Open source, FINOS y el stack CIB cloud-native

TL;DR. Cómo FINOS, la Linux Foundation y un stack Rust de cero dependencias están redefiniendo el stack CIB cloud-native — talento, cumplimiento, PSD3 y procedencia de la cadena de suministro.

Points clés

01. Por qué los CIB se abren. Tres presiones empujan a los CIB hacia el open source, y ninguna es ideológica.
02. El stack Rust de cero dependencias. El stack CIB cloud-native en 2026 ya no es la foto de la era LAMP de «open source = Linux + nginx + Postgres».
03. El open source sostiene las agendas ISO, IA y cuántica. Las tres agendas estructurales del CIB en 2026 — el corte a ISO 20022, la IA agéntica en operaciones y la migración a criptografía postcuántica — corren todas sobre código inspeccionable.
04. Plataformización bajo PSD3 y FiDA. La agenda europea de plataformización — PSD3, el Payment Services Regulation y el marco de acceso a datos financieros (FiDA) — es un compromiso regulatorio con la open finance.

En junio de 2026, la agenda tecnológica de la banca corporativa y de inversión (CIB) dejó por fin de fingir. Morgan Stanley, JPMorgan y Citi ocupan el consejo de gobierno de FINOS y ya tratan el open source como infraestructura nuclear, no como un proyecto secundario — un giro que Banking Dive recogió en su reciente cobertura sobre los tres bancos redoblando su apuesta por el código compartido a través de FINOS y la Linux Foundation (Banking Dive, 2026). La razón es incómoda para los proveedores: el stack CIB ya tiene que ser inspeccionable de extremo a extremo, y las cajas propietarias no sobreviven a una auditoría del artículo 5 de DORA.

Este artículo conecta ese giro con el lado de ingeniería. Las librerías Rust que publico — noyalib, http-handle, hsh, KyberLib, html-generator, Shokunin SSG — no son el objetivo en sí. Son ejemplos concretos de cómo se ve hoy un stack CIB cloud-native cuando se toma en serio la tesis de FINOS: licencias permisivas, cero unsafe, artefactos firmados y procedencia de la cadena de suministro integrada en tiempo de compilación.

01. Por qué los CIB se abren

Tres presiones empujan a los CIB hacia el open source, y ninguna es ideológica.

Talento. Los mejores ingenieros de infraestructura en 2026 construyen en público. El informe FINOS State of Open Source in Financial Services 2025 sitúa la base de contribuidores en la parte alta de la curva de crecimiento, con mantenedores afiliados a bancos ya visibles en los proyectos de runtime de CNCF y en los workstreams de FINOS (Linux Foundation, 2025). Cuando un CTO Tier-1 necesita un ingeniero senior de Rust o Kotlin capaz de entregar la reescritura de un sistema de compensación, ese ingeniero espera contribuir upstream. Las casas exclusivamente propietarias pierden la conversación de contratación en la primera ronda.

Cumplimiento. El artículo 5 de DORA atribuye al consejo una responsabilidad indelegable sobre el riesgo TIC. Basel III vincula el capital por riesgo operacional a las caídas. Ambos regímenes asumen que la entidad puede auditar cada componente de la ruta de producción — y eso es estructuralmente más sencillo con código open source bajo MIT, Apache 2.0 o BSD-3-Clause que con una release de un ISV cerrado cuyo SBOM se reduce a un «confíe en nosotros». Los bills of materials CycloneDX y SPDX, las atestaciones de procedencia SLSA y las firmas sigstore son ya el listón mínimo que un regulador espera ver acompañando a un pipeline de release.

Velocidad de entrega. Un equipo de plataforma CIB que entrega un cambio en el motor de pagos en días en lugar de trimestres no gana por heroísmo. Gana por sustrato compartido — Kubernetes, OpenTelemetry, librerías de esquemas ISO 20022, el Common Domain Model de FINOS — que nadie paga por reimplementar. La economía ya no favorece los raíles a medida.

Tres presiones, una conclusión. Abrirse es una decisión de entrega, no de compras.

02. El stack Rust de cero dependencias

El stack CIB cloud-native en 2026 ya no es la foto de la era LAMP de «open source = Linux + nginx + Postgres». Es un conjunto en capas de componentes con licencias permisivas y seguros en memoria — cada uno con su propio SBOM, su propia procedencia y su propia superficie mínima de amenaza. Las librerías Rust que mantengo encajan limpiamente en esa estratificación.

Ingress en el edge. http-handle es un servidor HTTP/1.1 sin dependencias, conforme a RFC 7230 / 9112, escrito en Rust seguro — pensado para el momento en que un equipo de plataforma CIB cae en la cuenta de que la capa de ingress no debería arrastrar 200 crates transitivos. El argumento se desarrolla en http-handle: ingress de cero dependencias en el edge para banca en Rust.
Plano de configuración. noyalib parsea YAML 1.2 con 406/406 de conformidad con la especificación, validación JSON Schema y un árbol de sintaxis concreto sin pérdidas — para que los manifiestos de Kubernetes, los registros de servidores MCP y los workflows de CI dejen de ser una superficie de ataque silenciosa. Véase Por qué YAML necesita un stack Rust más seguro para IA, MCP e infraestructura financiera en 2026.
Primitivas criptográficas. hsh ofrece hashing de contraseñas Argon2id, bcrypt y scrypt con una API de verificación en tiempo constante. KyberLib implementa ML-KEM-512/768/1024 bajo FIPS 203 para la migración postcuántica analizada en KyberLib y la migración postcuántica de la banca en 2026.
Contenido y entrega en el edge. html-generator compila Markdown accesible en HTML estructurado; Shokunin SSG construye la publicación que está leyendo; CloudCDN se sitúa delante como un edge open source, nativo de IA.

Ninguno de ellos es un «framework» en el sentido bancario heredado. Son componentes pequeños, con licencias permisivas, firmados y con modelos de amenazas explícitos. Esa es la forma operativa que fomenta la tesis de FINOS — y la forma que un equipo de plataforma CIB puede defender ante un regulador sin necesidad de una presentación.

Un matiz honesto: el objetivo no es «reescribir el banco en Rust». Es dar a los equipos de plataforma CIB la opción de un stack seguro en memoria y de pocas dependencias en las capas portantes — ingress, parseo, criptografía, build, cadena de suministro — sin forzar una decisión religiosa en el resto.

03. El open source sostiene las agendas ISO, IA y cuántica

Las tres agendas estructurales del CIB en 2026 — el corte a ISO 20022, la IA agéntica en operaciones y la migración a criptografía postcuántica — corren todas sobre código inspeccionable. Ninguna funciona como stack propietario.

ISO 20022. La familia de esquemas pacs.008 / pacs.009 / camt es ya el estándar de facto de los pagos mayoristas. FINOS aloja el Common Domain Model junto con librerías open source en Java y Kotlin que parsean, validan y enrutan esos mensajes. El trabajo de Automatización de pacs.008 y pagos interbancarios ISO 20022 muestra cómo un pipeline de grado de compensación se compone a partir de esos componentes abiertos — validación de esquema, remesa estructurada, trazabilidad de extremo a extremo — sin reconstruir el parser en cada banco.

IA agéntica. El Model Context Protocol (MCP) es la lingua franca para que los agentes de IA invoquen herramientas bancarias internas — y los servidores MCP funcionan sobre registros YAML, cuentas de servicio acotadas por OAuth y pipelines de log de auditoría. El plano de control es open source porque tiene que serlo: cualquier agente que toque un libro mayor de producción necesita un flujo de trabajo acotado e inspeccionable. El argumento para tratar esto como un problema de ingeniería en lugar de como una selección de proveedor recorre Por qué YAML necesita un stack Rust más seguro y el trabajo de dotfiles para puesto de trabajo en Dotfiles conscientes de la IA en 2026.

Criptografía postcuántica. FIPS 203 (ML-KEM) y FIPS 204 (ML-DSA) son ya los objetivos de migración. El intercambio de claves híbrido X25519MLKEM768 es el valor por defecto práctico en TLS 1.3. Nada de esto funciona sin implementaciones abiertas que los auditores y los equipos de criptografía bancaria puedan leer línea a línea — KyberLib es un ejemplo, y el encuadre más amplio de la migración es el objeto de KyberLib y la migración postcuántica de la banca en 2026.

Tres agendas. Una dependencia compartida: código abierto, firmado por sigstore, atestado por SLSA, listado en un SBOM CycloneDX o SPDX, gobernado por scorecards de OSSF. Ese es el stack CIB cloud-native en 2026.

04. Plataformización bajo PSD3 y FiDA

La agenda europea de plataformización — PSD3, el Payment Services Regulation y el marco de acceso a datos financieros (FiDA) — es un compromiso regulatorio con la open finance. Asume que los bancos pueden exponer, gobernar y auditar flujos de datos a escala. Los estándares abiertos son la condición previa, no el efecto colateral.

El análisis de Consultancy.uk de 2026 sobre la orquestación de la open banking para el crecimiento de plataforma hace la misma observación desde el lado de negocio: las entidades que ganan bajo PSD3 son las que tratan el estado de APIs como producto, no como un añadido de cumplimiento (Consultancy.uk, 2026). Esa postura es imposible sobre un stack cerrado. Productizar APIs requiere especificaciones OpenAPI versionadas, pruebas de contrato automatizadas, observabilidad sobre cada consumidor y una capa de gobierno por la que un auditor pueda transitar. Cada una de esas primitivas es open source en 2026, y la mayoría reside en proyectos de CNCF o FINOS.

La misma lógica se extiende al perímetro de acceso a datos más amplio de FiDA — pensiones, hipotecas, productos de inversión. Un banco que controla su parseo, ingress, configuración y criptografía con código inspeccionable puede extender el perímetro sin re-arquitectarlo. Un banco que ha externalizado esas capas a proveedores cerrados estará pagando a consultores de integración los próximos tres años. La tesis de FINOS es, en el fondo, una tesis de plataformización: hazte dueño de los estándares, comparte el sustrato, compite en la superficie.

Conclusión

El stack CIB en 2026 es abierto por defecto. No por ideología, sino porque las tres presiones — talento, cumplimiento, velocidad de entrega — tiran en la misma dirección y los reguladores (DORA, Basel III, PSD3, FiDA) lo han ratificado. La cobertura de Banking Dive sobre Morgan Stanley, JPMorgan y Citi es la versión pública de una conversación privada que los equipos de plataforma senior llevan dos años manteniendo.

Para los consejos, la implicación es directa. La pregunta ya no es «¿deberíamos usar open source?». Es: ¿disponemos de los SBOMs, la procedencia SLSA, las firmas sigstore, los scorecards de OSSF y una política de contribución alineada con FINOS para usarlo con seguridad? Si la respuesta es no, la respuesta al regulador también será no.

Para los responsables de ingeniería, la implicación es más afilada. Elija las capas portantes — ingress, parseo, criptografía, build, cadena de suministro — y estandarice sobre componentes con licencias permisivas, seguros en memoria y con modelos de amenazas explícitos. Los ejemplos del stack Rust de cero dependencias de este artículo son un conjunto válido. Lo que importa es la forma, no la marca. Construya el sustrato para que la superficie pueda moverse rápido.

El open source ya no es la pregunta de la modernización. Es la respuesta de la modernización.

Última revisión 2026-06-28.

Última revisión 2026-06-29.

Volver a publicar este artículo

Open source, FINOS y el stack CIB cloud-native — Sebastien Rousseau

Cómo FINOS, la Linux Foundation y un stack Rust de cero dependencias están redefiniendo el stack CIB cloud-native — talento, cumplimiento, PSD3 y procedencia de la cadena de suministro.

Este artículo se publica bajo Creative Commons Attribution 4.0 International. La republicación requiere atribución a la URL canónica.

Open source, FINOS y el stack CIB cloud-native — Sebastien Rousseau

Cómo FINOS, la Linux Foundation y un stack Rust de cero dependencias están redefiniendo el stack CIB cloud-native — talento, cumplimiento, PSD3 y procedencia de la cadena de suministro.

Originally published at https://sebastienrousseau.com/es/2026-06-28-open-source-finos-cloud-native-cib-stack-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER

Open source, FINOS y el stack CIB cloud-native

01. Por qué los CIB se abren

02. El stack Rust de cero dependencias

03. El open source sostiene las agendas ISO, IA y cuántica

04. Plataformización bajo PSD3 y FiDA

Conclusión

Copiar formato para Medium

Copiar formato para Mastodon

Copiar formateado para LinkedIn

BibTeX

RIS

Vancouver

Chicago

APA

Volver a publicar este artículo