Artículo 4

Artículo 4.- Los Proveedores de Datos deberán contar con una política de seguridad de la información que proteja en todo momento la Infraestructura, propia o de terceros contratados por estos, así como la confidencialidad e integridad de los Datos que, en su caso, compartan a través de APIs. La mencionada política de seguridad deberá contener procedimientos continuos, mecanismos y controles considerando, al menos, lo siguiente:

1. I.

   Configuración segura de los componentes tecnológicos de su Infraestructura, incluyendo, entre otros, cierre de puertos y servicios, instalación de mecanismos para detección y prevención de virus, códigos maliciosos y detección de intrusos, así como actualizaciones del fabricante.

2. II.

   Mecanismos de identificación y autenticación del personal responsable del manejo de APIs bajo el principio de mínimo privilegio. Se entenderá como principio de mínimo privilegio a la habilitación del acceso únicamente a la información y recursos necesarios para el desarrollo de las funciones propias del personal referido.

3. III.

   Cifrado de la información almacenada y de los canales a través de los que se envíen los Datos, así como mecanismos de identificación y autenticación, que cumplan con los Anexos 1 y 2 de las presentes disposiciones.

4. IV.

   Procesos de gestión para la atención de Incidentes de Seguridad de la Información que se presenten en la operación de las APIs, que aseguren la detección, atención y contención, investigación y, en su caso, análisis forense digital, diagnóstico, solución, seguimiento y reporte a la CNBV a que hace referencia el artículo 6 de estas disposiciones.

5. V.

   Programa de pruebas de escaneo de vulnerabilidades y amenazas en el acceso y administración de las APIs, el cual podrá ser realizado por un tercero. El mencionado programa deberá considerar la realización de dichas pruebas al menos una vez cada 3 meses, así como con un plan de remediación para las vulnerabilidades críticas detectadas.

6. VI.

   Programa de pruebas de penetración, el cual establezca que se realizarán al menos dos pruebas al año sobre sistemas y aplicativos que estén relacionados o conectados con APIs, o bien, cuando lo ordene la CNBV. Dichas pruebas se deberán realizar por un tercero independiente que cuente con personal con capacidad técnica comprobable mediante certificaciones especializadas de la industria en la materia. Asimismo, se deberá contar con un plan de remediación para las vulnerabilidades críticas detectadas.

7. VII.

   Mecanismos de respaldo y procedimientos de recuperación de la información que mitiguen el riesgo de interrupción de la operación.

8. VIII.

   Registros de auditoría íntegros, incluyendo la información detallada de los accesos o intentos de acceso y la operación o actividad efectuada por el Solicitante de Datos con la información obtenida. La información a que se refiere el presente numeral deberá conservarse por, al menos, un año.

Tratándose de Proveedores de Datos cuyo régimen normativo establezca disposiciones en materia de seguridad de la información, lo previsto en este artículo deberá ser incorporado en las políticas y procedimientos que deban establecer conforme a dicho régimen.