- Información clave: En contraste con el enfoque de Estados Unidos en ejercicios teóricos, los reguladores del Reino Unido están ordenando ataques con fuego real contra sistemas bancarios reales para descubrir debilidades del mundo real.
- Cita de experto: «Este año, nuestros hallazgos continúan destacando brechas en las defensas cibernéticas subyacentes de las empresas», escribieron los reguladores del Reino Unido en el informe de 2025.
- Lo que está en juego: Los reguladores estadounidenses han advertido que una sola falla cibernética podría causar «efectos generalizados y en cascada» en todo el sector financiero.
Etiquetas de revisión generadas por IA con revisión editorial
Procesamiento de contenido
Nuevos hallazgos de las pruebas de estrés de seguridad cibernética de 2025 del Banco de Inglaterra revelan que, a pesar de las rigurosas simulaciones de inteligencia en sistemas bancarios reales, las instituciones financieras más críticas del Reino Unido todavía luchan con la higiene cibernética básica.
Los hallazgos ofrecen un brillante punto de comparación para los bancos estadounidenses, que son consistentes con evaluaciones periódicas realizadas por los reguladores que palidecen en comparación con la prueba de fuego que los reguladores británicos utilizan en los bancos del país.
Mientras los reguladores estadounidenses fomentan los ejercicios teóricos, el regulador del Reino Unido exige que sus instituciones más grandes resistan ataques simulados en sus entornos de producción reales, proporcionando una visión general en tiempo real de las vulnerabilidades que afectan al sistema financiero global.
En cuanto a los bancos estadounidenses, los resultados en el Reino Unido resaltan la persistencia de fallas de seguridad fundamentales –en particular, una gestión de parches y controles de identidad débiles– incluso dentro de las instituciones más reguladas del mundo.
«Este año, nuestros hallazgos continúan destacando brechas en las defensas cibernéticas subyacentes de las empresas», escribieron los reguladores del Reino Unido en un informe publicado esta semana.
Resultados de la cibervigilancia en vivo
Los reguladores bancarios del Reino Unido (el Banco de Inglaterra, la Autoridad de Regulación Prudencial y la Autoridad de Conducta Financiera) utilizan conjuntamente un marco de pruebas conocido como CBEST, que a diferencia de las auditorías tradicionales utiliza pruebas de penetración basadas en amenazas que imitan el comportamiento de los ciberatacantes del mundo real.
Los evaluadores ejecutan estas simulaciones en los sistemas de producción en vivo de las instituciones para evaluar sus capacidades de detección y respuesta en el mundo real, y los reguladores exigen estos ejercicios para las empresas y empresas de infraestructura del mercado financiero consideradas sistémicamente importantes para el sector financiero de un país.
CBEST está diseñado para garantizar que estas instituciones clave “puedan continuar brindando sus importantes servicios comerciales durante interrupciones severas pero creíbles”, según la guía de implementación de CBEST.
Un análisis de estas pruebas realizado en 2025 encontró que las empresas a menudo no mantenían «prácticas de configuración sólidas» y carecían de «protecciones criptográficas sólidas para los datos en reposo», según el informe de este año.
Las debilidades comunes en el informe de CBEST incluyen «controles de acceso demasiado permisivos», como un acceso inadecuado basado en estacas y «falta de mantener prácticas sólidas de higiene de credenciales», que incluyen el almacenamiento de contraseñas en texto sin formato, según el informe.
Además, las pruebas han demostrado que el personal sigue siendo susceptible a la ingeniería social. El informe cita casos «de personal manipulado mediante ingeniería social que busca revelar contraseñas o códigos simbólicos», a menudo facilitados por empleados que sobreexponen datos confidenciales en plataformas de redes sociales.
El equivalente más cercano a los reguladores estadounidenses
Al otro lado del Atlántico, mientras los reguladores estadounidenses no evitan por completo los ejercicios de ciberseguridad (el Departamento del Tesoro, por ejemplo)
Si bien «la solidez del sistema bancario federal sigue siendo buena», al mismo tiempo, «las ciberamenazas siguen siendo motivo de preocupación», según la Oficina del Contralor de la Moneda.
En su semestre
El Consejo de Supervisión de la Estabilidad Financiera se hace eco de esto en su informe anual de 2025, señalando que «hasta la fecha, los incidentes cibernéticos no han resultado en un evento sistémico significativo para el sector de servicios financieros de Estados Unidos», pero advierte que las posibles consecuencias incluyen «interrupciones de servicios a gran escala» y «desafíos con el acceso a la liquidez».
CISA y el estándar global
Aunque los regímenes regulatorios difieren, la información que impulsa estas pruebas a menudo proviene de las mismas fuentes. El marco de pruebas del Reino Unido se basa en gran medida en datos de vulnerabilidad global para diseñar escenarios de amenazas realistas.
La fuente principal de estos datos es el programa Common Vulnerabilities and Exposures o CVE. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) financia el programa CVE, que sirve como base global para identificar agujeros de seguridad en el software.
La financiación de CISA para el programa CVE casi expiró a principios de este año, cuando la agencia decidió emitir una renovación de financiación de 11 meses la noche antes de su vencimiento.
Fuera de la crisis
Los bancos de todo el mundo, incluidos los del Reino Unido, están integrando datos CVE en sus programas de gestión de parches para garantizar que no estén expuestos a vulnerabilidades conocidas públicamente. Sin embargo, el «Informe temático CBEST 2025» señala que a pesar del acceso a esta inteligencia, las empresas han tenido problemas con «sistemas poco reforzados o sin parches», lo que los deja vulnerables a exploits conocidos.
Esto refleja la orientación de la Corporación Federal de Seguros de Depósitos de EE. UU., que aconseja a los bancos utilizar bases de datos como las proporcionadas por CISA para rastrear los parches que necesitan aplicar.
Estilos regulatorios: prescriptivo versus resultado
Una diferencia clave entre los entornos regulatorios del Reino Unido y los Estados Unidos que rigen la ciberseguridad bancaria radica en el ejercicio de la supervisión.
El modelo del Reino Unido, a través del CBEST, utiliza una «evaluación basada en resultados» de las capacidades técnicas. Los reguladores ven a CBEST como un “marco rector en lugar de una metodología prescriptiva detallada”, que permite a las empresas flexibilidad en la forma de lograr resiliencia siempre que puedan demostrarla bajo fuego simulado.
En cambio, los reguladores estadounidenses están intentando actualmente alejarse de lo que históricamente se ha considerado un enfoque intensivo en procesos.
«No podemos seguir imponiendo políticas y expectativas de supervisión diseñadas para los bancos más grandes a los bancos más pequeños, menos riesgosos y menos complejos», dijo Michelle Bowman, gobernadora de la Junta de la Reserva Federal, en un testimonio en diciembre de 2025.
Bowman abogó por un marco de supervisión que se centre en «riesgos materiales para las operaciones bancarias» en lugar de «cuestiones intangibles que distraen la atención de la seguridad y la estabilidad fundamentales».
Además, el mes pasado el Consejo de Supervisión de la Estabilidad Financiera de EE.UU.
Si bien los ejercicios teóricos simulan la toma de decisiones durante una crisis, no implican necesariamente la explotación técnica de servidores de producción en vivo que caracteriza al programa CBEST del Reino Unido.
Entonces, ¿qué cibernético es mejor? ¿Estados Unidos o Reino Unido?
Determinar si el sector bancario del Reino Unido o de los Estados Unidos tiene una postura más firme en materia de seguridad cibernética es difícil dada la opacidad de los resultados de los bancos individuales en el informe del CBEST y la falta de pruebas equivalentes por parte de los reguladores estadounidenses. Sin embargo, el programa CBEST del Reino Unido ofrece un nivel de validación empírica de la resiliencia que los procesos de prueba estándar pueden pasar por alto.
El informe de 2025 de CBEST concluyó que «las soluciones tácticas por sí solas son insuficientes» y que una remediación rápida a menudo deja «debilidades fundamentales sin resolver», una conclusión similar a la de los reguladores estadounidenses de que la gobernanza es primordial para la ciberseguridad bancaria.
