{"schema_version":"public-retrieval-v1","release":{"id":"c305db4a3cfb408b76c13431e26beda72d5ce665046c95783fab36507354c969","corpus_commit":"d2ab64d61ecfe103cc2a2980c5d04ed63c20bb7a","fixture":false},"result":{"kind":"article","data":{"provision":{"id":"urn:lex-mx:federal:regulation:ifpe-dcg-2021:annex:3","instrument":{"slug":"ifpe-dcg-2021","id":"urn:lex-mx:federal:regulation:ifpe-dcg-2021","title":"Disposiciones aplicables a las instituciones de fondos de pago electrónico a que se refieren los artículos 48, segundo párrafo; 54, primer párrafo, y 56, primer y segundo párrafos de la Ley para Regular las Instituciones de Tecnología Financiera","short_name":"DCG-IFPE-2021"},"provision_type":"annex","number":"3","label":"ANEXO 3","text":"Incidentes en materia de seguridad de la información\n\nI. Información de la institución de fondos de pago electrónico\n\na) Nombre de la institución de fondos de pago electrónico. b) Nombre completo del oficial en jefe de seguridad de la información, así como su número de teléfono y dirección de correo electrónico.\n\nII. Información detallada del Incidente de Seguridad de la Información\n\nDescripción del Incidente de Seguridad de la Información\n\na) Fecha y hora en que ocurrió\n\nb) Fecha y hora en que se detectó\n\nc) Duración del incidente\n\nd) ¿La información involucrada en el incidente es administrada por terceros? Si ( ) No ( )\n\nEn caso de ser afirmativo el inciso d), detallar datos del proveedor (nombre, dirección y datos de e) contacto, correo electrónico, teléfono, entre otros)\n\nAfectación provocada por el Incidente de Seguridad de la Información\n\nf) ¿El incidente puede ocasionar una pérdida monetaria para los Clientes o para la propia IFPE? Si ( ) No ( )\n\n¿Es viable recuperar de manera directa (gestiones propias) o indirecta (a través de seguros) la posible g) Si ( ) No ( ) pérdida monetaria?\n\n¿Se han identificado otros incidentes relacionados con el que se reporta, sea por origen, modo de h) Si ( ) No ( ) operación o afectación?\n\ni) Indicar, en su caso, el tipo de información comprometida con el Incidente de Seguridad de la Información, conforme a las tablas siguientes:\n\nInformación personal comprometida del Cliente Nombres Si ( ) No ( ) Domicilios Si ( ) No ( ) Números de teléfono Si ( ) No ( ) Direcciones de correo electrónico Si ( ) No ( )\n\nDatos biométricos (huellas dactilares, patrones en iris o retina o reconocimiento facial, entre otros) Si ( ) No ( )\n\nOtro(s):\n\nInformación de Cuentas o saldos\n\nNúmeros de tarjetas, u otros Si ( ) No ( )\n\nNúmeros de Cuenta Si ( ) No ( ) Si ( ) No ( ) Contraseñas o números de Identificador de Cliente Identificadores de Clientes Si ( ) No ( )\n\nLímites Si ( ) No ( )\n\nSaldos Si ( ) No ( )\n\nOtro(s)\n\nInformación de la institución de fondos de pago electrónico Claves de acceso Si ( ) No ( )\n\nConfiguraciones de seguridad Si ( ) No ( )\n\nIdentificación de puertos o servicios Si ( ) No ( )\n\nDirecciones IP de componentes o servicios Si ( ) No ( )\n\nDirecciones IP de componentes internos Si ( ) No ( )\n\nAcceso a segmentos internos de red Si ( ) No ( )\n\nSi ( ) No ( ) Versiones de software, sistemas operativos o bases de datos Identificación de vulnerabilidades Si ( ) No ( )\n\nOtro(s)\n\nIII. Clasificar el Incidente de Seguridad de la Información reportado con base en las siguientes definiciones:\n\na) Daño no intencional o accidental, pérdida de información o pérdida de activos\n\nInformación compartida indebidamente Si ( ) No ( )\n\nErrores u omisiones en sistemas o dispositivos Si ( ) No ( )\n\nErrores en procedimientos o controles Si ( ) No ( ) Cambios indebidos a datos Si ( ) No ( ) Extravío de información o dispositivos Si ( ) No ( ) Otro(s):\n\nb) Incidentes por fallas o mal funcionamiento\n\nDispositivos Si ( ) No ( ) Sistemas Si ( ) No ( ) Comunicaciones Si ( ) No ( ) Servicios Si ( ) No ( ) Equipos de terceros Si ( ) No ( ) Cadena de suministros Si ( ) No ( ) Otro(s):\n\nc) Incidentes por la interrupción o falta de insumos Ausencia de personal Si ( ) No ( ) Huelgas Si ( ) No ( ) Energía Si ( ) No ( ) Agua Si ( ) No ( ) Telecomunicaciones Si ( ) No ( ) Otro(s):\n\nd) Incidentes por intercepción de datos\n\nEspionaje Si ( ) No ( ) Mensajes Si ( ) No ( ) Wardriving Si ( ) No ( ) Ataques de hombre en medio Si ( ) No ( ) Secuestro de sesiones Si ( ) No ( ) Sniffers Si ( ) No ( ) Robo de mensajería Si ( ) No ( ) Otro(s):\n\ne) Incidentes por actividad maliciosa con el fin de tomar el control, desestabilizar o dañar un sistema informático\n\nRobo de identidad Si ( ) No ( ) Phishing Si ( ) No ( ) Denegación de servicios (DOS, DDOS) Si ( ) No ( )\n\nCódigo malicioso (malware, troyanos, gusanos, inyección de código, virus, ransomware) Si ( ) No ( )\n\nIngeniería social Si ( ) No ( ) Vulneración de certificados (suplantación de sitios, certificados falsos) Si ( ) No ( ) Manipulación de hardware (proxies anónimos, skimmers, sniffers) Si ( ) No ( ) Alteración de información (suplantación de direccionamiento y tablas de ruteo, DNS poisoning, Si ( ) No ( ) alteración de configuraciones) Abuso de aplicaciones de auditoría Si ( ) No ( ) Ataques de fuerza bruta Si ( ) No ( ) Abuso de autorizaciones Si ( ) No ( ) Crimen organizado Si ( ) No ( ) Hacktivistas Si ( ) No ( ) Gobierno o grupos afines Si ( ) No ( ) Terroristas Si ( ) No ( ) Insiders Si ( ) No ( ) Otro(s):\n\nf) Incidentes originados por aspectos legales\n\nViolación de cláusulas contractuales Si ( ) No ( ) Violación de acuerdos de confidencialidad Si ( ) No ( ) Decisiones adversas (resoluciones judiciales en la misma jurisdicción o en otras) Si ( ) No ( )\n\nOtro(s):\n\ng) Otros (especificar)\n\nIV. Clasificación del Incidente de Seguridad de la Información\n\nSeñalar en la tabla siguiente la clasificación en la que se ubica el incidente mediante los conceptos del catálogo que a continuación se señalan:\n\nTipo Sub Tipo Sub Clase de Eventos I. Fraude Interno 1.1 Actividades no autorizadas. 1.1.1 Operaciones no reveladas (intencionalmente). ( ) 1.1.2 Operaciones no autorizadas (con pérdidas ( ) pecuniarias). 1.1.3 Valoración errónea de posiciones ( ) (intencional). 1.2 Robo y Fraude Internos. 1.2.1 Fraude / depósitos sin valor. ( ) 1.2.2 Extorsión / malversación / robo. ( ) 1.2.3 Apropiación indebida de activos. ( ) 1.2.4 Destrucción dolosa de activos. ( ) 1.2.5 Falsificación Interna. ( ) 1.2.6 Contrabando. ( ) 1.2.7 Apropiación de cuentas, de identidad, entre otros. 1.2.8 Incumplimiento / evasión de impuestos (intencional). ( ) 1.2.9 Cohecho. ( ) 1.2.10 Abuso de información privilegiada (no a favor de la ( ) empresa). ( )\n\n1.3. Seguridad de los sistemas. 1.3.1 Vulneración de sistemas de seguridad. ( ) 1.3.2 Daños por ataques informáticos. ( ) ( ) 1.3.3 Robo de información (con pérdidas pecuniarias). ( ) 1.3.4 Utilización inadecuada de claves de acceso y/o niveles de ( ) autorización. II. Fraude Externo 2.1 Hurto y Fraude Externos. 2.1.1 Robo / estafa / extorsión /cohecho. ( ) 2.1.2 Falsificación Externa / Suplantación de personalidad. ( ) ( ) 2.1.3 Uso y/o divulgación de información privilegiada. ( ) 2.1.4 Espionaje industrial. ( ) 2.1.5 Contrabando. 2.2 Seguridad de los Sistemas. 2.2.1 Vulneración de sistemas de seguridad. ( ) 2.2.2 Daños por ataques informáticos. ( ) 2.2.3 Robo de información (con pérdidas pecuniarias). ( ) 2.2.4 Utilización inadecuada de claves de acceso y/o niveles de ( ) autorización. VI. Incidencias en el 6.1 Sistemas 6.1.1 Hardware. ( ) Negocio y Fallos en los 6.1.2 Software. ( ) Sistemas 6.1.3 Telecomunicaciones. ( ) 6.1.4 Interrupción / incidencias en el suministro. ( ) Nombre y firma del oficial en jefe de seguridad de la información","text_sha256":"4ea15ac3c1d63abe5eb5f7cca17827a3122fbeddc755b7616e6181706f01b697","source":{"official_url":"https://www.cnbv.gob.mx/Anexos/ANEXO%203%20IFPES.pdf","publisher":"Comisión Nacional Bancaria y de Valores","retrieved_at":"2026-07-12T06:55:47.737542Z","source_sha256":"3ea5c47dfaae47232d202ddc5cc4fee5f4091fecc7f2d74b5a6d1e1e5cb9af7e","recorded_reform_date":null},"temporal_status":"unknown","review_status":"not_analyzed"}}}}