Source: http://formu.info/8-disposiciones-de-caracter-general-aplicables-a-las-entidades.html?page=18
Timestamp: 2019-06-25 00:00:18+00:00

Document:
Artículo 265 Bis 14.- - 8 disposiciones de caracter general aplicables a las entidades de ahorro y credito popular,...
De la seguridad, confidencialidad e integridad de la información transmitida, almacenada o procesada a través de Medios Electrónicos
Artículo 265 Bis 14.- Las Sociedades Financieras Populares deberán proveer lo necesario para que una vez autenticado el Usuario en los Servicios Electrónicos de que se trate, la Sesión no pueda ser utilizada por un tercero. Para efectos de lo anterior, las Sociedades Financieras Populares deberán establecer, al menos, los mecanismos siguientes:
(11) I. Dar por terminada la Sesión en forma automática, e informar al Usuario del motivo en cualquiera de los casos siguientes:
(11) a) Cuando exista inactividad por más de veinte minutos.
(11) Tratándose de operaciones realizadas mediante Pago Móvil, Cajeros Automáticos y Terminales Punto de Venta, el periodo de inactividad no podrá exceder de un minuto.
(11) Para operaciones realizadas mediante el Servicio Host to Host, las Sociedades Financieras Populares podrán definir el periodo de inactividad, con base en los riesgos asociados al servicio que las propias sociedades determinen.
(11) b) Cuando en el curso de una Sesión del Servicio por Internet, la Sociedad Financiera Popular identifique cambios relevantes en los parámetros de comunicación del Medio Electrónico, tales como identificación del Dispositivo de Acceso, rango de direcciones de los protocolos de comunicación, ubicación geográfica, entre otros.
(11) II. Impedir el acceso en forma simultánea, mediante la utilización de un mismo Identificador de Usuario a más de una Sesión en Servicios Electrónicos de que se trate e informar al Usuario, cuando el Identificador de Usuario esté siendo utilizado en otra Sesión.
(11) III. En el evento de que las Sociedades Financieras Populares ofrezcan servicios de terceros mediante enlaces en Servicios Electrónicos, deberán comunicar a los Usuarios que al momento de ingresar a dichos servicios, se cerrará automáticamente la Sesión abierta con la Sociedad Financiera
Popular de que se trate y se ingresará a otra cuya seguridad no depende ni es responsabilidad de dicha sociedad.
(11) Artículo 265 Bis 15.- Las Sociedades Financieras Populares deberán establecer procesos y mecanismos automáticos para bloquear el uso de Contraseñas y otros Factores de Autenticación para los Servicios Electrónicos, cuando menos para los casos siguientes:
(11) I. Cuando se intente ingresar a los Servicios Electrónicos utilizando información de Autenticación incorrecta. En ningún caso los intentos de acceso fallidos podrán exceder de cinco ocasiones consecutivas, situación en la cual se deberá generar el bloqueo automático.
(11) II. Cuando el Usuario se abstenga de realizar operaciones o acceder a su cuenta, a través de Servicios Electrónicos de que se trate, por un periodo que determine cada Sociedad Financiera Popular en sus políticas de operación y de acuerdo con el Medio Electrónico correspondiente, así como en función de los riesgos inherentes al mismo. En ningún caso, dicho periodo podrá ser mayor a un año. Lo anterior, no será aplicable a los servicios electrónicos ofrecidos a través de Cajeros Automáticos y Terminales Punto de Venta.
(11)Las Sociedades Financieras Populares podrán desbloquear el uso de Factores de Autenticación que previamente hayan sido bloqueados en los casos contemplados en las fracciones I y II anteriores, para lo cual podrán utilizar un Factor de Autenticación Categoría 1 a que se refiere el Artículo 265 Bis 4 de estas disposiciones, en términos de lo previsto por la fracción III del Artículo 265 Bis 6 de las presentes disposiciones, o bien, realizar a los Usuarios preguntas secretas, cuyas respuestas deben conservarse almacenadas en forma cifrada. Para efectos de lo previsto en el presente párrafo, se entenderá por pregunta secreta al cuestionamiento que define el Usuario o la Sociedad Financiera Popular, durante el proceso de contratación de Servicios Electrónicos, respecto del cual se genera información como respuesta. Cada pregunta secreta que se defina únicamente podrá ser utilizada en una ocasión.
(11) Con independencia de lo anterior, las Sociedades Financieras Populares deberán permitir al Usuario el Restablecimiento de Contraseñas y Números de Identificación Personal (NIP) utilizando el procedimiento de contratación al servicio descrito en el Artículo 265 Bis de estas disposiciones.
(11) Artículo 265 Bis 16.- Para el manejo de Contraseñas y otros Factores de Autenticación, las Sociedades Financieras Populares se sujetarán a lo siguiente:
(11) I. Deberán mantener procedimientos que proporcionen seguridad en la información contenida en los dispositivos de Autenticación en su custodia, distribución, así como en la asignación y reposición a los Usuarios de dichas Contraseñas y Factores de Autenticación.
(11) II. Tendrán prohibido contar con mecanismos, algoritmos o procedimientos que les permitan conocer, recuperar o descifrar los valores de cualquier información relativa a la Autenticación de los Usuarios.
(11) III. Tendrán prohibido solicitar a los Usuarios, a través de sus funcionarios, empleados, representantes o comisionistas, la información parcial o completa, de los Factores de Autenticación de las Categorías 2 o 3 a que se refiere el Artículo 265 bis 4 de estas disposiciones.
(11) Se exceptúa de lo previsto en esta sección, a las operaciones realizadas por Servicio Telefónico Voz a Voz, siempre y cuando el Usuario haya iniciado la llamada, se requiera información parcial del Factor de Autenticación de las Categorías 2 o 3 a que se refiere el Artículo 265 bis 4 de las presentes disposiciones, y este sea utilizado exclusivamente para Servicios Electrónicos.
(11) Artículo 265 Bis 17.- Las Sociedades Financieras Populares deberán establecer procedimientos para que los Usuarios de Pago Móvil y Servicios Avanzados Móviles puedan, en todo momento, desactivar su uso de forma temporal en caso de requerirlo, así como establecer procedimientos para reactivar el uso cuando el Usuario lo disponga.
(11) La desactivación del uso de manera temporal de los Servicios Electrónicos mencionados en el párrafo anterior, deberá realizarse en todo momento dentro de una Sesión en el mismo servicio, o bien, a través de algún otro servicio que el Usuario tenga contratado, debiendo requerir en ambos casos, un Factor de Autenticación de cualquiera de las categorías previstas en el Artículo 265 bis 4 de estas disposiciones.
(11) Para la reactivación del uso de Servicios Electrónicos mencionados en el primer párrafo de este artículo, los Usuarios podrán utilizar los mismos mecanismos señalados en el Artículo 265 Bis de las presentes disposiciones, o bien, un Factor de Autenticación Categoría 1 a que se refiere el Artículo 265 bis 4 de estas disposiciones. Las Sociedades Financieras Populares deberán observar lo señalado en la Sección Segunda de este Capítulo para poder iniciar una Sesión una vez que se haya reactivado el servicio.
(11) Artículo 265 Bis 18.- La Sociedad Financiera Popular que pongan al alcance de los Usuarios, equipos electrónicos o de telecomunicaciones, en sus instalaciones o en áreas de acceso al público, para el uso de Servicios Electrónicos, deberá:
(11) I. Adoptar medidas que procuren detectar e impedir la instalación en tales equipos, de dispositivos o programas que puedan interferir con el manejo de la información de los Usuarios, o que puedan permitir que dicha información sea leída, copiada, modificada o extraída por terceros. Adicionalmente, deberán informar a los Usuarios, mediante campañas de difusión, sobre la apariencia y el funcionamiento de los equipos electrónicos o de telecomunicaciones que pongan al alcance de estos, a fin de prevenir actos que deriven o pudieran derivar en operaciones irregulares o ilegales que afecten a los Usuarios o a las propias Sociedades Financieras Populares.
(11) II. Contar con procedimientos tanto preventivos como correctivos, que permitan correlacionar la información proveniente de las reclamaciones de los Usuarios con lo siguiente:
(11) a) El modo de operación del personal interno o externo de la Sociedad Financiera Popular, que opera o administra los equipos electrónicos o de telecomunicaciones;
(11) b) Si los equipos han sido sujetos a alteraciones para robo de información de tarjetas, Números de Identificación Personal (NIP) o Contraseñas, y
(11) c) El resultado de las labores de identificación, monitoreo y análisis de comportamientos fuera de los parámetros establecidos por la Sociedad Financiera Popular.
(11) Artículo 265 Bis 19.- Las Sociedades Financieras Populares que ofrezcan al público operaciones y servicios a través de operadores telefónicos, deberán:
(11) I. Mantener controles de seguridad física y lógica en la infraestructura tecnológica, incluyendo los dispositivos de grabación de llamadas y los medios de almacenamiento y respaldo de estas, que protejan en todo momento la confidencialidad e integridad de la información proporcionada por
(11) II. Delimitar las funciones de los operadores telefónicos a fin de que sean independientes respecto de otras funciones operativas.
(11) III. Impedir que los operadores telefónicos cuenten con mecanismos que les permitan registrar la información proporcionada por los Usuarios en medios diferentes a los dispuestos por la propia Sociedad Financiera Popular para efectos de Autenticación. Para ello, la Sociedad Financiera Popular deberá cerciorarse que dichos operadores, no utilicen equipos electrónicos u otros dispositivos, servicios de correo electrónico externo, programas de mensajería instantánea, programas de cómputo, o que a través de estos tengan acceso a páginas de Internet no autorizadas, o cualquier otro mecanismo que les permita copiar, enviar o extraer por cualquier medio o tecnología información relacionada con los Usuarios, o con las operaciones y servicios que se realicen a través de operadores telefónicos.
(11) Artículo 265 Bis 20.- Las Sociedades Financieras Populares que ofrezcan Servicios Electrónicos a través de Cajeros Automáticos y Terminales Punto de Venta, ya sean propios o de terceros que contraten dichas sociedades, deberán asegurarse que estos cuenten con lectores que permitan obtener la información de las Tarjetas de crédito o débito con Circuito Integrado, en el entendido de que la información deberá ser leída directamente del propio circuito o chip.
(11) Se exceptúa de lo dispuesto por el párrafo anterior, a:
(11) I. Los dispositivos que se encuentren conectados a Teléfonos Móviles y funcionen de manera similar a las Terminales Punto de Venta.
(11) II. Las Terminales Punto de Venta en las que únicamente se acepten tarjetas emitidas por la Sociedad Financiera Popular adquirente.
(11) En todo caso, las Sociedades Financieras Populares deberán dar cumplimiento a lo dispuesto por la fracción III del Artículo 265 Bis 4 de estas disposiciones.
(11) De la seguridad, confidencialidad e integridad de la información transmitida, almacenada o procesada a través de Medios Electrónicos
(11) Artículo 265 Bis 21.- Las Sociedades Financieras Populares que utilicen Medios Electrónicos para la celebración de operaciones y prestación de servicios, deberán implementar medidas o mecanismos de seguridad en la transmisión, almacenamiento y procesamiento de la información a través de dichos Medios Electrónicos, a fin de evitar que sea conocida por terceros. Para tales efectos, las Sociedades Financieras Populares deberán cumplir con lo siguiente:
(11) I. Cifrar los mensajes o utilizar medios de comunicación cifrada, en la transmisión de la Información Sensible del Usuario procesada a través de Medios Electrónicos, desde el Dispositivo de Acceso hasta la recepción para su ejecución por parte de las Sociedades Financieras Populares, a fin de proteger la información, incluyendo la relativa a la identificación y Autenticación de Usuarios tales como Contraseñas, Números de Identificación Personal (NIP), cualquier otro Factor de Autenticación, así como la información de las respuestas a las preguntas secretas a que se refiere el penúltimo párrafo del Artículo 265 Bis 15 de las presentes disposiciones.
(11) Para efectos de lo anterior, las Sociedades Financieras Populares deberán utilizar tecnologías que manejen Cifrado y que requieran el uso de llaves criptográficas para asegurar que terceros no puedan conocer los datos transmitidos.
(11) Las Sociedades Financieras Populares serán responsables de la administración de las llaves criptográficas, así como de cualquier otro componente utilizado para el Cifrado, considerando procedimientos que aseguren su integridad y confidencialidad, protegiendo la información de Autenticación de los Usuarios.
(11) Tratándose de Pago Móvil, Servicio Telefónico Voz a Voz y Servicio Telefónico Audio Respuesta, podrán implementar controles compensatorios al Cifrado en la transmisión de información a fin de protegerla.
(11) II. Las Sociedades Financieras Populares deberán cifrar o truncar la información de las cuentas u operaciones de los Usuarios y cifrar las Contraseñas, Números de Identificación Personal (NIP), respuestas secretas, o cualquier otro Factor de Autenticación, en caso de que se almacene en cualquier componente de los Medios Electrónicos.
(11) III. En ningún caso, las Sociedades Financieras Populares podrán transmitir las Contraseñas y Números de Identificación Personal (NIP), a través de correo electrónico, servicios de mensajería instantánea, Mensajes de Texto SMS o cualquier otra tecnología, que no cuente con mecanismos de Cifrado.
(11) Se exceptúa de lo previsto en este inciso a las Contraseñas y Números de Identificación Personal (NIP) utilizados para acceder a Pago Móvil, siempre y cuando la Sociedad Financiera Popular mantenga controles para que no se pongan en riesgo los recursos y la información de los Usuarios. La Sociedad Financiera Popular que pretenda utilizar los controles a que se refiere el presente párrafo deberá obtener la previa autorización de la Comisión, para tales efectos.
(11) Asimismo, la información de los Factores de Autenticación Categoría 2 a que se refiere el Artículo 265 Bis 4 de estas disposiciones, utilizados para acceder a la información de los estados de cuenta, podrá ser comunicada al Usuario mediante dispositivos de audio respuesta automática, así como por correo, siempre y cuando esta sea enviada utilizando mecanismos de seguridad, previa solicitud del Usuario y se hayan llevado a cabo los procesos de Autenticación correspondientes.
(11) IV. Las Sociedades Financieras Populares deberán asegurarse de que las llaves criptográficas y el proceso de Cifrado y descifrado se encuentren instalados en dispositivos de alta seguridad, tales como los denominados HSM (Hardware Security Module) o procesadores criptográficos, los cuales deberán contar con prácticas de administración que eviten el acceso no autorizado y la divulgación de la información que contienen.
(11) Artículo 265 Bis 22.- La Sociedad Financiera Popular deberá contar con controles para el acceso a las bases de datos y archivos correspondientes a las operaciones y servicios efectuados a través de Medios Electrónicos, aun cuando dichas bases de datos y archivos residan en medios de almacenamiento de respaldo. Para efectos de lo anterior, la Sociedad Financiera Popular deberá ajustarse a lo siguiente:
(11) I. El acceso a las bases de datos y archivos estará permitido exclusivamente a las personas expresamente autorizadas por la Sociedad Financiera Popular en función de las actividades que realizan. Al otorgarse dichos accesos, deberá dejarse constancia de tal circunstancia y señalar los propósitos y el periodo al que se limitan los accesos.
(11) II. Tratándose de accesos que se realicen en forma remota, deberán utilizarse mecanismos de Cifrado en las comunicaciones.
(11) III. Deberán contar con procedimientos seguros de destrucción de los medios de almacenamiento de las bases de datos y archivos que contengan Información Sensible de los Usuarios, que prevengan su restauración a través de cualquier mecanismo o dispositivo.
(11) IV. Deberán desarrollar políticas relacionadas con el uso y almacenamiento de información que se transmita y reciba por los Medios Electrónicos, estando obligadas a verificar el cumplimiento de sus políticas por parte de sus proveedores y afiliados.
(11) La obtención de información almacenada en las bases de datos y archivos a que se refiere el presente artículo, sin contar con la autorización correspondiente, o el uso indebido de dicha información, será sancionada en términos de lo previsto en la Ley, inclusive tratándose de terceros contratados al amparo de lo establecido en el Artículo 36 bis 3 de dicho ordenamiento legal.
(11) Artículo 265 Bis 23.- En caso de que la Información Sensible del Usuario sea extraída, extraviada o las Sociedades Financieras Populares supongan o sospechen de algún incidente que involucre accesos no autorizados a dicha información, deberán:
(11) I. Enviar por escrito a la Comisión, dentro de los cinco días naturales siguientes al evento de que se trate, la información que se contiene en el Anexo S de las presentes disposiciones.
(11) II. Llevar a cabo una investigación inmediata para determinar si la información ha sido o puede ser mal utilizada; en este caso, deberán notificar esta situación, en los siguientes 3 días hábiles, a sus Usuarios afectados a fin de prevenirlos de los riesgos derivados del mal uso de la información que haya sido extraída, extraviada o comprometida, debiendo informarle las medidas que debe tomar. Asimismo, las Sociedades Financieras Populares deberán enviar a la Comisión, el resultado de dicha investigación en un plazo no mayor a cinco días naturales posteriores a su conclusión.
(11) Sección Quinta
(11) Del monitoreo, control y continuidad de las operaciones
y Servicios Electrónicos
(11) Artículo 265 Bis 24.- Las Sociedades Financieras Populares deberán mantener mecanismos de control para la detección y prevención de eventos que se aparten de los parámetros de uso habitual de los Usuarios a través de Medios Electrónicos. Para tales efectos, las Sociedades Financieras Populares podrán:
(11) I. Solicitar a los Usuarios la información que estimen necesaria para definir el uso habitual que estos hagan de Servicios Electrónicos.
(11) II. Aplicar, bajo su responsabilidad, medidas de prevención, tales como la suspensión de la utilización de Servicios Electrónicos o, en su caso, de la operación que se pretenda realizar, en el evento de que cuenten con elementos que hagan presumir que el Identificador de Usuario o los Factores de Autenticación no están siendo utilizados por el propio Usuario, debiendo informar a este tal situación de forma inmediata. Lo anterior, en los términos y condiciones que las Sociedades Financieras Populares hayan pactado con los Usuarios.
(11) Artículo 265 Bis 25.- Las Sociedades Financieras Populares deberán mantener en bases de datos las incidencias, fallas o vulnerabilidades detectadas en los Servicios Electrónicos, así como todas las operaciones efectuadas a través de Servicios Electrónicos que no sean reconocidas por los Usuarios y que al menos incluya la información siguiente:
(11) I. La relacionada con la detección de eventos de fallas, errores operativos, intentos o eventos efectuados de ataques informáticos, robo o pérdida de información y uso indebido de información de los Usuarios, que incluya al menos lo siguiente: fecha del suceso, duración, Servicios Electrónicos afectado y los Usuarios afectados.
(11) II. Aquella relacionada con operaciones no reconocidas por los Usuarios y el trámite que, en su caso, haya promovido el Usuario, tales como folio de reclamación, fecha de reclamación, fecha de la operación, cuenta origen, tipo de producto, Servicios Electrónicos en el que se realizó la operación, causa o motivo, importe, estado de la reclamación, resolución, fecha de resolución, monto abonado, monto recuperado y monto quebrantado.
(11) La información anterior deberá mantenerse en la Sociedad Financiera Popular durante un periodo no menor a cinco años contado a partir de su registro, sin perjuicio de otras disposiciones que resulten aplicables.
(11) Artículo 265 Bis 26.- Las Sociedades Financieras Populares deberán generar registros, bitácoras, huellas de auditoría de las operaciones y servicios realizados a través de Medios Electrónicos y, en el caso del Servicio Telefónico Voz a Voz, adicionalmente grabaciones de los procesos de contratación, activación, desactivación, modificación de condiciones y suspensión del uso de Servicios Electrónicos, debiendo observar lo siguiente:
(11) I. Las bitácoras deberán registrar cuando menos la información siguiente:
(11) a) Los accesos a los Medios Electrónicos y las operaciones o servicios realizados por los Usuarios, así como el acceso a dicha información por las personas expresamente autorizadas por la Sociedad Financiera Popular, incluyendo las consultas efectuadas.
(11) b) La fecha y hora, número de cuenta origen y Cuenta Destino y demás información que permita identificar el mayor número de elementos involucrados en el acceso y operación en los Medios Electrónicos.
(11) c) Los datos de identificación del Dispositivo de Acceso utilizado por el Usuario para realizar la operación de que se trate.
(11) d) En el caso de Servicio por Internet, deberán registrarse las direcciones de los protocolos de Internet o similares, y para los Servicios Electrónicos en los que se utilicen Teléfonos Móviles o fijos, deberá registrarse el número de la línea del teléfono en el caso de que esté disponible.
(11) Las bitácoras, incluyendo las grabaciones de llamadas de Servicio Telefónico Voz a Voz, deberán ser almacenadas de forma segura por un periodo mínimo de ciento ochenta días naturales y contemplar mecanismos para evitar su alteración, así como mantener procedimientos de control interno para su acceso y disponibilidad.
(11) Las bitácoras a que se refiere la presente fracción el presente inciso, deberán ser revisadas por las Sociedades Financieras Populares en forma periódica.
(11) II. Deberán contar con mecanismos para que la información de los registros de las bitácoras en los diferentes equipos críticos de cómputo y telecomunicaciones utilizados en las operaciones de Servicios Electrónicos sea consistente.
(11) La información a que se refiere el presente artículo deberá ser proporcionada a los Usuarios que así lo requieran expresamente a la Sociedad Financiera Popular mediante sus canales de atención al Cliente, en un plazo que no exceda de diez días hábiles, siempre que se trate de operaciones realizadas en las propias cuentas de los Usuarios durante los ciento ochenta días naturales previos al requerimiento de la información de que se trate. En caso de grabaciones de voz no se entregará copia de la grabación, solo se permitirá su audición, debiendo proporcionar una transcripción de la misma si es requerida por el Usuario.
(11) Artículo 265 Bis 27.- Las Sociedades Financieras Populares deberán proveer procedimientos y mecanismos para que los Usuarios les reporten el robo o extravío de los Dispositivos de Acceso o, en su caso, de su información de identificación y Autenticación, que permitan a las propias sociedades impedir el uso indebido de los mismos. Asimismo, deberán establecer políticas que definan las responsabilidades tanto del Usuario como de la Sociedad Financiera Popular, respecto de las operaciones que hayan sido efectuadas previas al reporte.
(11) Las Sociedades Financieras Populares deberán contar con procedimientos y mecanismos para que el reporte de robo o extravío pueda ser enviado por el Usuario tanto a través de Medios Electrónicos como por cualquier medio que defina la propia sociedad. Cada reporte de robo o extravío deberá generar un folio que se haga del conocimiento del Usuario y que le permita dar seguimiento a dicho reporte.
(11) Adicionalmente, las Sociedades Financieras Populares deberán establecer procedimientos y mecanismos para la atención y seguimiento de las operaciones realizadas a través de Servicios Electrónicos que no sean reconocidas por los Usuarios.
(11) Artículo 265 Bis 28.- Las Sociedades Financieras Populares estarán obligadas a realizar revisiones de seguridad, enfocadas a verificar la suficiencia en los controles aplicables a la infraestructura de cómputo y telecomunicaciones utilizada para la realización de operaciones y prestación de servicios a través de Medios Electrónicos.
(11) Las revisiones a que se refiere el párrafo anterior deberán realizarse al menos en forma anual, o bien, cuando se presenten cambios significativos en dicha infraestructura, debiendo comprender al menos lo siguiente:
(11) I. Mecanismos de Autenticación de los Usuarios;
(11) II. Configuración y controles de acceso a la infraestructura de cómputo y telecomunicaciones;
(11) III. Actualizaciones requeridas para los sistemas operativos y software en general;
(11) IV. Análisis de vulnerabilidades sobre la infraestructura y sistemas;
(11) V. Identificación de posibles modificaciones no autorizadas al software original;
(11) VI. Infraestructura tecnológica, sistemas y procesos asociados a los Medios Electrónicos, a fin de verificar que no se cuente con herramientas o procedimientos que permitan conocer los valores de Autenticación de los Usuarios, así como cualquier información que de manera directa o indirecta pudiera dar acceso a una Sesión en nombre del Usuario, y
(11) VII. El análisis metódico de los aplicativos críticos relacionados con los Servicios Electrónicos, con la finalidad de detectar errores, funcionalidad no autorizada o cualquier código que ponga o pueda poner en riesgo la información de los Usuarios y de la propia Sociedad Financiera Popular.
(11) Las Sociedades Financieras Populares deberán revisar adicionalmente, en los términos de esta sección, los equipos que, en su caso, hayan dispuesto para que los Usuarios realicen operaciones a través de Medios Electrónicos.
(11) Asimismo, las Sociedades Financieras Populares deberán mantener en su infraestructura de cómputo y telecomunicaciones para la operación de Servicios Electrónicos, dispositivos y medios automatizados para detectar y prevenir eventos que puedan afectar la confidencialidad, integridad y disponibilidad de la información de los Usuarios, así como aquellos que eviten conexiones y flujos de datos entrantes o salientes, no autorizados. Asimismo, las Sociedades Financieras Populares deberán mantener controles que eviten la divulgación no autorizada de la información de configuración de dicha infraestructura.
(11) Artículo 265 Bis 29.- Las Sociedades Financieras Populares estarán obligadas a contar con áreas de soporte técnico y operacional, integradas por personal capacitado, las cuales se encargarán de atender y dar seguimiento a las incidencias que tengan los Usuarios de Servicios Electrónicos, así como a eventos de seguridad relacionados con el uso de Medios Electrónicos.
(11) Artículo 265 Bis 30.- Las Sociedades Financieras Populares deberán procurar la operación continua de la infraestructura de cómputo y de telecomunicaciones, así como dar pronta solución, para restaurar los Servicios Electrónicos, en caso de presentarse algún incidente.
(11) Artículo 265 Bis 31.- La Dirección General deberá asegurar que la Sociedad Financiera Popular cuente con medidas preventivas, de detección, disuasivas y procedimientos de respuesta a incidentes de seguridad, controles y medidas de seguridad informática para mitigar amenazas y vulnerabilidades relacionadas con los servicios proporcionados a través de Servicios Electrónicos, que puedan afectar a los Usuarios o a la operación de la Sociedad Financiera Popular. Las referidas medidas y procedimientos, deberán ser evaluadas por el área de auditoría interna de las Sociedades Financieras Populares para determinar su efectividad y, en su caso, realizar las actualizaciones correspondientes. En caso de que se detecten la existencia de vulnerabilidades y riesgos asociados a los servicios mencionados, deberán tomarse medidas de forma oportuna previniendo que los Usuarios o la Sociedad Financiera Popular puedan verse afectados.
(11) Artículo 265 Bis 32.- Las Sociedades Financieras Populares deberán implementar las acciones correctivas que la Comisión les requiera, como resultado de la identificación de riesgos asociados con el uso de Servicios Electrónicos.
(11) Artículo 265 Bis 33.- En caso de catástrofes naturales u otras situaciones que afecten la adecuada oferta a nivel nacional de operaciones y servicios, que por su naturaleza justifiquen temporalmente el uso masivo de Medios Electrónicos, la Comisión podrá autorizar a las Sociedades Financieras Populares prestar Servicios Electrónicos en términos distintos a los señalados en las presentes disposiciones, de acuerdo con las necesidades del público Usuario y con los riesgos asociados, por un determinado periodo hasta que se restablezcan las condiciones normales.
(11) Capítulo IX
(11) De la contratación con terceros de servicios o comisiones
(11) Disposiciones generales
(11) Artículo 265 Bis 34.- Las Sociedades Financieras Populares podrán contratar con terceros, incluyendo a otras entidades financieras, la prestación de servicios necesarios para su operación, así como comisiones para realizar las operaciones previstas en el Artículo 36 de la Ley de acuerdo a su Nivel de Operaciones de conformidad con dicho artículo, con sujeción a lo señalado en el presente capítulo.
(11) Las disposiciones del presente capítulo, no serán aplicables cuando las Sociedades Financieras Populares contraten los servicios que se indican a continuación:
(11) I. Los servicios profesionales o de asesoría incluyendo mandatos y comisiones, salvo que estos últimos sean para la realización de las operaciones señaladas en el Artículo 36 de la Ley.
(11) II. Los servicios auxiliares y complementarios que las Sociedades Financieras Populares obtengan de las sociedades en las que invierta al amparo del Artículo 36 de la Ley.
(11) Tratándose de Sociedades Financieras Populares tampoco serán aplicables a los servicios que contraten con integrantes del Grupo Financiero al que pertenezcan dichas sociedades de conformidad con el Artículo 12 de la Ley para Regular las Agrupaciones Financieras.
(11) III. La manufactura, envío a domicilio o distribución de tarjetas de débito, crédito o recargables inactivas.
(11) IV. El traslado de valores.
(11) V. La recuperación de cartera.
(11) VI. Mantenimiento de equipos y sistemas de cómputo en red.
(11) VII. Los servicios relacionados con la administración, tales como limpieza, seguridad, mensajería y correspondencia, almacenamiento y resguardo físico de información y documentación, entre otros.
(11) VIII. El procesamiento de operaciones crediticias en su fase de promoción y evaluación.
(11) IX. Recepción de pagos de contribuciones federales, estatales, municipales y las correspondientes al Distrito Federal, en efectivo o con cargo a tarjetas de crédito o débito.
(11) No obstante lo anterior, tanto en los servicios referidos en las fracciones anteriores como en aquellos que se regulan en el presente capítulo, las Sociedades Financieras Populares deberán cuidar en todo momento que las personas que les proporcionen los servicios, guarden la debida confidencialidad de la información relativa a las operaciones activas, pasivas y de servicios celebradas con sus Clientes, así como la relativa a estos últimos, en caso de tener acceso a ella.
(11) Asimismo, las citadas Sociedades Financieras Populares deberán mantener los datos de las personas que les proporcionen los servicios mencionados en el primero y segundo párrafos de este artículo, en el padrón a que se refiere el Artículo 265 Bis 50 de las presentes disposiciones.
(11) Artículo 265 Bis 35.- Las Sociedades Financieras Populares, con las excepciones previstas en las fracciones I a IX del Artículo 265 Bis 34 anterior, para contratar cualquiera de los servicios o al celebrar cualquiera de las comisiones mercantiles a que se refiere el presente capítulo, deberán cumplir con los requisitos siguientes:
(11) I. Tratándose de actividades que impliquen actuar frente al público en general, en todo momento, los terceros que la Sociedad Financiera Popular contrate deberán actuar a nombre y por cuenta de esta última, por lo que la citada relación deberá documentarse mediante contratos de comisión mercantil.
(11) Asimismo, en ningún caso dichos comisionistas podrán llevar a cabo aprobaciones y aperturas de cuentas de operaciones activas, pasivas y de servicios, salvo que se trate de operaciones de las previstas por el Artículo 265 Bis 36, fracción IX de las presentes disposiciones.
(11) II. Contar con un informe que especifique los procesos operativos o de administración de bases de datos y sistemas informáticos de la Sociedad Financiera Popular que sean objeto de los servicios o comisiones a contratar, así como los criterios y procedimientos para seleccionar al tercero. Dichos criterios y procedimientos estarán orientados a evaluar la experiencia, capacidad técnica y recursos humanos del tercero con quien se contrate para prestar el servicio con niveles adecuados de desempeño, confiabilidad y seguridad, así como los efectos que pudieran producirse en una o más operaciones que realice la propia sociedad.
(11) Tratándose de las comisiones a que se refiere la Sección Quinta de este capítulo, los criterios orientados a evaluar la experiencia y capacidad técnica del tercero, deberán apegarse a lo dispuesto por el Anexo R de las presentes disposiciones.
(11) III. Prever en el contrato de prestación de servicios o comisión respectivo, o bien, en algún otro documento en el que conste la aceptación incondicional de quien proporcione el servicio o del comisionista, para:
(11) a) Recibir visitas domiciliarias por parte del auditor externo de la Sociedad Financiera Popular, del Comité de Supervisión o de la Comisión o terceros que la propia Comisión designe en términos de lo dispuesto por el Artículo 120 de la Ley, a efecto de llevar a cabo la supervisión correspondiente, con el exclusivo propósito de obtener información para constatar que los servicios o comisiones contratados por la Sociedad Financiera Popular, le permiten a esta última cumplir con las disposiciones de la Ley que le resultan aplicables. Para que se realicen las visitas referidas, las Sociedades Financieras Populares podrán designar un representante.
(11) b) Aceptar la realización de auditorías por parte de la Sociedad Financiera Popular, en relación con los servicios o comisiones objeto de dicho contrato, a fin de verificar la observancia de las disposiciones aplicables a las Sociedades Financieras Populares.
(11) c) Entregar a solicitud de la Sociedad Financiera Popular, al auditor externo de la propia sociedad y a la Comisión o al Comité de Supervisión, libros, sistemas, registros, manuales y documentos en general, relacionados con la prestación del servicio de que se trate. Asimismo, permitirá que se tenga acceso al personal responsable y a sus oficinas e instalaciones en general, relacionados con la prestación del servicio en cuestión.
(11) d) Informar a la Sociedad Financiera Popular con por lo menos treinta días naturales de anticipación, respecto de cualquier reforma a su objeto social o en su organización interna que pudiera afectar la prestación del servicio objeto de la contratación.
(11) e) En su caso, guardar confidencialidad respecto de la información relativa a las operaciones activas, pasivas y de servicios que los comisionistas celebren con los Clientes, así como la relativa a estos últimos.
(11) Los requerimientos de información y, en su caso, las observaciones o medidas correctivas que deriven de la supervisión que realice la Comisión en términos de las disposiciones aplicables, se realizarán directamente a la Sociedad Financiera Popular. Asimismo, la Comisión podrá, en todo momento, ordenar la realización de las visitas y auditorías señaladas en los incisos a) y b) anteriores, precisando los aspectos que unas y otras deberán comprender, quedando obligada la propia sociedad a rendir a la Comisión un informe al respecto.

References: Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 36
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 36
 Artículo 36
 Artículo 36
 Artículo 12
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 265
 Artículo 120