Cómo implementar los controles de ISO 27001:2022 para operaciones bancarias

Cómo implementar los controles de ISO 27001:2022 en operaciones bancarias

Las instituciones bancarias gestionan diariamente enormes volúmenes de datos confidenciales de clientes, transacciones financieras e inteligencia propietaria. Una sola filtración o incumplimiento puede desencadenar sanciones regulatorias, dañar la reputación y generar riesgo sistémico en todo el ecosistema financiero. ISO 27001:2022 proporciona un marco reconocido globalmente para sistemas de gestión de seguridad de la información. Sin embargo, traducir los 93 controles del estándar en flujos de trabajo de gobernanza y técnicos adaptados a las operaciones bancarias sigue siendo un reto.

Esta guía explica cómo implementar los controles de ISO 27001:2022 en operaciones bancarias, enfocándose en proteger datos sensibles en movimiento, aplicar controles de acceso, mantener registros de auditoría para la rendición de cuentas regulatoria e integrar flujos de trabajo de cumplimiento. Aprenderás a mapear controles con escenarios de riesgo bancario, operacionalizar mecanismos de protección en datos de clientes y sistemas de pago, y establecer resultados medibles que satisfagan tanto la gobernanza interna como las obligaciones regulatorias externas.

Resumen ejecutivo

Las instituciones bancarias deben implementar los controles de ISO 27001:2022 para minimizar el riesgo operativo, demostrar cumplimiento regulatorio y mantener la confianza de clientes y organismos supervisores. El enfoque basado en riesgos del estándar se alinea estrechamente con los requisitos de riesgo operativo de Basilea III, GDPR y mandatos sectoriales como PSD2 y DORA. Una implementación efectiva requiere tratar la seguridad de la información como una gobernanza empresarial que abarca políticas organizacionales, arquitectura técnica, administración de riesgos de proveedores y monitoreo continuo. Los líderes de seguridad deben traducir cada control en flujos de trabajo bancarios específicos, asegurando que los mecanismos de protección sean transparentes para los procesos legítimos y generen registros de auditoría defendibles para la revisión supervisora.

Puntos clave

1. Protección crítica de datos. ISO 27001:2022 ofrece un marco esencial para que los bancos protejan datos sensibles de clientes y transacciones mediante cifrado robusto, controles de acceso y registros de auditoría, minimizando riesgos de filtraciones y sanciones regulatorias.
2. Implementación basada en riesgos. Los bancos deben adaptar los 93 controles de ISO 27001:2022 a riesgos específicos del sector financiero, utilizando evaluaciones de riesgos para priorizar mecanismos de protección en activos como datos de clientes y sistemas de pago.
3. Gestión de riesgos de terceros. El cumplimiento efectivo exige que los bancos evalúen y monitoreen proveedores y socios, aplicando estándares de seguridad estrictos y derechos de auditoría para proteger los datos compartidos en ecosistemas complejos.
4. Métricas de mejora continua. ISO 27001:2022 enfatiza resultados medibles, con bancos que rastrean métricas como cobertura de cifrado y tiempos de respuesta a incidentes para asegurar la efectividad continua de los controles y el alineamiento regulatorio.

Comprendiendo el marco de controles ISO 27001:2022 en el contexto bancario

ISO 27001:2022 organiza los controles en cuatro categorías: organizacionales, personas, físicos y tecnológicos. Las instituciones bancarias deben interpretar cada uno desde la perspectiva del riesgo en el sector financiero. La guía genérica requiere ser traducida a contextos operativos. Por ejemplo, los controles de gestión de acceso varían al aplicarse a plataformas bancarias centrales, canales de clientes o sistemas de tesorería.

El estándar exige una evaluación de riesgos que identifique activos, amenazas, vulnerabilidades e impactos, y luego seleccione controles basados en esa evaluación. Para los bancos, los activos críticos incluyen información personal identificable de clientes, datos de tarjetas de pago, credenciales de cuentas, historiales de transacciones, decisiones crediticias, inteligencia contra el lavado de dinero y algoritmos propietarios. Las amenazas abarcan atacantes externos, amenazas internas, compromisos en la cadena de suministro y fallos operativos que exponen datos.

Un enfoque estructurado comienza definiendo el alcance del sistema de gestión de seguridad de la información. Los bancos deben decidir si buscan la certificación a nivel organizacional o limitan el alcance a unidades, regiones o líneas de producto específicas. Un alcance reducido puede agilizar la certificación pero crear brechas de gobernanza. Un alcance más amplio exige mayor coordinación, pero proporciona una cobertura de riesgos integral y una rendición de cuentas más clara.

Cada control aborda confidencialidad, integridad y disponibilidad. Las operaciones bancarias exigen un tratamiento riguroso de los tres. Fallos de confidencialidad exponen datos de clientes, generando sanciones y daño reputacional. Compromisos de integridad permiten fraudes y afectan la precisión de los informes. Interrupciones de disponibilidad detienen transacciones y afectan las redes de pagos. Los bancos deben construir una matriz de aplicabilidad de controles que relacione cada uno de los 93 controles con escenarios operativos. Esta matriz guía las prioridades de implementación, asigna responsables y establece criterios de éxito.

Implementando controles organizacionales en las estructuras de gobernanza bancaria

Los controles organizacionales establecen las bases de gobernanza que abordan políticas, gestión de riesgos, inventarios de activos y riesgos de terceros. Los bancos deben integrar estos controles en los marcos de gobernanza existentes en lugar de tratarlos como ejercicios independientes. La alta dirección debe aprobar las políticas de seguridad de la información y asignar responsabilidades claras. Muchos bancos designan un Chief Information Security Officer que reporta al consejo o al comité de riesgos del consejo, asegurando que las decisiones de seguridad tengan la visibilidad y recursos adecuados.

Los procesos de evaluación de riesgos deben alinearse con las expectativas de los supervisores. Los reguladores esperan que los bancos identifiquen y evalúen riesgos de seguridad de la información usando metodologías coherentes con los marcos de gestión de riesgos empresariales. La evaluación debe considerar el riesgo inherente, evaluar la efectividad de los controles, calcular el riesgo residual y determinar si el riesgo residual está dentro del apetito de riesgo. Los bancos suelen actualizar las evaluaciones anualmente o tras cambios significativos.

ISO 27001:2022 exige mantener inventarios de activos con responsables y clasificación asignados. Para los bancos, esto abarca datos estructurados en sistemas centrales, contenido no estructurado en correo electrónico y uso compartido de archivos, APIs conectadas a socios externos, infraestructura en la nube y datos retenidos para registros regulatorios. Los esquemas de clasificación de datos deben reflejar los niveles de sensibilidad bancaria. Muchos bancos adoptan clasificaciones pública, interna, confidencial y restringida, aplicando la restringida a datos de cuentas, credenciales de pago y materiales regulatorios. Cada nivel activa requisitos específicos de manejo como cifrado, controles de acceso, retención y métodos de destrucción. La propiedad de los activos debe definir quién determina los niveles de protección, aprueba accesos, monitorea el uso y responde ante incidentes.

Desplegando controles técnicos para la protección de datos y gestión de accesos

Los controles técnicos convierten la gobernanza en mecanismos aplicables como control de acceso, criptografía, seguridad de red, registro y desarrollo seguro. Los bancos deben implementar controles en entornos heterogéneos que incluyen mainframes, sistemas intermedios, aplicaciones distribuidas e infraestructura en la nube. El control de acceso comienza con la gestión de identidades y accesos (IAM). Los bancos mantienen fuentes de identidad autorizadas para empleados, contratistas, clientes y cuentas de servicio. Los marcos de control de acceso basado en roles (RBAC) relacionan funciones laborales con privilegios de sistema, asegurando que los usuarios reciban solo el acceso necesario. Para funciones sensibles como aprobaciones de grandes transacciones o acceso a bases de datos de producción, los bancos implementan control dual que exige autorización independiente.

La gestión de accesos privilegiados es especialmente crítica. Las cuentas administrativas capaces de modificar configuraciones o acceder a datos de clientes sin justificación comercial representan un riesgo concentrado. ISO 27001:2022 exige un escrutinio adicional, incluyendo flujos de aprobación, concesiones temporales, grabación de sesiones y recertificación. Los bancos implementan controles técnicos que impiden que los usuarios privilegiados realicen acciones de alto riesgo sin aprobación en tiempo real de partes independientes.

ISO 27001:2022 exige controles criptográficos adecuados a la sensibilidad de la información. Los bancos deben cifrar los datos de clientes en reposo y en tránsito. El cifrado de datos en reposo aplica a bases de datos, sistemas de archivos, medios de respaldo y registros archivados. Los algoritmos deben cumplir los estándares actuales, y muchos bancos adoptan cifrado AES-256 para cifrado simétrico y RSA-2048 o superior para operaciones asimétricas. Los datos en movimiento presentan retos distintos porque la banca implica intercambio constante de información. Las interacciones de clientes fluyen por navegadores web, aplicaciones móviles y APIs. Las transferencias interbancarias atraviesan redes SWIFT, cámaras de compensación y canales de pago. Cada canal requiere cifrado acorde al modelo de amenazas y requisitos de rendimiento. TLS 1.3 protege la mayoría de las comunicaciones expuestas a internet, pero los bancos deben aplicar versiones mínimas de TLS excluyendo algoritmos obsoletos. Cada vez más bancos adoptan arquitecturas de confianza cero, tratando las redes internas como potencialmente hostiles y cifrando el tráfico sin importar los límites de red.

ISO 27001:2022 exige registrar eventos relevantes de seguridad y proteger los registros contra manipulaciones. Para los bancos, los registros de auditoría cumplen un doble propósito: detectar amenazas y proporcionar evidencia regulatoria. Las estrategias de registro deben capturar intentos de autenticación, decisiones de autorización, patrones de acceso a datos, cambios de configuración y activaciones de controles de seguridad. Las plataformas de agregación de registros recopilan eventos de firewalls, sistemas de detección y prevención de intrusiones (IDPS), protección de endpoints, servicios de directorio, bases de datos y aplicaciones. Los sistemas de gestión de información y eventos de seguridad (SIEM) correlacionan eventos para identificar patrones que indiquen compromisos. El tiempo medio de detección y remediación son métricas críticas. Los supervisores regulatorios esperan que los bancos identifiquen comportamientos anómalos rápidamente. Un monitoreo efectivo establece patrones de comportamiento base y resalta desviaciones. Los registros de auditoría inmutables proporcionan defensa regulatoria. Los bancos deben demostrar que los registros no pueden ser alterados por administradores o atacantes. Las implementaciones técnicas incluyen almacenamiento de solo escritura, hash criptográfico y replicación en tiempo real a infraestructuras separadas.

Gestión de riesgos de terceros en relaciones bancarias

Los bancos dependen ampliamente de proveedores tecnológicos, servicios en la nube, procesadores de pagos y subcontratistas. ISO 27001:2022 exige abordar la seguridad de la información en las relaciones con proveedores, algo especialmente relevante dadas las expectativas regulatorias sobre la administración de riesgos de terceros (TPRM). Los bancos deben realizar diligencia debida antes de contratar proveedores que procesen, almacenen o transmitan datos sensibles. Las evaluaciones valoran la madurez del programa de seguridad del proveedor, capacidades de respuesta a incidentes, planes de continuidad de negocio y compromisos contractuales. Muchos bancos exigen que los proveedores mantengan cumplimiento con ISO 27001 o completen cuestionarios de seguridad estandarizados.

Las cláusulas contractuales deben definir responsabilidades de seguridad especificando requisitos de manejo de datos, estándares de cifrado, controles de acceso, plazos de notificación de incidentes, derechos de auditoría y procedimientos de finalización, incluyendo la devolución segura de datos. Para proveedores en la nube, los bancos deben aclarar los modelos de responsabilidad compartida y delimitar qué controles implementa el proveedor y cuáles siguen siendo responsabilidad del banco. El monitoreo continuo presenta retos operativos porque los bancos pueden trabajar con cientos de terceros. Los enfoques basados en riesgos priorizan la intensidad del monitoreo según la sensibilidad de los datos y la criticidad del servicio. Los proveedores con acceso a datos de cuentas o que ofrecen plataformas centrales requieren monitoreo continuo, incluyendo evaluaciones, pruebas de penetración y revisión de incidentes.

Las operaciones bancarias dependen cada vez más de integraciones API que conectan sistemas internos con socios externos. Los servicios de inicio de pagos se conectan a plataformas centrales bajo mandatos de banca abierta. Las agencias de crédito reciben datos de clientes para evaluación crediticia. Los servicios de detección de fraude analizan transacciones en tiempo real. Cada integración genera exposición si los flujos de datos no están protegidos. Los controles de ISO 27001:2022 sobre seguridad de red y control de acceso aplican a los puntos de integración. Los bancos deben autenticar a terceros, autorizar solo los datos y operaciones requeridos, cifrar los datos en tránsito y registrar las interacciones. Las puertas de enlace API permiten aplicar autenticación, limitación de tasas, inspección de cargas y cifrado de forma centralizada en todas las integraciones externas.

Operacionalizando controles de respuesta a incidentes y continuidad de negocio

ISO 27001:2022 exige procesos para detectar, reportar, evaluar y responder a incidentes de seguridad de la información. Los bancos enfrentan requisitos regulatorios que a menudo superan las expectativas mínimas, con supervisores que exigen plazos específicos de notificación y capacidades de continuidad de negocio. Los planes de respuesta a incidentes deben definir roles, procedimientos de escalamiento, protocolos de comunicación, preservación de evidencia y pasos de recuperación. Los bancos establecen estructuras escalonadas donde el personal de TI identifica incidentes, los escala a operaciones de seguridad para análisis y se involucra a ejecutivos en incidentes que superan umbrales de severidad según el impacto en clientes, pérdidas financieras o reportes regulatorios.

La clasificación de incidentes ayuda a priorizar la respuesta. Los incidentes de alta severidad implican explotación activa de sistemas orientados al cliente, evidencia de exfiltración o ataques de ransomware que afectan infraestructura crítica. Los incidentes de severidad media incluyen campañas de phishing o ataques de denegación de servicio. La clasificación determina los tiempos de respuesta y la asignación de recursos. Los flujos de comunicación deben contemplar los reportes regulatorios. Muchas jurisdicciones exigen que los bancos notifiquen a los supervisores en plazos específicos tras incidentes que afecten datos de clientes o la resiliencia operativa.

ISO 27001:2022 exige probar los procedimientos de respuesta a incidentes. Los bancos deben realizar ejercicios de simulación (tabletop) que representen escenarios de ataque realistas. Los escenarios efectivos reflejan inteligencia de amenazas actual y perfiles de riesgo institucional. Un banco minorista podría simular un compromiso en punto de venta que afecte tarjetas de pago. Una institución con operaciones de tesorería podría ejercitar un compromiso de correo electrónico empresarial dirigido a la autorización de transferencias. Los resultados de los ejercicios identifican brechas en procedimientos, herramientas o habilidades. Hallazgos comunes incluyen rutas de escalamiento poco claras fuera del horario laboral, capacidades insuficientes para aislar sistemas comprometidos sin interrumpir servicios o fallos de coordinación entre equipos de seguridad y unidades de negocio. Los bancos deben documentar los hallazgos, asignar responsables de remediación y programar ejercicios de seguimiento.

Lograr y mantener la certificación mediante la mejora continua

La certificación ISO 27001:2022 requiere una evaluación independiente por organismos de certificación acreditados. Los bancos deben demostrar que han implementado un sistema de gestión de seguridad de la información conforme a los requisitos, seleccionado controles basados en la evaluación de riesgos y establecido procesos de monitoreo y mejora continua. El proceso de certificación comienza con una auditoría de etapa uno donde los auditores revisan documentación como la declaración de alcance, metodología de evaluación de riesgos, declaración de aplicabilidad, políticas y procedimientos de seguridad. Las auditorías de etapa dos implican un examen detallado de la implementación de controles mediante entrevistas, revisión de sistemas y muestreo de evidencias.

La certificación representa una evaluación puntual, pero ISO 27001:2022 exige conformidad continua. Los bancos deben realizar auditorías internas para evaluar si el sistema sigue cumpliendo los requisitos. Las revisiones de la dirección reúnen a los ejecutivos para evaluar el desempeño, revisar hallazgos de riesgo, valorar la suficiencia de recursos y dirigir iniciativas de mejora. Las auditorías de vigilancia ocurren periódicamente entre ciclos de recertificación. Los auditores verifican que la organización mantenga la conformidad, implemente acciones correctivas y adapte el sistema para abordar cambios en el panorama de riesgos, tecnología u operaciones. Los bancos que lanzan nuevos servicios, migran a la nube o adquieren instituciones deben actualizar los sistemas para reflejar el cambio de alcance y perfil de riesgo.

Integrando los controles de ISO 27001:2022 con marcos regulatorios bancarios

Los supervisores bancarios esperan cada vez más que los programas de seguridad de la información se alineen con estándares reconocidos. ISO 27001:2022 proporciona un marco integral que se ajusta bien a las expectativas regulatorias en distintas jurisdicciones, pero los bancos deben entender cómo demostrar alineación durante las inspecciones supervisoras. Marcos regulatorios como el cumplimiento GDPR imponen requisitos específicos para proteger datos personales, incluyendo base legal, minimización de datos, limitación de propósito, exactitud, limitación de almacenamiento, integridad y confidencialidad. Los controles de ISO 27001:2022 sobre gestión de accesos, cifrado, registro y gestión de proveedores apoyan directamente estos principios. Los bancos pueden construir matrices de cumplimiento que relacionen requisitos regulatorios con controles implementados, simplificando la gobernanza y los reportes regulatorios.

Las regulaciones de servicios de pago como PSD2 exigen autenticación fuerte de clientes, protocolos de comunicación seguros y reporte de incidentes. El cumplimiento con DORA establece requisitos integrales para la gestión de riesgos TIC, reporte de incidentes, pruebas de resiliencia operativa y gestión de riesgos de terceros, en estrecha correspondencia con la estructura de ISO 27001:2022. Los bancos que operan en varias jurisdicciones se benefician de implementar un marco de controles que satisfaga expectativas regulatorias superpuestas mediante una gobernanza unificada. Las expectativas supervisoras van más allá de la implementación de controles y exigen evidencia de efectividad. Durante las inspecciones, los reguladores revisan registros de auditoría, incidentes, documentación de riesgos y métricas que demuestran que los programas de seguridad logran los resultados previstos.

Construyendo resultados medibles en la implementación de controles

ISO 27001:2022 enfatiza la mejora continua impulsada por la medición y el monitoreo. Los bancos deben establecer métricas que demuestren la efectividad de los controles e identifiquen áreas de mejora. Las métricas técnicas miden el comportamiento de los controles. Las métricas de cobertura de cifrado indican el porcentaje de datos sensibles protegidos en reposo y en tránsito. Las métricas de certificación de accesos rastrean la rapidez con la que la institución revisa y recertifica los accesos de usuarios. Las métricas de gestión de parches monitorean el tiempo entre la divulgación de una vulnerabilidad y la implementación de la remediación. Estas métricas alertan tempranamente sobre degradación de controles.

Las métricas operativas evalúan la eficiencia del programa de seguridad. El tiempo medio de detección mide cuán rápido la institución identifica incidentes potenciales. El tiempo medio de remediación rastrea cuánto tarda la resolución. Las métricas sobre hallazgos de auditoría miden la eficacia con la que la organización resuelve deficiencias. Las tasas de finalización de capacitaciones indican si los empleados reciben la formación de concienciación en seguridad requerida. Las métricas de resultados de negocio conectan los controles de seguridad con los objetivos organizacionales. Las métricas que rastrean filtraciones de datos de clientes demuestran si los controles previenen la divulgación no autorizada. Las mediciones de disponibilidad del sistema muestran si los controles mantienen el equilibrio adecuado entre protección y continuidad operativa. Los hallazgos de inspecciones regulatorias indican si los controles cumplen las expectativas supervisoras. Estas métricas orientadas al negocio ayudan a la alta dirección a entender el valor del programa de seguridad.

Conclusión

Implementar los controles de ISO 27001:2022 en operaciones bancarias requiere traducir un estándar reconocido globalmente en estructuras de gobernanza y mecanismos técnicos específicos alineados con los perfiles de riesgo del sector financiero y las obligaciones regulatorias. El éxito exige compromiso ejecutivo, selección de controles basada en riesgos, inventarios de activos completos, gestión rigurosa de accesos, cifrado acorde a la sensibilidad de los datos, registros de auditoría inmutables, gestión robusta de riesgos de terceros, capacidades probadas de respuesta a incidentes y medición continua que demuestre la efectividad de los controles. Los bancos que integran estos controles en su cultura operativa, en lugar de tratarlos como ejercicios de cumplimiento, construyen resiliencia que beneficia a la institución ante desafíos operativos diversos, satisfaciendo expectativas supervisoras y protegiendo la confianza de los clientes.

El entorno que deben navegar los bancos sigue evolucionando. La rápida convergencia de ISO 27001:2022 con el marco obligatorio de riesgos TIC de DORA implica que las instituciones de la UE enfrentan una presión creciente para demostrar no solo la certificación, sino la efectividad medible de los controles en la resiliencia operativa digital. Los reguladores ya no aceptan la certificación como evidencia suficiente y esperan que los bancos presenten métricas y registros de auditoría que prueben que sus sistemas de gestión de seguridad de la información resisten condiciones reales. Al mismo tiempo, la adopción de servicios bancarios impulsados por IA y arquitecturas nativas en la nube está ampliando la superficie de ataque más rápido de lo que muchos marcos de gobernanza heredados pueden adaptarse, exigiendo que las instituciones reevalúen continuamente el alcance, actualicen evaluaciones de riesgos y aseguren que los controles sigan siendo proporcionales a un entorno donde los flujos de datos, dependencias de terceros y actores de amenazas están en constante movimiento.

Cómo Kiteworks facilita el cumplimiento de ISO 27001:2022 en operaciones bancarias

Las instituciones bancarias que implementan controles de ISO 27001:2022 enfrentan un reto fundamental: proteger los datos sensibles mientras se mueven entre sistemas internos, socios externos, clientes y reguladores. La Red de Contenido Privado proporciona una plataforma unificada para proteger todas las comunicaciones de contenido confidencial, incluyendo el correo electrónico seguro de Kiteworks, el uso compartido seguro de archivos de Kiteworks, la transferencia segura de archivos gestionada (MFT), los formularios de datos seguros de Kiteworks y las APIs, aplicando controles de acceso granulares, manteniendo registros de auditoría integrales e integrándose con la infraestructura de seguridad existente.

Kiteworks responde a múltiples categorías de controles de ISO 27001:2022 de forma simultánea. Para los requisitos de control de acceso, la plataforma aplica políticas basadas en roles, soporta autenticación multifactor (MFA) y permite concesiones de acceso temporales para colaboradores externos. Los controles de cifrado se benefician del cifrado automático de datos en reposo usando AES-256 y de datos en tránsito usando TLS 1.3, con gestión centralizada de claves que simplifica las operaciones criptográficas en todos los canales de comunicación. Las capacidades de registro y monitoreo generan registros de auditoría inmutables que capturan cada interacción con el contenido, incluyendo quién accedió a qué archivos, cuándo ocurrió el acceso, qué acciones realizaron los usuarios y si los datos salieron del entorno protegido.

Para las instituciones bancarias, Kiteworks ofrece prevención de pérdida de datos (DLP) basada en el contenido, que inspecciona archivos en busca de patrones de datos sensibles como números de tarjetas de pago, identificadores de cuentas e información personal identificable antes de permitir la transmisión. La plataforma se integra con sistemas SIEM para alimentar datos de eventos de seguridad en flujos de trabajo de detección de amenazas más amplios, con plataformas de orquestación, automatización y respuesta de seguridad (SOAR) para automatizar procedimientos de respuesta a incidentes y con herramientas ITSM para agilizar solicitudes de acceso y procesos de reporte de incidentes. Las capacidades de mapeo de cumplimiento asocian automáticamente las interacciones de contenido con requisitos regulatorios específicos, simplificando la recolección de evidencias para inspecciones supervisoras y auditorías de certificación ISO 27001:2022.

Los bancos que gestionan relaciones extensas con terceros utilizan Kiteworks para crear entornos de colaboración segura donde los socios externos acceden solo a contenido específicamente autorizado, donde todas las interacciones generan registros de auditoría detallados y donde la institución mantiene visibilidad y control incluso después de que el contenido llega a partes externas. Este enfoque operacionaliza los controles de gestión de proveedores de ISO 27001:2022 creando mecanismos técnicos de aplicación que persisten durante todo el ciclo de vida de los datos, en lugar de depender únicamente de compromisos contractuales.

Para saber más, agenda una demo personalizada hoy mismo y descubre cómo Kiteworks ayuda a las instituciones bancarias a implementar controles de ISO 27001:2022 manteniendo la eficiencia operativa, cumpliendo expectativas regulatorias y protegiendo los datos de clientes en flujos de trabajo transaccionales complejos.