Artículo 120 Bis 4

(19) Artículo 120 Bis 4.- Las casas de bolsa, en la utilización de medios electrónicos, para celebrar operaciones con sus clientes y proporcionar servicios, deberán ajustarse a lo siguiente:

1. (19)I.

   Cifrar el mensaje o utilizar medios de comunicación cifrada, aplicando como mínimo el tipo de cifrado de 128 bits, para la transmisión de información cuando el medio electrónico utilizado para llevar a cabo consultas, operaciones monetarias y cualquier otro tipo de transacción, entre la casa de bolsa y sus clientes, sea la red electrónica mundial denominada Internet.

(19) Para los demás medios electrónicos, las casas de bolsa deberán contar con mecanismos de seguridad tendientes a evitar que terceros no autorizados puedan acceder o hacer mal uso de la información transmitida.

1. (19)II.

   Establecer mecanismos para el proceso de generación y entrega de contraseñas o claves de acceso, que aseguren que sólo el usuario podrá activarlos. Adicionalmente, deberán realizarse las acciones necesarias para que los usuarios no utilicen como contraseña o clave de acceso:

2. (19)a)

   El identificador de usuario.

3. (19)b)

   El nombre de la casa de bolsa.

4. (19)c)

   Más de dos caracteres idénticos en forma consecutiva.

5. (19)d)

   Más de dos consecutivos numéricos o alfabéticos.

(19) La longitud de las contraseñas o claves de acceso deberá ser de al menos seis caracteres. Cuando el medio electrónico utilizado sea la red electrónica mundial denominada Internet, las contraseñas o claves de acceso deberán incluir caracteres alfanuméricos. Tratándose del teléfono, no será aplicable la restricción prevista en el inciso d) anterior.

1. (19)III.

   Proveer lo necesario para evitar la lectura de los caracteres que componen las contraseñas o claves de acceso digitadas por el cliente en la pantalla del medio electrónico de acceso.

2. (19)IV.

   Establecer mecanismos para que, en caso de que exista inactividad en una sesión por parte de un usuario, por un lapso que determine la casa de bolsa, de acuerdo al servicio de que se trate y en función de los riesgos inherentes al mismo, la sesión se dé por terminada en forma automática. En ningún caso el periodo de inactividad en una sesión podrá exceder de los veinte minutos.

(19) En el evento de que se ofrezcan servicios de afiliados o de terceros mediante enlaces electrónicos, se deberá comunicar al usuario que al momento de ingresar a dichos servicios, se cerrará la sesión establecida con la casa de bolsa de que se trate y se ingresará a otra cuya seguridad no depende, ni es responsabilidad de dicha entidad, siempre y cuando esta última sea quien controle el enlace electrónico mencionado.

1. (19)V.

   Establecer esquemas de bloqueo automático de contraseñas o claves de acceso, cuando menos, para los casos siguientes:

2. (19)a)

   Cuando se intente ingresar a los medios electrónicos, utilizando contraseñas o claves de acceso incorrectas. En ningún caso los intentos de acceso fallidos podrán exceder de cinco ocasiones consecutivas sin que se genere el bloqueo automático.

3. (19)b)

   Cuando el usuario se abstenga de realizar movimientos o acceder a su cuenta, a través de medios electrónicos, por un periodo que determine cada casa de bolsa en sus políticas de operación, de acuerdo con el servicio de que se trate y en función de los riesgos inherentes al mismo.

4. (19)VI.

   Prever procedimientos para el restablecimiento de contraseñas o claves de acceso que aseguren que el usuario correspondiente sea quien las reestablezca, de acuerdo a lo que el medio electrónico de que se trate permita. Las casas de bolsa podrán hacer uso de preguntas secretas, siempre que las respuestas respectivas sean almacenadas en forma cifrada y que cada pregunta pueda ser utilizada en una sola ocasión para el restablecimiento de sus contraseñas.

5. (19)VII.

   Evitar el acceso en forma simultánea, mediante la utilización de un mismo identificador de usuario, para la realización de consultas, operaciones monetarias y cualquier otro tipo de transacción pactada.

6. (19)VIII.

   Realizar campañas de difusión de recomendaciones de seguridad para la realización de operaciones a través de medios electrónicos.

7. (19)IX.

   Aplicar, bajo su responsabilidad, medidas de prevención, tales como la suspensión de la prestación de los servicios o, en su caso, de la transacción que se pretenda realizar, de conformidad con lo pactado en el contrato respectivo, en el evento de que las casas de bolsa cuenten con elementos que hagan presumir que la contraseña o clave de acceso no está siendo utilizada por el usuario.

(19) Cuando el medio pactado sea el teléfono de voz a voz, no resultarán aplicables las fracciones I a VI de este artículo. Asimismo, en caso de que se pacte la realización de operaciones monetarias a través de medios de telecomunicaciones en los que se utilice la voz, las casas de bolsa deberán implementar mecanismos que permitan la autenticación del cliente.