State Bank of Pakistan: pruebe su app de banca móvil antes de cada lanzamiento.

1. 01

   Circular BPRD n.º 04 de 2023, anexo A, 2(vii) y 2(viii)

   Revise cada producto digital nuevo o modificado antes del lanzamiento

   Qué dice el texto

   Realice revisiones exhaustivas de seguridad de la información de los nuevos productos y servicios digitales, y de cualquier modificación de los existentes, que abarquen personas, procesos y tecnología. Las debilidades y todas las vulnerabilidades críticas, altas y medias detectadas en esas revisiones deben corregirse y controlarse mediante validación antes del despliegue en producción y del lanzamiento.

   Fuente:Circular BPRD n.º 04 de 2023, anexo A, 2(vii) y 2(viii)

   Qué supone para su app móvil

   Cada versión de la app móvil modifica un producto digital. Necesita una revisión de seguridad, y cada hallazgo medio, alto o crítico debe corregirse y volver a probarse antes de que la actualización llegue a la tienda.

   Cómo ayuda Ostorlab

   Ejecute escaneos automatizados desde su pipeline de CI/CD en cada compilación. Mobile SAST analiza directamente el APK, AAB o IPA, sin necesidad de código fuente, y Mobile DAST ejecuta la app. Los hallazgos se clasifican como críticos, altos, medios o bajos, se gestionan como tickets en la plataforma o en Jira y ServiceNow, y se vuelven a probar cuando se publica la corrección.

   Qué sigue en sus manos

   La línea base de la revisión, las partes de la revisión relativas a personas y procesos, y la decisión de puesta en producción.

2. 02

   Circular BPRD n.º 04 de 2023, anexo B (preguntas frecuentes), Management Control 2(vii)

   Realice revisiones periódicas de seguridad de las aplicaciones

   Qué dice el texto

   Las preguntas frecuentes del SBP sobre las medidas de 2023 indican que las entidades reguladas deben realizar revisiones periódicas de seguridad de las aplicaciones, incluidas evaluaciones de vulnerabilidades, pruebas de penetración y revisiones de código fuente, y abordar y corregir oportunamente todas las vulnerabilidades identificadas. Cada entidad elabora su propia línea base de revisión, basada en las buenas prácticas y en su propia evaluación de riesgos.

   Fuente:Circular BPRD n.º 04 de 2023, anexo B (preguntas frecuentes), Management Control 2(vii)

   Qué supone para su app móvil

   Las comprobaciones en cada versión no bastan por sí solas. La app y sus API también necesitan un ciclo recurrente de evaluación de vulnerabilidades, pruebas de penetración y revisión de código, con constancia de que los hallazgos se corrigieron.

   Cómo ayuda Ostorlab

   Los escaneos rápidos suelen terminar en 1 a 5 minutos y los completos en 15 a 45 minutos, por lo que encajan en cada versión. Un pentest con agentes de IA profundiza más, normalmente en unas horas, con un exploit funcional que puede reproducir para cada hallazgo de un agente de IA, para los cambios críticos y sus pruebas en profundidad periódicas.

   Qué sigue en sus manos

   Las revisiones de código fuente de su backend, el calendario de revisiones y la propia línea base.

3. 03

   Enterprise Technology Governance & Risk Management Framework, 2.7

   Mantenga un programa de pruebas con evaluaciones de vulnerabilidades y pruebas de penetración

   Qué dice el texto

   Establezca un programa de pruebas exhaustivo para validar periódicamente la eficacia del entorno de seguridad de la información. Según la complejidad de las operaciones, utilice evaluaciones de vulnerabilidades seguidas de una prueba de validación de que se han cerrado las brechas, pruebas basadas en escenarios, pruebas de penetración periódicas, con pruebas de los sistemas internos en el momento de las actualizaciones y despliegues importantes, y una función independiente de aseguramiento de la calidad que pruebe los desarrollos internos en busca de vulnerabilidades. La política fija la frecuencia de cada prueba.

   Fuente:Enterprise Technology Governance & Risk Management Framework, 2.7

   Qué supone para su app móvil

   Su política define la frecuencia con la que se prueba la app. Una versión importante de la app o de su backend es un desencadenante natural de una prueba de penetración, y cada evaluación necesita una prueba de seguimiento que demuestre que las brechas están cerradas.

   Cómo ayuda Ostorlab

   Su equipo de seguridad o de segunda línea ejecuta las pruebas y es el titular de los resultados. Cada hallazgo incluye una calificación de riesgo, los pasos de reproducción, los registros de solicitudes y respuestas y capturas de pantalla, y una nueva prueba confirma si el problema de fondo está resuelto.

   Qué sigue en sus manos

   Las pruebas basadas en escenarios y de recuperación, la política de pruebas y su periodicidad.

4. 04

   Circular BPRD n.º 07 de 2016; Circular PSD n.º 09 de 2018

   Someta sus controles cibernéticos a una evaluación independiente

   Qué dice el texto

   Los bancos, las DFI y los bancos de microfinanzas deben garantizar evaluaciones independientes periódicas de la adecuación y la eficacia de sus controles de ciberseguridad. Pueden incluir evaluaciones de vulnerabilidades y pruebas de penetración realizadas por personal independiente del área revisada, o por terceros externos con suficiente experiencia en seguridad TI cuando los equipos internos carezcan de ella. En 2018, el SBP también exigió evaluaciones internas de vulnerabilidades y pruebas de penetración, y una revisión independiente por un tercero, de los canales alternativos de prestación de servicios, incluida la banca por internet y la banca móvil.

   Fuente:Circular BPRD n.º 07 de 2016; Circular PSD n.º 09 de 2018

   Qué supone para su app móvil

   Las personas que prueban la app deben ser independientes del equipo que la desarrolla. Para la banca móvil, el SBP ya ha pedido tanto pruebas internas como una revisión por un tercero.

   Cómo ayuda Ostorlab

   Ostorlab prueba la compilación que descargan sus clientes y las API a las que llama. Su equipo de seguridad o de segunda línea ejecuta las pruebas y es responsable de los resultados, con independencia de los desarrolladores.

   Qué sigue en sus manos

   Decidir si una prueba cumple la expectativa de independencia y contratar evaluadores externos.

5. 05

   Regulations for the Security of Internet Banking, 1 y 2.2.1; Circular BPRD n.º 04 de 2023, anexo A, 3-I(iv)

   Autentique con al menos dos factores y controle las sesiones

   Qué dice el texto

   Los bancos deben autenticar a los clientes de banca por internet con autenticación de al menos dos factores, como una contraseña y un token de un solo uso, y añadir seguridad por capas para las transacciones de alto valor. Los controles de autenticación tienen en cuenta los intentos fallidos de inicio de sesión, la frecuencia de cambio de contraseña, los tiempos de expiración de sesión y la reautenticación según criterios predefinidos. La normativa se aplica sea cual sea el dispositivo de acceso que utilice el cliente, y las medidas de 2023 del SBP añaden que las contraseñas de un solo uso deben tener una longitud razonable y una validez adecuada.

   Fuente:Regulations for the Security of Internet Banking, 1 y 2.2.1; Circular BPRD n.º 04 de 2023, anexo A, 3-I(iv)

   Qué supone para su app móvil

   El bloqueo tras intentos fallidos, la expiración de sesión, la reautenticación para transferencias de alto valor y la vigencia de las contraseñas de un solo uso son parámetros que se pueden probar en la app y en su backend.

   Cómo ayuda Ostorlab

   Ostorlab inicia sesión con sus cuentas de prueba, completa los códigos de un solo uso por SMS, correo electrónico o TOTP, y prueba el inicio y el cierre de sesión, la renovación de tokens, los tiempos de espera, la invalidación de sesiones y la aplicación de la MFA, incluidos los flujos de autenticación reforzada.

   Qué sigue en sus manos

   La elección de los factores y de los valores de la política, como los umbrales de bloqueo y la validez de las contraseñas de un solo uso.

6. 06

   Circular BPRD n.º 04 de 2023, anexo A, 3-A(iii), (v), (vi), (viii) y (ix)

   Vincule los dispositivos y proteja el restablecimiento de credenciales

   Qué dice el texto

   Registre los dispositivos de los clientes mediante huella digital del dispositivo o vinculación del dispositivo, y notifique inmediatamente al cliente cualquier dispositivo nuevo. El restablecimiento de credenciales solo puede realizarse desde el dispositivo registrado, con lectura o autocompletado automático de la contraseña de un solo uso y vinculación del remitente que restrinja la introducción manual. Se aplica un periodo de espera de 2 horas antes de activar la app móvil para los clientes recién registrados, y antes de cambios clave en la cuenta como el dispositivo, el número de móvil, el correo electrónico, los límites de transacción y el restablecimiento de contraseña. El registro no debe confirmar que una cuenta existe antes de que el proceso haya finalizado.

   Fuente:Circular BPRD n.º 04 de 2023, anexo A, 3-A(iii), (v), (vi), (viii) y (ix)

   Qué supone para su app móvil

   Estos controles deben mantenerse en el backend, no solo en las pantallas de la app. Una solicitud enviada directamente a la API debe encontrarse con la misma comprobación del dispositivo, el mismo periodo de espera y el mismo registro silencioso.

   Cómo ayuda Ostorlab

   Ostorlab completa los códigos de un solo uso por SMS, correo electrónico o TOTP con sus cuentas de prueba y prueba la aplicación de MFA y los flujos de verificación reforzada, incluido cómo intentan manipularlos los atacantes, junto con las llamadas a la API que hay detrás de los cambios en la cuenta. Las pruebas de API cubren abusos como la enumeración, la repetición y la automatización.

   Qué sigue en sus manos

   El diseño de la vinculación del dispositivo, la verificación biométrica de NADRA, la confirmación por devolución de llamada y las notificaciones a los clientes.

7. 07

   Circular BPRD n.º 04 de 2023, anexo A, 3-B(v) y 3-E

   Cifre y enmascare los datos de los clientes

   Qué dice el texto

   Cifre los datos en tránsito y en reposo en todas las etapas de una transacción, según su clasificación y sensibilidad, incluida la información de identificación personal y los datos de tarjetas de pago. La información de los clientes se almacena o transmite en forma de hash o cifrada con algoritmos no obsoletos como AES 256 y SHA256, la información biométrica nunca se almacena ni se transmite sin cifrar, y la información crítica, como los números de tarjeta, se enmascara.

   Fuente:Circular BPRD n.º 04 de 2023, anexo A, 3-B(v) y 3-E

   Qué supone para su app móvil

   La app es una etapa de la transacción. Lo que escribe en el dispositivo, registra en los logs o envía por la red entra en el alcance.

   Cómo ayuda Ostorlab

   Ostorlab busca tokens de sesión y datos personales en el almacenamiento local, las cachés, los registros y las capturas de pantalla, detecta errores de configuración que debilitan las protecciones del transporte y de las sesiones, y prueba las API que hay detrás de las transacciones.

   Qué sigue en sus manos

   La gestión de claves, la clasificación de datos y el cifrado en sus servidores.

8. 08

   Circular BPRD n.º 04 de 2023, carta de presentación y anexo A, 4(iii)(f) y 4(v)

   Pueda demostrar que sus controles estaban implantados

   Qué dice el texto

   Los bancos y bancos de microfinanzas que no implanten los controles en el plazo previsto están obligados a indemnizar a los clientes víctimas en un plazo de tres días hábiles desde la notificación del fraude, al margen de las medidas sancionadoras. Según el marco de responsabilidad, las entidades financieras indemnizan a los clientes cuando no pueden acreditar que las transacciones se ejecutaron desde el dispositivo registrado del cliente, y las entidades financieras de origen indemnizan a los clientes cuando algún control estipulado no se ha implantado o ha fallado.

   Fuente:Circular BPRD n.º 04 de 2023, carta de presentación y anexo A, 4(iii)(f) y 4(v)

   Qué supone para su app móvil

   Cuando llega una reclamación por fraude, la cuestión es si sus controles existían y funcionaban. Los resultados de las pruebas de cada versión le ayudan a responderla.

   Cómo ayuda Ostorlab

   Los resultados de los escaneos, los hallazgos con los pasos de reproducción y los resultados de las nuevas pruebas le proporcionan un registro fechado de cómo se probaron y corrigieron los controles de la app, versión tras versión.

   Qué sigue en sus manos

   La monitorización del fraude, la gestión de disputas en FTDH y la decisión de indemnización.

9. 09

   Framework on Outsourcing to Cloud Service Providers, sección T

   Pruebe los sistemas alojados en la nube al menos una vez al año

   Qué dice el texto

   Realice evaluaciones de vulnerabilidades, pruebas de penetración y pruebas de seguridad basadas en escenarios de los sistemas alojados en proveedores de servicios en la nube, al menos una vez al año, teniendo en cuenta las amenazas propias de los servicios en la nube, como las interfaces de programación de aplicaciones débiles. Las vulnerabilidades de las cargas de trabajo en la nube se clasifican por riesgo, se someten a seguimiento y se corrigen, incluida la validación posterior.

   Fuente:Framework on Outsourcing to Cloud Service Providers, sección T

   Qué supone para su app móvil

   Si el backend o las API que hay detrás de su app se ejecutan en la nube, necesitan al menos una evaluación y una prueba de penetración anuales, y las debilidades de las API se citan como un escenario que cubrir.

   Cómo ayuda Ostorlab

   Ostorlab intercepta el tráfico de la app, incluso con TLS pinning, y prueba las API en busca de fallos de autorización (BOLA, BFLA, IDOR), usos indebidos de tokens y sesiones, y abusos como la enumeración, la repetición y la automatización, con evidencia de solicitudes y respuestas para cada hallazgo.

   Qué sigue en sus manos

   Las pruebas de la infraestructura en la nube, las evaluaciones propias del proveedor y las revisiones de los centros de datos.

Resumen de textos públicos del SBP, revisado el 27 de septiembre de 2026. Algunos textos solo se aplican a los bancos y bancos de microfinanzas, según se indica. Esta página no constituye asesoramiento jurídico.