Artículo 64 Bis 9

(5) Artículo 64 Bis 9.- Las sociedades que administran mecanismos electrónicos de negociación de acciones de fondos de inversión o de divulgación de información de fondos de inversión, en la utilización de sistemas automatizados para la prestación de sus servicios, tendrán las obligaciones siguientes:

1. (18)I.

   Asegurarse de que dichos sistemas permitan la identificación por estricto orden cronológico de todas las operaciones que se celebren o eventos e información relevante que se divulgue a través de ellos.

2. (5)II.

   Asegurarse de que sus procesos y aplicaciones estén debidamente documentados, incluyendo la metodología de desarrollo, así como los registros de sus cambios.

3. (5)III.

   Realizar pruebas de manera previa a efectuar cambios o actualizaciones en dichos sistemas.

4. (5)IV.

   Mantener una debida segregación de funciones respecto al personal que realice las actividades de desarrollo, operación, soporte y uso de sus sistemas.

5. (18)V.

   Establecer medidas de seguridad que garanticen la integridad y confidencialidad de la información generada, almacenada y, en su caso, transmitida, así como la integridad de los sistemas. Dichas medidas deberán ser acordes con el grado de criticidad de la información.

6. (18)VI.

   Mantener esquemas de control de acceso a los citados sistemas, previendo la entrega y uso de medios de identificación y autenticación acordes al uso que de estos requiera cada persona que los utilice.

(18) Adicionalmente, deberán prever las responsabilidades de las personas que utilicen los sistemas automatizados, los procedimientos de revisión periódica de la vigencia de los datos de tales personas y el procedimiento para la modificación de los datos de los usuarios.

1. (18)VII.

   Llevar registros de los accesos efectuados a sus sistemas y, en su caso, de las operaciones celebradas a través de estos, incluyendo la información detallada de las operaciones efectuadas por los usuarios. Estos registros deberán contar con mecanismos que eviten ser alterados.

2. (18)VIII.

   Contar con políticas y procedimientos para la revisión periódica de los registros de acceso y, en su caso, de las operaciones efectuadas por las sociedades, entidades o personas que contraten sus servicios.

3. (18)IX.

   Contar con mecanismos de respaldo y procedimientos de recuperación de la información que minimicen el riesgo de pérdida, así como con medios alternos para que las sociedades que administran mecanismos electrónicos de negociación de acciones de fondos de inversión intercambien información con las sociedades operadoras de fondos de inversión, sociedades o entidades que presten el servicio de distribución de acciones de fondos de inversión o bien otras sociedades de su mismo tipo, así como para que las sociedades que administran mecanismos electrónicos de divulgación de información de fondos de inversión reciban la información correspondiente.

4. (5)X.

   Contar con infraestructura de procesamiento y comunicaciones de alta disponibilidad, considerando los esquemas de redundancia o mecanismos alternos que minimicen el riesgo de interrupción en el servicio de las sociedades.

5. (18)XI.

   Implementar mecanismos que midan y aseguren niveles adecuados de disponibilidad y tiempos de respuesta, que garanticen la adecuada ejecución de las operaciones y prestación de sus servicios.

6. (5)XII.

   Realizar al menos una vez al año pruebas tendientes a detectar vulnerabilidades en los sistemas automatizados y equipos de cómputo.

7. (18)XIII.

   Definir esquemas de control y políticas de operación, autenticación, autorización y acceso a sus sistemas, bases de datos y aplicaciones implementadas para la prestación de sus servicios a través de cualquier medio electrónico.

8. (5)XIV.

   Mantener los controles necesarios que permitan asegurar confidencialidad en la generación, almacenamiento, transmisión y recepción de las claves de identificación y acceso para los usuarios.

9. (20)XV.

   Derogada.

10. (20)XVI.

    Derogada.

(5) Sección Tercera (5) De la contratación de servicios con terceros relacionados con algún proceso operativo o tecnológico que contemple la transmisión, almacenamiento, procesamiento, resguardo y custodia de la información, o con la administración de bases de datos