Artículo 265 Bis 28

(11) Artículo 265 Bis 28.- Las Sociedades Financieras Populares estarán obligadas a realizar revisiones de seguridad, enfocadas a verificar la suficiencia en los controles aplicables a la infraestructura de cómputo y telecomunicaciones utilizada para la realización de operaciones y prestación de servicios a través de Medios Electrónicos.

(11) Las revisiones a que se refiere el párrafo anterior deberán realizarse al menos en forma anual, o bien, cuando se presenten cambios significativos en dicha infraestructura, debiendo comprender al menos lo siguiente:

1. (11)I.

   Mecanismos de Autenticación de los Usuarios;

2. (11)II.

   Configuración y controles de acceso a la infraestructura de cómputo y telecomunicaciones;

3. (11)III.

   Actualizaciones requeridas para los sistemas operativos y software en general;

4. (11)IV.

   Análisis de vulnerabilidades sobre la infraestructura y sistemas;

5. (11)V.

   Identificación de posibles modificaciones no autorizadas al software original;

6. (11)VI.

   Infraestructura tecnológica, sistemas y procesos asociados a los Medios Electrónicos, a fin de verificar que no se cuente con herramientas o procedimientos que permitan conocer los valores de Autenticación de los Usuarios, así como cualquier información que de manera directa o indirecta pudiera dar acceso a una Sesión en nombre del Usuario, y

7. (11)VII.

   El análisis metódico de los aplicativos críticos relacionados con los Servicios Electrónicos, con la finalidad de detectar errores, funcionalidad no autorizada o cualquier código que ponga o pueda poner en riesgo la información de los Usuarios y de la propia Sociedad Financiera Popular.

(11) Las Sociedades Financieras Populares deberán revisar adicionalmente, en los términos de esta sección, los equipos que, en su caso, hayan dispuesto para que los Usuarios realicen operaciones a través de Medios Electrónicos.

(11) Asimismo, las Sociedades Financieras Populares deberán mantener en su infraestructura de cómputo y telecomunicaciones para la operación de Servicios Electrónicos, dispositivos y medios automatizados para detectar y prevenir eventos que puedan afectar la confidencialidad, integridad y disponibilidad de la información de los Usuarios, así como aquellos que eviten conexiones y flujos de datos entrantes o salientes, no autorizados. Asimismo, las Sociedades Financieras Populares deberán mantener controles que eviten la divulgación no autorizada de la información de configuración de dicha infraestructura.