La CNBV carece de metodologías y programas de capacitación para su propio personal en materia de seguridad de datos.
Los datos presentados recientemente por parte de la Auditoría Superior de la Federación (ASF) revelaron que la Comisión Nacional, Bancaria y de Valores (CNBV), podría ser víctima de hackeo lo que eleva la preocupación al máximo de toda la industria financiera regulada.
La CNBV regula, supervisa y sanciona a entidades del sistema financiero.
La ASF identificó que hasta 2021, la Comisión tenía debilidad en controles de ciberseguridad críticos; al menos en cinco estaba en semáforo rojo.
Esto se refiere a que carecía de control al tener un nivel de cumplimiento menor a 30%.
Estos controles eran:
- Protección de datos;
- Activos de hardware;
- Pruebas de penetración;
- Programa de concientización de seguridad;
- Acceso basado en necesidad de saber.
Y que, mientras aplica multas a instituciones que son vulneradas o su personal no tiene la capacitación suficiente en temas de ciberseguridad, al menos hasta 2021, no capacitó a su personal en materia de seguridad de la información, ciberseguridad y los principales tipos de ciberataques y no se contó con un programa de concientización de hackeo formalizado.
El personal de desarrollo de software tampoco recibió capacitación relacionada con la escritura de código seguro, y si bien el reporte es de 2021, nada asegura que se haya actualizado en esos temas, ya que la rotación de personal es importante ante el recorte de sueldos y prestaciones.
Falla en administración de activos y niveles de servicio
De 2016 a 2022, la CNBV utilizó computadoras usadas y arrendadas por la empresa Mainbit.
Después de usarlas en este periodo el regulador financiero omitió ejecutar el “borrado seguro“, señala el reporte de la ASF.
“No se proporcionaron mil 519 certificados de borrado seguro que debían de emitirse al término de la vigencia del contrato.
“Por lo que existe el riesgo de que, al no haberse eliminado los datos, se pueda obtener información confidencial de la CNBV“.