JM 104-2021

JUNTA MONETARIA

RESOLUCIÓN JM-104-2021

Inserta en el punto primero del acta 50-2021, correspondiente a la sesión extraordinaria celebrada por la Junta Monetaria el 26 de noviembre de 2021.

PUNTO PRIMERO: Superintendencia de Bancos eleva a consideración de la Junta Monetaria el proyecto de Reglamento para la Administración del Riesgo

Tecnológico.

RESOLUCIÓN JM -104-2021. Conocido el oficio número 10212-2021, del 3 de noviembre de 2021, del Superintendente de Bancos, al que se adjunta dictamen número 16-2021, de la Superintendencia de Bancos, por medio del cual se eleva a consideración de esta junta el proyecto de Reglamento para la Administración del Riesgo Tecnológico.

LA JUNTA MONETARIA:

CONSIDERANDO: Que el artículo 55 de la Ley de Bancos y Grupos Financieros establece que los bancos y las empresas que integran grupos financieros deberán contar con procesos integrales que incluyan, entre otros, la administración del riesgo operacional, del cual forma parte el riesgo tecnológico, que contengan sistemas de información y un comité de gestión de riesgos, todo ello con el propósito de identificar, medir, monitorear, controlar y prevenir los riesgos; CONSIDERANDO: Que esta junta mediante resolución JM -102-2011, del 17 de agosto de 2011, emitió el Reglamento para la Administración del Riesgo Tecnológico, a efecto de normar los aspectos que, como mínimo, debe n observar los bancos, las sociedades financieras, las entidades fuera de plaza o entidades off

agosto de 2011, emitió el Reglamento para la Administración del Riesgo Tecnológico, a efecto de normar los aspectos que, como mínimo, debe n observar los bancos, las sociedades financieras, las entidades fuera de plaza o entidades off shore y las empresas especializadas en servicios financieros que forman parte de un grupo financiero para la administración del riesgo tecnológico, incluyendo e l establecimiento de políticas y procedimientos, las responsabilidades del Consejo de Administración, del Comité de Gestión de Riesgos, de la Unidad de Administración de Riesgos, aspectos sobre la infraestructura de tecnología de la información, sistemas de información, bases de datos y servicios de tecnología de la información, así como lo relativo al procesamiento de información; CONSIDERANDO: Que el desarrollo a nivel mundial de la tecnología y las telecomunicaciones ha generado mayor rapidez y facilidad para el tratamiento e intercambio de datos, surgiendo nuevos tipos de servicios y modelos de procesamiento y/o almacenamiento de información; lo cual, conlleva un incremento del riesgo tecnológico por la existencia de amenazas cibernéticas que po nen en riesgo l os activos de la información; CONSIDERANDO: Que las entidades del sistema financiero supervisado para la realización de sus actividades y prestación de servicios dependen del uso de tecnologías de la información y telecomunicaciones, por lo que se hace necesario gestionar el riesgo tecnológico para asegurar la integridad, disponibilidad, confidencialidad de la información, así como la continuidad de la prestación de sus servicios; CONSIDERANDO: Que dada la evolución del mercado financiero guatemalteco, el surgimiento de nuevas tecnologías, las m ejores prácticas internacionales, así como la gestión del riesgo

como la continuidad de la prestación de sus servicios; CONSIDERANDO: Que dada la evolución del mercado financiero guatemalteco, el surgimiento de nuevas tecnologías, las m ejores prácticas internacionales, así como la gestión del riesgo por parte de las entidades, es conveniente adecuar la regulación relativa al procesamiento y/o almacenamiento de información con el objeto que las instituciones puedan utilizar nuevas tecnologías junto a una correcta mitigación del riesgo; CONSIDERANDO: Que según se indica en el dictamen número 16 -2021, de la Superintendencia de Bancos, luego de la revisión del actual reglamento, del análisis de los estándares internacionales, la normativa internacional y de las mejores prácticas internacionales se concluye que es necesario y oportuno, por certeza y seguridad jurídica, emitir un nuevo Reglamento para la Administración del Riesgo Tecnológico, a efecto de fortalecer las políticas y procedimientos Reglamento para la Administración del Riesgo Tecnológico Res. No. JM-104-2021 1 Reglamento para la Administración del Riesgo Tecnológico Reglamento No.JM-104-2021 1relacionadas con el procesamiento y/o almacenamiento de la inf ormación, incluyendo lo relativo a la contratación de servicios con terceros; contar con copias de respaldo de la información crítica de la institución, en infraestructura dentro del territorio nacional; robustecer lo relativo al plan de recuperación ante desastres, especialmente en cuanto a los procesos y servicios críticos , enfatizando en estos últimos cuando los mismos sean contratados con terceros; y , adecuar lo concerniente al centro de cómputo alterno, adicionando aspectos referidos a la información crítica, así como de los servicios críticos que procesen y/o almacenen

últimos cuando los mismos sean contratados con terceros; y , adecuar lo concerniente al centro de cómputo alterno, adicionando aspectos referidos a la información crítica, así como de los servicios críticos que procesen y/o almacenen información fuera del territorio nacional o contratados con terceros,

POR TANTO:

Con base en lo considerado, y con fundamento en lo dispuesto en los artículos 26, incisos l y m, y 64 de la Ley Orgánica del Banco de Guatemala; 55, 56, 57 y 129 de la Ley de Bancos y Grupos Financieros ; y tomando en cuenta el oficio número 10212-2021 y el dictamen número 16-2021, ambos de la Superintendencia de Bancos,

RESUELVE:

1. Emitir, conforme anexo a la presente resolución, el Reglamento para la

Administración del Riesgo Tecnológico.

2. Derogar la resolución JM-102-2011.

3. Autorizar a la secretaría de esta junta para que publique la presente resolución en el diario oficial y en otro periódico, la cual entrará en vigencia el día de su publicación.

Romeo Augusto Archila Navarro Secretario Junta Monetaria

Publicada en el Diario de Centro América el 1 de diciembre de 2021

Reglamento para la Administración del Riesgo Tecnológico Res. No. JM-104-2021 2 Reglamento para la Administración del Riesgo Tecnológico Reglamento No.JM-104-2021

2ANEXO A LA RESOLUCIÓN JM-104-2021

REGLAMENTO PARA LA ADMINISTRACIÓN DEL RIESGO TECNOLÓGICO

CAPÍTULO I

DISPOSICIONES GENERALES

Artículo 1. Objeto. Este reglamento tiene por objeto establecer los lineamientos mínimos que los bancos, las sociedades financieras, las entidades fuera de plaza o entidades off shore y las empresas especializadas en servicios financieros que forman parte de un grupo financiero, deberán cumplir para administrar el riesgo tecnológico. Artículo 2. Definiciones. Para los efectos de este reglamento se establecen las definiciones siguientes: Activos en el ciberespacio: son los sistemas de información, infraestructura de TI, bases de datos, redes, datos o elementos de la institución que están interconectados a Internet o a otra red externa a la institución. Administración del riesgo tecnológico: es el proceso que consiste en identificar, medir, monitorear, controlar, prevenir y mitigar el riesgo tecnológico.

Almacenamiento de información: utilización de servicios de cómputo para mantener, conservar y resguardar datos.

Certificado digital: es un identificador único que garantiza la identidad del emisor y del receptor de un mensaje o transacción electrónica, la confidencialidad del contenido del envío, la integridad de la transacción, y el no repudio de los compromisos adquiridos por vía electrónica.

Ciberamenaza: es una circunstancia, situación, evento o acto con el potencial de convertirse en un ciberataque.

contenido del envío, la integridad de la transacción, y el no repudio de los compromisos adquiridos por vía electrónica.

Ciberamenaza: es una circunstancia, situación, evento o acto con el potencial de convertirse en un ciberataque.

Ciberataque: es un evento con la intención de causar daño en uno o varios activos en el ciberespacio de la institución.

Ciberseguridad: políticas, estrategias, recursos, soluciones informáticas, prácticas y competencias para preservar la confidencialidad, integridad y disponibilidad de los activos en el ciberespacio.

Criticidad de la información : se refiere a la clasificación de la información en diferentes niveles considerando la importancia que esta tiene para la operación del negocio, de acuerdo con los manuales de administración de riesgos de la institución.

Diagrama de relación: es la representación gráfica que describe la distribución de datos almacenados en las bases de datos de la institución y la relación entre estos, tales como los diagramas de entidad -relación para el caso de bases de datos del tipo relacional.

Diccionario de datos: es la documentación relativa a las especificaciones de los datos, tales c omo su identificación, descripción, atributos, el dominio de valores, restricciones de integridad y ubicación dentro de una base de datos.

Incidente cibernético: es un ciberataque que vulneró de forma individual o conjunta la confidencialidad, integridad y/o disponibilidad de la información.

Infraestructura de tecnología de la información o infraestructura de TI : es el hardware, software, redes, instalaciones y otros elementos que se requieren para desarrollar, probar, entregar, monitorear, controlar o dar soporte a los servicios de tecnología de la información. La infraestructura de TI excluye al recurso humano,

hardware, software, redes, instalaciones y otros elementos que se requieren para desarrollar, probar, entregar, monitorear, controlar o dar soporte a los servicios de tecnología de la información. La infraestructura de TI excluye al recurso humano, los procesos y la documentación. Reglamento para la Administración del Riesgo Tecnológico Res. No. JM-104-2021 3 Reglamento para la Administración del Riesgo Tecnológico Reglamento No.JM-104-2021 3Institución o instituciones : se refiere a los bancos, las sociedades financieras, las entidades fuera de plaza o e ntidades off shore y las empresas especializadas en servicios financieros que forman parte de un grupo financiero.

Procesamiento de información: utilización de servicios de cómputo para el tratamiento electrónico de datos.

Proveedor de servicios que procesan y/o almacenan información: entidad que de forma directa presta servicios que procesan y/o almacenan información.

Pruebas de penetración: someter un sistema o red a ciberataques simulados o reales que traten de detectar, identificar o explotar vulnerabilidades cibernéticas en condiciones controladas.

Resiliencia cibernética: la capacidad de la institución para adaptarse a las condiciones cambiantes y prepararse para resistir, responder y recuperarse rápidamente de un ciberataque.

Riesgo tecnológico: es la contingencia de que la interrupción, alteración, o falla de la infraestructura de TI, sistemas de información, bases de datos y procesos de TI, provoquen pérdidas a la institución.

Sensibilidad de la información: clasificación de la información según el perjuicio que ocasione a la institución su alteración, destrucción, pérdida o divulgación no autorizada.

Sistemas de información: es el conjunto organizado de datos, procesos y

Sensibilidad de la información: clasificación de la información según el perjuicio que ocasione a la institución su alteración, destrucción, pérdida o divulgación no autorizada.

Sistemas de información: es el conjunto organizado de datos, procesos y personas para obtener, procesar, almacenar, transmitir, comunicar y disponer de la información en la institución para un objetivo específico.

Subcontratista de servicios que procesan y/o almacenan información: entidad que es contratada por el proveedor o vendedor de servicios que procesan y/o almacenan información, para ofrecer algún servicio o parte de servicio relacionada a esta. Tecnología de la información o TI: es el uso de la tecnología para obtener, procesar, almacenar, transmitir, comunicar y disponer de la información, para dar viabilidad a los procesos del negocio. Vendedor de servicios que procesan y/o almacenan información: entidad que realiza la comercia lización de servicios que procesan y/o almacenan información prestados por un tercero de forma directa.

Vulnerabilidad cibernética: debilidad de uno o varios activos en el ciberespacio o control que puede ser explotado por una ciberamenaza.

CAPÍTULO II

ORGANIZACIÓN PARA LA ADMINISTRACIÓN DEL RIESGO TECNOLÓGICO

Artículo 3. Políticas y procedimientos. Las instituciones deberán establecer e implementar políticas y procedimientos que les permitan realizar permanentemente una adecuada administración del riesgo tecnológico de la institución, considerando la naturaleza, complejidad y volumen de sus operaciones. Dichas políticas y procedimientos deberán comprender, como mínimo, las metodologías, herramientas o modelos de medición del riesgo tecnológico, así como los aspectos que se detallan en los capítulos del III al VII de este reglamento

Dichas políticas y procedimientos deberán comprender, como mínimo, las metodologías, herramientas o modelos de medición del riesgo tecnológico, así como los aspectos que se detallan en los capítulos del III al VII de este reglamento y agruparse en los temas siguientes: a) Infraestructura de TI, sistemas de información, bases de datos y servicios de TI; Reglamento para la Administración del Riesgo Tecnológico Res. No. JM-104-2021 4 Reglamento para la Administración del Riesgo Tecnológico Reglamento No.JM-104-2021 4b) Seguridad de tecnología de la información; c) Ciberseguridad; d) Plan de recuperación ante desastres; y, e) Procesamiento y/o almacenamiento de información. En adición a los aspectos indicados, las instituciones deberán establecer políticas para elaborar, implementar y actualizar el plan estratégico de TI a que se refiere el artículo 7 de este reglamento. Artículo 4. Responsabilidad del Consejo de Administración. El Consejo de Administración o quien haga sus veces, en lo sucesivo el Consejo, sin perjuicio de las responsabilidades que le asignan o tras disposiciones legales aplicables, es el responsable de velar porque se implemente e instruir para que se mantenga en adecuado funcionamiento y ejecución la administración del riesgo tecnológico. Para cumplir con lo indicado en el párrafo anterior el Consejo como mínimo deberá: a) Aprobar las políticas y procedimientos a que se refiere el artículo anterior, el plan estratégico de TI, el plan de recuperación ante desastres, así como conocer y resolver sobre las propuestas de actualización y autorizar las modificaciones respectivas; b) Conocer los reportes que le remita el Comité de Gestión de Riesgos sobre la

plan estratégico de TI, el plan de recuperación ante desastres, así como conocer y resolver sobre las propuestas de actualización y autorizar las modificaciones respectivas; b) Conocer los reportes que le remita el Comité de Gestión de Riesgos sobre la exposición al riesgo tecnológico, los cambios sustanciales de tal exposición y su evolución en el tiempo, así como las medidas correctivas adoptadas; c) Conocer los reportes sobre el nivel de cumplimiento de las políticas y procedimientos aprobados, así como las propuestas sobre acciones a adoptar con relación a los incumplimientos. Asimismo, en caso de incumplimiento el Consejo deberá adoptar las medidas que correspondan, sin perjuicio de las sanciones legales que el caso amerite; y, d) Designar a un Oficial de Seguridad de la Información de la institución, quien formará parte del Comité de Gestión de Riesgos o dependerá directamente de este Consejo. Lo indicado en este párrafo deberá hacerse constar en el acta respectiva. Artículo 5. Comité de Gestión de Riesgos. El Comité de Gestión de Riesgos, en lo sucesivo el Comité, estará integrado como mínimo por un miembro del Consejo y por las autoridades y func ionarios que dicho Consejo designe. El Comité estará a cargo de la dirección de la administración del riesgo tecnológico, entre otros riesgos, para lo cual deberá encargarse de la implementación, adecuado funcionamiento y ejecución de las políticas y procedimientos aprobados para dicho propósito y tendrá las funciones siguientes: a) Proponer al Consejo, para su aprobación, las políticas y procedimientos para la administración del riesgo tecnológico, así como el plan estratégico de TI y el plan de recuperación ante desastres;

propósito y tendrá las funciones siguientes: a) Proponer al Consejo, para su aprobación, las políticas y procedimientos para la administración del riesgo tecnológico, así como el plan estratégico de TI y el plan de recuperación ante desastres; b) Proponer al Consejo el manual de administración del riesgo tecnológico y sus actualizaciones; c) Analizar las propuestas sobre actualización de las políticas, procedimientos, plan estratégico de TI, plan de recuperación ante desastres y su pla n de pruebas, y proponer al Consejo las actualizaciones que procedan; d) Definir la estrategia para la implementación de las políticas y procedimientos aprobados para la administración del riesgo tecnológico y su adecuado cumplimiento; Reglamento para la Administración del Riesgo Tecnológico Res. No. JM-104-2021 5 Reglamento para la Administración del Riesgo Tecnológico Reglamento No.JM-104-2021 5e) Revisar, al menos anual mente, las políticas y procedimientos y proponer la actualización, cuando proceda; f) Analizar los reportes que le remita la Unidad de Administración de Riesgos, a que se refiere el artículo 6 de este reglamento, sobre la exposición del riesgo tecnológico de la institución, los cambios sustanciales de tal exposición y su evolución en el tiempo, así como adoptar las medidas correctivas correspondientes; g) Analizar la información que le remita la Unidad de Administración de Riesgos sobre el cumplimiento de las pol íticas y procedimientos aprobados, así como evaluar las causas de los incumplimientos que hubieren, y proponer al Consejo acciones a adoptar con relación a dichos incumplimientos; h) Reportar al Consejo, al menos semestralmente y cuando la situación lo

evaluar las causas de los incumplimientos que hubieren, y proponer al Consejo acciones a adoptar con relación a dichos incumplimientos; h) Reportar al Consejo, al menos semestralmente y cuando la situación lo amerite, sobre la exposición al riesgo tecnológico de la institución, los cambios sustanciales de tal exposición, su evolución en el tiempo, las principales medidas correctivas adoptadas y el cumplimiento de las políticas y procedimientos aprobados; e, i) Otras funciones relacionadas que le asigne el Consejo. Las sesiones y acuerdos del Comité deberán constar en acta suscrita por quienes intervinieron en la sesión. El Consejo deberá asegurarse que la estructura organizacional para administrar TI permita asesorar al Comité en los aspectos relacionados con el riesgo tecnológico. Artículo 6. Unidad de Administración de Riesgos. La Unidad de Administración de Riesgos, en lo sucesivo la Unidad, apoyará al Comité en la administración del riesgo tecnológico, para lo cual tendrá las funciones siguientes: a) Proponer al Comité políticas y procedimientos para la administración del riesgo tecnológico, así como el plan estratégico de TI, el plan de recuperación ante desastres y su plan de pruebas; b) Revisar, al menos anualmente y cuan do la situación lo amerite, las políticas, los procedimientos, el plan estratégico de TI, y para los procesos críticos, el plan de recuperación ante desastres y su plan de pruebas, y proponer su actualización al Comité, atendiendo los cambios en la estrate gia o situación de la institución o cuando lo requiera la normativa; c) Monitorear la exposición al riesgo tecnológico y mantener registros históricos

actualización al Comité, atendiendo los cambios en la estrate gia o situación de la institución o cuando lo requiera la normativa; c) Monitorear la exposición al riesgo tecnológico y mantener registros históricos sobre dicho monitoreo, así como medir el riesgo tecnológico, considerando lo establecido en este reglamento; d) Analizar el riesgo tecnológico inherente de las innovaciones en TI que se implementen en la institución y el que se derive de los nuevos productos y servicios propuestos por las unidades de negocios; e) Reportar al Comité, al menos trimestralmente y cuando la situación lo amerite, sobre la exposición al riesgo tecnológico de la institución, los cambios sustanciales de tal exposición y su evolución en el tiempo, así como proponer al Comité las medidas correctivas correspondientes; f) Verificar e informar al Comité, al menos trimestralmente y cuando la situación lo amerite, sobre el nivel de cumplimiento de las políticas y procedimientos aprobados; g) Identificar las causas del incumplimiento de las políticas y procedimientos aprobados, determinar si los mismos se presentan en forma reiterada e incluir sus resultados en el informe indicado en el inciso f) anterior y proponer las Reglamento para la Administración del Riesgo Tecnológico Res. No. JM-104-2021 6 Reglamento para la Administración del Riesgo Tecnológico Reglamento No.JM-104-2021 6medidas correctivas, debiendo mantener registros históricos sobre tales incumplimientos; y, h) Otras funciones relacionadas que le asigne el Comité. El Consejo deberá asegurarse que la estructura organizacional para administrar TI permita apoyar a la Unidad en los aspectos relacionados con el riesgo tecnológico. Artículo 7. Plan estratégico de TI . Las instituciones, como p arte de su plan

El Consejo deberá asegurarse que la estructura organizacional para administrar TI permita apoyar a la Unidad en los aspectos relacionados con el riesgo tecnológico. Artículo 7. Plan estratégico de TI . Las instituciones, como p arte de su plan estratégico general, deberán tener un plan estratégico de TI alineado con la estrategia de negocios, para gestionar la infraestructura de TI, los sistemas de información, la base de datos y al recurso humano de TI. El plan estratégico de TI debe incluir, como mínimo, los aspectos siguientes: a) Objetivos de TI alineados con la estrategia de negocios en función del análisis e impacto de factores internos y externos en esta materia, tales como oportunidades, limitaciones y desempeño de la infraes tructura de TI, los sistemas de información, la base de datos, el recurso humano relacionado y los activos en el ciberespacio de la institución; b) Estrategias de TI, para la consecución de los objetivos; c) Proyectos y actividades específicas; y, d) El presupuesto financiero para su ejecución. Las instituciones deberán poner a disposición de la Superintendencia de Bancos el plan estratégico de TI y sus modificaciones, cuando ésta lo requiera. Las nuevas instituciones que se constituyan o se autorice su funcionamien to deberán remitir una copia del plan estratégico de TI a que se refiere este artículo, a la Superintendencia de Bancos, antes del inicio de sus operaciones. Artículo 8. Organización de TI. Las instituciones deberán contar con una estructura organizacional de TI que esté alineada con el plan estratégico, asegurándose que el recurso humano de TI tenga las capacidades necesarias mediante programas de entrenamiento y capacitación, una adecuada separación

estructura organizacional de TI que esté alineada con el plan estratégico, asegurándose que el recurso humano de TI tenga las capacidades necesarias mediante programas de entrenamiento y capacitación, una adecuada separación de funciones, delegación de autoridad, definición de rol es y asignación de responsabilidades, todo esto soportado con un marco de trabajo estructurado en procesos, los cuales deberán estar debidamente identificados. Artículo 9. Manual de administración del riesgo tecnológico . Las políticas y procedimientos a qu e se refiere el artículo 3 de este reglamento deberán constar por escrito en un manual de administración del riesgo tecnológico que será aprobado por el Consejo. El Consejo conocerá y resolverá sobre las propuestas de actualización del manual de administración del riesgo tecnológico y autorizará las modificaciones al mismo, las que deberán ser comunicadas a la Superintendencia de Bancos, dentro de los diez (10) días hábiles siguientes a su aprobación. Las nuevas instituciones que se constituyan o se autoric e su funcionamiento deberán remitir una copia del manual a que se refiere este artículo a la Superintendencia de Bancos antes del inicio de sus operaciones.

CAPÍTULO III

INFRAESTRUCTURA DE TI, SISTEMAS DE INFORMACIÓN, BASES DE

DATOS Y SERVICIOS DE TI

Artículo 10. Esquema de la información del negocio. Las instituciones deberán contar con un esquema actualizado de la información del negocio que represente

Reglamento para la Administración del Riesgo Tecnológico Res. No. JM-104-2021 7 Reglamento para la Administración del Riesgo Tecnológico Reglamento No.JM-104-2021 7la interrelación entre la infraestructura de TI, los sistemas de información, los servicios de TI y los procesos de las principales líneas de negocio. Artículo 11. Inventarios . Las instituciones deberán mantener inventarios actualizados de su infraestructura de TI, de sus sistemas de información y de sus bases de datos que incluyan, como mínimo, lo siguiente: a) De infraestructura de TI:

1. Especificaciones técnicas de sus elementos:

1. Tipo; ii. Nombre; iii. Función; y, iv. Identificar si el mantenimiento es propio o realizado por terceros, en este último caso deberá identificarse al proveedor.

2. Ubicación física de sus elementos.

b) De sistemas de información:

1. Características de los sistemas de información:

1. Nombre; ii. Función; iii. Lenguaje de programación; iv. Versión;
2. Estructura del sistema y las relaciones entre sus componentes; vi. Nombre y versión de los manejadores de bases de datos con las cuales interactúan; vii. Nombre de las bases de datos con las cuales interactúan; viii. Identificar si es desarrollo propio o realizado por terceros, en este último caso deberá identificarse al proveedor; y, ix. Identificar si el mantenimiento es propio o realizado por terceros, en este último caso deberá identificarse al proveedor.

2. Documentación técnica; y,

3. Documentación para el usuario final.

c) De bases de datos:

1. Nombre;

2. Descripción general de la información que contiene;

3. Manejador de base de datos o sistema de gestión de archivos, y su versión;

3. Documentación para el usuario final.

c) De bases de datos:

1. Nombre;

2. Descripción general de la información que contiene;

3. Manejador de base de datos o sistema de gestión de archivos, y su versión;

4. Nombre de los servidores en los que reside;

5. Diccionario de datos;

6. Diagramas de relación; y,

7. Nombre del administrador de la base de datos.

Reglamento para la Administración del Riesgo Tecnológico Res. No. JM-104-2021 8 Reglamento para la Administración del Riesgo Tecnológico Reglamento No.JM-104-2021 8A la entrada en vigencia de este reglamento, los inventarios de infraestructura de TI, sistemas de información y de bases de datos, a que se refiere este artículo, serán obligatorios para las aplicaciones que soportan los procesos críticos del negocio, especialmente las que permi tan a los respectivos depositantes disponer de sus fondos.

Artículo 12. Administrador de base de datos. Las instituciones deberán designar uno o más administradores de base de datos para gestionar los controles de accesos, la integridad, disponibilidad y confidencialidad de los datos, así como los procesos de creación, actualización o eliminación de estructuras en las bases de datos, entre otros.

Artículo 13. Evaluación de capacidades y desempeño . Las instituciones deberán realizar evaluaciones periódicas d e la capacidad y desempeño de la infraestructura de TI, de los sistemas de información y de las bases de datos, con el objeto de determinar necesidades de ampliación de capacidades o actualizaciones.

Las instituciones deberán documentar y llevar registro d e las evaluaciones periódicas a que se refiere este artículo y realizar análisis de tendencias para determinar capacidades futuras.

el objeto de determinar necesidades de ampliación de capacidades o actualizaciones.

Las instituciones deberán documentar y llevar registro d e las evaluaciones periódicas a que se refiere este artículo y realizar análisis de tendencias para determinar capacidades futuras.

Artículo 14. Adquisición, mantenimiento e implementación de infraestructura de TI, sistemas de información y bases de datos. Las instituciones deberán contar con procesos documentados y planes operativos para la adquisición, mantenimiento e implementación de la infraestructura de TI, los sistemas de información y las bases de datos. Dichos procesos deberán incluir, como mínimo, los aspectos siguientes:

a) En lo referente a adquisición y mantenimiento:

1. Selección de proveedores, considerando factibilidad tecnológica y económica;

2. Contratación, considerando la suscripción y ejecución; y,

3. Uso de herramientas controladas previamente cert ificadas por el proveedor, así como verificadas y aprobadas por la institución.

b) En lo referente a implementación:

1. Realización de pruebas; y,

2. Registro y monitoreo de la implementación.

Artículo 15. Gestión de servicios de TI. Las instituciones deberán realizar una adecuada gestión de los servicios de TI de acuerdo con las prioridades del negocio estableciendo, como mínimo, los aspectos siguientes:

a) Un catálogo que comprenda la definición de cada uno de los servicios de TI.

b) Acuerdos de niveles de servicio de TI establecidos entre las áreas del negocio y las áreas de TI. Dichos acuerdos deben comprender:

1. Los compromisos de las áreas de negocios;

2. Los compromisos de las áreas de TI;

3. Los requerimientos de soporte para el servicio de TI;

y las áreas de TI. Dichos acuerdos deben comprender:

1. Los compromisos de las áreas de negocios;

2. Los compromisos de las áreas de TI;

3. Los req