Manos remotas para bancos: 4 requisitos CNBV al usar este servicio
Si tu centro de datos opera sin guardia propia: cuando falla una fuente, alguien del proveedor llega, repara y se retira. El problema aparece dos años después, cuando un inspector pregunta quién autorizó esa entrada y con qué credencial.
Ese es el punto: las manos remotas no fallan por lo que hacen dentro de la sala, fallan por lo que no dejan registrado. Un banco puede tener el mejor contrato del mundo y aun así no responder una auditoría.
Por qué el regulador pregunta por un proveedor externo
Cuando una institución de crédito delega parte de la operación de su centro de datos, ese tercero entra a la cadena de custodia de la información. Para el regulador esto no elimina tu responsabilidad: la traslada a tu entidad. El banco sigue siendo responsable de la continuidad.
Por eso la revisión no se queda en el papel del proveedor. El inspector quiere ver la relación descrita, los controles existentes y un responsable claro cuando el servicio falla fuera de horario. Todo eso se demuestra con documento.
En la práctica la revisión se apoya en dos planos: las disposiciones de seguridad que el CNBV exige a las instituciones de crédito y el contrato de tercerización, donde deben quedar por escrito las obligaciones del prestador, sus controles y la forma en que reportará.
Requisito 1: el proveedor está dado de alta y formalizado
La primera pregunta no es técnica: es documental. Tendrás que acreditar que ese tercero existe, que está inscrito en el Registro Público de Comercio, que tiene capital y domicilio fiscal comprobables, y que el banco lo contrató con un instrumento que sobreviva al cambio de proveedor.
Qué te van a preguntar: ¿existe contrato escrito?, ¿qué servicios cubre exactamente?, ¿qué pasa si el contrato termina mañana, quién se queda con la información y cómo se devuelve o se destruye?, y ¿quién firmó por el banco y con qué facultad?
Cómo demostrarlo: contrato vigente con anexos de alcance y niveles de servicio, documento constitutivo, constancia de situación fiscal, póliza de responsabilidad civil y responsable designado.
Suma la constancia de que el proveedor mantiene controles certificados, por ejemplo ISO/IEC 27001 o un informe SOC 2 tipo II vigente, con fecha de emisión y de vencimiento. Esa evidencia separa a un proveedor serio de una empresa de problemas.
Requisito 2: acceso físico a la sala, registrado persona por persona
Este es el punto donde más se pierde el control. El técnico entra con una llave o un gafete compartido, se queda un fin de semana completo y nadie sabe con qué identidad estuvo dentro de la sala de cómputo ni a qué hora salió.
Qué te van a preguntar: ¿quién entró, con qué documento se identificó, quién lo autorizó y a qué hora? Y la versión difícil: ¿puedo reconstruir la lista de todas las entradas de los últimos doce meses?
Cómo demostrarlo: bitácora de acceso físico por sala, con fecha, hora, nombre completo, credencial utilizada, motivo de la visita, persona que autoriza y hora de salida. La credencial debe ser nominativa, intransferible y revocable. Suma un registro de acompañantes cuando el proveedor venga con personal propio.
Requisito 3: credenciales nominativas y mínimo privilegio
El acceso remoto se controla con los mismos principios que la puerta física, pero el incumplimiento pesa más: una cuenta compartida significa que una acción no tiene autor. El auditor no mira si el sistema es seguro, mira si puede atribuir cada acción a una persona.
Qué te van a preguntar: ¿cada técnico tiene su propia cuenta?, ¿el privilegio se limita a lo que la tarea requiere?, ¿hay cuentas de administrador genéricas?, ¿qué pasa con las cuentas de quienes se van?, ¿hay doble factor y canal aparte del de producción?
Cómo demostrarlo: matriz de accesos por puesto, con el permiso mínimo justificado por tarea; bitácora de altas y bajas; revisión trimestral de privilegios; y registro del segundo factor.
Las cuentas de emergencia o tipo break-glass deben existir, pero estar etiquetadas como tales, con doble aprobación y con registro de cada uso. Una cuenta break-glass sin bitácora es el acceso más privilegiado y el menos explicado del inventario.
Requisito 4: evidencia de cada intervención, retenida por el plazo que corresponde
El cuarto requisito es el que más se subestima. El auditor no pide ver una bitácora del día de la falla: pide poder reconstruir qué se hizo, quién lo hizo y con qué resultado, y además comprobar que esos registros siguen ahí después de un año o más.
Qué te van a preguntar: ¿cuánto tiempo conservan la bitácora de accesos?, ¿está firmada o sellada para que no se pueda alterar?, ¿la evidencia se entrega completa o se genera bajo solicitud?, y ¿quién responde si el proveedor ya cerró contrato?
Cómo demostrarlo: política de retención de evidencia alineada al plazo que el regulador exige, bitácoras en formato sólo lectura, sellado horario o firma electrónica y respaldo fuera del sitio. Debes poder solicitar tres meses de bitácoras y recibirlas el mismo día.
Qué pedirle al proveedor para demostrar cumplimiento
- Evidencia de alta y de contrato. Documento constitutivo, situación fiscal, contrato con anexos y responsable designado, más los certificados de control que declara mantener y su vigencia.
- Procedimiento de acceso físico. Cómo se identifica al técnico, quién lo autoriza, qué bitácora genera y con qué granularidad la puedes revisar.
- Inventario de accesos remotos. Cuentas nominativas, segundo factor, privilegios por puesto, procedimiento de baja y fecha de la última revisión de privilegios.
- Política de retención y formato de entrega. Plazo de conservación, sellado de bitácoras, respaldo y tiempo de respuesta cuando pidas evidencia histórica.
Si el proveedor responde con descripciones genéricas en lugar de procedimientos y plazos, ya sabes qué va a pasar en la auditoría: vas a tener que reconstruir lo que hizo tu propia gente, con el tiempo que ya perdiste.
Fuentes
¿Quieres dominar este tema?
Noxtel Academy →
