Biometría obligatoria en banca: por qué cumplir no es solo comprar un lector facial
La SHCP y la CNBV publicaron una resolución que cambia las reglas de verificación de identidad en las instituciones de crédito mexicanas. Los puntos concretos:
- La biometría facial pasa a ser un mecanismo obligatorio de validación (además de la huella).
- El sistema debe alcanzar un nivel mínimo de coincidencia del 90%.
- Debe incluir detección de “prueba de vida”, para evitar que alguien use una foto, un video o una máscara para suplantar a otra persona.
- Plazo: los bancos tienen 90 días hábiles para adecuarse.
El fin es legítimo y necesario: reducir el fraude y la suplantación de identidad, que golpean fuerte al sector financiero. Pero conviene mirar la letra chica de lo que implica cumplir.
El dato biométrico no es una contraseña
Una contraseña filtrada se cambia. Un rostro o una huella, no. El dato biométrico es dato sensible y permanente, y eso cambia el nivel de cuidado que exige:
- ¿Cómo se almacena? Cifrado, con qué controles, ¿centralizado o en el dispositivo?
- ¿Quién accede y para qué? Con registro y mínimo privilegio.
- ¿Cuánto se retiene? Guardar biometría “por las dudas” es acumular un riesgo que no caduca.
Cumplir con la norma sin resolver esto es cambiar un problema de fraude por un problema de exposición de datos sensibles.
De comprar tecnología a diseñar identidad
El lector facial es la parte visible; la difícil es la arquitectura de identidad detrás: cómo se integra al resto de los sistemas, cómo se protege el dato en todo su ciclo de vida, qué pasa si el proveedor de la tecnología tiene un incidente. Eso es gobierno y diseño, no una compra.
Para un banco que corre contra el plazo:
- ¿Estamos tratando esto como un proyecto de compliance con fecha, o como una decisión de arquitectura de identidad?
- ¿Cómo protegemos, retenemos y limitamos el acceso al dato biométrico — que no se puede “resetear” si se filtra?
- ¿Nuestro proveedor cumple el estándar (90%, prueba de vida) y qué pasa con nuestra continuidad si falla?
La biometría bien implementada reduce el fraude. Mal implementada, crea una bóveda de datos imposibles de cambiar. La diferencia está en el gobierno, no en el lector.