{"schema_version":"public-retrieval-v1","release":{"id":"c305db4a3cfb408b76c13431e26beda72d5ce665046c95783fab36507354c969","corpus_commit":"d2ab64d61ecfe103cc2a2980c5d04ed63c20bb7a","fixture":false},"result":{"kind":"article","data":{"provision":{"id":"urn:lex-mx:federal:regulation:itf-dcg-2018:annex:11","instrument":{"slug":"itf-dcg-2018","id":"urn:lex-mx:federal:regulation:itf-dcg-2018","title":"Disposiciones de carácter general aplicables a las instituciones de tecnología financiera","short_name":"DCG-ITF-2018"},"provision_type":"annex","number":"11","label":"ANEXO 11","text":"Incidentes de afectación en materia de seguridad de la información\n\nI. Información de la institución de financiamiento colectivo\n\na) Nombre de la institución de financiamiento colectivo. b) Nombre completo del oficial en jefe de seguridad de la información, así como su número de teléfono y dirección de correo electrónico.\n\nII. Información detallada del Incidente de Seguridad de la Información\n\nDescripción del Incidente de Seguridad de la Información\n\na) Fecha y hora en que ocurrió\n\nb) Fecha y hora en que se detectó\n\nc) Duración del incidente d) ¿La información involucrada en el incidente es administrada por terceros? Sí ( ) No ( )\n\ne) En caso de ser afirmativo el inciso d), detallar datos del proveedor (nombre, dirección y datos de contacto, correo electrónico, teléfono, entre otros)\n\nAfectación provocada por el Incidente de Seguridad f) ¿El incidente puede ocasionar una pérdida monetaria para los Clientes o para Sí ( ) No ( ) la propia institución de financiamiento colectivo?\n\ng) ¿Es viable recuperar de manera directa (gestiones propias) o indirecta (a través Sí ( ) No ( ) de seguros) la posible pérdida monetaria?\n\nh) ¿Se han identificado otros incidentes relacionados con el que se reporta, sea Sí ( ) No ( ) por origen, modo de operación o afectación?\n\ni) Indicar, en su caso, el tipo de información comprometida con el Incidente de Seguridad de la Información, conforme a las tablas siguientes:\n\nInformación personal del Cliente comprometida Nombres Sí ( ) No ( ) Domicilios Sí ( ) No ( ) Números de teléfono Sí ( ) No ( ) Direcciones de correo electrónico Sí ( ) No ( )\n\nDatos biométricos (huellas dactilares, patrones en iris o retina o reconocimiento Sí ( ) No ( ) facial, entre otros)\n\nOtro(s) Información de cuentas o saldos\n\nNúmeros de tarjetas, u otros Sí ( ) No ( )\n\nNúmeros de cuenta Sí ( ) No ( ) Contraseñas o números de identificación Sí ( ) No ( ) Identificadores de usuarios Sí ( ) No ( )\n\nLímites Sí ( ) No ( )\n\nSaldos Sí ( ) No ( )\n\nOtro(s)\n\nInformación de la institución de financiamiento colectivo Claves de acceso Sí ( ) No ( )\n\nConfiguraciones de seguridad Sí ( ) No ( )\n\nIdentificación de puertos o servicios Sí ( ) No ( )\n\nDirecciones IP de componentes o servicios Sí ( ) No ( )\n\nDirecciones IP de componentes internos Sí ( ) No ( )\n\nAcceso a segmentos internos de red Sí ( ) No ( )\n\nVersiones de software, sistemas operativos o bases de datos Sí ( ) No ( )\n\nIdentificación de vulnerabilidades Sí ( ) No ( )\n\nOtro(s)\n\nIII. Clasificar el Incidente de Seguridad de la Información reportado con base en las siguientes definiciones:\n\na) Daño no intencional o accidental, pérdida de información o pérdida de activos\n\nInformación compartida indebidamente Sí ( ) No ( ) Errores u omisiones en sistemas o dispositivos Sí ( ) No ( ) Errores en procedimientos o controles Sí ( ) No ( ) Cambios indebidos a datos Sí ( ) No ( ) Extravío de información o dispositivos Sí ( ) No ( ) Otro(s):\n\nb) Incidentes por fallas o mal funcionamiento\n\nDispositivos Sí ( ) No ( ) Sistemas Sí ( ) No ( ) Comunicaciones Sí ( ) No ( ) Servicios Sí ( ) No ( ) Equipos de terceros Sí ( ) No ( ) Cadena de suministros Sí ( ) No ( ) Otro(s) c) Incidentes por la interrupción o falta de insumos\n\nAusencia de personal Sí ( ) No ( ) Huelgas Sí ( ) No ( ) Energía Sí ( ) No ( ) Agua Sí ( ) No ( ) Telecomunicaciones Sí ( ) No ( ) Otro(s) d) Incidentes por intercepción de datos Espionaje Sí ( ) No ( ) Mensajes Sí ( ) No ( ) Wardriving Sí ( ) No ( ) Ataques de hombre en medio Sí ( ) No ( ) Secuestro de sesiones Sí ( ) No ( ) Sniffers Sí ( ) No ( ) Robo de mensajería Sí ( ) No ( ) Otro(s)\n\ne) Incidentes por actividad maliciosa con el fin de tomar el control, desestabilizar o dañar un sistema informático\n\nRobo de identidad Sí ( ) No ( ) Phishing Sí ( ) No ( ) Denegación de servicios (DOS, DDOS) Sí ( ) No ( ) Código malicioso (malware, troyanos, gusanos, inyección de código, virus, Sí ( ) No ( ) ransomware) Ingeniería social Sí ( ) No ( ) Vulneración de certificados (suplantación de sitios, certificados falsos) Sí ( ) No ( )\n\nManipulación de hardware (proxies anónimos, skimmers, sniffers) Sí ( ) No ( )\n\nAlteración de información (suplantación de direccionamiento y tablas de ruteo, Sí ( ) No ( ) DNS poisoning, alteración de configuraciones)\n\nAbuso de aplicaciones de auditoría Sí ( ) No ( ) Ataques de fuerza bruta Sí ( ) No ( ) Abuso de autorizaciones Sí ( ) No ( ) Crimen organizado Sí ( ) No ( ) Hacktivistas Sí ( ) No ( ) Gobierno o grupos afines Sí ( ) No ( ) Terroristas Sí ( ) No ( ) Insiders Sí ( ) No ( ) Otro(s) f) Incidentes originados por aspectos legales\n\nViolación de cláusulas contractuales Sí ( ) No ( ) Violación de acuerdos de confidencialidad Sí ( ) No ( )\n\nDecisiones adversas (resoluciones judiciales en la misma jurisdicción o en otras) Sí ( ) No ( )\n\nOtro(s)\n\ng) Otros (especificar)\n\nIV. Clasificación del Incidente de Seguridad de la Información. Señalar en la tabla siguiente, la clasificación en la que se ubica el incidente mediante los conceptos del catálogo que a continuación se señalan:\n\nTipo Sub Tipo Sub Clase de Eventos I. Fraude Interno 1.1 Actividades no 1.1.1 Operaciones no reveladas ( ) autorizadas. (intencionalmente). ( ) 1.1.2 Operaciones no autorizadas (con pérdidas pecuniarias). 1.1.3 Valoración errónea de posiciones ( ) (intencional). 1.2 Robo y Fraude 1.2.1 Fraude / depósitos sin valor. ( ) Internos. 1.2.2 Extorsión / malversación / robo. ( ) 1.2.3 Apropiación indebida de activos. ( ) 1.2.4 Destrucción dolosa de activos. ( ) 1.2.5 Falsificación Interna. ( ) 1.2.6 Contrabando. ( ) 1.2.7 Apropiación de cuentas, de identidad, entre ( ) otros. ( ) 1.2.8 Incumplimiento / evasión de impuestos ( ) (intencional). ( ) 1.2.9 Cohecho. 1.2.10 Abuso de información privilegiada (no a favor de la empresa). 1.3. Seguridad de los 1.3.1 Vulneración de sistemas de seguridad. ( ) sistemas. 1.3.2 Daños por ataques informáticos. ( ) 1.3.3 Robo de información (con pérdidas ( ) pecuniarias). ( ) 1.3.4 Utilización inadecuada de claves de ( ) acceso y/o niveles de autorización. II. Fraude Externo 2.1 Hurto y Fraude 2.1.1 Robo / estafa / extorsión /cohecho. ( ) Externos. 2.1.2 Falsificación Externa / Suplantación de ( ) personalidad. ( ) 2.1.3 Uso y/o divulgación de información ( ) privilegiada. ( ) 2.1.4 Espionaje industrial. 2.1.5 Contrabando. 2.2 Seguridad de los 2.2.1 Vulneración de sistemas de seguridad. ( ) Sistemas. 2.2.2 Daños por ataques informáticos. ( ) 2.2.3 Robo de información (con pérdidas ( ) pecuniarias). ( ) 2.2.4 Utilización inadecuada de claves de acceso y/o niveles de autorización.\n\nIII. Incidencias en 3.1 Sistemas 3.1.1. Hardware. ( ) el Negocio y 3.1.2. Software. ( ) Fallos en los 3.1.3 3.1.3. Telecomunicaciones. ( ) Sistemas 3.1.4. Interrupción / incidencias en el suministro. ( )\n\nNombre y firma del oficial en jefe de seguridad de la información","text_sha256":"b78966b45ae804763b942dcee9bfed6f35e70beee05dbadff598c06f50d2b54f","source":{"official_url":"https://www.cnbv.gob.mx/Anexos/Anexo%2011%20Fintech.pdf","publisher":"Comisión Nacional Bancaria y de Valores","retrieved_at":"2026-07-12T06:56:09.520821Z","source_sha256":"15179eb51bd5b2aa626522c4c36208da18c415d4d77848e07d98f4d82b371728","recorded_reform_date":null},"temporal_status":"unknown","review_status":"not_analyzed"}}}}