En esta noticia
La nueva regulación biométrica para las instituciones bancarias en México obligará al sector financiero a acelerar la modernización de sus sistemas de identificación, pero también abre la oportunidad de construir una infraestructura que permita responder a futuras exigencias regulatorias y a fraudes cada vez más sofisticados, de acuerdo con un análisis de Identy.io.
El Diario Oficial de la Federación publicó recientemente la resolución impulsada por la Secretaría de Hacienda y Crédito Público (SHCP) y la Comisión Nacional Bancaria y de Valores (CNBV), mediante la cual se modifican las disposiciones aplicables a las instituciones de crédito en materia de verificación de identidad con tecnología biométrica.
Las instituciones financieras cuentan con 90 días hábiles para realizar las adecuaciones necesarias. La regulación incorpora la biometría facial como mecanismo oficial de verificación, como complemento al uso de la huella dactilar, con un umbral mínimo de coincidencia de 90% frente a registros del Instituto Nacional Electoral (INE), la Secretaría de Relaciones Exteriores (SRE) u otras autoridades federales.
La regulación va más allá de verificar un rostro
Para Identy.io, uno de los principales cambios es que las instituciones ya no deberían abordar la biometría únicamente como una herramienta para validar si una persona es quien dice ser.
El nuevo escenario requiere una infraestructura capaz de administrar la identidad durante todo su ciclo de vida. Esto implica no solo verificar una identidad, sino también identificar personas dentro de las bases de datos, evitar duplicidades, monitorear listas de control, autenticar usuarios y reutilizar la identidad verificada en distintos canales.
En este contexto, la compañía destaca el papel de los sistemas ABIS (Automated Biometric Identification System), plataformas diseñadas para gestionar biometría facial, dactilar y otras modalidades tanto para procesos de verificación como de identificación.
Mientras una solución tradicional de KYC puede realizar una comparación 1:1 entre una persona y un registro, un ABIS permite realizar procesos de identificación 1 contra una base completa. Esta diferencia resulta relevante para detectar si una persona ya existe dentro de los sistemas de una institución bajo otra identidad.
Bases biométricas tendrán mayores exigencias de seguridad
La resolución también contempla que las instituciones puedan construir sus propias bases de datos biométricas, aunque bajo controles específicos de gobierno y protección de la información.
Entre las obligaciones se encuentran la prohibición de compartir o comercializar estos datos con terceros, la realización de auditorías periódicas de ciberseguridad, así como medidas de cifrado, segregación de infraestructura, controles de acceso y borrado seguro.
El desafío, por tanto, no se limita a capturar información biométrica. Las instituciones tendrán que definir cómo almacenarla, protegerla, verificarla y utilizarla posteriormente sin comprometer la seguridad de los clientes.
Identy.io plantea que una alternativa consiste en procesar y cifrar la biometría directamente en el dispositivo del usuario, en lugar de centralizar los datos biométricos sin procesar, lo que podría facilitar el cumplimiento de los requisitos de seguridad y reducir los riesgos asociados con una eventual filtración.
De la captura de datos a una identidad reutilizable
La nueva arquitectura propuesta por la compañía contempla seis etapas: capturar la biometría con estándares de calidad; verificarla mediante prueba de vida y coincidencia 1:1; identificar y deduplicar registros mediante tecnología ABIS; vincular la identidad con mecanismos de autenticación multifactor; reutilizar la identidad verificada en diferentes canales y, finalmente, mantener una infraestructura preparada para incorporar nuevas modalidades biométricas.
En particular, la identificación 1 y la reutilización de la identidad podrían marcar una diferencia frente a los esquemas tradicionales de KYC.
La idea es que una persona que ya fue verificada no tenga que repetir todo el proceso cada vez que utilice un nuevo canal del banco. La identidad podría utilizarse de manera segura en sucursales, aplicaciones móviles, cajeros automáticos, portales web y puntos de venta.
Esto convertiría a la biometría de una herramienta enfocada únicamente en cumplimiento regulatorio en una infraestructura transversal para distintos servicios financieros.
Los bancos tienen 90 días para decidir su estrategia
Con un plazo de 90 días hábiles para adecuarse, el desarrollo de una infraestructura interna desde cero representa un reto para las instituciones, por lo que Identy.io considera que el periodo debería aprovecharse para tomar decisiones de arquitectura que eviten repetir el proceso ante futuras modificaciones regulatorias.
Entre los principales cuestionamientos que deberán resolver los bancos está determinar si sus plataformas actuales pueden realizar identificación 1 a escala de millones de clientes o si únicamente están diseñadas para verificaciones 1:1.
También deberán definir cómo gobernarán sus bases biométricas, qué controles implementarán para protegerlas y si la infraestructura que adopten podrá incorporar nuevas modalidades biométricas y cambios regulatorios sin requerir un rediseño completo.
La apuesta, de acuerdo con el análisis, es que la inversión no se limite a cumplir con la disposición vigente, sino que también pueda utilizarse para fortalecer la autenticación en distintos canales y desarrollar experiencias financieras más personalizadas.
El reto para la banca mexicana, concluye Identy.io, no es únicamente incorporar biometría, sino diseñar una arquitectura de identidad capaz de evolucionar junto con la regulación y las necesidades del negocio.
