Custodia institucional y gestión de claves · Lección 5 de 5
Aseguramiento, resiliencia y seguros
10 min de lectura
Los clientes, auditores y reguladores no pueden inspeccionar por sí mismos la bóveda de un custodio ni sus ceremonias de claves. Dependen de informes independientes, certificaciones, requisitos legales de resiliencia y seguros, cada uno de los cuales cubre menos de lo que su nombre podría sugerir. Esta lección explica qué demuestra cada uno, cómo leerlo y cómo se preparan los custodios para perder una sede, un proveedor o una persona clave.
Aseguramiento independiente: informes SOC
Los informes System and Organization Controls (SOC) son emitidos por contadores independientes conforme a las normas de la AICPA. Dos tipos son importantes para la custodia:
- SOC 1 cubre controles pertinentes a la información financiera de los clientes, como la exactitud de los saldos y los registros de transacciones. Los auditores de los clientes se basan en él. El equivalente internacional es un informe ISAE 3402.
- SOC 2 cubre controles basados en los Trust Services Criteria de la AICPA: seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. La seguridad siempre está incluida; los demás criterios son opcionales. Fuera de Estados Unidos, a menudo se emiten informes comparables conforme a la norma internacional ISAE 3000.
Cada uno tiene dos tipos. Un informe Tipo I emite una opinión sobre si los controles están diseñados adecuadamente en una fecha determinada. Un informe Tipo II también comprueba si funcionaron eficazmente durante un período, normalmente de seis a doce meses. Para un custodio, el informe Tipo II es el que tiene relevancia. Un informe Tipo I solo demuestra que los controles existían sobre el papel en un día determinado.
Para leer un informe SOC, hay que mirar más allá de la opinión:
- Alcance: qué sistemas, billeteras, ubicaciones y activos están incluidos. Un informe que cubre la plataforma de custodia, pero no el servicio de billetera caliente, deja una brecha.
- Organizaciones de servicios subcontratadas: con el método de «exclusión» (carve-out), se excluyen proveedores clave, como un proveedor de MPC o un centro de datos, y se necesitan sus propios informes.
- Excepciones: pruebas en las que un control falló y la respuesta de la dirección.
- Controles complementarios de la entidad usuaria (CUECs): controles que el cliente debe ejecutar por su cuenta, como proteger sus propias credenciales de inicio de sesión, para que funcionen los controles del custodio.
- Período y carta puente: si el período terminó hace meses, solicite una carta puente en la que la dirección confirme que no ha habido cambios materiales desde entonces.
En la lección Controles de información financiera y auditoría se explica cómo utilizan los auditores estos informes en una auditoría de estados financieros.
Certificaciones: ISO/IEC 27001 y CCSS
ISO/IEC 27001 certifica un sistema de gestión de la seguridad de la información (SGSI): el proceso de la organización para evaluar riesgos y elegir, aplicar y mejorar controles. La edición vigente, ISO/IEC 27001:2022, contiene 93 controles en el Anexo A. El período de transición desde la edición de 2013 finalizó el 31 de octubre de 2025, por lo que los certificados ahora deberían hacer referencia a la edición de 2022. Los certificados tienen una vigencia de tres años, con auditorías de seguimiento anuales. La declaración del alcance del certificado es determinante: un certificado que cubra «desarrollo de software en Lisboa» no dice nada sobre las operaciones con claves en Zúrich.
El CryptoCurrency Security Standard (CCSS) es el único estándar de uso extendido diseñado específicamente para sistemas que mantienen criptomonedas. Lo publica el CryptoCurrency Certification Consortium (C4), una organización sin fines de lucro, y lo mantiene un comité directivo comunitario. Abarca la generación, el almacenamiento y el uso de claves, la creación de billeteras, la respuesta ante la vulneración de claves, la concesión y revocación del acceso de los custodios de claves, los registros de auditoría y operaciones relacionadas. CCSS certifica sistemas, no empresas enteras, en los niveles 1, 2 o 3; el nivel 3 es el más exigente. Las evaluaciones las realizan auditores certificados del CryptoCurrency Security Standard (CCSSA). La versión 9, publicada en diciembre de 2024, añadió requisitos sobre la gestión de claves para DeFi y contratos inteligentes, gobernanza y modelado de amenazas, seguridad física y capacitación del personal de gestión de claves.
| SOC 2 Tipo II | ISO/IEC 27001 | CCSS | |
|---|---|---|---|
| Qué evalúa | La eficacia operativa de los controles durante un período | El sistema de gestión de la seguridad de la información | Controles específicos para el manejo de claves cripto |
| Quién lo emite | Una firma independiente de contadores públicos certificados (CPA) | Un organismo de certificación acreditado | Un auditor certificado de CCSS (CCSSA) |
| Resultado | Informe detallado con pruebas y excepciones | Certificado con declaración del alcance | Sistema certificado en el nivel 1, 2 o 3 |
| ¿Es específico para cripto? | Solo si así lo indica el alcance | No | Sí |
La resiliencia operativa como obligación regulatoria
La resiliencia operativa es la capacidad de seguir prestando servicios críticos durante una interrupción, ya sea un ciberataque, la falla de un proveedor o la pérdida de una sede. Cada vez más, los supervisores la consideran una obligación legal y no una buena práctica. La referencia internacional es el documento Principles for Operational Resilience del Comité de Basilea (marzo de 2021), complementado por el trabajo del Consejo de Estabilidad Financiera (FSB) sobre el riesgo de terceros y la notificación de incidentes. Las normas nacionales difieren en los detalles; por ejemplo, el Reglamento de Resiliencia Operativa Digital (DORA) de la UE se aplica a entidades financieras, incluidos los proveedores autorizados de servicios de criptoactivos. La mayoría de los regímenes comparte cinco componentes:
- Gestión del riesgo de TIC bajo la responsabilidad del consejo de administración: identificar los servicios críticos y cuánto puede tolerar cada uno una interrupción (una tolerancia al impacto) y, luego, proteger, detectar, responder, recuperarse y mantener copias de seguridad probadas.
- Notificación de incidentes: los incidentes importantes deben notificarse rápidamente al supervisor, normalmente mediante un aviso inicial en cuestión de horas, seguido de informes intermedios y finales. El Format for Incident Reporting Exchange (FIRE) del FSB, publicado en abril de 2025, ofrece un conjunto común de datos para que las empresas que notifican incidentes en varios países puedan reutilizar un mismo formato.
- Pruebas de resiliencia: pruebas periódicas de los planes de continuidad, análisis de vulnerabilidades, ejercicios basados en escenarios y, para las empresas más grandes, pruebas de penetración dirigidas por amenazas, en las que un equipo rojo simula a un atacante real.
- Riesgo de terceros: un registro de proveedores tecnológicos, cláusulas contractuales (derechos de auditoría, ubicaciones de los servicios, notificación de incidentes, planes de salida) y atención a la concentración en unos pocos proveedores. El kit de herramientas del FSB sobre gestión del riesgo de terceros, publicado en diciembre de 2023, establece expectativas comunes.
- Intercambio de información sobre ciberamenazas entre empresas financieras.
Para un custodio, los proveedores de MPC, los proveedores de HSM como servicio, los proveedores de nodos de blockchain y las plataformas en la nube son terceros críticos. Si alguno de ellos falla, los retiros pueden quedar congelados, por lo que cada uno necesita un contrato con condiciones de salida y un plan probado para continuar sin él.
Copias de seguridad y recuperación ante desastres de claves
Un custodio debe poder restablecer la capacidad de firmar tras perder una sede, dispositivos o un proveedor, sin crear una nueva forma de robar las claves.
| Escenario | Mecanismo de recuperación |
|---|---|
| Dispositivo de firma destruido | Restaurar la clave o el fragmento desde una copia de seguridad cifrada en un HSM o dispositivo nuevo |
| Sede perdida (incendio, inundación, conflicto) | Copias de seguridad y custodios de claves distribuidos en ubicaciones distantes; quórum disponible sin esa sede |
| Custodio de claves no disponible | El quórum tolera ausencias (un quórum de 3 de 5 sobrevive a la pérdida de dos personas); lista de sucesión |
| Falla un proveedor de tecnología | Procedimiento documentado y probado para reconstruir claves o transferir fondos sin el proveedor |
| Sospecha de vulneración | Plan prefirmado o aprobado de antemano para transferir los fondos a claves nuevas |
Las buenas prácticas incluyen dividir las copias de seguridad de modo que ninguna persona tenga una copia utilizable (fragmentos de Shamir, SLIP-39 o dominios de copia de seguridad de HSM) y guardarlas en contenedores con evidencia de manipulación, en ubicaciones separadas. El quórum de recuperación debería ser distinto del quórum de firma diario. Los simulacros de recuperación, al menos una vez al año, deberían demostrar que las copias de seguridad realmente permiten restaurar claves funcionales. Una copia de seguridad que nunca se ha probado es solo una esperanza. Cada nivel de billetera debería tener objetivos definidos de tiempo de recuperación: horas para las billeteras calientes y quizá días para el almacenamiento en frío.
Continuidad del negocio y riesgo de dependencia de personas clave
El riesgo de dependencia de personas clave es el peligro de que la pérdida de una persona, por fallecimiento, enfermedad, salida o coacción, impida el acceso a los activos. El colapso de QuadrigaCX tras la muerte de su fundador (véase la lección Riesgo de contraparte y prueba de reservas) es el ejemplo habitual. Controles: que ninguna persona sea indispensable, procedimientos documentados que otras personas hayan practicado, suplentes para cada custodio de claves y quórums diseñados para resistir la pérdida de integrantes.
Las personas, las oficinas familiares y las pequeñas empresas afrontan el mismo problema con la herencia. Los herederos y albaceas deben saber que existen los activos y cómo acceder a ellos, sin que nadie pueda apropiárselos antes de tiempo. Entre los métodos habituales están una carta de instrucciones guardada por un abogado, una configuración multifirma en la que un custodio profesional o un abogado tiene una clave, o una ruta de recuperación con bloqueo temporal. Una frase semilla no debería incluirse en un testamento, porque en muchas jurisdicciones los testamentos se hacen públicos durante el proceso sucesorio.
Los seguros y sus límites
Los custodios contratan varios tipos de cobertura: seguro de especie (activos en bóvedas o en almacenamiento en frío), seguro contra delitos o de fidelidad (robo, incluso por parte de empleados), seguro cibernético (costos de incidentes, que a menudo excluye los criptoactivos) y responsabilidad profesional. Las pólizas valen menos de lo que sugieren sus cifras principales:
- La capacidad es reducida en comparación con los activos bajo custodia, y los límites suelen ser agregados: compartidos entre todos los clientes, no por cliente.
- Las billeteras calientes suelen quedar excluidas o sujetas a sublímites estrictos.
- Entre las exclusiones habituales están las pérdidas por credenciales del propio cliente vulneradas, la ingeniería social dirigida al personal, fallas del protocolo o del contrato inteligente y, en algunas pólizas, guerras o ataques patrocinados por Estados. Esto último importa cuando los ataques se atribuyen a actores estatales como TraderTraitor, de Corea del Norte.
- Por lo general, el cliente no es la parte asegurada: la póliza paga al custodio, y la recuperación del cliente depende de la responsabilidad del custodio según el acuerdo de custodia.
Preguntas que conviene hacer: quiénes son las aseguradoras, cuál es el límite y si es agregado, qué niveles de billetera están cubiertos, cuáles son las principales exclusiones, cuál es el deducible y si se puede compartir un certificado de seguro.
Enfoque del examen: SOC 1 frente a SOC 2, Tipo I frente a Tipo II y cómo leer el alcance, las exclusiones, las excepciones, los CUEC y las cartas puente; qué certifica ISO/IEC 27001 (SGSI, declaración del alcance, edición de 2022); CCSS (C4, sistemas y no empresas, niveles del 1 al 3, CCSSA); los componentes de la regulación sobre resiliencia operativa (principios del Comité de Basilea, tolerancias al impacto, notificación de incidentes, pruebas de resiliencia, riesgo de terceros y planes de salida); copias de seguridad de claves, simulacros de recuperación y planes ante fallas de proveedores; riesgo de dependencia de personas clave y riesgo sucesorio; por qué los seguros de custodia son limitados (límites agregados, exclusiones para billeteras calientes e ingeniería social, el cliente no es la parte asegurada).