¿Qué evidencia de un incidente te puede pedir tu auditor si eres Sofom?

Tu auditor te puede pedir dos tipos de evidencia. La primera la exige una norma, y cuál norma depende de si tu Sofom es regulada (E.R.) o no regulada (E.N.R.). La segunda es buena práctica, lo que un auditor espera ver para confiar en que manejaste el incidente con orden. Toda Sofom debe cumplir la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP). Si tu Sofom es E.R. y tiene vínculos con un banco, conviene revisar también las reglas de la CNBV sobre incidentes que rigen a los bancos.

¿Qué tipo de Sofom eres y por qué importa?

La CNBV explica que una Sofom E.R. es la que tiene vínculos patrimoniales con instituciones de crédito, sociedades financieras populares o comunitarias, o cooperativas de ahorro y préstamo, o la que emite deuda inscrita en el Registro Nacional de Valores. La E.N.R. carece de esos vínculos, y la CNBV la supervisa exclusivamente en prevención de lavado de dinero y financiamiento al terrorismo.

Para las E.R., el artículo 87-D de la Ley General de Organizaciones y Actividades Auxiliares del Crédito (LGOAAC) define qué reglas adicionales siguen. Si tu vínculo es con un banco, la fracción I te sujeta a la Ley de Instituciones de Crédito en materias como uso de equipos y medios electrónicos, controles internos, confidencialidad de la información y requerimientos de información. Si tu vínculo es con otro tipo de entidad, el mismo artículo te remite a la ley de esa entidad. Qué reglas concretas de seguridad de la información te tocan es una pregunta para tu área legal.

¿Qué piden las reglas de la CNBV para bancos ante un incidente?

Si con tu abogado confirmas que te aplican, los artículos 168 Bis 16 y 168 Bis 17 de las Disposiciones de carácter general aplicables a las instituciones de crédito, conocidas como Circular Única de Bancos, ponen en el director general estas tareas.

1. Aviso inmediato a la CNBV. Aplica a incidentes que causen pérdida económica, de información o interrupción del servicio, que puedan repetirse en otras entidades, que afecten a clientes o al sistema financiero, o que la entidad considere graves. El aviso indica fecha y hora de inicio, si sigue o ya terminó, una descripción y una evaluación inicial del impacto, y debe generar un acuse de recibo.
2. Información completa en 5 días hábiles. Después de identificar el incidente se envía la información de los Anexos 64 y 64 Bis.
3. Investigación y plan de trabajo. La investigación es inmediata. El plan indica responsables, plazos y recursos, y llega a la CNBV a más tardar 15 días hábiles después de que el incidente concluyó.
4. Aviso a clientes en 48 horas. Aplica cuando su Información Sensible fue extraída, extraviada, eliminada o alterada, o cuando se sospecha de un acceso no autorizado. La evidencia de ese aviso se incluye en el resultado de la investigación.
5. Registro de incidentes. Una base de datos con fecha, descripción, duración, servicio o canal afectado, clientes afectados, montos y medidas correctivas, que se conserva al menos 10 años. Los incidentes menores también se registran y quedan a disposición de la CNBV.

¿Qué te pide la LFPDPPP, seas E.R. o E.N.R.?

La LFPDPPP aplica a cualquier empresa privada que trate datos personales. Te pide medidas de seguridad administrativas, técnicas y físicas acordes al riesgo y a la sensibilidad de los datos (artículo 18). Si una vulneración afecta de forma significativa los derechos patrimoniales o morales de tus clientes, debes informarles de forma inmediata (artículo 19). También pide controles para que tu personal guarde confidencialidad (artículo 20).

Una vulneración imputable a tu Sofom es infracción (artículo 58, fracción XI), con multa de 200 a 320,000 veces la Unidad de Medida y Actualización, que puede duplicarse con datos sensibles (artículo 59). La autoridad es la Secretaría Anticorrupción y Buen Gobierno.

¿Qué evidencia suele pedir un auditor como buena práctica?

Lo que sigue no aparece palabra por palabra en la LFPDPPP. Es lo que un auditor suele pedir para reconstruir el incidente y comprobar que tus controles funcionaron. Si te aplica el artículo 168 Bis 17, varios puntos coinciden con lo que ese registro ya exige.

1. Línea de tiempo. Cuándo empezó, cuándo lo detectaste, cuándo lo contuviste y cuándo terminó, con fecha y hora.
2. Qué se detectó. Las alertas, los equipos y cuentas afectados y los datos que pudieron quedar expuestos.
3. Qué se hizo. Cada acción de contención y corrección, con su hora y quién la ejecutó.
4. Quién lo aprobó y cuándo. Nombre, cargo y hora de cada decisión, sobre todo las que detienen operaciones.
5. Evidencia íntegra. Registros que demuestren que nadie los alteró. Una técnica común es la huella digital del archivo, un código que cambia si alguien modifica una sola letra.
6. Notificaciones hechas. A quién avisaste, cuándo, por qué medio y con qué acuse.
7. Seguimiento. La causa raíz, el plan de trabajo y el avance de cada acción.

Arma hoy una plantilla con estos puntos. Cuando llegue un incidente, solo la llenas.

Este artículo es informativo y no sustituye la asesoría de un abogado.

Cómo te ayuda Ojo de Kraken

Ojo de Kraken protege tus computadoras, laptops y servidores con un programa ligero que revisa lo que pasa en cada equipo, día y noche, con IA y personas detrás. Cuando detecta un intento de entrada o un cambio sospechoso, te lo explica por WhatsApp en español claro, y nada se ejecuta sin tu aprobación. Cada paso queda en un registro encadenado con qué pasó, qué se hizo y quién lo aprobó; si alguien lo altera, se nota. Eso te da evidencia ordenada para tu auditor, y el análisis y la decisión final siguen en manos de tu oficial de cumplimiento y de tu área legal.