Pentest en bancos de México: qué exige la CNBV (168 Bis 12)

Nuestra opinión

El artículo 168 Bis 12 fija con detalle la frecuencia, la independencia y los plazos de las pruebas de penetración. Contratar un pentest no basta para cumplirlo: la prueba aporta evidencia, y lo que pide la CNBV es un proceso que también incluye el escaneo, la corrección y el seguimiento.

IntruForce

Respuesta corta: la Circular Única de Bancos (CUB) obliga a las instituciones de crédito a hacer pruebas de penetración al menos dos veces al año, sobre sistemas distintos, con un tercero independiente cuyo personal tenga certificaciones especializadas. El informe de conclusiones se envía a la CNBV dentro de los 20 días hábiles siguientes al fin de las pruebas. Además, la institución mantiene un calendario anual de escaneo de vulnerabilidades y envía a la CNBV los planes de remediación en un plazo de 10 días hábiles.

A quién aplica

La CUB se aplica a las instituciones de crédito a las que se refiere el artículo 2 de la Ley de Instituciones de Crédito: la banca múltiple y la banca de desarrollo. El artículo 168 Bis 12 asigna estas obligaciones al director general de la institución. Otras disposiciones de la CUB dan funciones propias al oficial en jefe de seguridad de la información y al consejo.

Otras entidades financieras tienen sus propias disposiciones. Las instituciones de financiamiento colectivo, por ejemplo, tienen una regla similar en el artículo 64 de las disposiciones para instituciones de tecnología financiera. Las SOFIPO tienen requisitos distintos. Este artículo trata solo de las instituciones de crédito.

Qué pide el artículo 168 Bis 12, fracción por fracción

El artículo tiene diez fracciones. Cuatro tratan directamente de revisiones, escaneos y pruebas de penetración.

Fracción II: revisiones de seguridad

Qué pide: revisiones de seguridad de la autenticación, los accesos, la aplicación de parches, los cambios no autorizados de software y los canales electrónicos.
Frecuencia: al menos una vez al año, o antes si hay cambios significativos. Si un cambio es significativo o no, se decide con la opinión del oficial en jefe de seguridad de la información.
Qué se entrega a la CNBV: los planes de remediación de lo que se encuentre (fracción VI).

Fracción III: escaneo de vulnerabilidades

Qué pide: un calendario anual de escaneo de vulnerabilidades, priorizado según la sensibilidad de la información. Lo puede ejecutar la propia institución o un tercero contratado.
Frecuencia: cada trimestre se revisa una parte de los componentes, de modo que al terminar el año se hayan revisado todos los que almacenan, procesan o transmiten información crítica. Cada componente nuevo se escanea antes de pasar a producción.
Qué se entrega a la CNBV: la fracción no fija un envío propio; los planes de remediación sí van a la CNBV (fracción VI).

Fracción IV: pruebas de penetración

Qué pide: contratar a «un tercero independiente, con personal que cuente con capacidad técnica comprobable mediante certificaciones especializadas de la industria en la materia». El oficial en jefe de seguridad de la información valida el alcance y la metodología. Las pruebas incluyen revisar la integridad del hardware y del software.
Frecuencia: al menos dos al año, sobre sistemas y aplicativos distintos, o cuando lo ordene la CNBV; en ese caso, la CNBV fija el alcance y los plazos.
Qué se entrega a la CNBV: el director general envía un informe con las conclusiones dentro de los 20 días hábiles siguientes al fin de las pruebas, por un medio que impida que lo consulte personal no autorizado.

Fracción VI: planes de remediación

Qué pide: planes para corregir las vulnerabilidades encontradas en las revisiones (II), los escaneos (III) y las pruebas de penetración (IV). Los valida el oficial en jefe de seguridad de la información e indican responsables, plazos y recursos.
Plazo: se elaboran en cuanto se identifican las vulnerabilidades.
Qué se entrega a la CNBV: los planes, en un plazo de 10 días hábiles.

Las demás fracciones, en una línea

I: el Plan Director de Seguridad, del que el director general informa al consejo.
V: clasificar las vulnerabilidades con la metodología aprobada por el comité de riesgos.
VII: dar seguimiento a la remediación; lo verifica el oficial en jefe de seguridad de la información.
VIII: programas anuales de capacitación y concientización, evaluados por la auditoría interna.
IX: buscar de forma proactiva alertas de fraude y amenazas, como phishing, sitios falsos y fugas de datos.
X: controles sobre los empleados y demás personal con acceso, desde la contratación hasta el fin del contrato.

El artículo 168 Bis 12 no prevé que la CNBV certifique o apruebe a los proveedores de pruebas de penetración. Pide dos condiciones: que el tercero sea independiente y que su personal tenga certificaciones especializadas. No nombra ninguna certificación concreta.

Cómo elegir un proveedor de pentest para la fracción IV

Estas preguntas son una práctica recomendada, no un requisito del texto. Ayudan a que la prueba sirva como evidencia ante la CNBV. La decisión sobre el proveedor corresponde a la institución, con el oficial en jefe de seguridad de la información y el área jurídica.

Independencia: ¿el proveedor diseñó, desarrolló u opera alguno de los sistemas que va a probar? Si es así, evalúe y documente ese posible conflicto antes de contratar.
Certificaciones: pida los nombres de las personas que harán la prueba y sus certificaciones, y compruébelas con el mecanismo de verificación de quien las emite.
Alcance y metodología por escrito: la fracción IV pide que el oficial en jefe de seguridad de la información los valide; téngalos por escrito antes de empezar.
Rotación: planifique las dos pruebas del año sobre sistemas y aplicativos distintos, y deje constancia de cuáles se probaron en cada una.
Informe: debe permitirle preparar el informe de conclusiones para la CNBV en 20 días hábiles, con hallazgos confirmados, evidencia y recomendaciones priorizadas.
Entrega segura: acuerde cómo se entrega el informe para que solo lo lea el personal autorizado.
Remediación: el informe debe llegar a tiempo y con el detalle suficiente para que la institución prepare, valide y envíe el plan de la fracción VI dentro del plazo de 10 días hábiles: cada hallazgo con su gravedad y una corrección concreta.

Qué debe contener un buen informe lo explicamos en cómo leer un informe de pruebas de penetración. Y la diferencia entre la fracción III y la IV, en escaneo de vulnerabilidades frente a prueba de penetración.

Entre dos pentests: lo que cambia mientras tanto

La norma pide al menos dos pruebas al año, sobre sistemas distintos, pero no fija cuánto tiempo pasa entre ellas. Un mismo sistema puede pasar un año o más sin una prueba de penetración. Mientras tanto, lo que la institución expone a internet cambia: aparecen subdominios y servicios nuevos, vencen certificados, se filtran contraseñas de empleados. Un pentest muestra el estado en una fecha; no ve lo que se publicó después.

Un escáner revisa los componentes que tiene en su lista. Lo que se publicó fuera del inventario, como el subdominio de una campaña o el servicio de un proveedor, no entra en esa revisión. Conviene comprobar quién revisa esa parte externa entre una prueba y otra, y por qué tiene sentido revisar el perímetro externo de forma continua.

SeguriScan solo ve lo que es accesible desde internet. No sustituye el calendario de escaneo de la fracción III ni la prueba de penetración de la fracción IV. Sus resultados pueden ayudar a su equipo a decidir qué revisar primero entre dos pruebas y a dejar registro de qué se detectó y cuándo dejó de detectarse.

Fuentes

Circular Única de Bancos, versión consolidada, CNBV, con reformas hasta el 6 de noviembre de 2026: artículos 1, 168 Bis 12, 168 Bis 13 y 168 Bis 14.
Resolución publicada en el DOF el 27 de noviembre de 2018, que añadió el artículo 168 Bis 12.