Disposición de activos de TI para banca y servicios financieros
Cajeros, terminales de pago, equipo de sucursal y cintas que ya cumplieron su plazo de resguardo. Lo retiramos con custodia continua, lo sanitizamos con certificado por número de serie y te dejamos un expediente que tu auditoría puede recorrer sin huecos.
Servicio exclusivo para empresas e instituciones — mínimo 20 equipos por recolección.
- Certificado por n.º de serie
- Conciliación con tu inventario
- Plazos de conservación respetados
- Destrucción en sitio si se requiere
En banca, el problema no es el hardware: es la prueba
Casi cualquier empresa puede explicar que recicló su equipo. Una institución financiera tiene que demostrar algo más difícil: qué se le hizo exactamente a cada medio que tocó información de clientes, quién lo hizo, cuándo, y que en ningún momento del trayecto ese medio quedó fuera de custodia.
Esa diferencia lo cambia todo. El trabajo técnico —borrar, destruir, reciclar— es la parte fácil. La parte que se revisa es documental: la conciliación contra el inventario, el certificado por número de serie, la continuidad de la cadena de custodia y el orden en que ocurrieron las cosas. Un proceso que hace bien lo técnico y mal lo documental no sirve para nada aquí.
El calendario de conservación va primero
Es el paso que más se salta y el que más caro sale. Antes de tocar un solo equipo hay que cruzar la lista de activos con los plazos de resguardo que marca la regulación aplicable a tu institución. Dos errores simétricos:
- Destruir antes de tiempo. Te deja sin evidencia frente a un requerimiento de autoridad o una controversia con un cliente. Es irreversible y no hay forma de explicarlo.
- Conservar de más. Cada mes que un medio con datos sigue existiendo sin necesidad amplía tu superficie de riesgo. "Por si acaso" no es una política de retención.
Nosotros no determinamos esos plazos: los define tu área de cumplimiento con base en tu marco regulatorio. Lo que hacemos es ejecutar cuando la decisión está tomada, y dejar constancia de la fecha exacta en que cada medio dejó de existir — que es justo el dato que cierra el ciclo de retención.
Qué sale de una institución financiera
Cajeros automáticos
Adentro hay una computadora: disco con sistema operativo, bitácoras de operación y el módulo de PIN. Un cajero dado de baja no es un mueble metálico, es un equipo con datos y con componentes que exigen manejo controlado.
Terminales de pago y lectores
TPV, lectores de banda y chip, pinpads y dispositivos que procesaron datos de tarjetahabiente. Su baja no es la de un periférico cualquiera: el marco de tarjetas de pago exige disposición segura y evidencia.
Equipo de sucursal
Digitalizadores de cheques, contadoras y recicladoras de efectivo, impresoras de estados, tabletas de firma y las PCs de ventanilla. Todo pasó por información de clientes.
Cómputo de back office
Servidores, estaciones de trabajo, laptops de ejecutivos, arreglos de almacenamiento y cintas de respaldo del centro de datos.
Medios de respaldo antiguos
Cintas y discos guardados por plazos de conservación que ya vencieron. Es lo que más historia acumula y lo que menos inventariado suele estar.
Tokens, HSM y dispositivos de seguridad
Módulos criptográficos, tokens de autenticación y lectores biométricos retirados. Es hardware con información sensible dentro y sigue el mismo tratamiento que cualquier otro medio.
El cajero no es un mueble
Vale la pena detenerse aquí porque es donde más se subestima el riesgo. Un cajero automático dado de baja se ve como un gabinete metálico pesado, y por dentro es una computadora: disco con sistema operativo, bitácoras de operación, el módulo de PIN y los lectores de tarjeta. Si ese equipo sale de tu red de sucursales como chatarra metálica, salió con datos dentro.
Lo mismo aplica, en menor escala, a las terminales de pago y a los lectores que procesaron datos de tarjetahabiente: su baja está contemplada en el marco de las marcas de pago y exige disposición segura con evidencia, no simplemente dejar de usarlos.
Nuestro tratamiento es el mismo en los tres casos: se identifican y extraen los medios de almacenamiento, se sanitizan o destruyen con certificado por número de serie, los componentes sensibles reciben manejo controlado, y el resto del equipo entra a recuperación de material con su constancia.
Cierre y consolidación de sucursales
Es el proyecto típico del sector y el que peor se maneja cuando se improvisa. Un cierre libera equipo de varias plazas a la vez, con fechas atadas a contratos de arrendamiento, inventarios de sucursal que casi nunca están al día y personal que ya está pensando en otra cosa.
Lo que separa un cierre ordenado de uno con hallazgos:
- Un inventario por sucursal antes de mover nada. Lo que no se contó al salir no se puede conciliar al llegar.
- Rutas y custodia definidas. El equipo de varias plazas viajando sin sellos ni acta es el punto de fuga más común de todo el proyecto.
- Un expediente consolidado, no doce sueltos. La auditoría revisa el conjunto: conviene que exista como conjunto desde el principio.
La logística de recolección multisitio la cubrimos en logística inversa. Y aunque el caso típico es el banco, el mismo esquema aplica a aseguradoras, sofomes, casas de empeño y cajas populares: menos sucursales, la misma regulación de datos y el mismo problema de conciliar equipo disperso.
Custodia continua: dónde se rompen las cadenas
La cadena de custodia no se rompe en la planta de destrucción, se rompe en los huecos: la noche que el equipo pasó en una camioneta, el fin de semana que estuvo en una bodega sin registro, el traslado que nadie firmó. Un expediente con un salto de 48 horas sin responsable es un expediente observado, aunque el borrado haya sido impecable.
Por eso el retiro va con acta, sellos y personal identificado desde el primer movimiento, y por eso para los lotes de mayor riesgo existe la opción de destrucción presenciada en tu sitio, con tu personal como testigo — el certificado lo registra. Es más lento y más caro, así que normalmente se reserva para la fracción crítica.
Qué marco aplica y de quién es la responsabilidad
Conviene decirlo con claridad porque en este sector se vende mucho humo:
- El sujeto obligado eres tú. Las disposiciones aplicables a tu institución, el marco de las marcas de pago y la LFPDPPP te obligan a ti, y sigues respondiendo aunque el trabajo lo ejecute un tercero. Ningún proveedor te transfiere esa responsabilidad, por muchos logos que ponga en su presentación.
- NIST 800-88 es método, no sello. Define los niveles Clear, Purge y Destroy que declaramos en cada certificado. No es un esquema de certificación y nadie "está certificado" bajo él.
- Lo que sí aportamos es evidencia. Sanitización con método y nivel declarados, certificado por número de serie, cadena de custodia y destino final documentado bajo NOM-161-SEMARNAT. Eso es lo que tu control necesita para acreditarse.
Las métricas ambientales del proyecto se consolidan aparte para tu reporte ESG.
Cómo se ejecuta
- 01
Cruce con el calendario de conservación
Antes de tocar nada, confirmamos con tu área de cumplimiento qué activos ya cumplieron el plazo de resguardo que marca tu regulación. Destruir antes de tiempo es un problema tan serio como no destruir.
- 02
Inventario y clasificación por riesgo
Separamos por tipo de dato y por dispositivo: lo que llevó información de tarjetahabiente, lo que llevó datos personales y lo que solo es hardware. El nivel de sanitización se define por esa clasificación.
- 03
Retiro con custodia sellada
Recolección con acta, sellos e identificación del personal. Para lotes de alto riesgo, la opción es destrucción presenciada por tu personal o en tu sitio, sin que el medio salga sin sanitizar.
- 04
Sanitización o destrucción
Borrado verificado con métodos NIST 800-88 para lo que se reutiliza; destrucción física para lo que tu política no permite que salga íntegro. Cada medio, con su número de serie.
- 05
Conciliación y certificados
Lo destruido se concilia contra el inventario inicial y se emite el certificado por número de serie con método, nivel, fecha y responsable. Las diferencias se explican en el momento.
- 06
Disposición documentada
El hardware ya sanitizado se recicla bajo el marco NOM-161-SEMARNAT, con constancia de destino final para cerrar también el expediente ambiental.
El valor residual también cuenta
Un parque de laptops y estaciones de trabajo relativamente reciente tiene mercado secundario real, y ese valor es tuyo: nosotros destruimos el disco y la máquina se queda contigo. La regla es innegociable y va en ese orden: primero destrucción certificada del disco, después tú decides qué hacer con el equipo. Si tu política prohíbe que ciertos equipos salgan al mercado secundario aunque estén sanitizados, se marcan desde el inventario y van directo a destrucción. Ver valuación y compra de activos.
Empieza por la lista, no por la cotización
Lo más útil que puedes mandarnos no es una solicitud de precio, es la lista de lo que tienes esperando disposición y en qué estado está su plazo de conservación. Con eso te decimos qué nivel de sanitización aplica a cada grupo, qué conviene destruir en sitio y qué evidencia vas a recibir. Escríbenos por WhatsApp o desde la página de contacto.
Preguntas del sector financiero
¿Podemos destruir el equipo apenas se da de baja?
No necesariamente, y es el error de calendario más caro del sector. La información financiera tiene plazos de conservación que marca la regulación aplicable a tu institución: destruir antes de que se cumplan te deja sin evidencia frente a un requerimiento, y conservar más allá de lo necesario amplía tu superficie de riesgo sin razón. Por eso el primer paso no es técnico: es cruzar la lista de activos con tu calendario de conservación junto a tu área de cumplimiento. Nosotros ejecutamos cuando esa decisión ya está tomada.
¿Qué hacen con un cajero automático dado de baja?
Se trata como equipo con datos, no como mobiliario. Adentro hay un disco con sistema operativo y bitácoras de operación, además del módulo de PIN y los lectores de tarjeta. Destruimos físicamente los medios de almacenamiento con certificado por número de serie, damos manejo controlado a los componentes sensibles, y el resto del gabinete —metal, fuente, pantalla— entra a recuperación de material con su constancia.
Vamos a cerrar sucursales. ¿Pueden con una ola completa?
Sí, y conviene planearlo como proyecto y no como una serie de retiros sueltos. Un cierre o una consolidación libera equipo de varias plazas al mismo tiempo, con fechas amarradas a contratos de arrendamiento y con inventarios que rara vez están actualizados. Coordinamos las rutas, el orden de retiro y la conciliación por sucursal, de modo que al final tengas un solo expediente consolidado y no doce paquetes sueltos que nadie puede cuadrar.
¿Su servicio nos hace cumplir con PCI DSS o con las disposiciones de la CNBV?
Seamos precisos: el sujeto obligado es tu institución, no nosotros. Esos marcos son tuyos y quien responde ante el regulador o ante la marca de tarjetas eres tú, incluso cuando el trabajo lo ejecuta un tercero. Lo que hacemos es producir la evidencia que esos controles piden —sanitización con método y nivel declarados, certificado por número de serie, cadena de custodia y destino final documentado— para que tu área de cumplimiento pueda acreditar el control. No vendemos ni afirmamos certificaciones que no tenemos.
¿Se puede destruir en nuestras instalaciones?
Sí, y para ciertos lotes es lo recomendable. Cuando la política no admite que un medio con datos salga de tu perímetro sin sanitizar, la destrucción se hace en tu sitio y con tu personal como testigo, y el certificado registra al testigo. Es más lento y más caro que hacerlo en planta, así que normalmente se reserva para la fracción de mayor riesgo y el resto viaja con custodia sellada.
¿Qué recibe nuestra área de auditoría interna?
Inventario inicial conciliado con lo que efectivamente se procesó; certificado de destrucción por número de serie con método, fecha, responsable y testigo cuando lo hubo; cadena de custodia continua desde el retiro; y constancia de disposición final del hardware bajo NOM-161-SEMARNAT. Es un paquete que un auditor puede recorrer de punta a punta sin huecos.
¿Tienen certificación NAID AAA o R2?
No, hoy no tenemos NAID AAA, R2 ni ISO, y prefieres saberlo por nosotros que descubrirlo en la RFP. Lo que sí tienes es evidencia verificable en cada servicio: destrucción física de todo medio con certificado por número de serie, cadena de custodia con firmas en cada punto, constancia de disposición final, testigo tuyo cuando tu política lo exige y la posibilidad de visitar la planta antes de contratar. Si tu normativa interna exige un proveedor con sello específico, te lo decimos de frente antes de cotizar.
¿Y el equipo que todavía sirve? ¿Se puede reutilizar o vender?
Sí, y el valor se queda de tu lado. Nosotros destruimos el medio de almacenamiento —siempre, con certificado por número de serie— y el equipo se queda contigo: puedes reasignarlo internamente, donarlo o venderlo. Ese ingreso es íntegramente tuyo, no pasa por nosotros. Si tu política prohíbe que ciertos equipos salgan de la institución aunque no tengan disco, se marcan desde el inventario y van completos a recuperación de material, que también podemos comprarte.
Trabajamos con un corporativo en el extranjero. ¿La evidencia les sirve?
Sí. Emitimos la documentación en español e inglés, porque el mismo expediente suele tener que responderle a una revisión local y a una matriz o a un auditor externo fuera de México. El vocabulario técnico —NIST 800-88 y sus niveles Clear, Purge y Destroy— es el mismo que lee un equipo de seguridad en Estados Unidos, así que no hay que traducir el fondo, solo el idioma.
Cierra la auditoría sin observaciones
Custodia continua, certificado por número de serie, conciliación con tu inventario y constancia de destino final. El expediente completo, en un solo proveedor.