DCG-IFPE-2021 · ANEXO 3
Disposiciones aplicables a las instituciones de fondos de pago electrónico a que se refieren los artículos 48, segundo párrafo; 54, primer párrafo, y 56, primer y segundo párrafos de la Ley para Regular las Instituciones de Tecnología Financiera
Cita estable: urn:lex-mx:federal:regulation:ifpe-dcg-2021:annex:3. Publicación: c305db4a3cfb408b76c13431e26beda72d5ce665046c95783fab36507354c969.
Estado registrado: unknown; revisión: not_analyzed. No acredita vigencia.
Fuente: Comisión Nacional Bancaria y de Valores. Recuperada: 2026-07-12T06:55:47.737542Z. Reforma registrada en esa fuente: no disponible; no es una comprobación de actualidad.
SHA-256 fuente: 3ea5c47dfaae47232d202ddc5cc4fee5f4091fecc7f2d74b5a6d1e1e5cb9af7e. SHA-256 texto: 4ea15ac3c1d63abe5eb5f7cca17827a3122fbeddc755b7616e6181706f01b697.
Texto completo
Incidentes en materia de seguridad de la información
I. Información de la institución de fondos de pago electrónico
a) Nombre de la institución de fondos de pago electrónico. b) Nombre completo del oficial en jefe de seguridad de la información, así como su número de teléfono y dirección de correo electrónico.
II. Información detallada del Incidente de Seguridad de la Información
Descripción del Incidente de Seguridad de la Información
a) Fecha y hora en que ocurrió
b) Fecha y hora en que se detectó
c) Duración del incidente
d) ¿La información involucrada en el incidente es administrada por terceros? Si ( ) No ( )
En caso de ser afirmativo el inciso d), detallar datos del proveedor (nombre, dirección y datos de e) contacto, correo electrónico, teléfono, entre otros)
Afectación provocada por el Incidente de Seguridad de la Información
f) ¿El incidente puede ocasionar una pérdida monetaria para los Clientes o para la propia IFPE? Si ( ) No ( )
¿Es viable recuperar de manera directa (gestiones propias) o indirecta (a través de seguros) la posible g) Si ( ) No ( ) pérdida monetaria?
¿Se han identificado otros incidentes relacionados con el que se reporta, sea por origen, modo de h) Si ( ) No ( ) operación o afectación?
i) Indicar, en su caso, el tipo de información comprometida con el Incidente de Seguridad de la Información, conforme a las tablas siguientes:
Información personal comprometida del Cliente Nombres Si ( ) No ( ) Domicilios Si ( ) No ( ) Números de teléfono Si ( ) No ( ) Direcciones de correo electrónico Si ( ) No ( )
Datos biométricos (huellas dactilares, patrones en iris o retina o reconocimiento facial, entre otros) Si ( ) No ( )
Otro(s):
Información de Cuentas o saldos
Números de tarjetas, u otros Si ( ) No ( )
Números de Cuenta Si ( ) No ( ) Si ( ) No ( ) Contraseñas o números de Identificador de Cliente Identificadores de Clientes Si ( ) No ( )
Límites Si ( ) No ( )
Saldos Si ( ) No ( )
Otro(s)
Información de la institución de fondos de pago electrónico Claves de acceso Si ( ) No ( )
Configuraciones de seguridad Si ( ) No ( )
Identificación de puertos o servicios Si ( ) No ( )
Direcciones IP de componentes o servicios Si ( ) No ( )
Direcciones IP de componentes internos Si ( ) No ( )
Acceso a segmentos internos de red Si ( ) No ( )
Si ( ) No ( ) Versiones de software, sistemas operativos o bases de datos Identificación de vulnerabilidades Si ( ) No ( )
Otro(s)
III. Clasificar el Incidente de Seguridad de la Información reportado con base en las siguientes definiciones:
a) Daño no intencional o accidental, pérdida de información o pérdida de activos
Información compartida indebidamente Si ( ) No ( )
Errores u omisiones en sistemas o dispositivos Si ( ) No ( )
Errores en procedimientos o controles Si ( ) No ( ) Cambios indebidos a datos Si ( ) No ( ) Extravío de información o dispositivos Si ( ) No ( ) Otro(s):
b) Incidentes por fallas o mal funcionamiento
Dispositivos Si ( ) No ( ) Sistemas Si ( ) No ( ) Comunicaciones Si ( ) No ( ) Servicios Si ( ) No ( ) Equipos de terceros Si ( ) No ( ) Cadena de suministros Si ( ) No ( ) Otro(s):
c) Incidentes por la interrupción o falta de insumos Ausencia de personal Si ( ) No ( ) Huelgas Si ( ) No ( ) Energía Si ( ) No ( ) Agua Si ( ) No ( ) Telecomunicaciones Si ( ) No ( ) Otro(s):
d) Incidentes por intercepción de datos
Espionaje Si ( ) No ( ) Mensajes Si ( ) No ( ) Wardriving Si ( ) No ( ) Ataques de hombre en medio Si ( ) No ( ) Secuestro de sesiones Si ( ) No ( ) Sniffers Si ( ) No ( ) Robo de mensajería Si ( ) No ( ) Otro(s):
e) Incidentes por actividad maliciosa con el fin de tomar el control, desestabilizar o dañar un sistema informático
Robo de identidad Si ( ) No ( ) Phishing Si ( ) No ( ) Denegación de servicios (DOS, DDOS) Si ( ) No ( )
Código malicioso (malware, troyanos, gusanos, inyección de código, virus, ransomware) Si ( ) No ( )
Ingeniería social Si ( ) No ( ) Vulneración de certificados (suplantación de sitios, certificados falsos) Si ( ) No ( ) Manipulación de hardware (proxies anónimos, skimmers, sniffers) Si ( ) No ( ) Alteración de información (suplantación de direccionamiento y tablas de ruteo, DNS poisoning, Si ( ) No ( ) alteración de configuraciones) Abuso de aplicaciones de auditoría Si ( ) No ( ) Ataques de fuerza bruta Si ( ) No ( ) Abuso de autorizaciones Si ( ) No ( ) Crimen organizado Si ( ) No ( ) Hacktivistas Si ( ) No ( ) Gobierno o grupos afines Si ( ) No ( ) Terroristas Si ( ) No ( ) Insiders Si ( ) No ( ) Otro(s):
f) Incidentes originados por aspectos legales
Violación de cláusulas contractuales Si ( ) No ( ) Violación de acuerdos de confidencialidad Si ( ) No ( ) Decisiones adversas (resoluciones judiciales en la misma jurisdicción o en otras) Si ( ) No ( )
Otro(s):
g) Otros (especificar)
IV. Clasificación del Incidente de Seguridad de la Información
Señalar en la tabla siguiente la clasificación en la que se ubica el incidente mediante los conceptos del catálogo que a continuación se señalan:
Tipo Sub Tipo Sub Clase de Eventos I. Fraude Interno 1.1 Actividades no autorizadas. 1.1.1 Operaciones no reveladas (intencionalmente). ( ) 1.1.2 Operaciones no autorizadas (con pérdidas ( ) pecuniarias). 1.1.3 Valoración errónea de posiciones ( ) (intencional). 1.2 Robo y Fraude Internos. 1.2.1 Fraude / depósitos sin valor. ( ) 1.2.2 Extorsión / malversación / robo. ( ) 1.2.3 Apropiación indebida de activos. ( ) 1.2.4 Destrucción dolosa de activos. ( ) 1.2.5 Falsificación Interna. ( ) 1.2.6 Contrabando. ( ) 1.2.7 Apropiación de cuentas, de identidad, entre otros. 1.2.8 Incumplimiento / evasión de impuestos (intencional). ( ) 1.2.9 Cohecho. ( ) 1.2.10 Abuso de información privilegiada (no a favor de la ( ) empresa). ( )
1.3. Seguridad de los sistemas. 1.3.1 Vulneración de sistemas de seguridad. ( ) 1.3.2 Daños por ataques informáticos. ( ) ( ) 1.3.3 Robo de información (con pérdidas pecuniarias). ( ) 1.3.4 Utilización inadecuada de claves de acceso y/o niveles de ( ) autorización. II. Fraude Externo 2.1 Hurto y Fraude Externos. 2.1.1 Robo / estafa / extorsión /cohecho. ( ) 2.1.2 Falsificación Externa / Suplantación de personalidad. ( ) ( ) 2.1.3 Uso y/o divulgación de información privilegiada. ( ) 2.1.4 Espionaje industrial. ( ) 2.1.5 Contrabando. 2.2 Seguridad de los Sistemas. 2.2.1 Vulneración de sistemas de seguridad. ( ) 2.2.2 Daños por ataques informáticos. ( ) 2.2.3 Robo de información (con pérdidas pecuniarias). ( ) 2.2.4 Utilización inadecuada de claves de acceso y/o niveles de ( ) autorización. VI. Incidencias en el 6.1 Sistemas 6.1.1 Hardware. ( ) Negocio y Fallos en los 6.1.2 Software. ( ) Sistemas 6.1.3 Telecomunicaciones. ( ) 6.1.4 Interrupción / incidencias en el suministro. ( ) Nombre y firma del oficial en jefe de seguridad de la información