JM-98-2025 en Guatemala: qué pide sobre pruebas de penetración y cómo prepararse

El Art. 1 fija el alcance: bancos, sociedades financieras y empresas especializadas en servicios financieros que forman parte de un grupo financiero. Las cooperativas y las aseguradoras no aparecen en ese artículo. Si usted trabaja en una de ellas, la resolución no le aplica de forma directa, aunque puede llegarle por otro camino.

Ese camino es el de los proveedores. Una fintech, un procesador de pagos, un centro de datos o una empresa que opera sistemas para un banco guatemalteco no está supervisada por la SIB, pero su cliente sí. Los Arts. 38 a 48 regulan cómo el banco contrata servicios que procesan o almacenan su información, y ahí aparecen exigencias que el banco traslada al proveedor en el contrato o en la debida diligencia.

La resolución también deja una regla de transición: los expedientes y solicitudes que ya estaban en trámite bajo la JM-104-2021 siguen resolviéndose con esa norma. Todo lo demás se rige por la JM-98-2025.

El Art. 18 trata la gestión de la seguridad de la información. En su literal e), sobre seguridad lógica, el numeral 4 pide "mecanismos y recursos técnicos para la identificación y detección de vulnerabilidades a través de escaneo, evaluaciones y pruebas de penetración, internas y externas, debiendo consignarse el resultado en un informe técnico".

Sobre la frecuencia, el mismo numeral dice que las pruebas de penetración deben hacerse "como mínimo, de forma anual o en función de la exposición de riesgo tecnológico de la institución" y de los cambios significativos en la institución, su infraestructura tecnológica, sus sistemas de información y sus bases de datos.

Leído con cuidado, el artículo deja cuatro cosas claras para quien prepara el presupuesto:

• Pide pruebas internas y externas. Un pentest solo del perímetro deja fuera la mitad de lo que el texto nombra.
• Distingue el escaneo de la prueba de penetración. Un reporte de herramienta automática no reemplaza la prueba.
• El resultado tiene que quedar en un informe técnico.
• Una vez al año es el piso. Una migración de core, una nueva banca en línea o un cambio grande de red justifican otra prueba antes de que termine el año.

El Art. 4 d) obliga al Consejo de Administración a designar un Oficial de Seguridad de la Información, que forma parte del Comité de Gestión de Riesgos o depende directamente del Consejo. El Art. 19 le asigna funciones concretas. Debe establecer indicadores de efectividad de los controles y revisarlos como mínimo una vez al año. También debe presentar al comité o al Consejo, como mínimo una vez al año, un informe sobre el estado de la seguridad de la información y la ciberseguridad, que queda a disposición de la SIB.

En la práctica, el informe del pentest alimenta ese reporte anual. Le da al Oficial de Seguridad hallazgos fechados, con evidencia, y una forma de mostrar qué se corrigió.

Si la institución contrata a un tercero para apoyar las funciones del Oficial de Seguridad, el Art. 19 pide constatar la vigencia de las certificaciones en seguridad de la información y ciberseguridad de ese tercero, otorgadas por una organización de reconocido prestigio, y documentar sus competencias y experiencia.

El Art. 7 cierra el ciclo. La auditoría interna verifica, como mínimo una vez al año, lo establecido en el reglamento, incluidas las medidas de seguridad de la información, la ciberseguridad y la relación con proveedores de TI. Es la oficina que va a pedir el informe técnico y la prueba de que las correcciones se hicieron.

El Art. 28 suma otra pieza: un centro de operaciones de seguridad (SOC), propio o contratado, y un registro de al menos los últimos doce meses de vulnerabilidades, amenazas, ataques e incidentes detectados. Los hallazgos del pentest entran en ese registro.

Para servicios críticos que procesan o almacenan información, el Art. 40 b) pide al banco verificar "los informes de auditorías independientes relacionadas con tecnología, del último año" a los que se somete el proveedor. El Art. 45 c) repite el requisito cuando el banco solicita a la SIB la autorización previa para contratar ese servicio crítico. El Art. 40 a) y el Art. 45 b) piden además certificaciones vigentes del proveedor en tecnología, seguridad de la información, ciberseguridad, continuidad o gestión de servicios.

Para una fintech o un procesador, esto se traduce en una pregunta concreta del banco: qué evaluación independiente de su tecnología tiene con fecha de los últimos doce meses. Un pentest hecho por un tercero, con informe técnico y verificación de correcciones, es una de las piezas que el proveedor puede presentar. El banco decide qué acepta como auditoría independiente, y conviene preguntarle antes de fijar el alcance.

El Art. 41 explica por qué la pregunta va a repetirse. El banco debe hacer un análisis de criticidad de cada servicio contratado y repetirlo al menos durante el primer trimestre de cada año. Un servicio que pasa de no crítico a crítico activa las exigencias del Art. 42.

Ninguno de estos plazos se refiere al pentest. El Art. 18 no tiene periodo de transición, así que la prueba anual corre desde la vigencia. Los transitorios cubren otros documentos:

• Art. 49: inventarios de activos de información actualizados dentro de los tres meses siguientes a la vigencia. Ese plazo ya pasó.
• Art. 50: Manual de Administración del Riesgo Tecnológico y plan de recuperación ante desastres actualizados dentro de los doce meses siguientes a la vigencia. Como la resolución rige desde el 30 de octubre de 2025, ese plazo vence alrededor del 30 de octubre de 2026.
• Art. 51: contratos vigentes con terceros que procesan o almacenan información. Los de plazo determinado se adecuan en la siguiente modificación o renovación. Los de plazo indeterminado, dentro de los doce meses siguientes a la vigencia.
• Art. 52: a más tardar el 31 de enero de 2027, el análisis de criticidad del Art. 41 para todos los servicios contratados antes de la vigencia.

Empiece por el texto: interno y externo. La parte externa cubre lo que cualquiera ve desde internet, como servidores publicados, VPN, correo y portales. La parte interna parte de una posición dentro de la red, por ejemplo la de un empleado o la de un proveedor con acceso remoto, y mide hasta dónde se llega.

Después agregue lo que su análisis de riesgo marque como expuesto. Para muchas instituciones eso incluye la banca en línea, la aplicación móvil y las API que usan terceros. Una tercera fuente son los cambios significativos del año, que el Art. 18 menciona por nombre.

Antes de pedir propuestas, tenga a mano estos datos:

• Rangos de IP públicas activas y lista de aplicaciones, con cuántos roles de usuario tiene cada una.
• Quién firma la autorización y quién recibe el informe: el Oficial de Seguridad, Riesgos o auditoría interna.
• La fecha en que el informe tiene que estar listo, contando el tiempo para corregir y volver a probar.
• Si algún banco cliente le pidió el informe como proveedor, qué formato espera.
• Qué sistemas son de terceros y requieren autorización escrita de ese tercero.

Toukan cobra desde USD 3,000 por un alcance definido, por ejemplo la red externa con hasta 16 IP públicas activas o una aplicación web con hasta dos roles. La red externa más una aplicación en una sola prueba cuesta desde USD 5,500. La red interna se cotiza aparte, según su tamaño. Como referencia pública en el país, la Corte de Constitucionalidad adjudicó en septiembre de 2026 tres contratos de seguridad informática de Q64,900 a Q83,800 cada uno, unos USD 8,400 a 10,900.

De la firma al informe pasan de dos a cuatro semanas. Usted recibe un informe ejecutivo y un informe técnico. Cada hallazgo se confirma a mano y trae el activo afectado, el nivel de riesgo, la evidencia y la corrección. La verificación de las correcciones dentro de 90 días está incluida en el precio. El informe lo firma la persona que acordó el alcance y dirigió la prueba, y hay acuerdo de confidencialidad disponible.

Toukan no presenta nada ante la SIB. Su institución decide cómo usa el informe frente al supervisor, a auditoría interna o a un banco cliente.