NRP-23 y NRP-32 en El Salvador: pruebas de vulnerabilidad e intrusión

La NRP-23 se llama Normas Técnicas para la Gestión de la Seguridad de la Información. La aprobó el Comité de Normas del Banco Central (CNBCR-07/2020) y está vigente desde el 1 de julio de 2020. El artículo que interesa para un pentest es el 20, literal i), dentro de la administración de operaciones y comunicaciones. Dice textualmente:

"Pruebas o evaluaciones de vulnerabilidad e intrusión sobre los componentes de infraestructura de tecnología y mitigar las brechas de seguridad identificadas. Estas deberán realizarse al menos una vez al año y cuando existan cambios en la infraestructura referida. Dichas actividades podrán ser realizadas por proveedores de este tipo de servicios y serán documentadas de acuerdo a lo dispuesto en el artículo 29 de las presentes Normas."

De ese párrafo salen cuatro cosas prácticas. La prueba es anual como mínimo. Un cambio en la infraestructura obliga a probar de nuevo, aunque no haya pasado el año. Mitigar las brechas es parte de la misma obligación, no un paso aparte. Y la norma permite contratar a un proveedor, pero no lo exige.

La NRP-23 alcanza a una lista larga en su Art. 2. Entre otros:

• Bancos constituidos en El Salvador, sus subsidiarias y las sucursales de bancos extranjeros.
• Conglomerados financieros, AFP y sociedades de seguros, incluidas las asociaciones cooperativas de seguros.
• Bancos cooperativos, sociedades de ahorro y crédito y sus federaciones.
• Bolsas, casas de corredores, titularizadoras y gestoras de fondos de inversión.
• Sociedades proveedoras de dinero electrónico y operadores de sistemas de pagos.
• Entidades estatales como el Banco de Fomento Agropecuario, el Banco Hipotecario, BANDESAL, el Fondo Social para la Vivienda y el ISSS en lo relativo a pensiones.

La NRP-32, Normas Técnicas sobre Medidas de Ciberseguridad en Canales Digitales (CNBCR-02/2022), rige desde el 8 de marzo de 2022. Su lista de sujetos es más corta: bancos, sucursales de bancos extranjeros, sociedades de ahorro y crédito, bancos cooperativos y sus federaciones. Por canal digital entiende cajeros automáticos, puntos de venta, banca telefónica, IVR, banca por internet y banca móvil, entre otros.

Su Art. 5 trata la gestión de vulnerabilidades y nombra la prueba de forma directa: las entidades deben gestionar vulnerabilidades "mediante la ejecución de pruebas de penetración o intrusión y de escaneos de vulnerabilidades. Se deberán remediar o mitigar todas las brechas de seguridad, no solo las clasificadas como críticas y de alto riesgo."

El segundo párrafo del mismo artículo pide una metodología para remediar todas las brechas. Las críticas y de alto riesgo van primero. Para el resto se establecen planes de implementación con seguimiento, y todo debe quedar documentado. Un escaneo solo cubre la mitad de la frase. La otra mitad pide una prueba de penetración o intrusión.

El "al menos una vez al año" de la NRP-23 es el piso. El disparador que más se olvida es el segundo: "cuando existan cambios en la infraestructura referida". La misma norma, en el Art. 20 b), pide controles y pruebas sobre los cambios en el ambiente operativo. Un pentest después de un cambio grande es la forma más directa de mostrar que se probó.

Algunos cambios que en la práctica justifican una prueba fuera del ciclo anual: una nueva versión de la banca en línea o de la app móvil, la sustitución del sistema principal que el Art. 22 manda presentar a la Junta Directiva, el traslado del centro de datos que el Art. 25 obliga a notificar a la Superintendencia con 30 días hábiles de anticipación, o un servicio nuevo expuesto a internet. El informe del año pasado no describe nada de eso.

Conviene que la política interna diga qué es un cambio relevante y quién decide si requiere prueba. Así, cuando auditoría interna pregunte por qué no se probó la nueva API, la respuesta está escrita antes de la pregunta.

Como la NRP-32 pide remediar o mitigar todas las brechas, el informe tiene que listarlas todas, con severidad, evidencia y una corrección concreta. Un informe que solo muestra lo crítico deja al equipo sin la lista que la norma le pide atender. Los hallazgos medios y bajos también entran al plan, con responsable y fecha.

Lo que falta en muchos expedientes es la verificación. Que TI reporte una corrección no prueba que funcione. Separe en su seguimiento la corrección reportada de la corrección verificada, y pida que la verificación la haga alguien distinto de quien corrigió. En Toukan la verificación de las correcciones va incluida en el precio, dentro de 90 días desde el informe.

Si el sistema afectado lo opera un tercero, el Anexo 1 de la NRP-23 ya prevé el caso. Entre las cláusulas mínimas de un contrato de tercerización está "Que el proveedor corregirá oportunamente las vulnerabilidades informáticas detectadas" (Sección B, numeral 9). El hallazgo se le traslada al proveedor con la evidencia del informe, y la entidad sigue siendo responsable de cerrarlo.

Las dos normas ponen a auditoría interna en el circuito. El Art. 30 de la NRP-23 y el Art. 39 de la NRP-32 dicen lo mismo: la Unidad de Auditoría Interna incluye en su plan anual la evaluación del cumplimiento de la norma. El informe de pentest, el plan de remediación y la evidencia de verificación son lo primero que va a pedir.

La NRP-23 también define a quién se reporta. Según el Art. 29, dentro de los 120 días calendario siguientes al cierre de cada ejercicio, la entidad presenta a la Superintendencia, como parte del "Informe de Evaluación Técnica de la Gestión Integral de Riesgos", un informe sobre el nivel de cumplimiento de los requisitos del SGSI. Debe incluir las estrategias y políticas, los principales requisitos logrados y el programa de seguridad de la información. El programa se remite cada año y cada vez que cambia.

Dos detalles más de la NRP-23 ayudan a ordenar quién firma. El Art. 5 a) pide que la Junta Directiva nombre a la persona responsable de la seguridad de la información y remita el punto de acta a la Superintendencia en diez días hábiles. El Art. 9 pide que la unidad de seguridad sea independiente de las áreas de negocio y de apoyo. Esa persona, no el área de TI, suele ser quien autoriza la prueba y recibe el informe.

Los incumplimientos de ambas normas se sancionan según la Ley de Supervisión y Regulación del Sistema Financiero (NRP-23 Art. 32, NRP-32 Art. 41). La Superintendencia es la autoridad de supervisión para todo lo anterior.

Empiece por el inventario que la NRP-23 ya le pide (Art. 19) y por los "activos de información críticos que estén expuestos al ciberespacio" (Art. 16 a) vii). De ahí sale la lista de lo que entra a la prueba. Para la NRP-32, agregue cada canal digital con su backend: banca en línea, app móvil, APIs de pagos y lo que atiende a cajeros y puntos de venta.

La NRP-32 tiene controles muy concretos que un pentest puede comprobar en el canal real, no en el documento de política. La tabla resume los más útiles para el alcance.

Pida a todos los proveedores la misma información por escrito: quién hace la prueba y quién firma el informe, qué valida manualmente, cómo protege la evidencia y cuántas verificaciones incluye. Una propuesta que no explica la validación manual suele ser un escaneo automatizado, y la NRP-32 pide ambas cosas por separado.

Si su entidad contrata la prueba como servicio tercerizado, el Anexo 1 de la NRP-23 le pide debida diligencia sobre el proveedor y acuerdos de confidencialidad con su personal. Toukan firma un NDA antes de recibir información, no forma parte de la SSF ni del Banco Central, y no emite opiniones de cumplimiento. Entregamos el informe y usted lo presenta.

Los precios de Toukan parten de USD 3,000 por alcance definido: red externa de hasta 16 IP públicas activas, o una aplicación web o API con hasta 2 roles y 20 endpoints. El paquete de red externa más una aplicación parte de USD 5,500. Del contrato firmado al informe pasan de 2 a 4 semanas. El informe ejecutivo y técnico lo firma la persona que acordó el alcance y dirigió la prueba.