Bases de coordinación en materia de seguridad de la información　

El 24 de mayo de 2018, la Secretaría de Hacienda y Crédito Público, el Banco de México, la Comisión Nacional Bancaria y de Valores, la Comisión Nacional para la Protección y Defensa de los Usuarios de Servicios Financieros, la Comisión Nacional del Sistema de Ahorro para el Retiro, la Comisión Nacional de Seguros y Fianzas, la Procuraduría General de la República, así como diversas Asociaciones Gremiales del Sistema Financiero Mexicano, entre las cuales se encuentran la Asociación Mexicana de Instituciones de Seguros, A.C. y la Asociación Mexicana de Instituciones de Garantías, A.C., suscribieron el documento denominado “Bases de coordinación en materia de seguridad de la información” (en adelante “Bases de Coordinación”). 　

El objeto del referido documento, es establecer las bases para la colaboración que las autoridades financieras y la Procuraduría General de la República se brindarán entre ellas, en coordinación con dichas Asociaciones Gremiales y las entidades que conforman el Sistema Financiero Mexicano, en materia de seguridad de la información, en los términos descritos en las propias “Bases de Coordinación”.　

En este contexto, y a efecto de crear las condiciones propicias que permitan la adecuada instrumentación y observancia de las “Bases de Coordinación”, con fundamento en el primer párrafo de su Base Quinta, las Instituciones de Seguros e Instituciones de Fianzas deberán crear un equipo interno de identificación y respuesta a Incidentes Sensibles de Seguridad de la Información, cuya definición se prevé en el inciso e) de la Segunda de las “Bases de Coordinación”, debiendo asimismo, informar sin demora a esta Comisión sobre la ocurrencia de estos, contemplando al menos, en su caso, la información siguiente:　

a) Los servicios que hayan sido interrumpidos, así como el tiempo estimado para recuperar la operación.　
b) Las operaciones no reconocidas y la pérdida económica con el monto estimado.　
c) El tipo de recursos o información alterada, robada o perdida.　
d) Las situaciones que pongan en riesgo la seguridad de los clientes, empleados o las instalaciones.　
e) La clasificación del impacto del incidente con base en la información que esa Institución tenga disponible.　

Asimismo, de conformidad con el penúltimo párrafo de la citada Base Quinta de las “Bases de Coordinación”, las Instituciones de Seguros e Instituciones de Fianzas, deberán informar a esta Comisión de cualquier evento que vulnere los controles o implique una violación a las políticas de seguridad, sin que represente una afectación a sus operaciones o bien, que genere afectaciones parciales a sus operaciones, que impida o dificulte la atención de sus clientes o represente accesos no autorizados a información, sin generar pérdidas económicas pero que de continuar pudiera representar un Incidente Sensible de Seguridad de la Información.　

En ese sentido, las Instituciones de Seguros e Instituciones de Fianzas deberán cumplimentar el formato denominado “Reporte Inicial de Incidentes de Seguridad de la Información”, y que deberá remitirse a esta Comisión a través de la dirección de correo electrónico ciberseguridad@cnsf.gob.mx, DENTRO DE LOS CINCO DÍAS NATURALES siguientes a la ocurrencia del incidente de que se trate.