la Circular 18/2018)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "media", "complemento": [ "evidencia_generada" ], "checks_aws": [ "Reporte de usuarios con altos privilegios en IAM y hosts para el listado que exige la regla" ], "limitaciones": "Kyber puede generar el listado de accesos privilegiados que el oficial de seguridad debe tener disponible y soportar la revisión trimestral." }, "mapeo_frameworks": { "iso27001_2022": [ "5.2", "5.3", "8.2" ], "pci_dss_v4": [ "12.4.1", "7.2.4" ], "soc2_tsc": [ "CC1.3", "CC4.1" ] } }, { "id": 79, "numero_regla": "59a. Bis 1", "descripcion_corta": "Exclusividad de funciones del oficial de seguridad", "descripcion_larga": "59a. Bis 1. Exclusividad de funciones de los responsables del cumplimiento normativo y oficiales de seguridad de la información del SPEI.- Las personas que sean designadas como responsables del cumplimiento normativo del SPEI o como oficiales de seguridad de la información del SPEI, y sus respectivos suplentes, deberán dedicarse de manera exclusiva a las actividades señaladas en la 59a. y 59a. Bis. anteriores, así como aquellas actividades complementarias a sus funciones dentro de la operativa interna de cada Participante, siempre y cuando dichas actividades sean de naturaleza análoga a las descritas en la 59a. y la 59a. Bis. de las presentes Reglas. (Modificado por la Circular 15/2022) I. (Derogada por la Circular 15/2022) II. (Derogada por la Circular 15/2022)", "categoria": "Gobierno de seguridad", "historial_modificaciones": [ "(Modificado por la Circular 15/2022)", "(Derogada por la Circular 15/2022)", "(Derogada por la Circular 15/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "ninguna", "limitaciones": "Requisito organizacional." }, "mapeo_frameworks": { "iso27001_2022": [ "5.2", "5.3" ], "pci_dss_v4": [], "soc2_tsc": [ "CC1.3" ] } }, { "id": 80, "numero_regla": "61a.", "descripcion_corta": "Autorización de Banxico para terceros que provean interfaz o servicios esenciales", "descripcion_larga": "61a. Prestación de servicios por parte de terceros.- El interesado que pretenda pactar con terceros que le proporcionen una interface que le permita conectarse con el SPEI o algún otro servicio que resulte esencial para la operación del SPEI, deberá obtener la autorización del Banco de México en los términos de lo dispuesto en la Circular 13/2017.", "categoria": "Terceros", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "ninguna", "limitaciones": "Autorización de Banxico para terceros esenciales (Circular 13/2017). Kyber mismo podría caer aquí si se considera servicio esencial; revisar." }, "mapeo_frameworks": { "iso27001_2022": [ "5.19", "5.21", "5.23" ], "pci_dss_v4": [ "12.8.1", "12.8.2" ], "soc2_tsc": [ "CC9.2" ] } }, { "id": 81, "numero_regla": "67a.", "descripcion_corta": "Cumplimiento permanente; responsabilidad ante ataques a la Infraestructura Tecnológica", "descripcion_larga": "67a. Cumplimiento permanente de los requisitos para la admisión como Participante.- Los Participantes deberán cumplir en todo momento con los requisitos a que se refieren las 58a., 68a., 70a., 71a. y 72a., de las presentes Reglas. El cumplimiento de los requisitos establecidos en las fracciones I y II de la 58a. de estas Reglas no eximirá de la responsabilidad del Participante ante cualquier daño o afectación a la operación del SPEI derivado de ataques a su Infraestructura Tecnológica.", "categoria": "Cumplimiento", "historial_modificaciones": [], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "ninguna", "limitaciones": "Cumplimiento continuo; justifica el monitoreo continuo como propuesta de valor." }, "mapeo_frameworks": { "iso27001_2022": [ "5.36" ], "pci_dss_v4": [ "12.4" ], "soc2_tsc": [ "CC4.1" ] } }, { "id": 82, "numero_regla": "74a.", "descripcion_corta": "Revisión bienal (auditoría interna / auditor externo) e informe al Administrador", "descripcion_larga": "74a. Informe y evaluación periódica.- Cada Participante deberá verificar el cumplimiento que este, debe dar a los requisitos de seguridad informática, de gestión del riesgo operacional y de protección a los Clientes Emisores del Participante, de Riesgos Adicionales, de interoperabilidad para operar en el SPEI establecidos en la 58a. de estas Reglas, así como del modelo o esquema de negocio previsto en la 58a. Bis., respectivamente. Asimismo, cada Participante deberá informar al Administrador sobre cualquier otro riesgo identificado, a través de revisiones que deberán realizar cada dos años el titular del área de auditoría interna del propio Participante, o bien, si así lo determina dicho Participante, el o los Auditores Externos Independientes. Dichas revisiones deberán observar lo dispuesto en las fracciones II y III de la 62a. de las presentes Reglas. En caso de que el Participante no cuente con un área de auditoría interna, los Auditores Externos Independientes respectivos deberán de realizar las revisiones antes señaladas en todos los casos, en los periodos de dos años referidos. (Modificado por las Circulares 8/2019, 1/2022 y 2/2025) Los Participantes deberán abstenerse de realizar, de manera consecutiva, las revisiones a cargo del titular del área de auditoría interna del Participante de que se trate, a que se refiere el párrafo inmediato anterior. (Adicionado por la Circular 2/2025) En el informe que el Participante presente al Administrador deberá incluir, en caso de que preste Servicios de Participación Indirecta, los resultados de la auditoría que se le realice como proveedor de los referidos servicios y una relación de las medidas correctivas y penas convencionales aplicadas a los Clientes a los que les preste dichos servicios, así como los hechos, circunstancias y razones que las motivaron. Respecto al cumplimiento y verificación de la operación de sus Participantes Indirectos, el Participante de que se trate deberá incluir, en el informe que presente al Administrador, el grado de cumplimiento de sus Participantes Indirectos y deberá mantener a disposición del Administrador, cuando este así lo requiera, toda la información y evidencia que respalde el referido grado. (Adicionado por la Circular 1/2022) El informe deberá ser entregado al Administrador y presentado al comité de auditoría del Participante, cuando cuente con este, en cuyo caso también deberá enviar al Administrador la constancia de la presentación del informe a este comité. El informe y constancia a los que se refiere el párrafo anterior deberán enviarse a través de la Dirección de Operación y Continuidad de Sistemas de Pagos e Infraestructuras de Mercados, en términos de lo establecido en el Apéndice N del Manual, dentro de los sesenta días naturales siguientes al cierre del ejercicio de que se trate. (Modificado por las Circulares 8/2019 y 1/2022) Respecto de aquellos Participantes que hayan sido admitidos como Participantes del SPEI en el último cuatrimestre del año inmediato anterior a aquel de la presentación del informe a que se refiere el primer párrafo de la presente Regla, no estarán obligados a entregar el informe y la constancia antes referidos. En dicho supuesto, los referidos Participantes deberán cumplir con la obligación aludida durante el periodo bienal inmediato posterior al que corresponda a la fecha en que hayan sido admitidos como Participantes, conforme a la 64a. de las presentes Reglas. (Adicionado por la Circular 2/2025) El Participante no podrá contratar los servicios de un Auditor Externo Independiente ni Despacho para obtener la evaluación a que se refiere esta Regla por más de tres periodos de evaluación consecutivos. Sin perjuicio de lo anterior, el Participante podrá designar al mismo Auditor Externo Independiente y/o Despacho nuevamente después de una interrupción mínima de cinco años contados a partir de la última evaluación que hubiere otorgado respecto de dicho Participante. Se exceptúa de lo previsto en la presente Regla a los fideicomisos en los que actúa como fiduciario el Banco de México y los sistemas internacionales de liquidación de operaciones cambiarias que incluyan al peso como una de las divisas participantes.", "categoria": "Cumplimiento", "historial_modificaciones": [ "(Modificado por las Circulares 8/2019, 1/2022 y 2/2025)", "(Adicionado por la Circular 2/2025)", "(Adicionado por la Circular 1/2022)", "(Modificado por las Circulares 8/2019 y 1/2022)", "(Adicionado por la Circular 2/2025)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "evidencia_generada", "automatizacion": "media", "complemento": [ "documental" ], "checks_aws": [ "Exportación de evidencia por numeral de la 58a para la revisión bienal" ], "limitaciones": "El informe lo firma auditoría interna o el Auditor Externo Independiente; Kyber aporta evidencia, no el dictamen." }, "mapeo_frameworks": { "iso27001_2022": [ "5.35", "5.36" ], "pci_dss_v4": [ "12.4" ], "soc2_tsc": [ "CC4.1", "CC4.2" ] } }, { "id": 83, "numero_regla": "89a.", "descripcion_corta": "Notificación a clientes (≤ 60 s) de fallas en la Infraestructura Tecnológica", "descripcion_larga": "89a. Información relativa a fallos de los Participantes.- En aquellos casos en que la Infraestructura Tecnológica de un Participante presente un evento que afecte los servicios relacionados con el SPEI que preste a sus Clientes o que se presente algún evento que afecte la operación ordinaria del Participante de que se trate en el SPEI, los Participantes deberán notificar a sus respectivos Clientes afectados, por los medios a través de los cuales los Clientes Emisores instruyan o intenten instruir Solicitudes de Envío durante dicho evento así como, por los medios que tenga pactados el Participante con estos Clientes, que el fallo se originó en la Infraestructura Tecnológica del Participante, o que se presentó algún evento que afectó la operación ordinaria del Participante de que se trate en el SPEI, según sea el caso, a más tardar dentro de los sesenta segundos siguientes a aquel en el que el referido evento se presente. Lo anterior quedará sujeto a que el fallo no haya afectado los canales de comunicación necesarios para realizar la mencionada notificación. En caso que los mencionados canales hayan sido afectados, la notificación se deberá realizar tan pronto como se restablezcan los respectivos canales. (Modificado por la Circular 1/2022) Asimismo, en los casos a que se refiere el párrafo precedente, los Participantes deberán asegurarse que aquellos Clientes a los que presten Servicios de Participación Indirecta notifiquen a sus respectivos Clientes Indirectos, por los medios a través de los cuales los Clientes Emisores Indirectos instruyan o intenten instruir Solicitudes de Envío durante dicho evento, así como por los medios que tenga pactados el Participante Indirecto con sus Clientes Indirectos, que el fallo se originó en la Infraestructura Tecnológica del Participante, en los sistemas del Participante Indirecto o que se presentó algún evento que afectó la operación ordinaria del Participante en el SPEI o del Participante Indirecto, según sea el caso, a más tardar dentro de los sesenta segundos siguientes a aquel en el que el evento se presente. Lo anterior quedará sujeto a que el fallo no haya afectado los canales de comunicación necesarios para realizar la mencionada notificación. En caso que los mencionados canales hayan sido afectados, la notificación se deberá realizar tan pronto como se restablezcan los respectivos canales. (Adicionado por la Circular 1/2022) Los Participantes deberán abstenerse de permitir a sus Clientes presentar Solicitudes de Envío, incluidas aquellas operaciones pertenecientes al esquema CoDi, cuando se presente alguno de los supuestos a que hace referencia el párrafo anterior y durante todo el período en el que el Participante se encuentre imposibilitado para operar de manera ordinaria en el SPEI. Lo anterior salvo que se permita la presentación de Solicitudes de Envío programadas en términos de lo establecido en los párrafos segundo y tercero de la 10a. y fracción III de la 14a. de las presentes Reglas. (Adicionado por la Circular 1/2022)", "categoria": "Gestión de incidentes", "historial_modificaciones": [ "(Modificado por la Circular 1/2022)", "(Adicionado por la Circular 1/2022)", "(Adicionado por la Circular 1/2022)" ], "circular_12_2023": { "tipo_cambio": "sin cambio" }, "kyber_cobertura": { "tipo": "documental", "automatizacion": "baja", "limitaciones": "Notificación a clientes en ≤ 60 s ante fallas; es funcionalidad del canal del cliente." }, "mapeo_frameworks": { "iso27001_2022": [ "5.26", "8.16" ], "pci_dss_v4": [], "soc2_tsc": [ "CC2.3", "CC7.4" ] } } ], "derogaciones_circular_12_2023": [ { "numero_regla": "58a. I.A.a Bis)", "entrada_en_vigor": "2025-12-19", "transitoria": "QUINTA" }, { "numero_regla": "58a. I.A.d).6", "entrada_en_vigor": "2025-12-19", "transitoria": "QUINTA" } ], "nota_circular_12_2023": "Fechas de entrada en vigor según las transitorias de la Circular 12/2023 (DOF 22-nov-2023). El texto de descripcion_larga se cotejó contra la Circular 12/2023 y coincide. En la 12/2023 las definiciones de Infraestructura de Cómputo y de Telecomunicaciones se numeraron XXVII Quáter y XXVII Quinquies; en el texto compilado vigente aparecen como XXVII Quinquies y XXVII Sexies por la renumeración de la Circular 9/2026.", "leyenda_kyber_cobertura": { "escaneable_directo": "Verificable con escaneo agentless in-account (APIs de configuración AWS y snapshots EBS).", "deteccion_presencia": "Se verifica que la herramienta exista y esté activa, no su eficacia.", "evidencia_generada": "Kyber produce el entregable que pide la regla (inventario, diagrama, listados).", "retencion_medible": "Se mide la configuración de retención de bitácoras contra el plazo de la regla.", "documental": "Política o proceso; se cubre con el generador de políticas y evidencia cargada por el cliente.", "servicio": "Requiere un servicio humano (pentest, MAST).", "heredado_proveedor": "En nube lo cubre el proveedor; se referencian sus reportes (AWS Artifact).", "fuera_alcance_agentless": "Vive en endpoints u on-prem; no cubrible con escaneo de nube.", "encabezado": "Encabezado de inciso; se mide en sus numerales." }, "notas_mapeo": [ "Mapeo N:M orientativo elaborado para el UCF de Kyber; no es un crosswalk oficial de Banxico, ISO, PCI SSC ni AICPA.", "Versiones: ISO/IEC 27001:2022 Anexo A, PCI DSS v4.0.1, SOC 2 Trust Services Criteria 2017 (puntos de enfoque revisados 2022).", "Los umbrales de los checks_aws son baseline provisional (CIS/NIST/PCI) hasta contar con el Apéndice M del Manual del SPEI.", "Los checks aplican solo a recursos marcados en alcance SPEI por el cliente." ] }