DCG-IFPE-2021 · ANEXO 1
Disposiciones aplicables a las instituciones de fondos de pago electrónico a que se refieren los artículos 48, segundo párrafo; 54, primer párrafo, y 56, primer y segundo párrafos de la Ley para Regular las Instituciones de Tecnología Financiera
Cita estable: urn:lex-mx:federal:regulation:ifpe-dcg-2021:annex:1. Publicación: c305db4a3cfb408b76c13431e26beda72d5ce665046c95783fab36507354c969.
Estado registrado: unknown; revisión: not_analyzed. No acredita vigencia.
Fuente: Comisión Nacional Bancaria y de Valores. Recuperada: 2026-07-12T06:55:45.488627Z. Reforma registrada en esa fuente: no disponible; no es una comprobación de actualidad.
SHA-256 fuente: 668abe9abe85bff137d6b6fa01ccf3e2a6f43c6f09e63ca23b88f6260d28c1f9. SHA-256 texto: 3ec35f133a569672e3f5353916ee2a37cab8ed8351d1bb8011a5d54c46ff4e29.
Texto completo
Indicadores de seguridad de la información
El oficial en jefe de seguridad de la información de la institución de fondos de pago electrónico, en relación con los indicadores de riesgo en materia de seguridad de la información a que se refiere la fracción XI del artículo 36 de las presentes Disposiciones, deberá:
1. Evaluar dichos indicadores, los cuales deberán ajustarse a los umbrales contenidos en este anexo para cada indicador. En caso de definir umbrales diferentes, deberá documentar el motivo.
2. Definir planes de remediación para aquellos riesgos en los que los resultados de la evaluación arrojen valores que se encuentren dentro de los umbrales medios y altos de riesgo establecidos en el presente anexo o, en su caso, aquellos definidos por la institución de fondos de pago electrónico, siempre que estos se encuentren en un umbral alto por, al menos, dos periodos consecutivos.
3. Dar mantenimiento continuo, ya sea para agregar, eliminar o actualizar los indicadores claves de riesgo y de desempeño de seguridad de la información ya existentes, los cuales siempre deberán estar alineados a la estrategia de la institución de fondos de pago electrónico y al Plan Director de Seguridad de la información de esta.
4. Medir y evaluar su evolución con la periodicidad indicada en las siguientes tablas, o antes en caso de eventos inusuales.
5. En caso de que no apliquen todos los supuestos, indicar que no son aplicables y explicar el motivo.
Tipo Definición Sub Tipo Sub Clase de Eventos Ejemplos I. Fraude Interno Pérdidas derivadas de 1.1 Actividades no autorizadas. 1.1.1 Uso indebido de facultades y poderes Operaciones no comunicadas; operaciones no algún tipo de 1.1.2 Operaciones no reveladas (intencionalmente). autorizadas (con pérdidas pecuniarias); valoración actuación 1.1.3 Operaciones no autorizadas (con pérdidas errónea de posiciones, y omisión encaminada a pecuniarias). intencional de normativa. defraudar, apropiarse 1.1.4 Valoración errónea de posiciones de bienes (intencional). indebidamente, o 1.2 Robo y Fraude Internos. 1.2.1 Fraude / fraude crediticio / depósitos sin valor. Robo; malversación; apropiación indebida; bien, soslayar 1.2.2 Hurto / Extorsión / malversación / robo. destrucción de activos; falsificaciones; suplantación regulaciones, leyes o 1.2.3 Apropiación indebida de activos. de identidad; y cohechos; manipulación de cuentas. políticas 1.2.4 Destrucción dolosa de activos. empresariales 1.2.5 Falsificación Interna. (excluidos los eventos 1.2.6 Contrabando de diversidad / 1.2.7 Apropiación de cuentas, de identidad, entre otros. discriminación) en las 1.2.8 Incumplimiento / evasión de impuestos (intencional) que se encuentra 1.2.9 Soborno / Cohecho. implicada, al menos, 1.2.10 Abuso de información privilegiada (no a favor de la una parte interna a la empresa). Institución de fondos 1.3. Vulnerabilidad a la seguridad de 1.3.1 Vulneración de sistemas de seguridad. Abuso y utilización de información privilegiada o de pago electrónico. los sistemas. 1.3.2 Daños por ataques informáticos. confidencial; alteración de aplicaciones 1.3.3 Robo de información (con pérdidas pecuniarias). informáticas; robo de contraseñas, y accesos 1.3.4 Utilización inadecuada de claves de acceso y/o niveles de informáticos autorización. prohibidos. 1.4 Suplantación de Identidad 1.4.1 Falsificación interna / suplantación de personalidad Falsificación interna y suplantación de personalidad
II. Fraude Externo Pérdidas derivadas 2.1 Fraude Externos. 2.1.1 Uso y/o divulgación de información privilegiada. Uso indebido de tarjetas robadas, falsificadas, robadas de algún tipo de 2.1.2 Espionaje industrial. o en listas negras. actuación 2.1.3 Contrabando. encaminada a defraudar, apropiarse de bienes indebidamente o soslayar la legislación, por parte de un tercero. 2.2 Seguridad de los Sistemas. 2.2.1 Vulneración de sistemas de seguridad. Acceso informático no autorizado; manipulación de 2.2.2 Daños por ataques informáticos. aplicaciones informáticas; daños por ataques 2.2.3 Robo de información (con pérdidas pecuniarias). informáticos, y robo de información. 2.2.4 Utilización inadecuada de claves de acceso y/o niveles de autorización.
2.4 Suplantación de identidad 2.4. 1 Falsificación externa / suplantación de personalidad Documentaciones falsificadas o manipuladas ( transferencias, etc.); suplantación de identidad.
VI. Incidencias en el Pérdidas derivadas de 6.1 Sistemas 6.1.1 Hardware. Interrupción / incidencias en los suministros y líneas Negocio y Fallos en los incidencias en el 6.1.2 Software. de comunicación; errores en los programas Sistemas negocio y de fallas en 6.1.3 Telecomunicaciones. informáticos; fallos en hardware y software; los sistemas. 6.1.4 Interrupción / incidencias en el suministro. sabotajes; interrupciones del negocio; fallos informáticos y programación de virus.
Cálculo Variable X Variable Y Riesgo Alto Riesgo Medio Riesgo Bajo ID Nombre Descripción Dominio Tipo Sub Tipo Sub Clase de Eventos Tipo de Periodo Unidad de Indicador Medi-ción
KRI0001 Incidentes Número de incidentes que Ataques II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Reactivo. Trimestral. Cantidad. Variable X Número de - Más de 1. Igual a 1. Igual a 0. mediante ataques hayan sido originados por lógicos. Externo. de los Sistemas. sistemas de seguridad. casos de directos contra los ataques hacia los sistemas incidentes sistemas internos. internos de la Institución de identificados. fondos de pago electrónico, en el periodo establecido. KRI0002 Casos de fraude Porcentaje de casos donde Ataques II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Reactivo. Mensual. Porcentual. (X/Y)*100 Número de Número de Más del Entre el 0.005 % y en la plataforma. se identifica un fraude, que lógicos. Externo de los Sistemas. sistemas de seguridad. casos de Clientes que .01 %. el 0.01 %. haya sido originado por fraude en la usan la ataques hacia la Plataforma. Plataforma. Plataforma. .
KRI0003 Equipos de la Porcentaje de equipos de Cumplimiento. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Preventivo. Mensual. Porcentual. (X/Y)*100 Número de Número total Menos del Entre 85 % y Más de 95 %. Infraestructura Infraestructura Externo. de los Sistemas. sistemas de seguridad. equipos dentro de equipos. 85 %. 95 %. Tecnológica de los Tecnológica dentro de la de la plataforma que se gestiona su Plataforma y/o proceso de o proceso de configuración de revisión de estándares de revisión de seguridad. configuración segura, con estándares de respecto al total de los configuración equipos de la IFPE durante segura. el periodo establecido.
KRI0004 Nivel de Porcentaje promedio de Cumplimiento. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Preventivo. Mensual. Promedio Promedio(X) % de - Menos del Entre 90 % y Más de 95 %. cumplimiento de nivel de cumplimiento de Externo. de los Sistemas. sistemas de seguridad. porcentual. cumplimiento del 90 %. 95 %. configuración servidores contemplados estándar de segura de dentro de la herramienta configuración servidores de los y/o proceso de revisión de segura de cada que se gestiona su estándares de uno de los configuración. configuración segura. Servidores.
KRI0005 Usuarios con Porcentaje de usuarios con Cumplimiento. I. Fraude 1.3. Seguridad 1.3.3 Robo de información Correctivo. Semestral. Porcentual. (X/Y)*100 Número de Número total Más del 3 %. Entre 1% y 3 %. Menos del 1 %. roles y perfiles perfiles inadecuados dentro Interno de los sistemas. (con pérdidas usuarios con de usuarios inadecuados. de las aplicaciones de la pecuniarias). perfiles considerando IFPE, con respecto al total 1.3.4 Utilización inadecuada de incorrectos, todas las de usuarios en todas las claves deacceso y/o niveles considerando aplicaciones. aplicaciones de autorización. todas las de la Institución de fondos aplicaciones. de pago electrónico. KRI0006 Aplicaciones sin Porcentaje de aplicaciones Cumplimiento. I. Fraude 1.3. Seguridad 1.3.3 Robo de Correctivo. Trimestral. Porcentual. (X/Y)*100. Número de Número total Más del 5 %. Entre 2 % y 5 %. Menos del 2 %. roles y perfiles. las cuales no poseen la Interno. de los sistemas. información (con aplicaciones sin de capacidad pérdidas pecuniarias). capacidad aplicaciones. ni el perfilamiento de roles de y permisos, o que dichos 1.3.4 Utilización perfilamiento, o perfiles no están inadecuada de claves de perfilamiento implementados, esto con acceso y/o niveles de no respecto al total de autorización implementado. aplicaciones.
KRI0007 Incidentes de Número total de Información. Aplica a: Aplican a: Aplican a: Reactivo. Mensual. Cantidad. Variable X. Número de - Más de 5. De 2 a 5. Menos de 2. seguridad de la incidentes reportados I. Fraude 1.3. Seguridad 1.3.1 Vulneración de incidentes de información en durante el periodo Interno de los sistemas sistemas de seguridad seguridad. de general establecido referentes a II.Fraude 2.2 Seguridad 1.3.2 Daños por ataques la información seguridad de la Externo de los informáticos. información. Sistemas. 1.3.3 Robo de información VI. Incidencias 6.1 Sistemas. (con pérdidas en el Negocio pecuniarias). y Fallos en los 1.3.4 Utilización inadecuada Sistemas. de claves de acceso y/o niveles de autorización. 2.2.1 Vulneración de sistemas de seguridad. 2.2.2 Daños por ataques informáticos. 2.2.3 Robo de información (con pérdidas pecuniarias). 2.2.4 Utilización inadecuada de claves de acceso y/o niveles de autorización. 6.1.1Hardware. 6.1.2 Software. 6.1.3 Telecomunicaciones. 6.1.4 Interrupción / incidencias en el Suministro
KRI0008 Plataformas Porcentaje de Infraestructura. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Semestral Porcentual. (X/Y)*10. Número de Total de Más del 5 %. Entre 2 % y 5 %. Menos del 2 % tecnológicas plataformas tecnológicas Externo. de los sistemas de seguridad. plataformas plataformas obsoletas y/o que se encuentran sobre Sistemas. tecnológicas tecnológicas. desactualizadas versiones obsoletas y/o obsoletas. sin soporte por el fabricante KRI0009 Caídas de Número de caídas de Infraestructura. VI. 6.1 Sistemas. 6.1.4 Interrupción / Reactivo. Mensual. Cantidad. Variable X. Numero de - Más de 1. Igual a 1. Igual a 0. sistemas sistemas relacionados Incidencias incidencias en el caídas de relacionados con con los servicios en el Negocio Suministro. sistemas. los servicios brindados a sus Clientes y fallas en los brindados a sus mayores a 10 minutos. sistemas Clientes KRI0010 Incidentes de Porcentaje de incidentes Infraestructura. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Reactivo. Mensual. Porcentual. (X/Y)*100. Número de Número total Más del 5 %. Entre 0.1 % y Menor a 0.1 %. seguridad por de seguridad causados Externo. de los sistemas de seguridad. incidentes de de incidentes 5 %. vulnerabilidades por vulnerabilidades en Sistemas. 2.2.2 Daños por ataques seguridad de de seguridad. de sistemas sistemas e informáticos. atribuidos a provistos por infraestructura 2.2.3 Robo de información vulnerabilidade proveedores tecnológica provistos por (con pérdidas s en sistemas (terceros). proveedores (terceros) pecuniarias). provistos por que no pertenezcan a la nómina de la IFPE, 2.2.4 Utilización proveedores reportados durante el inadecuada de claves de (terceros). periodo establecido, con acceso y/o niveles de respecto al total de autorización. incidentes de seguridad.
KRI0011 Vulnerabilidades Número de Infraestructura. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Preventivo. Mensual. Cantidad. Variable X. Número de - Más de 2. Entre 1 y 2. Igual a 0. críticas vulnerabilidades en los Externo. de los sistemas de seguridad. vulnerabilidades pendientes de sistemas de información Sistemas. críticas corregir que, de acuerdo con las pendientes de detectadas en las pruebas de hackeo ético, corregir con pruebas de se cataloguen como antigüedad de hackeo ético. críticas, las cuales más de un mes. tengan más de un mes de antigüedad a partir de su fecha de detección.
KRI0012 Indisponibilidad Porcentaje promedio del Infraestructura. VI. 6.1 Sistemas. 6.1.4 Interrupción / Reactivo. Mensual. Promedio Promedio(X). Promedio de - Más del Entre 0.25 % Menos de de los sistemas tiempo de Incidencias incidencias en el Porcentual. tiempo de 0.5 %. y 0.5 %. 0.25 %. de TI. indisponibilidad de los en el Negocio Suministro. indisponibilidad sistemas contra el tiempo y Fallas en los de los sistemas total del periodo Sistemas. de TI. establecido.
KRI0013 Incidentes críticos Porcentaje de incidentes Infraestructura. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Reactivo. Mensual. Porcentual. (X/Y)*100. Número de Número total Mayor o Mayor a 0% y Igual a 0 %. y de alta prioridad calificados como críticos Externo. de los sistemas de seguridad. incidentes en de incidentes igual a menor 0.5 %. en ambientes y de alta prioridad en Sistemas. producción en producción. 0.5 %. productivos. ambientes de producción calificados respecto al total de como críticos. incidentes en producción.
KRI0014 Componentes de Porcentaje de los Infraestructura. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Trimestral. Porcentual. (X/Y)*100. Número de Número de Más del 3 %. Entre el 1 % y Menos del 1 %. la infraestructura componentes de la Externo. de los sistemas de seguridad. activos activos 3 %. tecnológica infraestructura Sistemas. expuestos a expuestos a expuestos a tecnológica de la internet que no internet. internet sin organización expuestos hayan realizado pruebas de hacia internet a los pruebas de hackeo ético y/o cuales no se haya hackeo ético o análisis de realizado hackeo ético o análisis de vulnerabilidades. análisis de vulnerabilidades. vulnerabilidades, con respecto al total de equipos en más de 3 meses.
KRI0015 Vulnerabilidades Número de Infraestructura. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Cantidad. Variable X. Número total de - Más de 2 Entre 1 y 2 Igual a 0 críticas vulnerabilidades en los Externo. de los sistemas de seguridad. vulnerabilidades pendientes de sistemas de información Sistemas. críticas. corregir que, de acuerdo con los detectadas en los análisis de análisis de vulnerabilidades se vulnerabilidades. cataloguen como críticas, las cuales, tengan más de un mes de antigüedad a partir de su fecha de detección.
KRI0016 Infraestructura Cantidad de equipos e Infraestructura. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Trimestral. Porcentual. (X/Y)*100. Número de Número total Más del 5 %. Entre 2 % y 5 %. Menos del 2 %. Tecnológica Infraestructura Externo. de los sistemas de seguridad. equipos e de equipos obsoleta y/o sin Tecnológica, que se Sistemas. infraestructura activos. soporte. encuentran en versiones obsoleta. obsoletas o sin soporte, en comparación con toda la infraestructura de IT activa en el periodo establecido. KRI0017 Servidores sin Porcentaje de servidores Malware. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Porcentual. (X/Y)*100. Número de Número total Más del 6 %. Entre 3% y 6 %. Menor a 3 %. solución sin antimalware respecto Externo. de los sistemas de seguridad. servidores sin de servidores. antimalware. del total de servidores. Sistemas. antimalware. KRI0018 Servidores con Porcentaje de servidores Malware. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Porcentual. (X/Y)*100. Número de Número total Más del 6 % Entre 3% y 6 % Menor a 3 % firmas de con firmas de Externo. de los sistemas de seguridad. servidores con de servidores antimalware antimalware (malware Sistemas. firmas con desactualizadas. signatures) antimalware antimalware. desactualizados desactualizadas. respecto del total de servidores con antimalware en cada IFPE KRI0019 Workstations sin Porcentaje de Malware. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Porcentual. (X/Y)*100. Número de Número total Más del 8 %. Entre 4% y 8 %. Menor a 4 %. solución workstations sin Externo. de los sistemas de seguridad. workstations sin de antimalware antimalware con Sistemas. antimalware. workstations. respecto al total de equipos KRI0020 Workstations con Porcentaje de las Malware. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Porcentual. (X/Y)*100. Número de Número de Más del 8 %. Entre 4% y 8 %. Menor a 4 %. firmas de workstations que Externo. de los sistemas de seguridad. workstations con workstations antimalware cuentan con las firmas Sistemas. firmas con desactualizadas. de antimalware (malware antimalware antimalware. signatures) desactualizadas. desactualizadas con respecto al total de equipos de cómputo con antimalware instalado. KRI0021 Incidentes de Porcentaje de incidentes Incidentes. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Reactivo. Mensual. Porcentual. (X/Y)*100. Número de Número de Más del 5 %. Mayor a 0 % y Igual a 0 %. seguridad de seguridad Externo. de los sistemas de seguridad. incidentes de incidentes de menor 5 %. atribuidos a relacionados a personal Sistemas. seguridad seguridad total personal de de proveedores relacionados con de personal de proveedores (terceros) que no personal de proveedores (terceros). pertenezcan a la nómina proveedores (terceros). de la IFPE, reportadas (terceros). durante el periodo establecido, con respecto del total de incidentes de seguridad.
KRI0022 Servidores con Porcentaje total de Software. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Porcentual. (X/Y)*100. Número de Número total Más de Entre 5% y 10 %. Menor a 5 %. versiones de servidores con versiones Externo. de los sistemas de seguridad. servidores con de servidores. 10 %. sistema operativo de sistema operativo Sistemas. versiones de obsoletas. obsoletas comparado sistema operativo contra número total de obsoletas. servidores. KRI0023 Aplicaciones en Porcentaje de las Software. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Trimestral. Porcentual. (X/Y)*100. Número de Número total Más de 5 %. Entre 2 % y 5 %. Menos de 2 %. producción con aplicaciones en Externo. de los sistemas de seguridad. controles de de controles de cumplimiento producción con Sistemas. seguridad seguridad. parcial o cumplimientos parciales deficientes en deficiente de los o deficientes, con aplicaciones en controles de respecto a las políticas producción. seguridad. de seguridad establecidas, en cuestiones de seguridad, con respecto al total de aplicaciones. KRI0024 Data base Porcentaje de Software. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Trimestral. Porcentual. (X/Y)*100. Número de data Número total Más del Entre 5 % y 10 %. Menos del 5 %. managers (DBM) manejadores de data Externo. de los sistemas de seguridad. base managers data base 10 %. con versiones de base managers(DBM), Sistemas. (DBM) obsoletas managers tecnología los cuales son versiones o no soportadas. (DBM). obsoletas o no de tecnologías obsoletas soportadas. o no soportadas por el fabricante, en comparación con el total de data base managers (DBM) activos en el periodo establecido. KRI0025 Aplicaciones Porcentaje de Software. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Trimestral. Porcentual. (X/Y)*100. Número de Total de Más de 5 %. Entre 2 % y 5 %. Menos de 2 %. obsoletas o no aplicaciones dentro de la Externo. de los sistemas de seguridad. aplicaciones aplicaciones soportadas. IFPE, las cuales se VI. Sistemas. 6.1.2 Software. obsoletas o no activas. encuentran obsoletas o Incidencias 6.1 Sistemas. soportadas. sin soporte por el en el Negocio fabricante, con relación a y Fallos en todas las aplicaciones los Sistemas. activas durante el periodo establecido. KRI0026 Servidores sin Porcentaje de servidores Software. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Porcentual. (X/Y)*100. Número de Total de Más del 5 %. Entre 2 % y 5 %. Menos del 2 %. cobertura de sin los parches de Externo. de los sistemas de seguridad. servidores sin los servidores. parches de seguridad más recientes, Sistemas. parches de seguridad. con respecto al total de seguridad más servidores activos recientes durante el periodo instalados. establecido.
KRI0027 Workstations sin Porcentaje de Software. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Porcentual. (X/Y))*100. Número Número de Más del 3 %. Entre 1 % y 3 %. Menos del 1 %. cobertura de workstations sin los de Externo. de los sistemas de seguridad. workstations sin workstations parches de parches de seguridad Sistemas. los parches de totales. seguridad. más recientes indistinto seguridad más del sistema operativo de recientes que se trate, con instaladas respecto al total de totales. workstations de la IFPE KRI0028 Data base Porcentaje de data Software. II. 2.2 2.2.1 Vulneración de Preventivo. Trimestral. Porcentual. (X/Y)*100. Número de Número total Más del 5 %. Entre 2 % y 5 %. Menos del 2 %. managers base managers (DBM) Fraude Seguridad de sistemas de data base de data base (DBM) sin sin cobertura de los Externo. los Sistemas. seguridad. managers managers cobertura de parches de seguridad (DBM) sin (DBM). parches de más recientes, con cobertura de seguridad. respecto al total de data parches de base managers (DBM) seguridad. durante el periodo establecido.