Artículo 15

Artículo 15.- Las Sociedades deberán prever las medidas que estimen necesarias a fin de que los sistemas informáticos o plataformas tecnológicas que utilicen para realizar sus procesos y para la prestación de servicios de calificación de créditos mediante Valoraciones Numéricas, cumplan con lo siguiente:

1. I.

   Realicen, en todo momento, las funciones para las que fueron diseñados, desarrollados o adquiridos, manteniendo controles que aseguren en su operación una adecuada segregación de funciones y adecuados esquemas de autorización de las operaciones.

Insurgentes Sur No. 1971, Plaza Inn, Col. Guadalupe Inn C.P. 01020, Delegación Álvaro Obregón, Ciudad de México Tel.: 5255 1454-6000 www.gob.mx/cnbv

1. II.

   Se encuentren debidamente documentadas sus aplicaciones y procesos, incluyendo su metodología de desarrollo, así como los registros de sus cambios.

2. III.

   Sean probados antes de ser implementados, al realizar cambios sobre los mismos, así como al aplicar actualizaciones, utilizando mecanismos de control de calidad que eviten que se utilicen en ambientes de producción o funcionalidades no autorizadas.

3. IV.

   Cuenten con controles de acceso a la información, considerando al menos:

4. a)

   Mecanismos de autenticación de Usuarios que aseguren el acceso únicamente a las personas autorizadas expresamente para ello, incluyendo consideraciones adecuadas para los usuarios con mayores privilegios derivadas de sus funciones de administración de bases de datos y sistemas operativos.

5. b)

   Mecanismos de cifrado de la información cuando esta sea transmitida.

6. c)

   Composición robusta de contraseñas y claves de acceso, así como de controles en el almacenamiento y uso de factores de autenticación de usuarios, tanto internos como externos.

7. d)

   Control de sesiones no atendidas, así como de sesiones simultáneas con un mismo identificador de usuario.

8. e)

   Mecanismos de seguridad física aplicables a la infraestructura de almacenamiento, procesamiento y transmisión de la información.

9. V.

   Minimicen el riesgo de interrupción de la operación con base en mecanismos de respaldo y procedimientos de recuperación de la información, así como de la infraestructura tecnológica para su procesamiento.

10. VI.

    Mantengan registros de auditoría que contengan la información detallada de la operación o actividad efectuada por el personal de la Sociedad, incluyendo aquel con altos privilegios, así como los procedimientos para la revisión periódica de dichos registros.

11. VII.

    Contemplen la realización de pruebas tendientes a detectar vulnerabilidades de los medios electrónicos, de telecomunicaciones y equipos automatizados, que prevengan el acceso y uso no autorizado. Dichas pruebas deberán realizarse cuando menos una vez al año o cuando se efectúen modificaciones sustantivas en la infraestructura tecnológica.

12. VIII.

    Consideren la planeación de la capacidad de la infraestructura tecnológica que soporta su operación.

Insurgentes Sur No. 1971, Plaza Inn, Col. Guadalupe Inn C.P. 01020, Delegación Álvaro Obregón, Ciudad de México Tel.: 5255 1454-6000 www.gob.mx/cnbv