Normas de ciberresiliencia del NRB: evalúe su app de banca móvil en cada versión.

1. 01

   Directrices de TI del NRB 2012, seguridad de la información 2.6 y 2.7

   Evaluar la seguridad y probar intrusiones periódicamente

   Qué dice el texto

   Dado que la seguridad de la información no es una actividad puntual, los bancos deben institucionalizar procesos para evaluar periódicamente la salud de la seguridad de la organización y detectar y corregir las vulnerabilidades. Se recomienda realizar pruebas de intrusión del sistema periódicamente. Los bancos deben endurecer sus sistemas con el nivel de seguridad más alto en sistemas operativos, cortafuegos y software de sistema, cambiar de inmediato las contraseñas predeterminadas e instalar las actualizaciones y parches de los proveedores. (Directrices de TI, seguridad de la información 2.6 y 2.7)

   Fuente:Directrices de TI del NRB 2012, seguridad de la información 2.6 y 2.7

   Qué supone para su app móvil

   La evaluación periódica es una expectativa de base, no un proyecto puntual. La app móvil y las API que la sustentan forman parte de ese ciclo.

   Cómo ayuda Ostorlab

   Mobile SAST analiza el binario, incluidos los SDK integrados, y Mobile DAST prueba la app en ejecución; ambos pueden ejecutarse en la CI/CD. El pentest con agentes de IA prueba la app y sus API con sesión iniciada, con un exploit funcional que puede reproducir para cada hallazgo de un agente de IA.

   Qué sigue en sus manos

   Fijar la frecuencia y el alcance, las evaluaciones de plataforma de servidores y equipos de red, el parcheo y el reporting.

2. 02

   Directrices de TI del NRB 2012, seguridad de la información 2.9 y 2.28

   Proteger lo que los dispositivos móviles almacenan y envían

   Qué dice el texto

   Los bancos deben considerar la seguridad de la información que puede almacenarse en dispositivos móviles y cifrar la información de las transacciones y el PIN o la contraseña desde los dispositivos móviles hacia el sistema del banco cuando ofrecen servicios bancarios por dispositivo móvil. Deben definirse controles adicionales, como límites diarios y por transacción, para las transferencias de fondos. Los bancos deben desplegar criptografía fuerte y cifrado de extremo a extremo para proteger los PIN, las contraseñas y otros datos sensibles de los clientes en las redes y en el almacenamiento. (Seguridad de la información 2.9 y 2.28)

   Fuente:Directrices de TI del NRB 2012, seguridad de la información 2.9 y 2.28

   Qué supone para su app móvil

   Lo que la app escribe en el teléfono y lo que envía al backend están ambos en el alcance, desde tokens y datos personales hasta detalles de transacción.

   Cómo ayuda Ostorlab

   Ostorlab busca tokens de sesión y datos personales en el almacenamiento local, las cachés, los registros y las capturas de pantalla, comprueba las protecciones del transporte y verifica si los límites y controles los aplica el backend y no solo la app.

   Qué sigue en sus manos

   Elegir la criptografía y la gestión de claves, fijar los límites y la política para dispositivos comprometidos.

3. 03

   Directrices de TI del NRB 2012, seguridad de la información 2.27 y 2.29

   Usar más de un factor para las acciones críticas

   Qué dice el texto

   Los bancos deben implementar más de un factor para autenticar actividades críticas como las transferencias de fondos por banca por internet, con una metodología de autenticación acorde con el riesgo de la banca por internet. Los pagos en línea con tarjeta deben autenticarse con un segundo factor, con alertas instantáneas a los clientes por correo electrónico, SMS o llamada de voz automatizada. (Seguridad de la información 2.27 y 2.29)

   Fuente:Directrices de TI del NRB 2012, seguridad de la información 2.27 y 2.29

   Qué supone para su app móvil

   El segundo factor lo debe exigir el servidor en cada operación crítica, incluso cuando la app o un atacante se salta un paso.

   Cómo ayuda Ostorlab

   Las pruebas autenticadas cubren el inicio y el cierre de sesión, la renovación de tokens, los tiempos de espera, la invalidación de sesiones y la aplicación efectiva del MFA, incluidos los flujos de autenticación reforzada, junto con las llamadas de API que los sustentan.

   Qué sigue en sus manos

   Elegir los métodos de autenticación y los canales de alerta, y su aplicación en sus sistemas bancarios centrales.

4. 04

   Directrices de TI del NRB 2012, seguridad de la información 2.30

   Proteger las aplicaciones web y su cifrado

   Qué dice el texto

   Los bancos deben implementar medidas de seguridad adecuadas para proteger sus aplicaciones web frente a ciberamenazas y ataques tradicionales y emergentes, y las aplicaciones críticas deben emplear el cifrado SSL más reciente. (Seguridad de la información 2.30)

   Fuente:Directrices de TI del NRB 2012, seguridad de la información 2.30

   Qué supone para su app móvil

   Las API que llama su app son aplicaciones web. Necesitan pruebas frente a las mismas clases de ataques, además de un cifrado de transporte actualizado.

   Cómo ayuda Ostorlab

   Ostorlab intercepta el tráfico de la app incluso con TLS pinning y prueba las API en busca de controles de autorización defectuosos (BOLA, BFLA, IDOR), uso indebido de tokens y abusos como la enumeración y el replay, y detecta configuraciones erróneas que debilitan las protecciones del transporte.

   Qué sigue en sus manos

   La configuración de TLS y los certificados, los controles de red y la lógica de negocio de la aplicación.

5. 05

   Directrices de TI del NRB 2012, adquisición, desarrollo e implementación de sistemas de información 7.1, 7.2 y 7.4

   Integrar la seguridad en el desarrollo y revisar el código

   Qué dice el texto

   Los requisitos funcionales de usuario, los requisitos de seguridad, los requisitos de rendimiento y las especificaciones técnicas deben documentarse y aprobarse por el nivel de dirección adecuado antes de desarrollar el software. Los requisitos de seguridad de la información deben incorporarse en cada etapa del ciclo de vida del desarrollo de software, cubriendo el control de acceso, la autenticación, la autorización de transacciones, el registro de actividad del sistema, la pista de auditoría y la integridad de los datos. Se anima a los bancos a realizar una revisión del código fuente de la aplicación para encontrar fallos y defectos, y todas las vulnerabilidades encontradas deben corregirse antes de implementar el sistema. (Directrices de TI, adquisición, desarrollo e implementación de sistemas de información 7.1, 7.2 y 7.4)

   Fuente:Directrices de TI del NRB 2012, adquisición, desarrollo e implementación de sistemas de información 7.1, 7.2 y 7.4

   Qué supone para su app móvil

   Los requisitos de seguridad pertenecen al backlog, y una versión no debería publicarse con defectos conocidos que una revisión de código detectaría.

   Cómo ayuda Ostorlab

   Mobile SAST funciona sobre el APK, AAB o IPA con análisis de propagación (taint) por toda la app y sus SDK integrados, y se ejecuta en la CI/CD. Los hallazgos se gestionan como tickets en la plataforma o en Jira y ServiceNow, y se reproteban cuando se publica la corrección.

   Qué sigue en sus manos

   Los requisitos de seguridad, los estándares de codificación segura, las revisiones manuales y la aprobación de versiones.

6. 06

   Directrices de TI del NRB 2012, gestión de externalización 5.3, 5.5 y 5.10; directrices de ciberresiliencia 2023, 64

   Gestionar la externalización y los terceros

   Qué dice el texto

   Todas las operaciones externalizadas deben quedar sujetas a la política de seguridad de la información y privacidad del banco, y el banco debe asegurar que el proveedor implementa controles internos, control de acceso lógico y controles de seguridad física adecuados. Los bancos deben establecer un proceso para supervisar y controlar las actividades externalizadas. Cuando se externalizan operaciones de TI fuera del país, los bancos deben considerar el riesgo país y aclarar la jurisdicción de sus datos y la normativa aplicable al inicio del acuerdo. Las directrices de ciberresiliencia piden a los bancos confirmar que sus proveedores y prestadores terceros, incluidos los proveedores de TIC, cumplen sus requisitos de ciberresiliencia, con contratos que cubran la validación de capacidades de seguridad y los riesgos de la cadena de suministro. (Directrices de TI, gestión de externalización 5.3, 5.5 y 5.10; DC 64)

   Fuente:Directrices de TI del NRB 2012, gestión de externalización 5.3, 5.5 y 5.10; directrices de ciberresiliencia 2023, 64

   Qué supone para su app móvil

   Los SDK incluidos en su app son terceros con sus propios backends. Pertenecen a su visión de riesgo de proveedores y a sus decisiones de jurisdicción de datos.

   Cómo ayuda Ostorlab

   Ostorlab lista los SDK y bibliotecas nativas de cada versión con sus versiones y su ubicación en el paquete de la app, muestra con qué backends hablan la app y sus SDK, y asocia los componentes vulnerables con vulnerabilidades conocidas.

   Qué sigue en sus manos

   Los contratos, la diligencia debida, las decisiones de jurisdicción de datos y el seguimiento de proveedores.

7. 07

   Directivas unificadas relativas a los sistemas de pago, 2082, directiva 3 (texto nepalí); directrices de ciberresiliencia 2023, sección IV

   Proteger el sistema de pago electrónico

   Qué dice el texto

   Las directivas unificadas relativas a los sistemas de pago, 2082, son las reglas consolidadas para las instituciones autorizadas a realizar actividades relacionadas con pagos, dictadas en aplicación del artículo 45 de la Ley de Pagos y Liquidación, 2075 (2019). Su directiva número 3 cubre la operación y la seguridad del sistema de pago electrónico, y las directrices de ciberresiliencia aplican los mismos estándares de ciberresiliencia a los bancos e instituciones financieras de clases A, B, C y D, a los operadores de sistemas de pago y a los proveedores de servicios de pago. (Directivas unificadas relativas a los sistemas de pago, 2082, directiva 3, texto nepalí; DC, sección IV)

   Fuente:Directivas unificadas relativas a los sistemas de pago, 2082, directiva 3 (texto nepalí); directrices de ciberresiliencia 2023, sección IV

   Qué supone para su app móvil

   Una app de monedero o de pagos y sus API son el sistema de pago electrónico que usan los clientes. La seguridad de esa operación es un tema citado expresamente en las directivas de pagos.

   Cómo ayuda Ostorlab

   Ostorlab prueba la app de pagos y las API detrás de cuentas, pagos y saldos, con sesión iniciada, en la versión que publica, y conserva la evidencia versión a versión.

   Qué sigue en sus manos

   Las condiciones de licencia, las reglas operativas y el reporting al NRB conforme a las directivas de sistemas de pago.

8. 08

   Directrices de ciberresiliencia del NRB 2023, 135 a 148 y 160

   Ejecutar un programa de pruebas completo

   Qué dice el texto

   Las directrices de ciberresiliencia esperan un programa de pruebas completo, elaborado con un enfoque basado en el riesgo, revisado y actualizado periódicamente, con los problemas priorizados, resueltos y validados, y pruebas realizadas por partes independientes, internas o externas. Debe incluir evaluaciones de vulnerabilidades y revisiones de código estáticas y dinámicas. Las evaluaciones de vulnerabilidades deben realizarse antes de desplegar o redesplegar servicios que sostienen funciones críticas, y de forma periódica sobre servicios y aplicaciones en producción. El escaneo de vulnerabilidades debe cubrir los servicios expuestos al exterior y también los sistemas y redes internos, rotando entre entornos. (DC 135 a 148 y 160)

   Fuente:Directrices de ciberresiliencia del NRB 2023, 135 a 148 y 160

   Qué supone para su app móvil

   Una versión es un cambio en un servicio expuesto a internet. El programa debe cubrirla antes del despliegue y seguir cubriéndola después.

   Cómo ayuda Ostorlab

   Ostorlab ejecuta escaneos automatizados desde su pipeline de CI/CD en cada build, vigila las versiones publicadas en las tiendas sin disparadores manuales y conserva los resultados por build y por versión. Los hallazgos se clasifican como críticos, altos, medios o bajos.

   Qué sigue en sus manos

   El programa en sí, su alcance basado en el riesgo, los sistemas y redes internos y quién lo aprueba.

9. 09

   Directrices de ciberresiliencia del NRB 2023, 142 y 155 a 164

   Probar intrusiones en toda la cartera de aplicaciones

   Qué dice el texto

   Deben realizarse pruebas de intrusión para identificar vulnerabilidades que puedan afectar a sistemas, redes, aplicaciones, personas o procesos, simulando ataques reales. Deben llevarse a cabo periódicamente y siempre que haya actualizaciones importantes o despliegues de sistemas. Los bancos deben realizar evaluaciones y pruebas de seguridad en todas las etapas del ciclo de vida de desarrollo de sistemas y en todos los niveles, negocio, aplicación y tecnología, para toda la cartera de aplicaciones, incluidas las apps móviles. Las buenas prácticas y las herramientas automatizadas deben apoyar la corrección de debilidades y el cumplimiento de políticas y configuraciones aprobadas. Las pruebas de equipo rojo, basadas en escenarios de amenaza, también forman parte del alcance de pruebas de las directrices de ciberresiliencia. (DC 142 y 155 a 164)

   Fuente:Directrices de ciberresiliencia del NRB 2023, 142 y 155 a 164

   Qué supone para su app móvil

   Las apps móviles se citan expresamente en la cartera, y las actualizaciones importantes obligan a probar. Una prueba anual no basta para un canal que se publica cada pocas semanas.

   Cómo ayuda Ostorlab

   El pentest con agentes de IA se ejecuta sobre la versión que descargan sus clientes, prueba la app y sus API con sesión iniciada y ofrece un exploit reproducible para cada hallazgo de un agente de IA, además de un mapa de cobertura. Ostorlab no realiza ejercicios de equipo rojo.

   Qué sigue en sus manos

   Programar y delimitar las pruebas de intrusión y los ejercicios de equipo rojo, y actuar sobre los hallazgos en sistemas que no son apps.

10. 10

    Directrices de ciberresiliencia del NRB 2023, 54(d), 54(e) y 71(d)

    Exigir MFA para los sistemas críticos y cifrar los datos

    Qué dice el texto

    Las directrices de ciberresiliencia indican que los sistemas, procesos y roles críticos deben exigir autenticación multifactor, siempre que sea compatible. También piden controles sólidos de protección de datos e información, incluido el cifrado de datos acorde con la criticidad, la sensibilidad y la evaluación de riesgos, y un cifrado conforme a estándares y procesos reconocidos que cubra el algoritmo, la longitud de las claves, la generación de claves y la gestión de claves. (DC 54(d), 54(e) y 71(d))

    Fuente:Directrices de ciberresiliencia del NRB 2023, 54(d), 54(e) y 71(d)

    Qué supone para su app móvil

    La regla de MFA no se limita al inicio de sesión de los clientes: los paneles de administración y los roles de back-office que acceden a datos de clientes también entran en el alcance. Lo que la app guarda en el dispositivo, lo que envía y lo que conserva el backend deben estar protegidos de forma demostrable.

    Cómo ayuda Ostorlab

    Las pruebas autenticadas comprueban la aplicación efectiva del MFA y los flujos de autenticación reforzada, mientras que los análisis estáticos y dinámicos buscan tokens y datos personales en el almacenamiento, las cachés, los registros y las capturas de pantalla, y encuentran claves de API y credenciales en el paquete de la app.

    Qué sigue en sus manos

    Desplegar MFA en sistemas internos y de cara al cliente, las decisiones criptográficas, la clasificación de datos y la gestión de claves.

Resumen de textos públicos del NRB, consultados el 27 de septiembre de 2026. Las directivas de sistemas de pago y las directivas unificadas se publican en nepalí y se resumen, no se citan, en esta página. Esto no constituye asesoramiento jurídico.