El dinero se mueve hoy a la velocidad de una transferencia SPEI: en segundos, entre instituciones, prácticamente sin fricción para quien la origina. Esa velocidad es la gran ventaja del sistema — y también la razón por la que Banco de México decidió, hace poco más de dos años, que ya no bastaba con «tener seguridad», sino que había que demostrarla con controles específicos y una figura responsable claramente definida.
Sobre ese cambio de paradigma regulatorio conversamos con Karen Torres, CISO de Masari Casa de Bolsa, en una entrevista centrada en algo que pocas veces se discute fuera del sector: qué implica, en la operación diaria, cumplir con las normativas de seguridad que hoy rigen al SPEI.
El parteaguas: las circulares de Banxico para SPEI y SPID
En noviembre de 2023, Banxico publicó tres circulares que cambiaron las reglas del juego para cualquier institución que participe en el Sistema de Pagos Electrónicos Interbancarios (SPEI) o en el Sistema de Pagos Interbancarios en Dólares (SPID):
- Circular 11/2023 hizo obligatorio que toda entidad participante en el SPID cuente con un Oficial de Seguridad de la Información (CISO), responsable de verificar de forma periódica que la infraestructura tecnológica cumple los requisitos de seguridad — incluyendo a los terceros que podrían afectar la operación.
- Circular 12/2023 introdujo formalmente el concepto de ciberresiliencia: la capacidad de un participante para prevenir, adaptar, responder o recuperar su operación en el SPEI ante ciberataques o incidentes que afecten la confidencialidad, integridad, disponibilidad o continuidad operativa de su infraestructura tecnológica. La circular añade controles adicionales de seguridad de la información, refuerza los controles de acceso e intensifica la gestión de vulnerabilidades de TI.
- Circular 13/2023 extendió obligaciones similares de monitoreo y documentación a las instituciones de crédito que operan transferencias en dólares vía SPID.
En conjunto, estas disposiciones obligan a las instituciones a documentar su capacidad de recuperación — planes de contingencia, recursos disponibles, evidencia de pruebas — frente a un ciberataque que comprometa su operación en el sistema. Ya no es suficiente decir «tenemos un plan»; hay que poder demostrarlo ante el regulador con evidencia continua, no estática.
Lo que esto significa para el rol del CISO
Karen lo plantea desde una perspectiva que cualquier responsable de seguridad en el sector financiero reconocerá: estas circulares no solo agregaron trabajo, cambiaron la naturaleza del puesto. El CISO de una institución conectada al SPEI o al SPID hoy tiene responsabilidades muy concretas:
- Realizar verificaciones periódicas de los requisitos de seguridad en la infraestructura tecnológica — no solo la propia, también la de terceros que pudieran afectar la operación.
- Mantener un listado actualizado de personas con acceso a información crítica del sistema, disponible para auditoría.
- Sostener evidencia documentada y continua de los controles de ciberresiliencia, no reportes anuales que se redactan después del hecho.
- Funcionar como punto de enlace entre la institución y el regulador, traduciendo el cumplimiento normativo en decisiones operativas concretas.
Este es exactamente el terreno donde la conversación con Karen tocó los tres temas centrales de la entrevista: inteligencia de amenazas, resiliencia operativa y gestión de riesgos en el entorno digital. Las tres dejan de ser conceptos abstractos cuando hay una circular de Banxico exigiendo que se demuestren con evidencia.
Por qué el sector financiero no puede tratar esto como un trámite
Lo que distingue al sector financiero de otros que enfrentan presión regulatoria similar es la velocidad y el volumen: solo en el SPEI se procesan miles de millones de operaciones al año, y cada una de ellas es, en potencia, un objetivo. Las instituciones financieras llevan años entre los sectores más atacados de la región — no por casualidad, sino porque ahí está el dinero y los datos que lo mueven.
Eso convierte el cumplimiento de estas circulares en algo más que una casilla regulatoria: es, en la práctica, el mínimo viable de seguridad para seguir operando con confianza en el sistema financiero mexicano. Las instituciones que ya integraban gestión de vulnerabilidades, monitoreo continuo (SOC/CTI) y control de accesos privilegiados antes de que llegara la obligación regulatoria no tuvieron que improvisar cuando la exigencia se volvió formal — simplemente documentaron lo que ya hacían bien.
Lo que esta conversación nos confirma
En ONESEC vemos esto todos los días con clientes del sector financiero: la diferencia entre cumplir con Banxico «a tiempo» y cumplir «con evidencia sólida» está en si la ciberresiliencia se construyó como una capacidad real de la organización, o como un conjunto de documentos preparados para la auditoría. Karen Torres lo resume desde su propia trinchera como CISO — y esa visión, de primera mano, es justo lo que vale la pena escuchar completa.
🎥 Mira la entrevista completa
Escucha a Karen Torres, CISO de Masari Casa de Bolsa, compartir su visión sobre normativas SPEI, inteligencia de amenazas y resiliencia operativa en el sector financiero, en nuestro canal de YouTube.
🔒 ¿Necesitas asesoría en ciberseguridad o quieres solicitar información sobre nuestras soluciones?
Un especialista de ONESEC te responderá lo antes posible.