Artículo 9

Artículo 9.- Los Asesores en Inversiones, al solicitar la autorización a que se refiere el artículo 7 deberán presentar lo siguiente:

1. I.

   Descripción detallada del proceso de identificación no presencial, así como de la Infraestructura Tecnológica utilizada en cada parte de este, especificando la función de cada componente de dicha infraestructura, el cual deberá ser aprobado por el responsable de riesgos o su equivalente o, en caso de no contar con este, por el comité de auditoría, el consejo de administración o administrador único, salvo en el caso de Asesores en Inversiones que sean personas físicas. Asimismo, los Asesores en Inversiones deberán incluir a todos los proveedores de tecnología que intervienen en la Infraestructura Tecnológica y, en su caso, las aplicaciones principales utilizadas para el referido proceso y su interrelación.

2. II.

   Descripción de los medios electrónicos utilizados para que los solicitantes envíen, en su caso, el formulario y documentos por un canal seguro considerando, al menos, el tipo de transmisión del dispositivo hacia el nodo que recibe la información del formulario, tales como el protocolo seguro de transferencia de hipertexto (HTTPS pos sus siglas en inglés), o el protocolo de seguridad TLS (Transport Layer Security por su nombre en inglés) versión 1.2 o superior.

3. III.

   Nombre del prestador de servicios de certificación autorizado por la Secretaría de Economía utilizado para la conservación de la versión digital de alguno de los documentos válidos de identificación a que se refiere la 4ª Bis de las presentes Disposiciones, conforme a la Norma Oficial Mexicana sobre digitalización y conservación de Mensajes de Datos aplicable o considerar una norma internacional siempre que el estándar de cumplimiento tenga al menos los requisitos de dicha norma oficial mexicana y no contravenga la misma.

4. IV.

   Diagrama de red que muestre todos los componentes de la Infraestructura Tecnológica que forman parte del proceso de identificación no presencial, incluyendo la segregación de redes de comunicaciones y equipos de seguridad perimetral, considerando esquemas de redundancia. Se deroga.

5. V.

   Información detallada sobre si las imágenes de los documentos válidos de identificación, grabaciones e información biométrica se mantendrán en instalaciones de proveedores de servicios o del propio Asesor en Inversiones, describiendo los controles para la gestión de acceso y mecanismos para su almacenamiento.

6. VI.

   Evidencia de que los medios de verificación de la validez de los documentos de identificación tienen la efectividad aprobada por el responsab

le de riesgos o su equivalente o, en caso de no contar con este, por el comité de auditoría, el consejo de administración o administrador único de los Asesores en Inversiones, salvo en el caso de Asesores en Inversiones que sean personas físicas.

1. VII.

   En su caso, evidencia de que los sistemas, herramientas o mecanismos utilizados para los reconocimientos de identificación de rostro o las verificaciones de cualquier otro elemento biométrico que se utilicen, tengan el nivel de fiabilidad determinado por el responsable de riesgos o su equivalente o, en caso de no contar con este, por el comité de auditoría, el consejo de administración o administrador único del Asesor en Inversiones, salvo en el caso de Asesores en Inversiones que sean personas físicas.

2. VIII.

   En su caso, información detallada sobre las pruebas de calibración a los sistemas, herramientas o mecanismos utilizados para los reconocimientos de identificación de rostro o las verificaciones de cualquier otro elemento biométrico que se utilicen.

TEXTO COMPILADO NO OFICIAL

Dichas pruebas deben ser realizadas conforme a los umbrales establecidos por el Asesor en Inversiones, los cuales deberán contemplar los resultados de estas pruebas, y los ajustes del motor de validación derivado de ellos. Los Asesores en Inversiones deberán acompañar a su solicitud de autorización evidencias de todo lo anterior.

1. IX.

   Los estándares de calidad de la imagen y en su caso, de sonido.

2. X.

   En su caso, la descripción técnica de los factores de autenticación categoría 3 que se requerirá para corroborar que un solicitante es Cliente del Asesor en Inversiones, conforme a lo previsto en el artículo 7 del presente Anexo, así como las características de código de un solo uso.

3. XI.

   Mecanismos a través de los cuales transmitirán y resguardarán de manera segura la información, datos y documentos generados en el procedimiento de identificación no presencial.

4. XII.

   Mecanismos utilizados para garantizar la integridad, correcta lectura, imposibilidad de manipulación y adecuada seguridad, conservación y localización de la información, datos y documentos a que se refiere el presente Anexo.

5. XIII.

   Mecanismos de cifrado en los canales de comunicación utilizados en el proceso de identificación no presencial, indicando la información que será transmitida por cada uno de dichos canales.

6. XIV.

   Mecanismos utilizados para la gestión de accesos a los sistemas, así como las políticas para la gestión de accesos, en las que se incluya el uso de contraseñas robustas.

7. XV.

   Políticas y procedimientos de gestión de incidentes de seguridad de la información.

8. XVI.

   Mecanismos o herramientas utilizadas para el monitoreo y bloqueo de contrataciones que presenten las situaciones descritas en el inciso e) de la fracción VII del artículo 7 del presente Anexo.

9. XVII.

   Realizar pruebas tendientes a detectar vulnerabilidades y amenazas, así como pruebas de penetración en los diferentes componentes de la Infraestructura Tecnológica utilizada en el proceso, ya sea propia o de terceros. Las pruebas de penetración mencionadas deberán realizarse por un tercero independiente que cuente con personal que tenga la capacidad técnica comprobable mediante certificaciones especializadas de la industria en la materia. Los Asesores en Inversiones deberán proporcionar a la Comisión evidencia de la realización de las pruebas a las que se refieren las fracciones VIII y XVII del presente artículo, antes de implementar el esquema que se les haya autorizado de conformidad con el artículo 7 del presente Anexo. Será responsabilidad de los Asesores en Inversiones que contraten a terceros para almacenar, procesar y tr

ansmitir información en el proceso de contratación no presencial, la vigilancia del cumplimiento al presente artículo, al menos una vez al año, así como la obligación de contar con la evidencia que lo sustente, la cual deberán tener a disposición de la Comisión en todo momento. Cuando los Asesores en Inversiones pretendan modificar alguno de los procedimientos que tengan autorizados para dar cumplimiento al artículo 4 o artículo 5, según corresponda, del presente Anexo, requerirán de la previa autorización de la Comisión.

Capitulo adicionado DOF 20-01-2023