Règles de cybersécurité de la CMF : évaluez votre application bancaire mobile avant et après chaque version.

1. 01

   RAN chapitre 20-10, numéral 4.1 (texte espagnol)

   Testez votre sécurité, avec pentesting et ethical hacking

   Ce que dit le texte

   L'entité doit réaliser régulièrement des tests de sécurité sur son infrastructure technologique, avec une portée et une profondeur suffisantes, afin de détecter les menaces et vulnérabilités, notamment par pentesting et/ou ethical hacking. Les résultats sont gérés par les services responsables et communiqués au conseil d'administration au moins tous les six mois, les analyses et les actions convenues étant consignées dans les procès-verbaux. Les vecteurs d'attaque à identifier et évaluer comprennent la manipulation ou l'interception des communications, l'hameçonnage, les logiciels malveillants, l'élévation de privilèges, l'injection de code et le déni de service.

   Source :RAN chapitre 20-10, numéral 4.1 (texte espagnol)

   Ce que cela implique pour votre application mobile

   C'est la clause qui nomme le pentesting. Votre application mobile et les API qu'elle appelle font partie de l'infrastructure, et le conseil doit voir les résultats deux fois par an.

   Comment Ostorlab vous aide

   Le pentest par agents IA teste l'application et ses API derrière la connexion, sur la version que vous livrez, avec un exploit fonctionnel à rejouer pour chaque résultat d'un agent IA. Les résultats sont classés critiques, élevés, moyens ou faibles, suivis sous forme de tickets et retestés après la correction.

   Ce qui reste de votre ressort

   Les tests des serveurs et du réseau, le rapport interne au conseil et les décisions de correction.

2. 02

   RAN chapitre 20-10, numéral 4.1 ; RAN chapitre 1-13, numéral 3.2 c) (texte espagnol)

   Gardez la gestion des correctifs et des composants sous contrôle

   Ce que dit le texte

   L'entité doit disposer d'un programme de gestion des correctifs afin que ceux-ci soient appliqués au logiciel et au firmware en temps utile, d'un processus de gestion des changements qui maintienne les modifications de l'infrastructure contrôlées et suivies, et d'un processus de gestion de l'obsolescence qui maintienne des standards de sécurité adaptés aux objectifs de l'entité. Le chapitre 1-13 attend également une planification technologique à long terme intégrant des politiques de correctifs.

   Source :RAN chapitre 20-10, numéral 4.1 ; RAN chapitre 1-13, numéral 3.2 c) (texte espagnol)

   Ce que cela implique pour votre application mobile

   Les SDK et bibliothèques natives de votre application sont des logiciels que vous livrez. Chacun doit avoir une version connue, une gravité lorsqu'une vulnérabilité apparaît et un délai de correction dont vous pouvez apporter la preuve.

   Comment Ostorlab vous aide

   SCA identifie les bibliothèques compilées statiquement et les rapproche des vulnérabilités connues, version après version. Les résultats sont classés critiques, élevés, moyens ou faibles et suivis sous forme de tickets dans la plateforme ou dans Jira et ServiceNow.

   Ce qui reste de votre ressort

   L'application des correctifs sur les serveurs et l'infrastructure, les mises à jour du firmware et les contrats de maintenance des fournisseurs.

3. 03

   RAN chapitre 20-10, numéral 4.1 (texte espagnol)

   Protégez les canaux électroniques et leurs identifiants

   Ce que dit le texte

   Les canaux électroniques utilisés par les clients doivent disposer de contrôles d'accès appropriés afin de limiter, entre autres risques, l'usurpation d'identité ou l'usage abusif des produits et services par des tiers. La gestion des identités et des accès doit couvrir les utilisateurs à privilèges et l'accès aux réseaux, aux systèmes d'exploitation, aux bases de données et aux applications métier. L'entité doit aussi définir les informations à protéger par chiffrement, les algorithmes cryptographiques autorisés et les contrôles utilisés pour la transmission et le stockage.

   Source :RAN chapitre 20-10, numéral 4.1 (texte espagnol)

   Ce que cela implique pour votre application mobile

   Les clés d'API et jetons laissés dans le package de l'application sont des identifiants que n'importe qui peut extraire. L'autorisation entre l'application, le backend et les services d'identité externes doit tenir à chaque frontière.

   Comment Ostorlab vous aide

   Ostorlab détecte les clés d'API, jetons et identifiants dans le package de l'application et vérifie s'ils sont fonctionnels. Il intercepte le trafic de l'application, même avec TLS pinning, et teste les API à la recherche de contrôles d'autorisation défaillants (BOLA, BFLA, IDOR) et d'usages abusifs des jetons et des sessions.

   Ce qui reste de votre ressort

   La gestion des comptes à privilèges, les revues d'accès et les contrôles d'accès physique.

4. 04

   RAN chapitre 20-10, numéral 4.1 (texte espagnol)

   Renforcez l'application et testez-la sur des appareils compromis

   Ce que dit le texte

   Les contrôles mis en place par l'entité doivent limiter les risques liés aux appareils mobiles, au travail à distance et aux objets connectés (IoT), ainsi que les risques liés à l'acquisition, à l'intégration ou au développement d'applications et de systèmes et à leur mise en production. Les vecteurs d'attaque à identifier et évaluer comprennent la manipulation ou l'interception des communications, l'injection de code et l'élévation de privilèges.

   Source :RAN chapitre 20-10, numéral 4.1 (texte espagnol)

   Ce que cela implique pour votre application mobile

   La détection du root et du jailbreak, l'anti-altération et le pinning sont les contrôles applicatifs qui sous-tendent cette clause, et chacun peut être testé sur la version que téléchargent vos clients.

   Comment Ostorlab vous aide

   Mobile Shielding Scan exécute l'application dans des environnements rootés et jailbreakés, tente de contourner la détection du root et du jailbreak, l'anti-altération et le TLS pinning, et montre ce que fait l'application ensuite. Vous obtenez un score de durcissement et des preuves de contournement.

   Ce qui reste de votre ressort

   Le choix et la configuration de votre solution de protection, la gestion des appareils mobiles et la politique de travail à distance.

5. 05

   RAN chapitre 20-7, numéraux III.4, IV.1 b) et V (texte espagnol)

   Gérez l'externalisation et les fournisseurs de cloud

   Ce que dit le texte

   L'entité doit s'assurer que son fournisseur maintient un programme de sécurité de l'information garantissant la confidentialité, l'intégrité, la traçabilité et la disponibilité de ses actifs d'information et de ceux de ses clients, cohérent avec les politiques de l'entité. Elle doit contrôler et surveiller l'infrastructure de sécurité de l'information du fournisseur ainsi que la gestion des identités et des accès pour les services externalisés critiques et, pour ces services critiques, contrôler que le fournisseur réalise périodiquement des évaluations de vulnérabilité et des tests d'intrusion de son infrastructure technologique. Les services en cloud exigent une diligence renforcée : le conseil se prononce chaque année sur la tolérance au risque cloud, et les services cloud critiques ou stratégiques exigent des certifications internationalement reconnues, des rapports d'audit indépendants, une analyse juridique des juridictions concernées et des mécanismes d'isolation. Le traitement critique à l'étranger exige aussi un centre de traitement de données de contingence au Chili, sauf application de l'exception approuvée par le conseil.

   Source :RAN chapitre 20-7, numéraux III.4, IV.1 b) et V (texte espagnol)

   Ce que cela implique pour votre application mobile

   Les applications mobiles embarquent des SDK tiers qui communiquent avec leurs propres backends, et les backends de paiement tournent souvent dans le cloud. Les preuves de leurs tests de sécurité ont leur place dans vos dossiers fournisseurs.

   Comment Ostorlab vous aide

   Ostorlab recense les SDK et bibliothèques natives de chaque version avec leurs versions et leur emplacement dans le bundle de l'application, et montre ce que l'application et ses SDK échangent avec les backends sur le réseau. Les tests d'API couvrent les backends fournisseurs que vous lui indiquez.

   Ce qui reste de votre ressort

   Les contrats, les dossiers de diligence, la décision annuelle du conseil sur le risque cloud et les audits des fournisseurs.

6. 06

   RAN chapitre 1-13, numéraux 3.2 c) et 5 (texte espagnol)

   Répondez aux attentes de l'évaluation de la gestion

   Ce que dit le texte

   Dans sa classification de la gestion et de la solvabilité, la CMF évalue la stratégie du conseil en matière de risque opérationnel, la définition des actifs d'information, y compris ceux exposés dans le cyberespace, les politiques relatives aux activités confiées à des tiers avec vérifications et suivi, la planification technologique et des correctifs, les plans de continuité et de contingence avec des tests périodiques, et l'indépendance de l'audit interne. Pour la sécurité de l'information et la cybersécurité, elle considère directement le chapitre 20-10. L'administration de la banque doit aussi analyser et se prononcer sur sa gestion au moins une fois par an, et présenter le résultat au conseil.

   Source :RAN chapitre 1-13, numéraux 3.2 c) et 5 (texte espagnol)

   Ce que cela implique pour votre application mobile

   Ce chapitre ne demande aucun outil particulier. Il demande des preuves que les contrôles autour de votre canal mobile sont portés, testés et rapportés.

   Comment Ostorlab vous aide

   Ostorlab fournit des résultats de scan reproductibles par build et par version, avec des tickets et un historique de retests que vous pouvez joindre aux rapports internes. Il ne remplace ni la gouvernance, ni l'audit interne, ni la revue du conseil.

   Ce qui reste de votre ressort

   La gouvernance, les trois lignes de défense, l'audit interne et l'auto-évaluation annuelle.

7. 07

   Loi 20.009 modifiée par les lois 21.234 et 21.673 ; NCG n° 538 de la CMF, modifiée par la NCG n° 568 (texte espagnol)

   Imposez l'authentification renforcée sur les paiements

   Ce que dit le texte

   En vertu de la loi sur la fraude, modifiée en 2024, la CMF définit les transactions qui exigent une authentification renforcée du client (autenticación reforzada de cliente, ARC). La NCG n° 538, modifiée par la NCG n° 568, exige une ARC fondée sur au moins deux facteurs indépendants de catégories différentes, obligatoire pour les transferts électroniques de fonds, y compris les données des destinataires et les paiements récurrents, l'entrée en relation du client sur les plateformes numériques, l'ajout ou la modification de données personnelles, la modification des clés d'authentification, et l'enrôlement, le remplacement ou la suppression d'un appareil de confiance. Les émetteurs doivent tenir des registres auditables et traçables de toutes les transactions et de tous les événements d'authentification, y compris les tentatives échouées avec leurs codes d'erreur, surveiller en continu les schémas de transaction, protéger et faire expirer les codes d'authentification, et disposer d'une détection de manipulation ou de clonage sur les appareils d'authentification. Les jeux de données imprimés utilisés pour l'authentification devaient être supprimés avant le 1er août 2026.

   Source :Loi 20.009 modifiée par les lois 21.234 et 21.673 ; NCG n° 538 de la CMF, modifiée par la NCG n° 568 (texte espagnol)

   Ce que cela implique pour votre application mobile

   Ce sont des comportements de l'application et de ses API : étapes OTP et biométriques, enrôlement d'appareil, modification des coordonnées et appels qui pourraient sauter une étape. Le serveur doit les imposer.

   Comment Ostorlab vous aide

   Les tests authentifiés couvrent la connexion et la déconnexion, le renouvellement des jetons, les délais d'expiration, l'invalidation des sessions et l'application effective de la MFA, y compris les parcours d'authentification renforcée, ainsi que les appels d'API derrière les transferts, les modifications de destinataires et l'enrôlement d'appareils. Ostorlab saisit les codes à usage unique reçus par SMS, e-mail ou TOTP avec vos comptes de test.

   Ce qui reste de votre ressort

   Le choix des méthodes d'authentification, la politique d'exemption pour les groupes de clients vulnérables et le rapport semestriel à la CMF si vous utilisez l'exception.

8. 08

   Loi 21.719, articles 14 quáter, 14 quinquies, 14 sexies et 15 ter (texte espagnol)

   Protégez les données personnelles dans l'application et signalez les violations

   Ce que dit le texte

   La loi 21.719, en vigueur depuis le 1er décembre 2026, impose la protection des données dès la conception et par défaut, ainsi que des mesures de sécurité garantissant la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes de traitement, y compris la pseudonymisation et le chiffrement lorsque c'est approprié et une vérification régulière de leur efficacité. Les violations présentant un risque raisonnable doivent être signalées sans délai indû à l'Agence de protection des données personnelles et, lorsqu'elles concernent des données sensibles ou des données financières, bancaires ou commerciales, également aux titulaires concernés. Un traitement susceptible de produire un risque élevé exige une évaluation d'impact avant de commencer, et les données biométriques utilisées pour identifier une personne sont des données sensibles.

   Source :Loi 21.719, articles 14 quáter, 14 quinquies, 14 sexies et 15 ter (texte espagnol)

   Ce que cela implique pour votre application mobile

   Les identifiants de paiement, les données biométriques, les soldes et les historiques de transactions sont exactement les catégories de données visées. Ce que l'application et ses SDK stockent, journalisent ou envoient fait partie des preuves.

   Comment Ostorlab vous aide

   Ostorlab recherche les jetons et les données personnelles dans le stockage local, les caches, les journaux et les captures d'écran, vérifie les protections du transport et montre ce que l'application et ses SDK échangent avec les backends. Il ne réalise pas les évaluations d'impact et ne dépose pas les notifications de violation.

   Ce qui reste de votre ressort

   L'évaluation d'impact, les registres de traitement, le délégué à la protection des données et les notifications de violation à l'Agence et aux clients.

9. 09

   Loi 21.663, articles 4, 7, 8 et 9, obligations en vigueur depuis le 1er mars 2025 (texte espagnol)

   Préparez-vous aux incidents avec la loi 21.663

   Ce que dit le texte

   En vertu de la loi-cadre de cybersécurité, les entités fournissant des services essentiels, dont la banque, les services financiers et les moyens de paiement, doivent appliquer en permanence des mesures de prévention, de signalement et de résolution des incidents de cybersécurité. Les opérateurs d'importance vitale doivent maintenir un système de gestion de la sécurité de l'information continu, faire certifier et réviser périodiquement leurs plans de continuité et de cybersécurité au moins tous les deux ans, mener des activités continues de revue et d'exercices, et désigner un délégué à la cybersécurité. Les incidents significatifs sont signalés au CSIRT Nacional : une alerte précoce dans les trois heures suivant la connaissance de l'événement, puis une mise à jour dans les 72 heures, ou 24 heures lorsqu'un opérateur d'importance vitale voit son service essentiel affecté.

   Source :Loi 21.663, articles 4, 7, 8 et 9, obligations en vigueur depuis le 1er mars 2025 (texte espagnol)

   Ce que cela implique pour votre application mobile

   La détection, la réponse et le signalement des incidents restent chez vous. Ce que vous pouvez préparer, c'est le volet application et API : moins de vulnérabilités ouvertes, la preuve qu'elles sont corrigées et un retest à présenter après un incident.

   Comment Ostorlab vous aide

   Ostorlab n'exploite pas de SOC et ne signale pas les incidents au CSIRT. Il teste les contrôles de l'application et de ses API, suit les résultats jusqu'à leur clôture et les reteste, afin que le volet applicatif de votre plan d'incident repose sur des preuves à jour.

   Ce qui reste de votre ressort

   Le SOC et la surveillance, la réponse aux incidents et les signalements au CSIRT Nacional, les exercices et le délégué à la cybersécurité.

Synthèse de textes publics de la CMF et de la législation chilienne, vérifiés le 27 septembre 2026. Les chapitres de la CMF sont résumés d'après les textes espagnols. Le projet de mise à jour du chapitre 20-7 d'avril 2026 n'était pas en vigueur lors de cette vérification et n'est pas cité ici. Cette page ne constitue pas un avis juridique.