Ir al contenido
Indene
es

Compliance e regulatório

El resultado de la prueba de intrusión de 2026 deberá llegar al consejo hasta marzo de 2027

El informe anual de ciberseguridad con fecha de corte del 31 de diciembre es el primero bajo la CMN 5.274 y la BCB 538. Debe incluir la prueba de intrusión independiente, los escaneos y el plan de corrección, y llegar al consejo hasta el 31 de marzo.

Por Rafael LimaCFO

4 min de lectura

Páginas de norma empilhadas sobre fundo claro, com uma linha marcada em verde, e o título A test is a date, not a guarantee.
Páginas de norma empilhadas sobre fundo claro, com uma linha marcada em verde, e o título A test is a date, not a guarantee.

El informe anual de ciberseguridad con fecha de corte del 31 de diciembre de 2026 es el primero que las instituciones reguladas por el Banco Central de Brasil cierran bajo las reglas de la Resolución CMN n.º 5.274 y de la Resolución BCB n.º 538, cuyo plazo de adaptación venció el 1 de marzo. Debe incluir el resultado de la prueba de intrusión anual y el plan de corrección, y llegar al consejo hasta el 31 de marzo de 2027. En la lectura de Indene, la norma no pide una prueba; pide un ciclo que se pueda probar: prueba independiente, hallazgo, plan, corrección a tiempo y registro por cinco años.

Lo que exige la norma

La Resolución CMN n.º 5.274, del 18 de diciembre de 2025, modificó la Resolución CMN n.º 4.893, que rige la política de ciberseguridad de los bancos y demás instituciones autorizadas. La Resolución BCB n.º 538, de la misma fecha, hizo el mismo cambio en la regla de las instituciones de pago, corredoras y distribuidoras de valores (Resolución BCB n.º 85). En los puntos sobre pruebas y vulnerabilidades, el texto de ambas es igual:

exigencia lo que dice el texto dónde
Periodicidad prueba de intrusión con "periodicidad mínima anual" art. 22-A, I
Quién la hace persona o empresa especializada contratada, con independencia e imparcialidad, sin perjuicio de las pruebas del equipo interno art. 22-A, II
Registro resultado documentado, con las vulnerabilidades encontradas y los planes de acción para corregirlas art. 22-A, III
Rutina entre una prueba y otra pruebas y análisis periódicos, escaneos para encontrar dispositivos conectados indebidamente a la red y corrección oportuna de las vulnerabilidades art. 3º, § 8º
Actualización aplicación regular de correcciones de seguridad art. 3º, § 10
Informe anual resultados de la prueba de intrusión, de los escaneos y análisis, y los planes de acción art. 8º, § 1º, V
Quién lo recibe comité de riesgo, cuando exista, y consejo de administración o dirección, hasta el 31 de marzo del año siguiente art. 8º, § 2º
Guarda documentación de la prueba y de los planes de acción a disposición del Banco Central por cinco años, contados desde la fecha de la prueba art. 23, X

Dos detalles cambian la práctica. El primero es la independencia: la prueba hecha solo por el equipo interno sigue permitida, pero no sustituye la prueba contratada. El segundo es el informe: el resultado de la prueba deja de ser un documento técnico archivado en el área de seguridad y pasa a ser un ítem obligatorio de un informe que el consejo recibe con plazo.

Qué significa en la práctica

La prueba de intrusión anual muestra el estado de la institución en un día del año. Las últimas semanas mostraron lo rápido que envejece esa imagen. Entre septiembre y octubre de 2026, fallas en VPN, gateways y otros equipos de borde de siete fabricantes entraron en el catálogo de fallas explotadas de la CISA, varias de ellas explotadas antes de que existiera corrección. Según el informe anual de violaciones de datos de Verizon, publicado en mayo, la explotación de vulnerabilidades ya es la puerta de entrada del 31% de las violaciones, por delante de las credenciales robadas por primera vez en 19 años.

Por eso la norma une la prueba anual a una rutina continua: escaneo, análisis periódico y corrección oportuna. Un informe que muestra solo la prueba de intrusión de marzo, sin lo que pasó con las fallas explotadas en septiembre, cumple la letra del art. 22-A y deja fuera el art. 3º.

También está la cuestión del plan de acción. La norma pide que el plan esté documentado; lo que interesa a quien lee el informe es si se cumplió. Un hallazgo crítico de marzo que sigue abierto en diciembre, sin justificación y sin aceptación formal del riesgo, es exactamente el tipo de información que el consejo necesita ver en el informe, y que queda guardada por cinco años.

Por dónde empezar

  1. Verifique si la prueba de intrusión de 2026 ya fue hecha por una persona o empresa independiente; si no, contrátela antes de fin de año, porque entra en el informe con fecha de corte del 31 de diciembre.
  2. Defina el alcance por los activos que más pesan en la pérdida (acceso remoto, entornos Pix y STR, aplicaciones expuestas, identidad) y no por la conveniencia del proveedor de la prueba.
  3. Vincule cada hallazgo a un plan con responsable, plazo y evidencia de corrección, y registre la nueva prueba.
  4. Sume al informe lo que pasó entre una prueba y otra: escaneos, fallas explotadas del catálogo de la CISA que afectaron a la institución y cuánto tiempo tomó corregir cada una.
  5. Guarde todo con fecha y origen por cinco años, contados desde la fecha de cada prueba.

En la lectura de Indene, la prueba de intrusión es una evidencia como cualquier otra: vale por la fecha, por el origen y por lo que se hizo con ella. Un hallazgo corregido y vuelto a probar sube la confianza del control; un hallazgo olvidado la baja. Lea la metodología.

Referencias

Temas

Sigue leyendo

Todas las noticias