DCG-ITF-2018 · ANEXO 13
Disposiciones de carácter general aplicables a las instituciones de tecnología financiera
Cita estable: urn:lex-mx:federal:regulation:itf-dcg-2018:annex:13. Publicación: c305db4a3cfb408b76c13431e26beda72d5ce665046c95783fab36507354c969.
Estado registrado: unknown; revisión: not_analyzed. No acredita vigencia.
Fuente: Comisión Nacional Bancaria y de Valores. Recuperada: 2026-07-12T06:56:11.119718Z. Reforma registrada en esa fuente: no disponible; no es una comprobación de actualidad.
SHA-256 fuente: 5d3dfa6fea489716035461a6ba9dd551202eb54652b311fe243f1bfbdac001c4. SHA-256 texto: 80b21f7997dd219c71bc78e168d255f5a52b7d5a652633b0885f4e6dc376aed4.
Texto completo
Indicadores de seguridad de la información
El oficial en jefe de seguridad de la información de la institución de financiamiento colectivo, en relación con los indicadores de riesgo en materia de seguridad de la información a que se refiere la fracción XI del artículo 66, de las presentes disposiciones, deberá:
1. Evaluar dichos indicadores, los cuales deberán ajustarse a los umbrales contenidos en este anexo para cada indicador. En caso de definir umbrales diferentes, deberá documentar el motivo. 2. Definir planes de remediación para aquellos riesgos en los que los resultados de la evaluación arrojen valores que se encuentren dentro de los umbrales medios y altos de riesgo establecidos en el presente anexo o, en su caso, aquellos definidos por la institución de financiamiento colectivo, siempre que estos se encuentren en un umbral alto por, al menos, dos periodos consecutivos. 3. Dar mantenimiento continuo, ya sea para agregar, eliminar o actualizar los indicadores claves de riesgo y de desempeño de seguridad de la información ya existentes, los cuales siempre deberán estar alineados a la estrategia de la institución de financiamiento colectivo y al Plan Director de Seguridad de la información de esta. 4. Medir y evaluar su evolución con la periodicidad indicada en las siguientes tablas, o antes en caso de eventos inusuales. 5. En caso de que no apliquen todos los supuestos, indicar que no son aplicables y explicar el motivo.
Tipo Definición Sub Tipo Sub Clase de Eventos Ejemplos I. Fraude Interno Pérdidas derivadas 1.1 Actividades no autorizadas. 1.1.1 Operaciones no reveladas (intencionalmente). Operaciones no comunicadas; de algún tipo de 1.1.2 Operaciones no autorizadas (con pérdidas operaciones no autorizadas (con actuación pecuniarias). pérdidas pecuniarias); valoración encaminada a 1.1.3 Valoración errónea de posiciones errónea de posiciones, y omisión defraudar, (intencional). intencional de normativa. apropiarse de 1.2 Robo y Fraude Internos. 1.2.1 Fraude / depósitos sin valor. Robo; malversación; apropiación bienes 1.2.2 Extorsión / malversación / robo. indebida; destrucción de activos; indebidamente, o 1.2.3 Apropiación indebida de activos. falsificaciones; suplantación de bien, soslayar 1.2.4 Destrucción dolosa de activos. identidad; y cohechos; manipulación regulaciones, leyes 1.2.5 Falsificación Interna. de cuentas. o políticas 1.2.6 Contrabando empresariales 1.2.7 Apropiación de cuentas, de identidad, entre otros. (excluidos los 1.2.8 Incumplimiento / evasión de impuestos (intencional) eventos de 1.2.9 Cohecho. diversidad / 1.2.10 Abuso de información privilegiada (no a favor de la discriminación) en empresa). las que se encuentra 1.3. Seguridad de los sistemas. 1.3.1 Vulneración de sistemas de seguridad. Abuso y utilización de información implicada, al menos, 1.3.2 Daños por ataques informáticos. privilegiada o confidencial; alteración una parte interna a 1.3.3 Robo de información (con pérdidas pecuniarias). de aplicaciones informáticas; robo de la Institución de 1.3.4 Utilización inadecuada de claves de acceso y/o niveles de contraseñas, y accesos informáticos Tecnología autorización. prohibidos. Financiera. II. Fraude Externo Pérdidas derivadas 2.1 Hurto y Fraude Externos. 2.1.1 Robo / estafa / extorsión /cohecho. Documentaciones falsificadas o de algún tipo de 2.1.2 Falsificación Externa / Suplantación de personalidad. manipuladas (transferencias, etc.); suplantación de identidad; disposiciones actuación 2.1.3 Uso y/o divulgación de información privilegiada. indebidas; monedas falsas; billetes encaminada a 2.1.4 Espionaje industrial. deteriorados o fuera de curso legal; defraudar, 2.1.5 Contrabando. robos en las instalaciones de la IFC, y apropiarse de uso indebido de tarjetas robadas o bienes falsificadas . indebidamente o soslayar la legislación, por parte de un tercero. 2.2 Seguridad de los Sistemas. 2.2.1 Vulneración de sistemas de seguridad. Acceso informático no autorizado; 2.2.2 Daños por ataques informáticos. manipulación de aplicaciones 2.2.3 Robo de información (con pérdidas pecuniarias). informáticas; daños por ataques 2.2.4 Utilización inadecuada de claves de acceso y/o niveles de informáticos, y robo de información. autorización. VI. Incidencias en el Pérdidas derivadas 6.1 Sistemas 6.1.1 Hardware. Interrupción / incidencias en los Negocio y Fallos en de incidencias en el 6.1.2 Software. suministros y líneas de comunicación; los Sistemas negocio y de fallas 6.1.3 Telecomunicaciones. errores en los programas informáticos; en los sistemas. 6.1.4 Interrupción / incidencias en el suministro. fallos en hardware y software; sabotajes; interrupciones del negocio;
Tipo Definición Sub Tipo Sub Clase de Eventos Ejemplos fallos informáticos y programación de virus.
Cálculo Variable X Variable Y Riesgo Alto Riesgo Medio Riesgo Bajo ID Nombre Descripción Dominio Tipo Sub Tipo Sub Clase de Eventos Tipo de Periodo Unidad de Indicador Medi-ción
KRI0001 Incidentes Número de incidentes Ataques II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Reactivo. Trimestral. Cantidad. Variable X Número de - Más de 1. Igual a 1. Igual a 0. mediante ataques que hayan sido lógicos. Externo. de los sistemas de seguridad. casos de directos contra originados por ataques Sistemas. incidentes los sistemas hacia los sistemas identificados. internos. internos de la Institución de Tecnología Financiera, en el periodo establecido. KRI0002 Casos de fraude Porcentaje de casos Ataques II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Reactivo. Mensual. Porcentual. (X/Y)*100 Número de Número de Más del Entre el 0.005 % en la plataforma. donde se identifica un lógicos. Externo de los sistemas de seguridad. casos de Clientes .01 %. y el 0.01 %. fraude, que haya sido Sistemas. fraude en la que usan la originado por ataques Plataforma. Plataforma. hacia la Plataforma. .
KRI0003 Equipos de la Porcentaje de equipos Cumplimiento. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Preventivo. Mensual. Porcentual. (X/Y)*100 Número de Número total Menos del Entre 85 % y Más de 95 %. Infraestructura de Infraestructura Externo. de los sistemas de seguridad. equipos dentro de equipos. 85 %. 95 %. Tecnológica de Tecnológica dentro de la Sistemas. de la los que se Plataforma y/o proceso plataforma o gestiona su de revisión de proceso de configuración de estándares de revisión de seguridad. configuración segura, estándares de con respecto al total de configuración los equipos de la IFC segura. durante el periodo establecido.
KRI0004 Nivel de Porcentaje promedio de Cumplimiento. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Preventivo. Mensual. Promedio Promedio(X) % de - Menos del Entre 90 % y Más de 95 %. cumplimiento de nivel de cumplimiento de Externo. de los sistemas de seguridad. porcentual. cumplimiento 90 %. 95 %. configuración servidores contemplados Sistemas. del estándar de segura de dentro de la herramienta configuración servidores de y/o proceso de revisión segura de cada los que se de estándares de uno de los gestiona su configuración segura. Servidores. configuración.
KRI0005 Usuarios con Porcentaje de usuarios Cumplimiento. I. Fraude 1.3. Seguridad 1.3.3 Robo de Correctivo. Semestral. Porcentual. (X/Y)*100 Número de Número total Más del 3 %. Entre 1% y 3 %. Menos del 1 %. roles y perfiles con perfiles inadecuados Interno de los información (con usuarios con de usuarios inadecuados. dentro de las sistemas. pérdidas pecuniarias). perfiles considerando aplicaciones de la IFC, 1.3.4 Utilización incorrectos, todas las con respecto al total de inadecuada de claves de considerando aplicaciones. usuarios en todas las acceso y/o niveles de todas las aplicaciones autorización. aplicaciones. de la Institución de Tecnología Financiera. KRI0006 Aplicaciones sin Porcentaje de Cumplimiento. I. Fraude 1.3. Seguridad 1.3.3 Robo de Correctivo. Trimestral. Porcentual. (X/Y)*100. Número de Número total Más del 5 %. Entre 2 % y 5 %. Menos del 2 %. roles y perfiles. aplicaciones las cuales Interno. de los información (con aplicaciones de no poseen la capacidad sistemas. pérdidas pecuniarias). sin capacidad aplicaciones. ni el perfilamiento de de roles y permisos, o que dichos 1.3.4 Utilización perfilamiento, o perfiles no están inadecuada de claves de perfilamiento implementados, esto con acceso y/o niveles de no respecto al total de autorización implementado. aplicaciones.
KRI0007 Incidentes de Número total de Información. Aplica a: Aplican a: Aplican a: Reactivo. Mensual. Cantidad. Variable X. Número de - Más de 5. De 2 a 5. Menos de 2. seguridad de la incidentes reportados I. Fraude 1.3. Seguridad 1.3.1 Vulneración de incidentes de información en durante el periodo Interno de los sistemas sistemas de seguridad seguridad. de general establecido referentes a II. Fraude 2.2 Seguridad 1.3.2 Daños por ataques la información seguridad de la Externo de los informáticos. información. Sistemas. VI. 1.3.3 Robo de Incidencias 6.1 Sistemas. información (con en el Negocio pérdidas pecuniarias). y Fallos en 1.3.4 Utilización los Sistemas. inadecuada de claves de acceso y/o niveles de autorización. 2.2.1 Vulneración de sistemas de seguridad. 2.2.2 Daños por ataques informáticos. 2.2.3 Robo de información (con pérdidas pecuniarias). 2.2.4 Utilización inadecuada de claves de acceso y/o niveles de autorización. 6.1.1Hardware. 6.1.2 Software. 6.1.3 Telecomunicaciones. 6.1.4 Interrupción / incidencias en el Suministro
KRI0008 Plataformas Porcentaje de Infraestructura. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Semestral Porcentual. (X/Y)*10. Número de Total de Más del 5 %. Entre 2 % y 5 %. Menos del 2 % tecnológicas plataformas tecnológicas Externo. de los sistemas de seguridad. plataformas plataformas obsoletas y/o que se encuentran sobre Sistemas. tecnológicas tecnológicas. desactualizadas versiones obsoletas y/o obsoletas. sin soporte por el fabricante
KRI0009 Caídas de Número de caídas de Infraestructura. VI. 6.1 Sistemas. 6.1.4 Interrupción / Reactivo. Mensual. Cantidad. Variable X. Numero de - Más de 1. Igual a 1. Igual a 0. sistemas sistemas relacionados Incidencias incidencias en el caídas de relacionados con con los servicios en el Negocio Suministro. sistemas. Los servicios brindados a sus Clientes y fallas en los brindados a sus mayores a 10 minutos. sistemas Clientes KRI0010 Incidentes de Porcentaje de incidentes Infraestructura. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Reactivo. Mensual. Porcentual. (X/Y)*100. Número de Número total Más del 5 %. Entre 0.1 % y Menor a 0.1 %. seguridad por de seguridad causados Externo. de los sistemas de seguridad. incidentes de de incidentes 5 %. vulnerabilidades por vulnerabilidades en Sistemas. 2.2.2 Daños por ataques seguridad de de seguridad. de sistemas sistemas e informáticos. atribuidos a provistos por infraestructura 2.2.3 Robo de vulnerabilidade proveedores tecnológica provistos por información (con s en sistemas (terceros). proveedores (terceros) pérdidas pecuniarias). provistos por que no pertenezcan a la nómina de la IFC, 2.2.4 Utilización proveedores reportados durante el inadecuada de claves de (terceros). periodo establecido, con acceso y/o niveles de respecto al total de autorización. incidentes de seguridad.
KRI0011 Vulnerabilidades Número de Infraestructura. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Preventivo. Mensual. Cantidad. Variable X. Número de - Más de 2. Entre 1 y 2. Igual a 0. críticas vulnerabilidades en los Externo. de los sistemas de seguridad. vulnerabilidades pendientes de sistemas de información Sistemas. críticas corregir que, de acuerdo con las pendientes de detectadas en las pruebas de hackeo corregir con pruebas de ético, se cataloguen antigüedad de hackeo ético. como críticas, las cuales más de un tengan más de un mes mes. de antigüedad a partir de su fecha de detección.
KRI0012 Indisponibilidad Porcentaje promedio del Infraestructura. VI. 6.1 Sistemas. 6.1.4 Interrupción / Reactivo. Mensual. Promedio Promedio(X). Promedio de - Más del Entre 0.25 % Menos de de los sistemas tiempo de Incidencias incidencias en el Porcentual. tiempo de 0.5 %. y 0.5 %. 0.25 %. de TI. indisponibilidad de los en el Negocio Suministro. indisponibilidad sistemas contra el y Fallas en de los sistemas tiempo total del periodo los Sistemas. de TI. establecido.
KRI0013 Incidentes críticos Porcentaje de incidentes Infraestructura. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Reactivo. Mensual. Porcentual. (X/Y)*100. Número de Número total Mayor o Mayor a 0% y Igual a 0 %. y de alta prioridad calificados como críticos Externo. de los sistemas de seguridad. incidentes en de incidentes igual a menor 0.5 %. en ambientes y de alta prioridad en Sistemas. producción en producción. 0.5 %. productivos. ambientes de calificados producción respecto al como críticos. total de incidentes en producción.
KRI0014 Componentes de Porcentaje de los Infraestructura. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Trimestral. Porcentual. (X/Y)*100. Número de Número de Más del 3 %. Entre el 1 % y Menos del 1 %. la infraestructura componentes de la Externo. de los sistemas de seguridad. activos activos 3 %. tecnológica infraestructura Sistemas. expuestos a expuestos a expuestos a tecnológica de la internet que no internet. internet sin organización expuestos hayan realizado pruebas de hacia internet a los pruebas de hackeo ético y/o cuales no se haya hackeo ético o análisis de realizado hackeo ético o análisis de vulnerabilidades. análisis de vulnerabilidades. vulnerabilidades, con respecto al total de equipos en más de 3 meses.
KRI0015 Vulnerabilidades Número de Infraestructura. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Cantidad. Variable X. Número total de - Más de 2 Entre 1 y 2 Igual a 0 críticas vulnerabilidades en los Externo. de los sistemas de seguridad. vulnerabilidades pendientes de sistemas de información Sistemas. críticas. corregir que, de acuerdo con los detectadas en los análisis de análisis de vulnerabilidades se vulnerabilidades. cataloguen como críticas, las cuales, tengan más de un mes de antigüedad a partir de su fecha de detección. KRI0016 Infraestructura Cantidad de equipos e Infraestructura. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Trimestral. Porcentual. (X/Y)*100. Número de Número total Más del 5 %. Entre 2 % y 5 %. Menos del 2 %. Tecnológica Infraestructura Externo. de los sistemas de seguridad. equipos e de equipos obsoleta y/o sin Tecnológica, que se Sistemas. infraestructura activos. soporte. encuentran en versiones obsoleta. obsoletas o sin soporte, en comparación con toda la infraestructura de IT activa en el periodo establecido. KRI0017 Servidores sin Porcentaje de servidores Malware. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Porcentual. (X/Y)*100. Número de Número total Más del 6 %. Entre 3% y 6 %. Menor a 3 %. solución sin antimalware respecto Externo. de los sistemas de seguridad. servidores sin de servidores. antimalware. del total de servidores. Sistemas. antimalware. KRI0018 Servidores con Porcentaje de servidores Malware. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Porcentual. (X/Y)*100. Número de Número total Más del 6 % Entre 3% y 6 % Menor a 3 % firmas de con firmas de Externo. de los sistemas de seguridad. servidores con de servidores antimalware antimalware (malware Sistemas. firmas con desactualizadas. signatures) antimalware antimalware. desactualizados desactualizadas. respecto del total de servidores con antimalware en cada IFC KRI0019 Workstations sin Porcentaje de Malware. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Porcentual. (X/Y)*100. Número de Número total Más del 8 %. Entre 4% y 8 %. Menor a 4 %. solución workstations sin Externo. de los sistemas de seguridad. workstations sin de antimalware antimalware con Sistemas. antimalware. workstations. respecto al total de equipos KRI0020 Workstations con Porcentaje de las Malware. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Porcentual. (X/Y)*100. Número de Número de Más del 8 %. Entre 4% y 8 %. Menor a 4 %. firmas de workstations que Externo. de los sistemas de seguridad. workstations con workstations antimalware cuentan con las firmas Sistemas. firmas con desactualizadas. de antimalware antimalware antimalware. (malware signatures) desactualizadas. desactualizadas con respecto al total de equipos de cómputo con antimalware instalado. KRI0021 Incidentes de Porcentaje de incidentes Incidentes. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Reactivo. Mensual. Porcentual. (X/Y)*100. Número de Número de Más del 5 %. Mayor a 0 % y Igual a 0 %. seguridad de seguridad Externo. de los sistemas de seguridad. incidentes de incidentes de menor 5 %. atribuidos a relacionados a personal Sistemas. seguridad seguridad total personal de de proveedores relacionados con de personal de proveedores (terceros) que no personal de proveedores (terceros). pertenezcan a la nómina proveedores (terceros). de la IFC, (terceros). reportadas durante el periodo establecido, con respecto al total de incidentes de seguridad. KRI0022 Servidores con Porcentaje total de Software. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Porcentual. (X/Y)*100. Número de Número total Más de Entre 5% y 10 %. Menor a 5 %. versiones de servidores con versiones Externo. de los sistemas de seguridad. servidores con de servidores. 10 %. sistema operativo de sistema operativo Sistemas. versiones de obsoletas. obsoletas comparado sistema operativo contra número total de obsoletas. servidores. KRI0023 Aplicaciones en Porcentaje de las Software. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Trimestral. Porcentual. (X/Y)*100. Número de Número total Más de 5 %. Entre 2 % y 5 %. Menos de 2 %. producción con aplicaciones en Externo. de los sistemas de seguridad. controles de de controles de cumplimiento producción con Sistemas. seguridad seguridad. parcial o cumplimientos parciales deficientes en deficiente de los o deficientes, con aplicaciones en controles de respecto a las políticas producción. seguridad. de seguridad establecidas, en cuestiones de seguridad, con respecto al total de aplicaciones. KRI0024 Data base Porcentaje de Software. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Trimestral. Porcentual. (X/Y)*100. Número de data Número total Más del Entre 5 % y 10 %. Menos del 5 %. managers (DBM) manejadores de data Externo. de los sistemas de seguridad. base managers data base 10 %. con versiones de base managers(DBM), Sistemas. (DBM) obsoletas managers tecnología los cuales son versiones o no soportadas. (DBM). obsoletas o no de tecnologías obsoletas soportadas. o no soportadas por el fabricante, en comparación con el total de data base managers (DBM) activos en el periodo establecido. KRI0025 Aplicaciones Porcentaje de Software. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Trimestral. Porcentual. (X/Y)*100. Número de Total de Más de 5 %. Entre 2 % y 5 %. Menos de 2 %. obsoletas o no aplicaciones dentro de la Externo. de los sistemas de seguridad. aplicaciones aplicaciones soportadas. IFC, las cuales se VI. Sistemas. 6.1.2 Software. obsoletas o no activas. encuentran obsoletas o Incidencias 6.1 Sistemas. soportadas. sin soporte por el en el Negocio fabricante, con relación y Fallos en a todas las aplicaciones los Sistemas. activas durante el periodo establecido. KRI0026 Servidores sin Porcentaje de servidores Software. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Porcentual. (X/Y)*100. Número de Total de Más del 5 %. Entre 2 % y 5 %. Menos del 2 %. cobertura de sin los parches de Externo. de los sistemas de seguridad. servidores sin los servidores. parches de seguridad más recientes, Sistemas. parches de seguridad. con respecto al total de seguridad más servidores activos recientes durante el periodo instalados. establecido.
KRI0027 Workstations sin Porcentaje de Software. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Correctivo. Mensual. Porcentual. (X/Y))*100. Número Número de Más del 3 %. Entre 1 % y 3 %. Menos del 1 %. cobertura de workstations sin los de Externo. de los sistemas de seguridad. workstations sin workstations parches de parches de seguridad Sistemas. los parches de totales. seguridad. más recientes indistinto seguridad más del sistema operativo de recientes que se trate, con instaladas respecto al total de totales. workstations de la IFC KRI0028 Data base Porcentaje de data Software. II. Fraude 2.2 Seguridad 2.2.1 Vulneración de Preventivo. Trimestral. Porcentual. (X/Y)*100. Número de data Número total Más del 5 %. Entre 2 % y 5 %. Menos del 2 %. managers (DBM) base managers (DBM) Externo. de los sistemas de base managers de data base sin cobertura de sin cobertura de los Sistemas. seguridad. (DBM) sin managers parches de parches de seguridad cobertura de (DBM). seguridad. más recientes, con parches de respecto al total de data seguridad. base managers (DBM) durante el periodo establecido.