NRP-32 en El Salvador: pruebas de penetración o intrusión en canales digitales

La NRP-32, Normas Técnicas sobre Medidas de Ciberseguridad en Canales Digitales (CNBCR-02/2022), rige desde el 8 de marzo de 2022. La supervisa la Superintendencia del Sistema Financiero.

El Art. 3 h) define canal digital como el medio que permite hacer transacciones, prestar servicios financieros e intercambiar información, "tales como cajeros automáticos, puntos de ventas (POS, por sus siglas en inglés), banca telefónica, Respuesta de Voz Interactiva (IVR, por sus siglas en inglés), banca por Internet, banca móvil, entre otros". La lista es abierta. Una API que alimenta la app o una billetera también entra en la conversación.

El Art. 1 dice que los términos de la NRP-32 significan lo mismo que en la NRP-23. Las dos normas se leen juntas: la NRP-23 fija la prueba anual y los plazos después de la prueba, y la NRP-32 dice qué hay que proteger en el canal.

Su Art. 2 nombra a los sujetos obligados:

• Bancos constituidos en El Salvador y sucursales de bancos extranjeros.
• Sociedades de ahorro y crédito.
• Bancos cooperativos y las federaciones de bancos cooperativos y de sociedades de ahorro y crédito.
• Bancos de inversión, sus oficinas en el extranjero y sus subsidiarias, agregados por la reforma CN-09/2025, vigente desde el 25 de noviembre de 2025.

El Art. 5 está bajo el título "Gestión de vulnerabilidades". Dice que las entidades deben contar con procesos que consideren "la identificación, evaluación, tratamiento y comunicación de las medidas de seguridad en la infraestructura tecnológica, mediante la ejecución de pruebas de penetración o intrusión y de escaneos de vulnerabilidades".

La frase pide dos cosas distintas. Un escaneo de vulnerabilidades lista lo que una herramienta reconoce. Una prueba de penetración o intrusión intenta explotar lo encontrado y confirma qué se puede alcanzar. Un informe que solo trae la salida de un escáner cubre la mitad del artículo.

La NRP-32 no fija una frecuencia propia. La frecuencia sale del Art. 20 i) de la NRP-23: al menos una vez al año y cada vez que cambie la infraestructura. En un banco con banca móvil, una versión nueva de la app o de su API es un cambio de ese tipo.

El mismo Art. 5 sigue: "Se deberán remediar o mitigar todas las brechas de seguridad, no solo las clasificadas como críticas y de alto riesgo." Luego pide una metodología para remediar todas las brechas. Las críticas y de alto riesgo van primero. Para el resto se establecen planes de implementación con seguimiento, y todo debe quedar documentado.

En la práctica, el informe tiene que listar cada hallazgo, con su criticidad, su evidencia y una corrección concreta. Un informe que solo muestra lo crítico deja al equipo sin la lista que la norma le pide atender. Los hallazgos medios y bajos también entran al plan, con responsable y fecha.

Ese plan conecta con la NRP-23. Su Art. 20 i), reformado en 2025, pide remitir un resumen de resultados a más tardar diez días hábiles después de recibir el informe del proveedor, y un plan de remediación treinta días hábiles después, con actividades, fechas, responsables y criticidad. Un solo plan puede atender las dos normas si incluye todas las brechas.

Separe en el seguimiento la corrección reportada de la corrección verificada. Que TI diga que corrigió no prueba que la corrección funcione. En Toukan la verificación de las correcciones va incluida en el precio, dentro de 90 días desde el informe.

La NRP-32 tiene controles muy concretos. Un documento de política puede decir que existen. Una prueba sobre el canal en producción, o en un ambiente igual, muestra si funcionan. La tabla resume los que más se prestan a una prueba.

La NRP-32 no se queda en la aplicación. El Art. 8 pide herramientas contra la suplantación de identidad por correos de phishing y spear phishing, y "programas de capacitación constante" para los empleados, con énfasis en quienes atienden a clientes. Una simulación de phishing mide si esa capacitación cambia lo que hace el personal.

El Art. 4 pide herramientas para monitorear redes y detectar a tiempo eventos de seguridad, comportamientos inusuales o movimientos laterales, e incluir inteligencia de amenazas. Durante un pentest interno, el equipo puede revisar qué alertas generó la prueba y cuáles no aparecieron.

El Art. 18 pide planes de respuesta ante incidentes de ciberseguridad y dice que "deben ser probados para comprobar la capacidad de respuesta e identificar brechas oportunamente". Un ejercicio de mesa con un escenario real del canal digital deja esa prueba documentada.

El Art. 39 dice que la Unidad de Auditoría Interna incluye en su plan anual la evaluación del cumplimiento de la NRP-32. El informe de pentest, el plan de remediación y la evidencia de verificación son lo primero que va a pedir.

El Art. 41 remite las sanciones a la Ley de Supervisión y Regulación del Sistema Financiero. El Art. 16 pide mantener actualizado el inventario de activos de información críticos, en línea con la NRP-23. Ese inventario es el punto de partida del alcance.

Toukan no forma parte de la SSF ni del Banco Central, y no emite opiniones de cumplimiento. Entregamos el informe de la prueba y su entidad decide cómo lo presenta.

Empiece por la lista de canales digitales que la entidad ofrece y por lo que hay detrás de cada uno: el portal de banca por internet, la API que usa la app, los servicios que atienden a cajeros y puntos de venta, y los accesos de los proveedores que los operan. Cada canal entra al alcance con su ambiente y sus roles de usuario.

Pida al proveedor que pruebe los controles de la tabla con cuentas de prueba reales, no solo que revise configuraciones. Si un tercero opera el canal, el Anexo 1 de la NRP-23 ya prevé que el contrato lo obligue a corregir las vulnerabilidades detectadas.

Los precios de Toukan parten de USD 5,000 por alcance definido: red externa de hasta 16 IP públicas activas, o una aplicación web o API con hasta 2 roles y 20 endpoints. El paquete de red externa más una aplicación parte de USD 5,500. Del contrato firmado al informe pasan de 2 a 4 semanas. El informe ejecutivo y técnico lo firma la persona que acordó el alcance y dirigió la prueba.