Guía · Ciberseguridad · México

Ciberseguridad para banca regulada por la CNBV: qué exige la CUB y cómo cumplirlo desde el software

Un banco mexicano responde ante tres marcos a la vez: la CUB de la CNBV, con su capítulo de seguridad de la información; las reglas de Banco de México para los participantes de SPEI y SPID; y la LFPDPPP en protección de datos. Los tres se cumplen en el mismo sitio: en el software y la infraestructura que sostienen la operación. Esta guía resume qué exige cada uno y cómo se traduce en controles de seguridad de aplicaciones y de plataforma.

No es asesoramiento legal ni regulatorio: es una guía operativa para CISO, CTO y responsables de cumplimiento. La CUB y las circulares de Banxico se modifican con frecuencia; verifica la versión vigente en gob.mx/cnbv, banxico.org.mx y el DOF. Última revisión: 15 de septiembre de 2026.

El marco: CNBV, Banxico y datos personales

La Circular Única de Bancos dedica un capítulo a la seguridad de la información. Obliga a las instituciones de crédito a contar con un Oficial en Jefe de Seguridad de la Información con funciones definidas, a mantener políticas y controles sobre la infraestructura tecnológica y los canales, a notificar de inmediato a la CNBV los incidentes de seguridad de la información (con fecha y hora de inicio, si continúa o ha concluido, descripción y una valoración inicial del impacto, en el formato del Anexo 64 Bis) y a reportar periódicamente los indicadores de seguridad de la información del Anexo 72.

Banco de México regula la ciberseguridad de los participantes en los sistemas de pagos: la Circular 4/2019 fijó requisitos de seguridad de la información para SPEI y las circulares posteriores han reforzado los lineamientos para SPEI y SPID (segmentación de la infraestructura que se conecta a los sistemas, monitoreo, respuesta y reporte de incidentes). La LFPDPPP añade medidas de seguridad administrativas, técnicas y físicas para los datos personales, el aviso de privacidad y los derechos ARCO. Para las aseguradoras, la CNSF establece en la CUSF sus propias exigencias de seguridad de la información.

Gobierno: oficial en jefe de seguridad de la información, comité y políticas aprobadas.
Incidentes: detección, clasificación y notificación inmediata a la CNBV, con informe de seguimiento.
Indicadores: métricas periódicas de seguridad que exigen registro y trazabilidad de los controles.
Pagos: requisitos de Banxico para la infraestructura conectada a SPEI y SPID.
Datos personales: medidas de seguridad y evidencia de su cumplimiento bajo la LFPDPPP.

Qué se traduce en controles de software y plataforma

Las obligaciones anteriores no se cumplen con un documento sino con controles que dejan evidencia. Estos son los que cubren el capítulo de seguridad de la CUB y los lineamientos de Banxico en un banco con canales digitales y core heredado:

Inventario y clasificación de aplicaciones, servicios e integraciones por criticidad, incluida la infraestructura conectada a SPEI.
Ciclo de vida de desarrollo seguro: requisitos de seguridad por aplicación, revisión estática de código (SAST) en cada cambio, pruebas dinámicas (DAST) en preproducción y pruebas de penetración periódicas.
Cadena de suministro: inventario de componentes (SBOM) y análisis de composición para conocer las vulnerabilidades de terceros.
Identidad y accesos: mínimo privilegio, autenticación multifactor en roles críticos, gestión de accesos privilegiados y retirada de protocolos heredados.
Secretos e infraestructura como código: credenciales fuera de repositorios e imágenes, rotación y análisis de la infraestructura declarada.
Segmentación y monitoreo continuo: registro centralizado, detección (SIEM/SOC) y alertas sobre la infraestructura de pagos y los canales.
Respuesta y notificación: manuales ensayados con los datos que la CNBV pide en la notificación inicial ya preparados, y flujo de reporte a Banxico cuando afecta a SPEI o SPID.
Continuidad: objetivos de recuperación probados para los sistemas críticos, con clúster de contingencia cuando el negocio lo exige.

Dónde suele fallar un banco en México

El punto débil rara vez está en el perímetro: está en el core heredado y en los canales digitales que se apoyan en él. Las resoluciones de 2026 a la CUB sobre crédito digital y validación biométrica obligan a expedientes digitales con control de vigencia, firma electrónica y evidencia de cada verificación; nada de eso es seguro si el sistema de originación no tiene trazabilidad, control de accesos y pruebas de seguridad en cada cambio.

El segundo punto débil es la evidencia: los controles existen pero no se puede demostrar cuándo se ejecutaron ni con qué resultado, y la notificación de un incidente se improvisa cuando ocurre. La solución es que la evidencia la genere el propio proceso: el pipeline, el registro de vulnerabilidades y el sistema de monitoreo.

Cómo lo hacemos en Vermont Solutions para México

Integramos los controles en el pipeline de entrega del banco: SAST, análisis de composición y SBOM en cada build, DAST en preproducción, gestión de secretos e infraestructura como código, con puertas de calidad que dejan evidencia automática. Diseñamos identidad de mínimo privilegio (IAM/PAM, Zero Trust) y desplegamos monitoreo y detección continuos (SIEM/SOC) con manuales de respuesta alineados con la notificación a la CNBV y a Banxico.

Trabajamos sobre plataformas críticas que no pueden detenerse (cores heredados, grids de cálculo, Kubernetes híbrido), con equipo en horario de Ciudad de México y experiencia en banca y seguros de España y Latinoamérica, bajo certificación ISO/IEC 27001:2022. En una aseguradora europea, el refuerzo de accesos (MFA en roles críticos y retirada de protocolos heredados) elevó la puntuación de seguridad de Microsoft 365 un 30 % sobre una base del 11,48 % sin fricción para los usuarios; en un banco tier-1, un clúster cloud de contingencia redujo el RTO ante desastre de más de 6 horas a menos de 1.

Checklist de diez puntos

Oficial en jefe de seguridad de la información designado, con funciones y reporte a la dirección documentados.
Inventario de aplicaciones y de infraestructura conectada a SPEI/SPID, clasificado por criticidad.
Requisitos de seguridad por aplicación y pruebas antes de cada paso a producción.
SAST y análisis de composición (SBOM) en cada build, con puertas por severidad.
DAST en preproducción y pruebas de penetración periódicas documentadas.
Autenticación multifactor en roles críticos y gestión de accesos privilegiados.
Registro centralizado y detección continua con alertas sobre canales y pagos.
Manual de notificación de incidentes a la CNBV y a Banxico con responsables, plazos y plantilla del Anexo 64 Bis.
Indicadores de seguridad de la información (Anexo 72) generados desde los sistemas, no a mano.
Medidas de seguridad de datos personales (LFPDPPP) documentadas y verificables.

Preguntas frecuentes

¿Qué exige la CUB en seguridad de la información?

Un capítulo específico con gobierno (oficial en jefe de seguridad de la información), políticas y controles sobre la infraestructura y los canales, notificación inmediata de incidentes a la CNBV en el formato del Anexo 64 Bis y reporte periódico de indicadores de seguridad (Anexo 72). La redacción exacta cambia con las resoluciones modificatorias; verifica la versión vigente en gob.mx/cnbv.

¿Qué añade Banco de México?

Requisitos de ciberseguridad para los participantes en SPEI y SPID: la Circular 4/2019 y los lineamientos posteriores sobre segmentación de la infraestructura conectada, monitoreo, respuesta y reporte de incidentes.

¿Sirve ISO 27001 como evidencia ante la CNBV?

No sustituye a la CUB, pero ordena la evidencia que el supervisor pide: políticas, gestión de riesgos, controles de desarrollo seguro, pruebas y gestión de incidentes. Vermont Solutions opera bajo certificación ISO/IEC 27001:2022.

¿Atienden a bancos y aseguradoras en México?

Sí. Trabajamos con entidades de España y Latinoamérica, con equipo en horario de Ciudad de México y conocimiento del marco de la CNBV, la CNSF y Banxico. Los detalles de los proyectos se comparten bajo acuerdo de confidencialidad.

Assessment de ciberseguridad bajo la CUB

Revisamos el inventario de aplicaciones críticas, el pipeline de entrega, la infraestructura conectada a SPEI y la evidencia disponible, y te entregamos el plan de controles con responsables y plazos. Atendemos en horario de Ciudad de México.

Solicitar assessment →

Contenido relacionado

Última actualización: 2026-09-15. Contenido editorial de Vermont Solutions, citable bajo atribución con enlace a esta página. No constituye asesoramiento legal ni regulatorio; verifica la normativa vigente en gob.mx/cnbv, banxico.org.mx y el DOF.