Proteger la infraestructura de los pagos digitales exige combinar seguridad criptográfica y continuidad operativa.
Siete factores sirven para lograrlo: los controles de seguridad desde el diseño, la administración de llaves criptográficas, los módulos de seguridad de hardware (HSM), la supervisión de componentes críticos, la redundancia y capacidad de procesamiento, los protocolos de respuesta ante incidentes y los mecanismos de recuperación.
Según Futurex, la seguridad de un pago no depende solo de proteger la transacción, sino de que la infraestructura responda cuando el usuario la necesita.
En México, por ejemplo, se registraron cerca de 4.207 millones de pagos con tarjeta en 2025, y 29% correspondió a compras en comercios electrónicos, según CONDUSEF con datos del Banco de México.
Ese volumen exige prevenir el fraude. También obliga a evitar que las fallas tecnológicas interrumpan los servicios.
Futurex, empresa especializada en seguridad criptográfica, plantea incorporar controles de protección desde el diseño de las plataformas financieras.
Santos Campa, vicepresidente de Futurex para México y el Caribe, sostuvo que la criptografía debe operar detrás de escena, con controles sólidos y una arquitectura capaz de acompañar el ritmo de las operaciones digitales.
Además del cifrado, la criptografía verifica la integridad de los datos y respalda los procesos de autenticación.
Está presente en acciones cotidianas como iniciar sesión, validar pagos o recibir códigos de autenticación.
Para el usuario, la experiencia dura segundos, pero detrás de cada transacción intervienen mecanismos que resguardan los datos y mantienen la disponibilidad de los servicios.
Campa subrayó que reforzar la seguridad no tiene por qué hacer más lentos los procesos, un mito que según él la evolución tecnológica desmintió.
Las instituciones financieras deben administrar las llaves criptográficas durante todo su ciclo de vida.
También deben fijar controles estrictos sobre su acceso y uso. Los módulos de seguridad de hardware (HSM) resguardan esas llaves y ejecutan operaciones sensibles en un entorno diseñado para protegerlas.
Según Campa, un HSM es un dispositivo especializado y seguro para generar, almacenar y gestionar claves criptográficas.
Su implementación puede fortalecer la infraestructura de bancos, procesadores de pagos y proveedores tecnológicos que manejan información financiera.
Además de los equipos físicos, existen HSM en la nube, que permiten usar capacidades criptográficas sin invertir en infraestructura propia.
La tecnología por sí sola no elimina los riesgos operativos. Una configuración inadecuada puede dificultar la respuesta ante una incidencia.
Los permisos excesivos tienen el mismo efecto, igual que unos procedimientos de recuperación insuficientes.
Por eso, las organizaciones deben supervisar sus sistemas y establecer medidas que reduzcan la probabilidad de interrupciones.
Campa recomendó revisar cómo se administran las llaves y cómo se supervisan los componentes críticos. También, qué tan preparada está la organización para responder ante una falla o una amenaza.
La disponibilidad de los pagos depende también de la arquitectura tecnológica.
La capacidad de procesamiento, la redundancia de los componentes críticos y los mecanismos de recuperación determinan qué tan preparada está una plataforma ante una interrupción.
Los responsables de tecnología deben definir cómo actuar cuando un componente deja de funcionar.
También, qué medidas sostienen la operación y qué procedimientos permiten restablecer el servicio de forma segura.
Esos criterios deben coordinarse con los controles criptográficos, para que una falla no comprometa a la vez la protección de los datos y la continuidad de las transacciones.
Para Campa, una infraestructura de pagos se evalúa por su capacidad de proteger las operaciones y mantener el servicio, y la experiencia del usuario depende de esas decisiones de arquitectura.
En el marco del Mes de la Concientización sobre la Ciberseguridad, Futurex subraya la importancia de fortalecer los sistemas que respaldan los pagos digitales.
La industria enfrenta cambios que exigen actualizar la infraestructura, como el paso de 3-D Secure 1.0 a 2.0, el aumento de las auditorías PCI y la reducción de la vigencia de los certificados digitales a 13 meses.
Futurex promueve además la migración de Triple DES a AES sin interrumpir los pagos.
Campa destacó que la criptografía poscuántica debe verse con estrategia y no con pánico, porque las organizaciones aún tienen tiempo para planificar.
"La seguridad digital no es un estado final, sino un proceso continuo. Para el sector financiero, la prioridad es integrar protección criptográfica, supervisión y mecanismos de recuperación que preserven la confiabilidad de las operaciones", remarcó.