Artículo 17 Bis 28

(2) Artículo 17 Bis 28.- Las Sociedades estarán obligadas a realizar revisiones de seguridad, enfocadas a verificar la suficiencia en los controles aplicables a la infraestructura de cómputo y telecomunicaciones utilizada para la realización de operaciones y prestación de servicios a través de Medios Electrónicos.

(2) Las revisiones a que se refiere el párrafo anterior deberán realizarse al menos en forma anual, o bien, cuando se presenten cambios significativos en dicha infraestructura, debiendo comprender al menos lo siguiente:

1. (2)I.

   Mecanismos de Autenticación de los Usuarios;

2. (2)II.

   Configuración y controles de acceso a la infraestructura de cómputo y telecomunicaciones;

3. (2)III.

   Actualizaciones requeridas para los sistemas operativos y software en general;

4. (2)IV.

   Análisis de vulnerabilidades sobre la infraestructura y sistemas;

5. (2)V.

   Identificación de posibles modificaciones no autorizadas al software original;

6. (2)VI.

   Infraestructura tecnológica, sistemas y procesos asociados a los Medios Electrónicos, a fin de verificar que no se cuente con herramientas o procedimientos que permitan conocer los valores de Autenticación de los Usuarios, así como cualquier información que de manera directa o indirecta pudiera dar acceso a una Sesión en nombre del Usuario, y

7. (2)VII.

   El análisis metódico de los aplicativos críticos relacionados con los Servicios Electrónicos, con la finalidad de detectar errores, funcionalidad no autorizada o cualquier código que ponga o pueda poner en riesgo la información de los Usuarios y de la propia Sociedad.

(2) Las Sociedades deberán revisar adicionalmente, en los términos de esta sección, los equipos que, en su caso, hayan dispuesto para que los Usuarios realicen operaciones a través de Medios Electrónicos.

(2) Asimismo, las Sociedades deberán mantener en su infraestructura de cómputo y telecomunicaciones para la operación de Servicios Electrónicos, dispositivos y medios automatizados para detectar y prevenir eventos que puedan afectar la confidencialidad, integridad y disponibilidad de la información de los Usuarios, así como aquellos que eviten conexiones y flujos de datos entrantes o salientes, no autorizados. Asimismo, las Sociedades deberán mantener controles que eviten la divulgación no autorizada de la información de configuración de dicha infraestructura.