Las resoluciones de ciberseguridad del BACEN y del CMN — entre ellas la Resolução CMN nº 4.893/2021 para instituciones financieras y la Resolução BCB nº 85/2021 para instituciones de pago — exigen política formal, plan de respuesta a incidentes y verificación periódica de la eficacia de los controles. Un pentest produce la evidencia técnica que demuestra esa verificación.
¿Qué exigen las resoluciones de ciberseguridad del BACEN?
Las normas del BACEN y del CMN sobre ciberseguridad establecen un conjunto de obligaciones que toda institución regulada debe implementar, documentar y mantener. No describen una tecnología específica, sino resultados que la institución debe poder demostrar. En la práctica, los pilares recurrentes son:
- Política de ciberseguridad formalizada — aprobada por la alta dirección, revisada periódicamente y comunicada a colaboradores y proveedores.
- Estructura de gobierno y responsabilidad — designación de un director responsable y definición clara de roles en la prevención y el tratamiento de incidentes.
- Plan de respuesta a incidentes — procedimientos de detección, registro, clasificación, contención y comunicación, incluido el deber de reportar incidentes relevantes al regulador.
- Verificación y pruebas de los controles — evaluación periódica de la eficacia de los mecanismos de protección, detección y respuesta adoptados por la institución.
- Gestión de terceros y servicios en la nube — requisitos para contratar procesamiento, almacenamiento de datos y computación en la nube, con controles equivalentes exigidos a los proveedores.
- Continuidad y resiliencia — capacidad de mantener operaciones críticas y recuperar servicios tras un incidente.
Es en el cuarto pilar — la verificación de la eficacia de los controles — donde el pentest ocupa un lugar central. Las resoluciones piden que la institución compruebe, con regularidad, que sus defensas funcionan frente a amenazas reales. Una declaración interna de que los controles existen no basta; el regulador espera evidencia de que fueron probados.
Nota regulatoria: la Resolução CMN nº 4.893/2021 sigue vigente y fue modificada por la Resolução CMN nº 5.274/2025. Para instituciones de pago, la Resolução BCB nº 85/2021 reemplazó a la Circular BCB nº 3.909/2018, y la Resolução BCB nº 538/2025 también actualiza el marco. Consulte siempre la base de normativos del Banco Central para el texto vigente.
¿Dónde entra el pentest en el cumplimiento del BACEN?
La prueba de penetración es la forma más directa de producir la evidencia que las resoluciones llaman verificación de la eficacia de los controles. Mientras un escáner automatizado lista vulnerabilidades conocidas, el pentest demuestra lo que un adversario podría hacer realmente: encadenar fallas, eludir la autenticación, acceder a datos sensibles y probar el impacto con una prueba de concepto reproducible.
Para el cumplimiento, ese resultado se traduce en tres entregables que el regulador y la auditoría interna valoran:
- Evidencia de que los controles fueron probados — un informe fechado, con alcance definido y metodología declarada, que comprueba la ejecución de la verificación periódica exigida.
- Hallazgos priorizados por riesgo — vulnerabilidades clasificadas por severidad, con contexto de negocio, que alimentan el plan de acción de la institución.
- Validación de las correcciones — el retest confirma que las fallas señaladas fueron efectivamente tratadas, cerrando el ciclo de mejora continua que las normas presuponen.
El pentest también refuerza el pilar de respuesta a incidentes. Un ejercicio de Red Team, por ejemplo, prueba no solo las defensas técnicas, sino la capacidad de detección y reacción de los equipos — exactamente lo que el plan de respuesta a incidentes debe demostrar en la práctica.
Hay además una ganancia de gobierno poco explorada. Cuando el resultado de la prueba llega a la alta dirección en lenguaje de riesgo de negocio, la institución cumple otra expectativa de las resoluciones: que la ciberseguridad sea seguida por el directorio y no tratada solo como un asunto técnico. El informe de pentest, con su resumen ejecutivo, se convierte en insumo directo para la rendición de cuentas exigida al director responsable.
¿Qué tipos de prueba demuestran los controles exigidos?
La cobertura adecuada depende de la superficie de ataque de cada institución. Un banco digital, una fintech de pagos y una cooperativa de crédito tienen perfiles de riesgo distintos. Las modalidades más aplicadas en proyectos regulados por el BACEN incluyen:
- Pentest de aplicaciones web y pentest de API — el núcleo de cualquier institución digital, donde se concentran las fallas de autorización, lógica de negocio y exposición de datos.
- Pentest de red y pentest de cloud — evalúan la infraestructura interna, los perímetros y las configuraciones de nube, tema explícitamente cubierto por los requisitos de contratación de servicios en la nube.
- Pentest mobile — esencial para instituciones cuyo canal principal es la aplicación, con atención al almacenamiento inseguro, la comunicación y las protecciones del lado del cliente.
- Red Team — simulación de adversario con objetivos, que ejercita detección, respuesta y resiliencia de extremo a extremo.
- Seguridad de pagos y Open Finance — las pruebas de seguridad en pagos y la seguridad de Open Finance abordan los flujos regulados de transacción y de compartición de datos.
Las instituciones que operan cuentas de pago o credenciales de tarjeta suelen combinar estas pruebas con líneas de cumplimiento específicas, como PCI DSS y PCI MPoC, y con programas de gobierno como ISO/IEC 27001 y adecuación a la LGPD.
¿Cómo genera un pentest la evidencia que el regulador espera?
Cada obligación de las resoluciones tiene una contraparte concreta en el resultado de una prueba bien conducida. La tabla siguiente relaciona lo que la norma exige con lo que el proyecto entrega:
| Exigencia de las resoluciones del BACEN/CMN | Cómo la cumple el pentest |
|---|---|
| Verificación periódica de la eficacia de los controles | Informe fechado con alcance, metodología y hallazgos que comprueban la ejecución de la prueba |
| Identificación y tratamiento de vulnerabilidades | Hallazgos priorizados por severidad y riesgo de negocio, con recomendaciones accionables |
| Prueba de que la corrección fue efectiva | Retest que valida la remediación y documenta el cierre de las fallas |
| Capacidad de detección y respuesta a incidentes | Ejercicio de Red Team que ejercita la reacción de los equipos de defensa |
| Controles en servicios de nube y terceros | Pentest de cloud y revisión de configuraciones del entorno contratado |
| Gobierno y rendición de cuentas a la dirección | Resumen ejecutivo con el riesgo traducido a lenguaje de negocio |
Lo que une estos entregables es la trazabilidad. Una auditoría — interna, del propio BACEN o de un asesor independiente — quiere ver que la prueba existió, cubrió el alcance correcto, encontró lo que había que encontrar y que las correcciones fueron validadas. Un informe profesional entrega esa cadena de evidencia de forma verificable.
Un error común es confundir el escaneo automatizado con la verificación exigida. Un escáner mensual produce listas largas de alertas, muchas de ellas falsos positivos o irrelevantes para el contexto, y no demuestra impacto real. Las resoluciones hablan de eficacia de los controles, y la eficacia solo se comprueba cuando alguien intenta eludirlos de forma dirigida. Esa es la diferencia entre marcar una casilla de cumplimiento y saber realmente si la institución resistiría un ataque.
¿Qué instituciones están sujetas a estas resoluciones?
El marco de ciberseguridad del BACEN alcanza a un conjunto amplio de instituciones autorizadas a operar por el Banco Central. Esto incluye bancos, cooperativas de crédito, financieras, corredoras y distribuidoras, además de las instituciones de pago, que siguen la Resolução BCB nº 85/2021. Las fintechs autorizadas y los participantes del Open Finance también están alcanzados, en la medida de su actividad.
El plazo de adecuación a las actualizaciones más recientes del marco, para instituciones ya en operación, venció el 01/03/2026. Las instituciones que aún no han estructurado su verificación periódica de controles están, por lo tanto, en atraso frente a una obligación regulatoria y deben priorizar la incorporación del pentest a su programa de cumplimiento — no como un evento puntual, sino como parte de un ciclo recurrente de prueba, corrección y revalidación, documentando el plan y las fechas efectivas.
El cumplimiento del BACEN rara vez vive aislado. La misma institución suele tener obligaciones bajo la LGPD — muchas veces conducidas por un DPO tercerizado — y, cuando opera en Europa a través de subsidiarias, bajo normas como la NIS2. Las instituciones que ya adoptan inteligencia artificial en decisiones de crédito o atención al cliente suman además el gobierno de IA bajo la ISO/IEC 42001 y la seguridad de agentes de IA a su superficie de prueba.
Cómo lo ejecuta Berghem
Berghem estructura el pentest para instituciones financieras a partir del alcance regulatorio real, no de una batería genérica. Comenzamos mapeando la superficie de ataque y los requisitos aplicables para que la prueba produzca exactamente la evidencia que la verificación de controles exige. El detalle de cómo conectamos cada modalidad de prueba con las obligaciones del regulador está en nuestra página de cumplimiento en ciberseguridad para instituciones reguladas por el BACEN.
Cada proyecto combina explotación manual, encadenamiento de fallas y prueba de impacto con un informe que sirve tanto al equipo técnico como a la auditoría: hallazgos priorizados, prueba de concepto reproducible, resumen ejecutivo y retest incluido. Como empresa de seguridad de la información en São Paulo, atendemos bancos, cooperativas, financieras e instituciones de pago, ajustando alcance, profundidad y periodicidad al perfil de riesgo y al calendario regulatorio de cada operación.
Preguntas frecuentes
¿El pentest es obligatorio según las resoluciones del BACEN?
Sí. Las actualizaciones de 2025 — la Resolução CMN nº 5.274/2025, que modifica la Resolução CMN nº 4.893/2021, y la Resolução BCB nº 538/2025 — exigen una prueba de intrusión anual, ejecutada por profesionales independientes, con resultados documentados. El informe del pentest es la evidencia que las auditorías y el propio regulador esperan encontrar.
¿Con qué frecuencia necesito hacer el pentest para cumplir con el BACEN?
Al menos una vez al año. El marco vigente exige una prueba de intrusión anual e independiente, con resultados documentados y plan de acción de remediación. Las instituciones con ciclos de cambio acelerados suelen sumar pruebas dirigidas a cada release relevante — nuevas funcionalidades, migración de infraestructura o integraciones — para que la evidencia acompañe el riesgo real del entorno.
¿Cuál es la diferencia entre la Resolução CMN 4.893 y la Resolução BCB 85?
La Resolução CMN nº 4.893/2021 trata de la política de ciberseguridad de las instituciones financieras autorizadas por el BACEN. La Resolução BCB nº 85/2021 establece requisitos equivalentes para instituciones de pago, reemplazando a la antigua Circular BCB nº 3.909/2018. Ambas siguen siendo actualizadas por el regulador.