Artículo 316 Bis 10

(47) Artículo 316 Bis 10. - Las Instituciones que utilicen Medios Electrónicos para la celebración de

operaciones y prestación de servicios, deberán implementar medidas o mecanismos de seguridad en la

transmisión, almacenamiento y procesamiento de la información a través de dichos Medios Electrónicos,

a fin de evitar que sea conocida por terceros. Para tales efectos, las Instituciones deberán cumplir con lo

siguiente:

(47) I. Cifrar los mensajes o utilizar medios de comunicación Cifrada, en la transmisión de la Información

Sensible del Usuario procesada a través de Medios Electrónicos, desde el Dispositivo de Acceso hasta

la recepción para su ejecución por parte de las Inst ituciones, a fin de proteger la información a que

se refiere el Artículo 117 de la Ley, incluyendo la relativa a la identificación y Autenticación de Usuarios

tales como Contraseñas, Números de Identificación Personal (NIP), cualquier otro Factor de

Autenticación, así como la información de las respuestas a las preguntas secretas a que se refiere el

penúltimo párrafo del Artículo 316 Bis 3 de estas disposiciones.

(47) Para efectos de lo anterior, las Instituciones deberán utilizar tecnologías que manejen Cifrado y

que requieran el uso de llaves criptográficas para asegurar que terceros no puedan conocer los datos

transmitidos.

(47) Las Instituciones serán responsables de la administración de las llaves criptográficas, así como de

cualquier otro componente utilizado para el Cifrado, considerando procedimientos que aseguren

su integridad y confidencialidad, protegiendo la información de Autenticación de sus Usuarios.

(47) Tratándose de Pago Móvil, Banca Telefónica Voz a Voz y Banca Telefónica Audio Respuesta,

podrán implementar controles compensatorios al Cifrado en la transmisión de información a fin de

protegerla.

(47) II. Las Instituciones deberán Cifrar o truncar la información de las cuentas u operaciones de sus

Usuarios y Cifrar las Contraseñas, Números de Identificación Personal (NIP), respuestas secretas, o

cualquier otro Factor de Autenticación, en caso de que se almacene en cualquier componente de

los Medios Electrónicos.

(47) III. En ningún caso, las Instituciones podrán transmitir las Contraseñas y Números de Identificación

Personal (NIP), a través de correo electrónico, servicios de mensajería instantánea, Mensajes de Texto

SMS o cualquier otra tecnología, que no cuente con mecanismos de Cifrado.

(47) Se exceptúa de lo previsto en esta fracción a las Contraseñas y Números de Identificación

Personal (NIP) utilizados para acceder al servicio de Pago Móvil, siempre y cuando las Instituciones

mantengan controles para que no se pongan en riesgo los recursos y la información de sus Usuarios.

Las Instituciones que pretendan utilizar los controles a que se refiere el presente párrafo deberán

obtener la previa autorización de la Comisión, para tales efectos.

(47) Asimismo, la información de los Factores de Autenticación Categoría 2 a que se refiere el Artículo

310 de las presentes disposiciones, utilizados para acceder a la información de los estados de cuenta,

podrá ser comunicada al Usuario mediante dispositivos de audio respuesta automática, así como

por correo, siempre y cuando esta sea enviada utilizando mecanismos de seguridad, previa solicitud

del Usuario y se hayan llevado a cabo los procesos de Autenticación correspondientes.

(47) IV. Las Instituciones deberán asegurarse de que las llaves criptográficas y el proceso de Cifrado y

descifrado se encuentren instalados en dispositivos de alta seguridad, tales como los denominados

HSM (Hardware Security Module), los cuales deberán contar con prácticas de administración que

eviten el acceso no autorizado y la divulgación de la información que contienen.

(260) V. Tratándose del servicio de Banca Electrónica en el que se utilicen tarjetas de débito y de crédito,

con las certificaciones que se indican a continuación:

(260) a) Certificaciones de normas de seguridad de la industria de tarjetas, incluyendo entre otras: la

norma de seguridad de datos (PCI-DSS), la norma de seguridad de datos para las aplicaciones

de pago (PA-DSS) y los requisitos de seguridad y transacciones con NIP (PTS) o sus equivalentes

o aquellos que, a criterio de la Comisión, permitan la debida protección de la información

almacenada, transmitida o procesada.

(260) b) Certificación conforme al estándar de interoperabilidad de tarjetas de débito y de crédito

conocido como EMV, niveles 1 (interfaces, físico, eléctrico y de transporte) y 2 (selección de

aplicaciones de pago y procesamiento de transacciones), en su caso, aquellos otros estándares

que, a criterio de la Comisión, satisfagan este requerimiento y permitan la adecuada

interoperabilidad. Lo anterior solo aplicará en aquellos Dispositivos de Acceso para operaciones

con Tarjeta Bancaria con Circuito Integrado en que la información para realizar operaciones se

toma directamente del circuito integrado de esta.