ARTÍCULO 83: Las entidades con redes destinadas a proveer servicios a otras personas naturales o jurídicas
mediante conexiones remotas están en la obligación de cumplir los aspectos siguientes:
a) Establecer las medidas y procedimientos de Seguridad Informática que garanticen la protección de los
servicios a brindar y los intereses de seguridad de los que los reciben.
b) Implementar los mecanismos y procedimientos que aseguren la identificación del origen de las conexiones,
incluidas las conmutadas, así como su registro y conservación por un tiempo no menor de un año.
c) Dar a conocer a los clientes de estos servicios los requerimientos de Seguridad Informática que deben
cumplir en correspondencia con las políticas de seguridad establecidas en la red que los brinda.
d) Facilitar el acceso de las autoridades competentes a los registros de las conexiones y cooperar con las
mismas en la investigación de violaciones de las normas establecidas y de incidentes de seguridad.
ARTÍCULO 84: Ninguna persona, natural o jurídica está autorizada para explorar o monitorear las redes
públicas de transmisión de datos en busca de vulnerabilidades o información sobre los usuarios legales
de las mismas.
ARTÍCULO 85: El acceso no autorizado o la agresión a cualquier sistema de cómputo conectado a las redes
públicas de transmisión de datos y la usurpación de los derechos de acceso de usuarios debidamente
autorizados se consideran violaciones del presente Reglamento, independientemente de otras implicaciones
legales que puedan derivarse de estas acciones.
CAPITULO IV
GESTIÓN DE INCIDENTES DE SEGURIDAD
ARTÍCULO 86: Las entidades están obligadas a formular la estrategia a seguir ante cualquier incidente o
violación de la seguridad que pueda producirse en correspondencia con la importancia de los bienes
informáticos que posea y las posibles alternativas a emplear para garantizar los servicios. Dicha estrategia
deberá ser consecuente con los objetivos básicos de la entidad y tomará en consideración:
a) Los riesgos que la entidad enfrenta en términos de su probabilidad y su impacto, incluyendo una
identificación y asignación de prioridades a los procesos críticos.
b) El impacto probable de las interrupciones sobre la gestión de la entidad.
c) Comprobar y actualizar regularmente los planes y procesos establecidos.
ARTÍCULO 87: Una vez establecida la estrategia a seguir, las entidades dispondrán las medidas y
procedimientos que correspondan con el fin de garantizar la continuidad, el restablecimiento y la recuperación
de los procesos informáticos.
ARTÍCULO 88: Las medidas y procedimientos de recuperación serán definidas a partir de la identificación de los
posibles eventos que puedan causar la interrupción o afectación de los procesos informáticos e incluirán las
acciones de respuesta a realizar, la determinación de los responsables de su cumplimiento y los recursos
necesarios en cada caso.
ARTÍCULO 89: Los procedimientos para la gestión de incidentes y violaciones de Seguridad Informática,
especificarán los pasos a seguir para garantizar una correcta evaluación de lo que ha ocurrido, a quién, cómo y
cuándo debe ser reportado, la respuesta adecuada, así como los aspectos relacionados con su documentación,
la preservación de las evidencias y las acciones a seguir una vez restablecida la situación inicial. Para ello
considerarán lo siguiente:
a)
b)
c)
d)
e)
f)
el reporte inmediato de la acción a la autoridad correspondiente;
la comunicación con los afectados o los involucrados en la recuperación del incidente;
el análisis y la identificación de las causas de los incidentes;
el registro de todos los eventos vinculados con el incidente;
la recolección y preservación de las trazas de auditoría y otras evidencias;
la planificación y la implementación de medidas para prevenir la recurrencia, si fuera necesario;
ARTÍCULO 90: Ante cualquier incidente que afecte la Seguridad Informática de una entidad, se designará por la
dirección de la misma una comisión presidida por un miembro del Consejo de Dirección e integrada por
10