Bancos piden claridad en nueva regulación de SPEI

Diferentes bancos presentaron observaciones entorno a los cambios que propone Banxico al SPEI, para reducir ciberriesgos.

Los bancos hicieron una “lluvia” de peticiones y modificaciones al proyecto del Banco de México (Banxico) para blindar el SPEI contra hackeos.

A principios de agosto, Banxico anunció que modificaría el marco regulatorio de los Sistemas de Pagos Electrónicos Interbancarios (SPEI) e Interbancarios en Dólares (SPID) para incluir normas en ciberseguridad.

En sus comentarios, Bank of America México pidió agregar la definición de ciberresiliencia.

Adempas de, precisar si para el uso de Windows es válido aplicar políticas de dominio que bloqueen los archivos no permitidos y proporcionar una lista de archivos cuya ejecución no está autorizada.

Citibanamex demandó puntualizar a qué se refiere “integridad de la información”.

“(Además) se identifica ambigüedad en la redacción, dado que se tienen logs (registros) centralizados por plataforma.
“Respecto al término ‘patrones anómalos’, ¿se refieren a operaciones monetarias? Sería conveniente tener el alcance y confirmar si cada institución definirá qué es un patrón anómalo”, agregó.

CIBanco propuso ampliar a seis meses el plazo de entrada en vigor.

JP Morgan sugirió incluir la definición de “filtrado de datos”, especificar los criterios de evaluación y se aclare si es por dirección IP y puertos.

“Se sugiere incluir la definición de ‘medios extraíbles de almacenamiento de información’ que permita aclarar el alcance del requerimiento regulatorio.

“Así como, los tipos de evidencia que se esperan y los criterios de evaluación del mismo”, agregó.

Otros integrantes del sector indicaron que en el proyecto no está definido qué es un archivo “no autorizado” ni se explica qué es la identificación de “patrones anómalos”.

Ni tampoco detalla los parámetros mínimos que debe abarcar.

Lo anterior, en respuesta a que Banxico solicita utilizar herramientas tecnológicas, que identifiquen patrones anómalos y detecten incidentes de seguridad informática.