Benjamín Bernal / Comisión Nacional Bancaria y de Valores

Transcripción

1 Benjamín Bernal / Comisión Nacional Bancaria y de Valores Se desempeña como Director General Adjunto del área de Supervisión de Riesgo Operacional y Tecnológico de la Comisión Nacional Bancaria y de Valores (CNBV). Tiene mas de 14 años de experiencia en el área de auditoría de sistemas informáticos y en el desarrollo de la regulación aplicable a los aspectos en dicha materia. Actualmente, está a cargo de la supervisión de tecnologías especiales que incluye a la banca electrónica y colabora en el desarrollo de la regulación aplicable para la operación de la Banca por Internet, Banca por Teléfono, Cajeros Automáticos, Terminales Punto de Venta y operaciones bancarias a través de teléfonos móviles. Tiene estudios en Ingeniería Cibernética y en Sistemas Computacionales, Administración de Riesgos Crediticios y Financieros y Seguridad Informática. Actualmente, tiene Certificados internacionales de Auditoría de Sistemas (CISA), Seguridad Informática (CISM y CISSP) y en Gobierno Corporativo (CGEIT).

2 Benjamín Bernal Díaz

3 Acceso a Servicios Financieros en México BANCA MOVIL Y PAGO MOVIL En México, un segmento importante de la población permanece fuera del Sistema Financiero formal, teniendo que recurrir a canales informales y mecanismos de crédito y ahorro en especie para satisfacer su demanda por productos financieros básicos. Acceso Acceso y acceso parcial al sistema financiero* 100% Penetración Servicios Financieros (Población entre 19 y 44 años de edad) 80% Acceso Parcial 60% 40% 36% Sin Acceso 20% 0% Débito o nómina 25% Cuenta de ahorro 17% Tarjeta de Crédito 11% Crédito personal o de nómina Sólo un 10% de la población entre 19 y 44 años de edad afirma no necesitar o no estar interesado en un producto o servicio financiero. Por otro lado, el 40% de la población sin acceso a servicios financieros expresa estar interesado en tener una cuenta de ahorros. *Fuente: SHCP, Encuesta Uso de Servicios Financieros

4 Demanda Insatisfecha por Servicios Financieros Básicos A encuentran pesar del incremento en el número de sucursales bancarias, éstas se mal distribuidas entre las entidades federativas y sus localidades, generando un déficit en la oferta de servicios financieros. 64% de los municipios del país no cuentan con ninguna sucursal bancaria. Sucursales bancarias por cada 10,000 adultos Sin sucursales Inferior ( < 1.03 suc x 10,000 adultos) Medio (entre 1.03 y 1.37 suc x 10,000 adultos) Superior ( > 1.37 suc x 10,000 adultos) *Media países desarrollados = 2.4 sucursales por cada 10,000 adultos Fuente: CNBV 4

5 Esquema actual de transferencias BANCA MOVIL Y PAGO MOVIL Utilización de Infraestructura con costos onerosos Envío de una remesa doméstica 5

6 Suscripciones de Telefonía Móvil por cada 100 habitantes Hong Kong Italy Portugal Germany Denmark Argentina Spain Norway Australia Uruguay Thailand Colombia Turkey Chile United States Brazil Mexico Canada Iran Bolivia Kenya Angola Cambodia Bangladesh Africa Asia Australia Europe Latinoamerica Mexico North America Fuente: International Telecommunication Union (ITU) / Information and Communication Technology Indicators Database

7 Potencial Crecimiento de Servicios Financieros Pago Móvil 97% 100% BANCA MOVIL Y PAGO MOVIL % penetración telefonía celular 50% Mexico Sud-África Finlandia Los esquemas de pago móvil ofrecen una oportunidad de bancarizar a la población haciendo uso de la penetración de los celulares entre la población. 10% Kenya Filipinas Colombia % población bancarizada % Bancarizada % Telefonía Móvil Fuente: Banked Honohan 2007; Penetración Celular: ITU; WireIess Intelligence 4:2002, 4:2006. Los datos para México provienen de la encuesta de SHCP Uso de Servicios Financieros

8 Móvil como un medio de Pago Cuentas Bancarias Móviles Comercio = potenciales Comisionistas Bancarios Millones de teléfonos móviles (**) Sucursales,Cajeros automáticos, Terminales Punto de Venta Banco El teléfono tiene la capacidad de ser un medio de pago como una Tarjeta Bancaria Productos de acuerdo a sectores específicos Controles regulatorios de acuerdo al riesgo de las transacciones Fuente: ** COFETEL (Comisión Federal de Telecomunicaciones), febrero

9 Infraestructura de Telefonía Móvil BANCA MOVIL Y PAGO MOVIL Fortalezas Debilidades Dispositivo Móvil - El cliente siempre lo tiene consigo - Puede ser un factor de autenticación - Puede bloquearse con una clave - Se pueden generar claves dinámicas de un solo uso - Puede almacenar nombres de usuario, claves y datos personales - El bloqueo del teléfono depende del usuario - No todos los teléfonos soportan las aplicaciones mas desarrolladas Sistemas Operativos de los dispositivos móviles - La diversidad de sistemas en el mercado reduce la posibilidad de que exista Malware - La diversidad de sistemas hace difícil obtener software para protección Redes de Comunicación Móvil - Elevado costo del hardware y hasta el momento no se han propagado masivamente ataques y vulnerabilidades - Todo mundo tiene acceso 9

10 Cambios y Emisión de Nuevas Reglas para que la Inclusión Financiera aumente Acercar medios de depósito y retiro de efectivo a la población, fomentando el uso de dinero electrónico. La CNBV emitió reglas para habilitar comercios como un nuevo canal transaccional Corresponsales Bancarios Prevención de Lavado de Dinero y Cuentas Móviles Cambios en las Reglas de PLD que emite la SHCP Banxico establece en su regulación la figura de Cuentas Móviles Bancos de Nicho y Emisores de Dinero Electrónico Uso del Servicio de Banca Electrónica (Capítulo X) Cambios en la LIC para permitir la entrada de nuevos participantes que puedan ser Emisores de medios de Pago Nuevas Reglas de la CNBV para utilizar los Teléfonos Móviles como un vehículo para hacer pagos de forma segura 10

11 Alcance disposiciones Servicio de Banca Electrónica Banca Electrónica: al conjunto de servicios y operaciones bancarias que las Instituciones de Crédito pactan con el público, a través de Medios Electrónicos Operaciones en Cajeros Automáticos (ATM) BANCA MOVIL Y PAGO MOVIL Pagos mediante Terminales Punto de Venta (TPV) Dispositivo dedicado Teléfono Móvil Banco Pagos y operaciones mediante Teléfonos Móviles Pago Móvil Banca Móvil Banca por Internet Banca Host to Host (equipo de empresa equipo de la Institución) Banca Telefónica: Audio respuesta (IVR) Voz a Voz (atención por parte de un operador telefónico) Cualquier otro que utilice Medios Electrónicos 11

12 Estructura de las disposiciones de Banca Electrónica Contratación y activación del servicio Consentimiento expreso del usuario Contratación a través de Medios Electrónicos utilizando un 2FA Operación del servicio Autenticación Banco - Cliente Uso de doble factor de autenticación para operaciones de riesgo Pre-registro de cuentas destino Establecimiento de límites de operación Notificaciones Seguridad, confidencialidad e integridad de la información Cifrado de datos sensibles Controles de acceso a la información Monitoreo, control y continuidad de las operaciones Monitoreo de operaciones Revisiones de seguridad Soporte técnico y continuidad de la operación 12

13 Medidas para proteger el acceso a los servicios financieros Desde el punto de vista de la CNBV, existen tres grandes líneas de negocio ligados con la telefonía celular: Banca Móvil: Orientado a servicios bancarios similares a los ofrecidos a través de la Banca por Internet. Asociación de cuentas de inversiones, débito, TDC, créditos, entre otros Banca Móvil Pagos de alto valor No tiene límite transaccional, mantiene controles estrictos (similar a Internet) Pago Móvil: Orientado a pagos y transferencias de bajo valor cargado a una Cuenta Móvil, TDD o TDC Monedero Electrónico: Asociado a Tarjetas Prepagadas Bancarias o Cuentas Móviles Pagos de bajo valor Límites Transaccionales diarios: 250 Udis con controles 1500 Udis con controles adicionales Pago Móvil Monedero Electrónico Micro Pagos * El saldo de la cuenta debe ser menor a 70 Udis. * Según la regulación, las IFs deben asumir las reclamaciones de los clientes por este tipo de operaciones 13

14 Pago Móvil Operaciones Bancarias orientados al pago de bienes y servicios, y transferencias entre personas desde un teléfono móvil asociado al servicio Asociación de una tarjeta o cuenta bancaria y/o una cuenta cuyo saldo no podrá exceder de 70 UDIs Contratación a través de Centros de Atención Telefónica u otro servicio de Banca Electrónica con dos Factores de Autenticación Límites de Operaciones: Hasta 1,500 UDIs diarias en una o varias operaciones Hasta 4,000 UDIs mensuales por línea telefónica por usuario Requieren pre-registro de cuentas destino para las operaciones mayores a 250 UDIs. El pre-registro puede realizarse en; sucursales con firma autógrafa o en otro servicio utilizando 2 factores de autenticación. Requiere el uso de un factor de autenticación categoría 2 (Contraseña o NIP). Para las operaciones menores a 70 UDIs no requiere utilizar factores de autenticación, siempre que las Instituciones asuman los riesgos y los costos. Notificaciones al Usuario cuando el acumulado de las operaciones sumen 600 UDIs o éstas sean mayores a 250 UDIs Los usuarios deberán tener la opción de desactivar el servicio de forma temporal. 14

15 Banca Móvil Operaciones bancarias realizadas desde un teléfono móvil del usuario cuya número de línea se encuentra asociado al servicio. Es posible asociar al servicio más de una cuenta del mismo cliente. Límite transaccional definido por el usuario Requiere de un 2FA para realizar operaciones monetarias. El 2FA puede estar inmerso en el teléfono. Para las operaciones menores a 70 UDIs no requiere de Factores de Autenticación, siempre que el banco asuma los riesgos y costos Requiere pre-registro de cuentas destino, para Operaciones Monetarias mayores a 250 UDIS, las cuales pueden quedar habilitadas de inmediato si se registran a través de este servicio Notificaciones al Usuario cuando el acumulado de las operaciones sumen 600 UDIs o éstas sean mayores a 250 UDIs Los usuarios deberán tener la opción de desactivar el servicio de forma temporal 15

16 Resumen de Controles para protección al Cliente Banca Móvil y Pago Móvil Registros de Cuentas Destino Registro de cuentas destino mismo medio con 2FA Banca Móvil SIN PREREGISTRO SIN PREREGISTRO CON PREREGISTRO CON PREREGISTRO con 2FA Pago Móvil Pago Móvil Pago Móvil, Banca Móvil (Monedero Electrónico) 0 UDIs Micro Pago Sin NIP Contratación en CAT NIP NIP + Notificaciones 70 Baja 250 Mediana 1,500 Cuantía Cuantía Máximo 1,500 al día y 4,000 UDIs al mes 2F A + Encripción + Registro de cuentas destino + Notificaciones Límite del Usuario Límite de acuerdo a la Institución Contratación en sucursal o en otro Medio Electrónico con 2FA (Confirmación mediante un 2FA transcurridos 30 min) 16

17 Principales controles Control Pago Móvil Banca Móvil Uso de medidas de encripción para transmisión de mensajes SMS Requiere Administración llaves criptográficas El software debe instalarse en la tarjeta SIM USSD o Mensajes SMS sin encriptar (no seguro) Restricción del uso de números de cuenta, Nips (ATM) y otra información sensible durante el proceso (solo para USSD y SMS sin encriptar) No necesario Sí, I.F. paga las reclamaciones de los clientes Sí Sí No permitido No Enmascarar el NIP Sí (USSD y SMS no seguro, I.F. paga) Identificar a los cliente por el número de telefóno Sí Sí Sí Restricción del tipo y número de cuentas asociadas al servicio (una cuenta/teléfono, un número de teléfono/cliente) Sí No 17

18 Principales controles, cont. BANCA MOVIL Y PAGO MOVIL Control Pago Móvil Banca Móvil Pre-registro de cuentas destino a través de otros medios No, operaciones <250 Udis Sí, operaciones > 1,500 Udis No necesario Require un segundo factor de autenticación (2FA) No necesario Sí Sistema de prevención de fraudes Sí Sí Autenticación segura del usuario durante la contratación Sí, es posible hacerlo a través de un CAT Sí, solo a través de un canal seguro* Procedimientos de conocimiento del cliente y de verificación de identidad Sí Sí Activación/desactivación del servicio Sí Sí * Banca por Internet utilizando un 2FA o firma autógrafa en sucursal bancaria 18

19 Retos para Pago Móvil y Banca Móvil BANCA MOVIL Y PAGO MOVIL La tecnología no es suficiente para mantener la seguridad, se requiere de una adecuada implementación Lo óptimo es llegar al balance: Seguridad Operabilidad Costo 19

20 Gracias por su atención!