Sector Banca & Finanzas · El Salvador

Cumple la NRP-23 y la NRP-32.
Protege tus activos.
Te ayudamos.

Soluciones de ciberseguridad y gestión de riesgo tecnológico para que bancos, bancos cooperativos, sociedades de ahorro y crédito, aseguradoras y fintechs supervisadas por la SSF cumplan las normas técnicas del BCR, y estén realmente seguras.

NRP-23 · Seguridad de la Información NRP-32 · Ciberseguridad en Canales Digitales NRP-24 · Continuidad del Negocio
Ver Soluciones Hablar con un especialista

Llámanos en El Salvador: +503 2136 7620

15
Medidas de ciberseguridad
NRP-32 (Arts. 4–18)
8+
Soluciones con
mapeo normativo
SV·GT
Atención en El Salvador
y operación regional

Artículos clave — NRP-32 (BCR)

Art. 4 — Monitoreo e inteligencia de amenazasDetectar eventos, comportamientos inusuales y movimientos laterales.
Art. 5 — Gestión de vulnerabilidadesPruebas de penetración, escaneos y remediación de todas las brechas.
Art. 7 — Autenticación multifactorPara toda cuenta con acceso por Internet y las cuentas privilegiadas.
Art. 8 — Antiphishing y capacitaciónHerramientas contra suplantación y capacitación constante del personal.
Arts. 13–14 — DLP y cifradoPrevenir la exfiltración y cifrar la información crítica en reposo y en tránsito.
Marco regulatorio · El Salvador

Las normas que tu institución
debe cumplir en El Salvador

En El Salvador, el Comité de Normas del Banco Central de Reserva (BCR) emite las normas técnicas y la Superintendencia del Sistema Financiero (SSF) supervisa su cumplimiento. Estas son las obligaciones de seguridad de la información y ciberseguridad que más impactan a las entidades financieras.

BCR · Vigente desde jul. 2020

NRP-23 — Gestión de la Seguridad de la Información

Criterios mínimos para gestionar la seguridad de la información y la ciberseguridad. Aplica a bancos, conglomerados, AFP, aseguradoras, bancos cooperativos, sociedades de ahorro y crédito, proveedores de dinero electrónico y otras entidades supervisadas.

  • SGSI y responsable de seguridad nombrado por Junta Directiva (Arts. 5 y 10)
  • Función de ciberseguridad con reporte semestral (Art. 12)
  • Tercerización de TI y nube (Art. 26 y Anexo 1)
Ver texto publicado (PDF)
BCR · Vigente desde mar. 2022

NRP-32 — Ciberseguridad en Canales Digitales

Medidas de ciberseguridad y autenticación de clientes en banca por internet, banca móvil, cajeros, POS e IVR. Aplica a bancos, sucursales de bancos extranjeros, sociedades de ahorro y crédito, bancos cooperativos y sus federaciones.

  • MFA, antiphishing, MDM, DLP y cifrado (Arts. 7–14)
  • Factores de autenticación de clientes (Arts. 21–22)
  • Monitoreo antifraude en tiempo real (Art. 33)
Ver texto publicado (PDF)
BCR · Continuidad

NRP-24 — Gestión de la Continuidad del Negocio

Sistema de Gestión de la Continuidad del Negocio que debe guardar consistencia con el SGSI de la NRP-23. Incluye la recuperación ante incidentes cibernéticos y pruebas del plan que simulen ataques.

  • Respaldos validados y fuera del centro principal (NRP-23 Art. 23)
  • Pruebas que simulen ciberataques (NRP-23 Art. 16 d)
Ley · Aprobada nov. 2024

Ley para la Protección de Datos Personales

Aplica a personas naturales y jurídicas, públicas y privadas, que traten datos personales. Ante una vulneración, el responsable debe notificar a la Agencia de Ciberseguridad del Estado (ACE), a la Fiscalía y a los titulares afectados en un plazo de 72 horas.

Ley · Aprobada nov. 2024

Ley de Ciberseguridad y Seguridad de la Información

Crea la Agencia de Ciberseguridad del Estado (ACE), que emite normativas y estándares de ciberseguridad. Está orientada principalmente a las instituciones públicas, por lo que es relevante para entidades financieras estatales y proveedores del Estado.

Marco legal · SSF

Ley de Supervisión y Regulación del Sistema Financiero

Faculta al BCR para emitir normas técnicas de gestión de riesgos y a la SSF para supervisar a los integrantes del sistema financiero. Los incumplimientos a la NRP-23 y la NRP-32 se sancionan conforme a esta ley.

Obligaciones con plazo que no conviene olvidar: pruebas de vulnerabilidad e intrusión al menos una vez al año y ante cambios de infraestructura (NRP-23 Art. 20 i) · reporte inmediato de incidentes a la SSF y documentación completa a los 10 días calendario (NRP-23 Art. 13) · informe de cumplimiento del SGSI dentro de los 120 días posteriores al cierre del ejercicio (NRP-23 Art. 29) · notificación de vulneraciones de datos personales en 72 horas (Ley para la Protección de Datos Personales).
Recurso técnico

Matriz de Cumplimiento:
NRP-23 / NRP-32 → Solución

Cada requerimiento de las normas técnicas del BCR tiene una solución específica. Esta tabla muestra qué artículos de la NRP-23 y la NRP-32 apoya cada herramienta que BITSO, S.A. asesora.

Requerimiento regulatorio Tenable CrowdStrike Cloudflare Yubico KnowBe4 ManageEngine Trellix
Inventario de activos de informaciónNRP-23 Art. 19 · NRP-32 Art. 16
Gestión de vulnerabilidades y pruebas de intrusiónNRP-23 Art. 20 i · NRP-32 Art. 5
Gestión de parchesNRP-32 Art. 6 · NRP-23 Art. 21 g
MFA en cuentas con acceso por Internet y privilegiadasNRP-32 Art. 7 · NRP-23 Art. 11 d
Control de acceso, segregación y protocolos AAANRP-23 Art. 11 a–c · NRP-32 Art. 15
Monitoreo, correlación de eventos e inteligencia de amenazasNRP-32 Arts. 4 y 17 · NRP-23 Art. 16
Antimalware y protección de endpointsNRP-32 Art. 11 · NRP-23 Art. 20 f
Antiphishing y capacitación del personalNRP-32 Art. 8 · NRP-23 Art. 10 b iii
Gestión de dispositivos móvilesNRP-32 Art. 12 · NRP-23 Art. 11 h
Prevención de pérdida de datos (DLP) y cifradoNRP-32 Arts. 13 y 14
Respuesta ante incidentes de ciberseguridadNRP-32 Art. 18 · NRP-23 Arts. 13 y 24
Cobertura completa del requerimiento
Cobertura parcial / complementaria
No aplica directamente
* Matriz referencial. BITSO, S.A. realiza mapeos detallados según la situación de cada institución.
Portafolio especializado

Soluciones con mapeo normativo

Cada solución que BITSO, S.A. asesora tiene identificados sus puntos de cumplimiento en las normas técnicas NRP-23 y NRP-32.

Gestión de Exposición y Vulnerabilidades

Tenable · Vulnerability Management

Identifica, prioriza y remedia vulnerabilidades en toda la superficie de ataque: redes, aplicaciones, nube, OT y activos en el ciberespacio que exige inventariar la NRP-32 (Art. 16).

NRP-32 Art. 5NRP-32 Art. 16NRP-23 Art. 19NRP-23 Art. 20 i
Ver solución Tenable

Endpoint, Identity & Threat Intelligence

CrowdStrike · Falcon Platform

Plataforma XDR nativa en la nube para detección y respuesta de endpoints, protección de identidades y threat intelligence. Incluye Falcon NG SIEM para operaciones de seguridad centralizadas.

NRP-32 Art. 4NRP-32 Art. 11NRP-32 Art. 17NRP-23 Art. 16 b
Ver solución CrowdStrike

SASE, Zero Trust y Seguridad de Aplicaciones

Cloudflare · ZTNA / SASE

Arquitectura Zero Trust que protege el acceso remoto, aplicaciones web y APIs financieras. DDoS, WAF, CASB y acceso condicional para cumplir los requerimientos de seguridad de red y canales digitales.

NRP-32 Art. 7NRP-32 Art. 8NRP-32 Art. 15NRP-23 Art. 11 h
Ver solución Cloudflare

Autenticación MFA Phishing-Resistant

Yubico · YubiKey

Llaves de seguridad hardware (FIDO2/WebAuthn) para autenticación fuerte y resistente a phishing. Responde al requisito de MFA para cuentas con acceso por Internet y cuentas privilegiadas de la NRP-32 (Art. 7), con un factor resistente a phishing.

NRP-32 Art. 7NRP-23 Art. 11 dNRP-23 Art. 16 a i
Ver solución Yubico

Concientización y Simulación de Phishing

KnowBe4 · Security Awareness

Plataforma líder en entrenamiento de seguridad con simulaciones de phishing, módulos de aprendizaje y métricas de riesgo humano. Apoya la capacitación constante contra phishing que exige la NRP-32 (Art. 8) y el programa anual de concientización de la NRP-23.

NRP-32 Art. 8NRP-23 Art. 9 gNRP-23 Art. 10 b iii
Ver solución KnowBe4

Unified Endpoint Management & ITSM

ManageEngine · Gold Partner

Suite integral para gestión de endpoints, service desk (ITSM), inventario de activos TI, gestión de accesos privilegiados (PAM) y Active Directory. Centraliza el control de la infraestructura tecnológica.

NRP-32 Art. 6NRP-32 Art. 12NRP-32 Art. 16NRP-23 Art. 11
Ver solución ManageEngine

DLP y Database Activity Monitoring

Trellix · Data Protection

Prevención de pérdida de datos (DLP) y monitoreo de actividad en bases de datos críticas. Protege información sensible de clientes e impide exfiltración no autorizada.

NRP-32 Art. 13NRP-32 Art. 14NRP-23 Art. 28
Ver solución Trellix

Certificados Digitales SSL/TLS

DigiCert · PKI

Certificados digitales para cifrado de comunicaciones, autenticidad de sitios y no repudio de transacciones electrónicas. La NRP-32 pide certificados digitales para autenticar el sitio transaccional (Art. 27 a) y mecanismos de no repudio (Art. 32).

NRP-32 Art. 14NRP-32 Art. 27 aNRP-32 Art. 32
Ver Certificados SSL/TLS

Managed Detection & Response

Sophos · MDR / SOC as a Service

Servicio gestionado de detección y respuesta 24/7 operado por analistas expertos. Para instituciones que requieren capacidades de CSIRT/SOC sin construirlo internamente, como el servicio de unidad de ciberseguridad que la NRP-23 (Art. 12 f) permite contratar.

NRP-32 Art. 4NRP-32 Art. 18NRP-23 Art. 12 fNRP-23 Art. 16 c
Ver solución Sophos MDR
Servicios de consultoría

Consultoría en Ciberseguridad
y Pruebas de Penetración

La NRP-23 (Art. 20 i) exige pruebas de vulnerabilidad e intrusión al menos una vez al año y ante cambios de infraestructura, y la NRP-32 (Art. 5) pide remediar todas las brechas, no solo las críticas. BITSO, S.A. acompaña a las instituciones en la planificación, ejecución y documentación de estos ejercicios.

Externo

Análisis Externo de Vulnerabilidades

Evaluación de la superficie expuesta a internet: aplicaciones web, APIs, servicios en la nube y perímetro de red.

  • Reconocimiento OSINT
  • Escaneo y enumeración de puertos
  • Prueba de apps web (OWASP Top 10)
  • Análisis de certificados y configuraciones TLS
  • Informe técnico y ejecutivo
Interno

Análisis Interno de Vulnerabilidades

Evaluación de la red interna: segmentación, Active Directory, servicios críticos y postura de seguridad de endpoints.

  • Escaneo de red interna y segmentos
  • Evaluación de AD y privilegios
  • Detección de movimiento lateral
  • Revisión de configuraciones de sistemas
  • Informe técnico con remediaciones
Pentesting

Pruebas de Penetración (Red Team)

Simulación de ciberataques reales con metodologías PTES, OWASP y NIST SP 800-115 para evaluar la resiliencia real de la institución.

  • Pentesting externo e interno
  • Pruebas de aplicaciones bancarias
  • Ingeniería social controlada
  • Explotación controlada y post-explotación
  • Documentación para auditoría regulatoria
Consultoría

Consultoría Estratégica IT/Ciber

Acompañamiento en la definición e implementación de políticas, procedimientos y controles exigidos por la normativa.

  • Gap Analysis vs NRP-23 y NRP-32
  • Diseño de políticas de seguridad
  • Asesoría para Plan Estratégico de TI
  • Apoyo para auditorías de la SSF
  • Gestión de riesgos de terceros (Art. 32)

¿Tu próxima evaluación de la SSF ya tiene fecha?

El informe anual del SGSI y la evaluación de Auditoría Interna requieren evidencia. Un Gap Analysis frente a la NRP-23 y la NRP-32 identifica qué ya tienes cubierto, qué falta y en qué orden priorizar. BITSO, S.A. acompaña este proceso con visión técnica y regulatoria integrada.

Solicitar Gap Analysis
Por qué BITSO, S.A.

Acompañamiento local, conocimiento global

Experiencia en sector regulado

Conocemos las normas técnicas del BCR que supervisa la SSF y cómo mapearlas a soluciones tecnológicas concretas.

Atención en El Salvador

Soporte e implementación con ingenieros en la región, en tu mismo huso horario. Llámanos al +503 2136 7620.

Rol de asesor, no de vendedor

Nuestro objetivo es ayudarte a seleccionar la solución correcta para tu contexto regulatorio y presupuesto.

Alianzas con líderes mundiales

Partner oficial de CrowdStrike, Tenable, Cloudflare, KnowBe4, ManageEngine (Gold), Yubico, Trellix y más.

Preguntas frecuentes

Lo que nos preguntan los CISO y CTO del sector financiero salvadoreño

Las “Normas Técnicas para la Gestión de la Seguridad de la Información” (NRP-23) fueron emitidas por el Comité de Normas del Banco Central de Reserva y están vigentes desde el 1 de julio de 2020. Establecen los criterios mínimos para gestionar la seguridad de la información y la ciberseguridad: SGSI, función de ciberseguridad, seguridad lógica, inventario de activos, gestión de incidentes, pruebas de vulnerabilidad y tercerización de servicios de TI. Aplican a bancos, conglomerados financieros, administradoras de fondos de pensiones, aseguradoras, bolsas y casas de corredores, bancos cooperativos, sociedades de ahorro y crédito, sociedades proveedoras de dinero electrónico y otras entidades supervisadas por la SSF.

Las “Normas Técnicas sobre Medidas de Ciberseguridad en Canales Digitales” (NRP-32) aplican a bancos, sucursales de bancos extranjeros, sociedades de ahorro y crédito, bancos cooperativos y sus federaciones. Exigen, entre otros: monitoreo de redes con inteligencia de amenazas (Art. 4), gestión de vulnerabilidades con pruebas de penetración y escaneos (Art. 5), gestión de parches (Art. 6), autenticación multifactor para cuentas con acceso por Internet y cuentas privilegiadas (Art. 7), herramientas antiphishing y capacitación constante (Art. 8), antimalware (Art. 11), gestión de dispositivos móviles (Art. 12), DLP (Art. 13), cifrado (Art. 14) y planes de respuesta a incidentes probados (Art. 18), además de reglas de autenticación de clientes y monitoreo antifraude de transacciones.

La NRP-23, Art. 20 literal i), exige pruebas o evaluaciones de vulnerabilidad e intrusión sobre la infraestructura tecnológica al menos una vez al año y cuando existan cambios en dicha infraestructura. La NRP-32, Art. 5, añade que se deben remediar o mitigar todas las brechas encontradas, no solo las críticas y de alto riesgo, con una metodología y planes documentados.

Según la NRP-23, Art. 13, la entidad debe informar a la Alta Gerencia y a la Superintendencia en el momento en que tenga conocimiento de un incidente que exceda los límites de riesgo aprobados por la Junta Directiva, y diez días calendario después remitir la documentación completa: fechas, descripción, causas, diagnóstico técnico, canales afectados, tiempo fuera de servicio, impacto y plan de acción. Si el incidente afecta datos personales, la Ley para la Protección de Datos Personales de 2024 establece además la notificación a la Agencia de Ciberseguridad del Estado, a la Fiscalía y a los titulares afectados en un plazo de 72 horas.

BITSO, S.A. actúa como VAR (Value Added Reseller) y asesor tecnológico. Acompañamos a la institución en la selección de la solución correcta para su contexto regulatorio, presupuesto y arquitectura; facilitamos la adquisición con los fabricantes, apoyamos la planificación del proyecto y coordinamos con los equipos técnicos de cada fabricante. También ofrecemos consultoría en ciberseguridad y pruebas de penetración como servicios propios. La interpretación legal específica debe validarse con el asesor regulatorio de cada entidad.

Además de la NRP-23 y la NRP-32, las entidades deben considerar las Normas Técnicas para la Gestión de la Continuidad del Negocio (NRP-24), que se coordinan con el SGSI; la Ley de Supervisión y Regulación del Sistema Financiero, base de las sanciones por incumplimiento; la Ley para la Protección de Datos Personales y la Ley de Ciberseguridad y Seguridad de la Información, ambas aprobadas en noviembre de 2024, esta última orientada principalmente a las instituciones públicas.
Habla con un especialista

¿Dónde está tu institución
respecto al cumplimiento?

Cuéntanos tu situación. Un especialista en normativa y ciberseguridad financiera de El Salvador te contactará, o llámanos al +503 2136 7620.