Artículo 168 Bis 11

(346) Artículo 168 Bis 11.- La persona titular de la Dirección General de la Institución será responsable de la

implementación del Sistema de Control Interno en materia de seguridad de la información que procure

su confidencialidad, integridad y disponibilidad. El marco de gestión a que se refiere este artículo deberá

asegurar que la Infraestructura Tecnológica, propia o provista por terceros, se apegue a los

requerimientos siguientes:

(260) I. Que cada uno de sus componentes realice las funciones para las que fue diseñado, desarrollado o

adquirido.

(260) II. Que sus procesos, funcionalidades y configuraciones, incluyendo su metodología de desarrollo o

adquisición, así como el registro de sus cambios, actualizaciones y el inventario detallado de cada

componente de la Infraestructura Tecnológica, estén documentados.

(260) III. Que se hayan considerado aspectos de seguridad de la información en la definición de proyectos

para adquirir o desarrollar cada uno de sus componentes, debiendo incluirlos durante las diversas

etapas del ciclo de vida. Este comprenderá la elaboración de re querimientos, diseño, desarrollo o

adquisición, pruebas de implementación, pruebas de aceptación por parte de los Usuarios de la

Infraestructura Tecnológica, procesos de liberación incluyendo pruebas de vulnerabilidades y

análisis de código previos a su pu esta en producción, pruebas periódicas, gestión de cambios,

reemplazo y destrucción de información.

(260) Tratándose de componentes de comunicaciones y de cómputo, los aspectos de seguridad

deberán incluir, al menos, lo siguiente:

(260) a) Segregación lógica, o lógica y física de las diferentes redes en distintos dominios y sub redes ,

dependiendo de la función que desarrollen o el tipo de datos que se transmitan, incluyendo

segregación de los ambientes productivos de los de desarrollo y pruebas, así como

componentes de seguridad perimetral y de redes que aseguren que solamente el tráf ico

autorizado es permitido. En particular, en aquellos segmentos con enlaces al exterior, tales

como Internet, proveedores, autoridades, otras redes de la Institución o matriz y otros terceros,

todo ello referido a servicios críticos, ya sean sistemas de pagos, equipos de cifrado,

autorizadores de operaciones, entre otros, considerar zonas seguras, incluyendo las

denominadas zonas desmilitarizadas (DMZ por sus siglas en inglés).

(260) b) Configuración segura de acuerdo con el tipo de componente, considerando al menos, puertos

y servicios, permisos otorgados bajo el principio de mínimo privilegio, uso de medios extraíbles

de almacenamiento, listas de acceso, actualizaciones del fabricant e y reconfiguración de

parámetros de fábrica. Se entenderá como principio de mínimo privilegio a la habilitación del

acceso únicamente a la información y recursos necesarios para el desarrollo de las funciones

propias de cada Usuario de la Infraestructura Tecnológica.

(260) IV. Que cada uno de sus componentes sea probado antes de ser implementado o modificado,

utilizando mecanismos de control de calidad que eviten que en dichas pruebas se utilicen datos

reales del ambiente de producción, se revele información confidencial o de seguridad, o se

introduzca cualquier funcionalidad no reconocida para dicho componente.

(260) V. Que cuente con las licencias o autorizaciones de uso, en su caso.

(260) VI. Que cuente con medidas de seguridad para su protección, así como para el acceso y uso de la

información que sea recibida, generada, transmitida, almacenada y procesada en la propia

Infraestructura Tecnológica, contando al menos con lo siguiente:

(260) a) Mecanismos de identificación y Autenticación de todos y cada uno de los Usuarios de la

Infraestructura Tecnológica, que permitan reconocerlos de forma inequívoca y aseguren el

acceso únicamente a las personas autorizadas expresamente para ello, bajo el principio de

mínimo privilegio.

(260) Para lo anterior, se deberán incluir controles pertinentes para aquellos Usuarios de la

Infraestructura Tecnológica con mayores privilegios, derivados de sus funciones, tales como, la

de administración de bases de datos y de sistemas operativos.

(260) Asimismo, se deberán prever políticas y procedimientos para las autorizaciones de accesos

por excepción, tales como usuarios de ambientes de desarrollo con acceso a ambientes de

producción y con acceso por eventos de contingencia, entre otros. Dichas polít icas y

procedimientos deberán ser aprobados por el oficial en jefe de seguridad de la información.

(260) b) Cifrado de la información conforme al grado de sensibilidad o clasificación que la Institución

determine y establezca en sus políticas, cuando dicha información sea transmitida,

intercambiada y comunicada entre componentes, o almacenada en la Infraestru ctura

Tecnológica o se acceda de forma remota.

(260) c) Claves de acceso con características de composición que eviten accesos no autorizados,

considerando procesos que aseguren que solo el Usuario de la Infraestructura Tecnológica sea

quien las conozca, así como medidas de seguridad, cifrado en su almacenamien to y

mecanismos para cambiar las claves de acceso cada 90 días o menos. En el caso de los Usuarios

de la Infraestructura Tecnológica asignados a aplicativos o componentes para autenticarse

entre ellos, el cambio a que alude este inciso deberá realizarse al menos una vez al año. En el

evento de que algún Usuario de la Infraestructura Tecnológica tenga conocimiento de las

claves de acceso y deje de prestar sus servicios a la Institución, estas deberán modificarse de

manera inmediata.

(260) d) Controles para terminar automáticamente sesiones no atendidas, así como para evitar

sesiones simultáneas no permitidas con un mismo identificador de Usuario de la

Infraestructura Tecnológica.

(260) e) Mecanismos de seguridad, tanto de acceso físico, como de controles ambientales y de energía

eléctrica, que protejan la Infraestructura Tecnológica y permitan la operación conforme a las

especificaciones del proveedor, fabricante o desarrollador.

(260) f) Medidas de validación para garantizar la autenticidad de las transacciones ejecutadas por los

diferentes componentes de la Infraestructura Tecnológica, considerando, al menos lo siguiente:

(260) 1. La veracidad e integridad de la información.

(260) 2. La Autenticación entre componentes de la Infraestructura Tecnológica, que aseguren que

se ejecutan solo las solicitudes de servicio legítimas desde su origen y hasta su ejecución y

registro.

(260) 3. Los protocolos de mensajería, comunicaciones y cifrado, los cuales deben procurar la

integridad y confidencialidad de la información.

(260) 4. La identificación de transacciones atípicas, previendo que las aplicaciones cuenten con

medidas de alerta automática para su atención de las áreas operativas correspondientes.

(260) 5. La actualización y mantenimiento de certificados digitales y componentes

proporcionados por proveedores de servicios que estén integrados al proceso de ejecución

de transacciones.

Las medidas a que alude este inciso deberán establecerse acorde con el grado de riesgo que

las Instituciones definan para cada tipo de transacción.

(260) VII. Que cuente con mecanismos de respaldo y procedimientos de recuperación de la información

que mitiguen el riesgo de interrupción de la operación, en concordancia con lo dispuesto en el