Artículo 28

Artículo 28.- Las instituciones de fondos de pago electrónico, para la implementación y el desarrollo de sus sistemas informáticos, ya sea por parte de la propia institución o por medio de un tercero especializado en el desarrollo de programas de cómputo contratado por esta, deberán cumplir con lo siguiente:

1. I.

   Documentar sus procesos, funcionalidades y configuraciones, incluyendo su metodología de desarrollo o adquisición, así como el registro de sus cambios, actualizaciones y el inventario detallado de cada componente de la Infraestructura Tecnológica.

El proceso de desarrollo deberá implementar aspectos de seguridad de la información, al menos, en las siguientes etapas:

1. a)

   Elaboración de requerimientos.

2. b)

   Diseño del sistema informático.

3. c)

   Desarrollo o adquisición del sistema informático conforme al diseño a que se refiere el inciso

4. b)

   anterior.

5. d)

   Validación de funcionalidades, propósito, capacidad y calidad del sistema informático.

6. e)

   Pruebas de vulnerabilidades y análisis de código previas a su liberación.

7. f)

   Liberación o instalación del sistema informático.

8. g)

   Control de cambios en el sistema informático.

9. h)

   Destrucción segura de información al término de la vida útil de componentes o sistemas.

10. i)

    En caso de que el software sea desarrollado por una empresa externa especializada, la institución de fondos de pago electrónico deberá solicitar que el software entregado contenga mecanismos para validar su integridad y autenticidad al momento de instalarlo en su Infraestructura Tecnológica.

11. II.

    Los sistemas informáticos deberán considerar las siguientes funcionalidades durante todo su proceso de operación:

12. a)

    Mecanismos de Autenticación entre los diferentes componentes utilizados para la operación de la institución de fondos de pago electrónico.

13. b)

    Uso de firmas electrónicas para garantizar la integridad y el no repudio de la información operativa de la institución de fondos de pago electrónico, con independencia de que sea información estática o en tránsito.

14. c)

    Gestión de Usuarios de la Infraestructura Tecnológica y sus privilegios.

15. d)

    Uso de comunicaciones cifradas para la comunicación de los diferentes sistemas informáticos y sus componentes.

16. III.

    Revisar de forma estática, al menos a través de herramientas automatizadas, la seguridad del sistema informático cada vez que se realice una actualización de este.