Res_JM-98-2025

2 Guatemala, JUEVES 30 de octubre de 2025 DIARIO de CENTRO AMERICA NUMERO 38

PUBEICACIONESRVARIA

JUNTA MONETARIA RESOLUCION JM-98-2025

Inserta en el punto noveno del acta 46-2025, correspondiente a la sesión celebrada por la Junta Monetaria el 22 de octubre de 2025.

PUNTO NOVENO: Superintendencia de Bancos solicita a Junta Monetaria emitir un nuevo Reglamento para la Administración del Riesgo Tecnológico.

RESOLUCIÓN JM-98-2025. Conocido el oficio número 8810-2025, del 9 de octubre de 2025, del Superintendente de Bancos, al que se adjunta el dictamen número 17-2025, de la Superintendencia de Bancos, por medio del cual solicita a esta junta emitir un nuevo Reglamento para la Administración del Riesgo Tecnológico. 3

LA JUNTA MONETARIA CONSIDERANDO: Que el artículo 55 de la Ley de Bancos y Grupos Financieros establece que los bancos y las empresas que integran grupos financieros deberán contar con procesos integrales que incluyan, entre otros, la administración del riesgo operacional, del cual-forma parte el riesgo tecnológico, que contengan sistemas de información y un comité de gestión de riesgos, todo ello con el propósito de identificar, medir, monitorear, controlar y prevenir los riesgos; CONSIDERANDO: Que esta junta mediante resolución JM-104-2021, del 26 de noviembre de 2021, emitió el Reglamento para la Administración del Riesgo Tecnológico, a efecto de normar los lineamientos que, como mínimo, deben observar las instiluciones para la administración del riesgo tecnológico, incluyendo el establecimiento de políticas y procedimientos; las

para la Administración del Riesgo Tecnológico, a efecto de normar los lineamientos que, como mínimo, deben observar las instiluciones para la administración del riesgo tecnológico, incluyendo el establecimiento de políticas y procedimientos; las responsabilidades del Consejo de Administración, del Comité de Gestión de Riesgos y de la Unidad de Administración de Riesgos; aspectos sobre la infraestructura de tecnología de la información, sistemas de información, bases de datos y servicios de tecnología de la información; seguridad de tecnología de la información; ciberseguridad; plan de recuperación ante desastres; así como, lo relativo al procesamiento y/o almacenamiento de información; CONSIDERANDO: Que el desarrollo a nivel mundial de la tecnología y las telecomunicaciones han generado mayor rapidez y facilidad para el tratamiento e intercambio de datos, surgiendo nuevos tipos de servicios y modelos, interconectados con internet o redes externas, que procesan y/o almacenan información, lo cual conlleva un incremento del riesgo tecnológico por la existencia de amenazas cibeméticas que ponen en riesgo los activos de la información; CONSIDERANDO: Que para la realización de sus operaciones y prestación de servicios las instituciones del sistema financiero dependen del uso de tecnologías de la información y telecomunicaciones, por lo que se hace necesario regular nuevos aspectos para que estas gestionen su riesgo tecnológico con el propósito de asegurar la integridad, disponibilidad y confidencialidad de la información, asi como la continuidad de operaciones y la prestación de sus servicios; CONSIDERANDO: Que dada la actualización de los estándares intemacionales relacionados a seguridad de la información y ciberseguridad, los cuales brindan un conjunto de mejores prácticas, directrices y procedimientos para garantizar la confidencialidad, integridad y disponibilidad de la información, así como gestionar y mitigar

relacionados a seguridad de la información y ciberseguridad, los cuales brindan un conjunto de mejores prácticas, directrices y procedimientos para garantizar la confidencialidad, integridad y disponibilidad de la información, así como gestionar y mitigar el riesgo tecnológico, es pertinente incorporar al marco normativo tales actualizaciones, con la finalidad de prevenir o reducir el impacto de ataques cibeméticos y proteger los activos de información; CONSIDERANDO: Que las instituciones han implementado el uso de sistemas de inteligencia artificial dentro de sus operaciones y servicios, tecnología que tiene la particularidad de transformar el negocio financiero, por un lado, mejorando la eficiencia operativa, y por otro, incrementando el riesgo tecnológico, razón por la cual se hace necesario emitir lineamientos especificos que dichas instituciones deben cumplir para gestionar este riesgo y garantizar que los referidos sistemas sean utilizados de manera segura, responsable y en función de la protección de los usuarios de servicios y productos financieros, así como de la estabilidad del sistema financiero en su conjunto; CONSIDERANDO: Que según se indica en el dictamen número 17-2025, de la Superintendencia de Bancos, luego de la revisión del actual reglamento, del análisis de los estándares internacionales, la normativa internacional y de las mejores prácticas internacionales, se concluye que es pertinente que esta junta emita un nuevo Reglamento para la Administración del Riesgo Tecnológico, que incluya el fortalecimiento en aspectos para la ciberseguridad; análisis de criticidad para servicios tecnológicos que procesan y/o almacenan información; sistemas de inteligencia artificial; ampliación de los mecanismos de intercambio de información; pruebas al plan de recuperación ante desastres; requisitos adicionales para la contratación con terceros de servicios tecnológicos que procesan y/o

almacenan información; sistemas de inteligencia artificial; ampliación de los mecanismos de intercambio de información; pruebas al plan de recuperación ante desastres; requisitos adicionales para la contratación con terceros de servicios tecnológicos que procesan y/o almacenan información, incluyendo los subcontratistas y subcontratistas en cadena; así como, otras modificaciones que permitan una actualización integral de la norma, POR TANTO: Con base en lo considerado, y con fundamento en lo dispuesto en los artículos 26 incisos 1 y m, y 64 de la Ley Orgánica del Banco de Guatemala; 55, 56, 57 y 129 de la Ley de Bancos y Grupos Financieros: y, tomando en cuenta el oficio número 6810-2025 y el dictamen número 17-2025, ambos de la Superintendencia de Bancos,

RESUELVE:

1. Emitir, conforme anexo a la presente resolución, el Reglamento para la Administración del Riesgo Tecnológico. 2 D gar la resolución JM-104-2021.

3. Establecer que los expedientes formados y las solicitudes que se encuentren en proceso al ampero de la resolución JM-104-2021, deberán continuar su trámite y ser recueltos con lo establecido en dicha resolución. -

4. Autorizar a la secretaria de esta junta para que publique la presente resolución en el diario oficial y en otro periódico, la cual entrará en vigencia el día de su publicación. oL q Junta Y)

© Monetaria < Romeo Augusto Archil Secretario, Junta Monetária

ANEXO A LA RESOLUCIÓN JM-98-2025

REGLAMENTO PARA LA ADMINISTRACIÓN DEL RIESGO TECNOLÓGICO

CAPÍTULO | DISPOSICIONES GENERALES

Romeo Augusto Archil Secretario, Junta Monetária

ANEXO A LA RESOLUCIÓN JM-98-2025

REGLAMENTO PARA LA ADMINISTRACIÓN DEL RIESGO TECNOLÓGICO CAPÍTULO | DISPOSICIONES GENERALES Artículo 1. Objeto. Este reglamento tiene por objeto establecer los lineamientos mí que los bancos, las sociedades financieras y las empresas especializadas en servicios financieros que forman parte de un grupo financiero, deberán cumplir para administrar el riesgo tecnológico, Artículo 2. Definiciones. Para los efectos de este reglamento se establecen las definiciones siguientes: Activo de información: es un elemento físico, virtual, tangible o intangible, que tiene valor para la institución y cuya protección es crucial para preservar la seguridad de la información, incluyendo activos en el ciberespacio.

Activos en el ciberespacio: son los sistemas de información, infraestructura de TI, bases de datos, redes, datos, servicios o elementos de la institución que están interconectados a Intemeto a otra red externa a la institución.

Administración del riesgo tecnológico: es el proceso que consiste en identificar, medir, monitorear, controlar, prevenir y mitigar el riesgo tecnológico.

Almacenamiento de información: utilización de servicios de cómputo para mantener, conservar y resguardar datos.

Certificado digital: es un identificador único que garantiza la identidad del emisor y del receptor de un mensaje o transacción electrónica, la confidencialidad del contenido del envío, la integridad de la transacción, y el no repudio de los compromisos adquiridos por vía electrónica.

Ciberamenaza: es una circunstancia, situación, evento o acto con el potencial de convertirse en un ciberataque.

Ciberamenaza: es una circunstancia, situación, evento o acto con el potencial de convertirse en un ciberataque.

Ciberataque: es un evento con la Intención de causar daño en uno o varios activos en el ciberespacio de la institución.

Ciberseguridad: políticas, estrategias, recursos, soluciones informáticas, prácticas y competencias para preservar la confidencialidad, integridad y disponibilidad de los activos en el ciberespaci Criticidad de la información: se refiere a la clasificación de la información en diferentes niveles considerando la importancia que esta tiene para la operación del negocio, de acuerdo con los manuales de administración de riesgos de la institución.

Diagrama de relación: es la representación gráfica que describe la distribución de datos almacenados en las bases de datos de la institución y la relación entre estos, tales como los diagramas de entidad-relación para el caso de bases de datos del tipo relacional.

Diccionario de datos: es la documentación relativa a las especificaciones de los dalos, tales como su identificación, descripción, atributos, el dominio de valores, restricciones de integridad y ubicación dentro de una base de datos.

Incidente cibernético: es un ciberataque que vulneró de forma individual o conjunta la confident idad, integridad y/o disponibilidad de la información.

Infraestructura de tecnología de la información o infraestructura de TI: es el hardware, software, redes, instalaciones y otros elementos que se requieren para desarrollar, probar, entregar, monitorear, controlar o dar soporte a los servicios de tecnologia de la información. La infraestructura de TI excluye al recurso humano, los procesos y la documentación Institución o instituciones: se refiere a los bancos, las sociedades financieras y las empresas especializadas en servicios financieros que forman parte de un grupo financiero.

Procesamiento de información: utilización de servicios de cómputo para el tratamiento electrónico de datos.

Institución o instituciones: se refiere a los bancos, las sociedades financieras y las empresas especializadas en servicios financieros que forman parte de un grupo financiero.

Procesamiento de información: utilización de servicios de cómputo para el tratamiento electrónico de datos.

Proveedor de servicios que procesan y/o almacenan información: entidad que de forma directa presta servicios que procesan y/o almacenan información.

Pruebas de penetración: someter un sistema o red a ciberataques simulados o reales que traten de detectar, identificar o explotar vulnerabilidades cibernéticas en condiciones controladas.

Res. JM-98-2025 página 1.NUMERO 38 Guatemala, JUEVES 30 de octubre de 2025 3 DIARIO de CENTRO AMERICA —_— _— ——— Resiliencia cibernética: la capacidad de la institución para adaptarse a las condiciones cambiantes y prepararse para resistir, responder y recuperarse rápidamente de un ciberataque. Riesgo tecnológico: es la contingencia de que la interrupción, alteración, o falla de la Infraestructura de TI, sistemas de información, bases de datos y procesos de TI, provoquen perdidas a la institución.

Sensibilidad de la información: clasificación de la información según el perjuicio que ocasione a la institución su alteración, destrucción, pérdida o divulgación no autorizada.

Sistemas de información: es el conjunto organizado de datos, procesos y personas, para obtener, procesar, almacenar, transmitir, comunicar y disponer de la información en la institución para un objetivo específico.

Sistema de inteligencia artificial: sistema basado en tecnología de la información que, para la operación y/o los objetivos de la institución, infiere, a partir de los datos de entrada que recibe, cómo generar información de salida, tales como, pronósticos, contenidos, recomendaciones o decisiones, que pueden influir en entornos fisicos o virtuales.

d) Definir la estrategia para la implementación de las políticas y procedimientos aprobados para la administración del riesgo tecnológico y su adecuado cumplimiento; e) Revisar, al menos anualmente, las políticas y procedimientos y proponer la actualización, cuando proceda; 9 Analizar los reportes que le remita la Unidad de Administración de Riesgos, a que se refiere el artículo 6 de este reglamento, sobre la exposición del riesgo tecnológico de la institución, los cambios sustanciales de tal exposición y su evolución en el tiempo, así como adoptar las medidas correctivas correspondientes; 9) Analizar la información que le remita la Unidad de Administración de Riesgos sobre el cumplimiento de las políticas y -procedimientos aprobados, así como evaluar las causas de los incumplimientos que hubieren, y proponer al Consejo acciones a adoptar con relación a dichos incumplimientos; h) Analizar la información que le remita el Oficial de Seguridad de la Información sobre el desempeño de los indicadores clave de seguridad de la información y ciberseguridad, así como sobre la gestión de incidentes. Asimismo, proponer recomendaciones al Consejo sobre las acciones a adoptar, en relación con dichos indicadores e incidentes, cuando corresponda; ) Reportar al Consejo, al menos semestralmente y cuando la situación lo amerite, sobre la exposición al riesgo tecnológico de la institución, los cambios sustanciales de tal exposición, su evolución en el tiempo, las principales medidas correctivas adoptadas y el cumplimiento de las políticas y procedimientos aprobados; y, ) Otras funciones relacionadas que le asigne el Consejo. Las sesiones y acuerdos del Comité deberán constar en acta suscrila por quienes intervinieron en la sesión. El Consejo deberá asegurarse que la estructura organizacional para administrar TI permita asesorar al Comité en los aspectos relacionados con el riesgo tecnológico.

Las sesiones y acuerdos del Comité deberán constar en acta suscrila por quienes intervinieron en la sesión. El Consejo deberá asegurarse que la estructura organizacional para administrar TI permita asesorar al Comité en los aspectos relacionados con el riesgo tecnológico. Artículo 6. Unidad de Administración de Riesgos. La Unidad de Administración de Riesgos, en lo sucesivo la Unidad, apoyará al Comité en la administración del riesgo tecnológico, para lo cual tendrá las funciones siguientes: a) Proponer al Comité políticas y procedimientos para la administración del riesgo tecnológico, así como el plan estratégico de TI, el plan de recuperación ante desastres y su plan de pruebas; b) - Revisar, al menos anualmente y cuando la situación lo amerite, las políticas, los procedimientos, el plan estratégico de TI, y para los procesos críticos, el plan de recuperación ante desastres y su plan de pruebas, y proponer su actualización al Comité, atendiendo los cambios en la estrategia o situación de la institución o cuando lo requiera la normativa; e) Monitorear la exposición al riesgo tecnológico y mantener registros históricos sobre dicho monitoreo, así como medir el riesgo tecnológico, considerando lo establecido en este reglamento; d) Analizar el riesgo tecnológico inherente de las innovaciones en TI que se implementen en la institución y el que se derive de los nuevos productos y servicios propuestos por las unidades de negocios; e) Reportar al Comité, al menos trimestralmente y cuando la situación lo amerite, sobre la exposición al riesgo tecnológico de la institución, los cambios sustanciales de tal exposición y su evolución en el tiempo, asi como proponer al Comilé las medidas correctivas correspondientes;

f Verificar e informar al Comité, al menos trimestralmente y cuando la situación lo amerite, sobre el nivel de cumplimiento de las políticas y procedimientos aprobados; 9) - Identificar las causas del incumplimiento de las políticas y procedimientos aprobados, determinar si los mismos se presentan en forma reiterada e incluir sus resultados en el informe indicado en el inciso f) anterior y proponer las medidas correctivas, debiendo mantener registros hislóricos sobre tales incumplimientos; y, h) Otras funciones relacionadas que le asigne el Comité. El Consejo deberá asegurarse que la estructura organizacional para administrar TI permita apoyar a la Unidad en los aspectos relacionados con el riesgo tecnológico. Artículo 7. Funciones de la auditoría interna. Sin perjuicio de las funciones establecidas en el Reglamento de Gobierno Corporativo, la auditoría interna verificará, como mínimo una vez al año, el cumplimiento de lo establecido en este reglamento, debiendo realizar principalmente auditorías para evaluar la eficacia de los procesos en la administración del riesgo tecnológico, incluyendo las medidas de seguridad de la información, ciberseguridad y la evaluación de la relación con proveedores de servicios de TI Artículo 8. Plan estratégico de TI. Las instituciones, como parte de su plan estratégico general, deberán tener un plan estratégico de TI alineado con la estrategia de negocios, para gestionar la infraestructura de TI, los sistemas de información, la base de datos y al recurso humano de TI. El plan estratégico de TI debe incluir, como mínimo, los aspectos siguientes: a) Objetivos de TI alineados con la estrategia de negocios en función del análisis e impacto de factores internos. y externos en esta materia, tales como oportunidades, limitaciones y desempeño de la infraestructura de TI, los sistemas de información, la

a) Objetivos de TI alineados con la estrategia de negocios en función del análisis e impacto de factores internos. y externos en esta materia, tales como oportunidades, limitaciones y desempeño de la infraestructura de TI, los sistemas de información, la base de datos, el recurso humano relacionado y los activos en el ciberespacio de la institución; b) Estrategias de TI, para la consecución de los objetivos; e) Proyectos y actividades específicas; y, d) El presupuesto financiero para su ejecución. Las instituciones deberán poner a disposición de la Superintendencia de Bancos el plan estratégico de TI y sus modificaciones, cuando esta lo requiera. Res. JM-98-2025 página 2.4 Guatemala, JUEVES 30 de octubre de 2025 DIARIO de CENTRO AMERICA NUMERO 38 e Las nuevas instituciones que se constituyan o se autorice su funcionamiento deberán remitir una copia del plan estratégico de TI a que se refiere este articulo, a la Superintendencia de Bancos, antes del inicio de sus operaciones, Artículo 9. Organización de TI. Las instituciones deberán contar con una estructura organizacional de TI que esté alineada con el plan estratégico, asegurándose que el recurso humano de TI tenga las capacidades necesarias mediante programas de entrenamiento y capacitación, una adecuada separación de funciones, delegación de autoridad, definición de roles y asignación de responsabilidades, todo esto soportado con un marco de trabajo estructurado en procesos, los cuales deberán estar debidamente identificados. Artículo 10. Manual de Administración del Riesgo Tecnológico. Las políticas y procedimientos a que se refiere el articulo 3 de este reglamento deberán constar por escrito en un Manual de Administración del Riesgo Tecnológico que será aprobado por el Consejo.

Subcontratista de servicios que procesan y/o almacenan información: entidad que es contratada por el proveedor de servicios que procesan y/o almacenan información, para prestar algún servicio o parte del servicio contratado y que derivado de esto, procesa y/o almacena información de la institución. Tecnología de la información o TI: es el uso de la tecnologia para obtener, procesar, almacenar, transmitir, comunicar y disponer de la información, para dar viabilidad a los procesos del negocio. & Vendedor de servicios que procesan y/o almacenan información: entidad que realiza la comercialización de servicios que procesan y/o almacenan información prestados por un tercero de forma directa.

Vulnerabilidad cibernética: debilidad de uno o varios activos en el ciberespacio o control que puede ser explotado por una ciberamenaza. . CAPÍTULO Il . ORGANIZACIÓN PARA LA ADMINISTRACIÓN DEL RIESGO TECNOLÓGICO Artículo 3. Políticas y procedimientos. Las instituciones deberán establecer e implementar políticas y procedimientos que les permitan realizar permanentemente una adecuada administración del riesgo tecnológico de la institución, considerando la naturaleza, complejidad y volumen de sus operaciones.

Dichas políticas y procedimientos deberán comprender, como mínimo, las metodologías, herramientas o modelos de medición del riesgo tecnológico, así como los aspectos que se detallan en los capítulos del II! al VII de este reglamento y agruparse en los temas siguientes: a) - Infraestructura de TI, sistemas de información, bases de datos y servicios de TI; b) Seguridad de tecnología de la información; c) Ciberseguridad; d) Plan de recuperación ante desastres; y, e) — Procesamiento y/o almacenamiento de información.

b) Seguridad de tecnología de la información; c) Ciberseguridad; d) Plan de recuperación ante desastres; y, e) — Procesamiento y/o almacenamiento de información. En adición a los aspectos indicados, las instituciones deberán establecer políticas para elaborar, implementar y actualizar el plan estratégico de TI a que se refiere el artículo 8 de este reglamento. Articulo 4. Responsabilidad del Consejo de Administración. El Consejo de Administración o quien haga sus veces, en lo sucesivo el Consejo, sin perjuicio de las responsabilidades que le asignan otras disposiciones legales aplicables, es el responsable de velar porque se implemente e instruir para que se mantenga en adecuado funcionamiento y ejecución la administración del riesgo tecnológico. Para cumplir con lo indicado en el párrafo anterior el Consejo como mínimo deberá: a) Aprobar las políticas y procedimientos a que se refiere el artículo anterior, el plan estratégico de TI, el plan de recuperación ante desastres, así como conocer y resolver sobre las propuestas de actualización y autorizar las modificaciones respectivas; b) — Conocer los reportes que le remita el Comité de Gestión de Riesgos sobre la exposición al riesgo tecnológico, los cambios sustanciales de tal exposición y su evolución en el . tiempo, así como las medidas correctivas adoptadas; c) Conocer los reportes sobre el nivel de cumplimiento de las políticas y procedimientos aprobados, así como las propuestas sobre acciones a adoptar con relación a los incumplimientos. Asimismo, en caso de incumplimiento el Consejo deberá adoptar las medidas que correspondan, sin perjuicio de las sanciones legales que el caso amerite; y, d) — Designar a un Oficial de Seguridad de la Información de la institución, quien formará parte del Comité de Gestión de Riesgos o dependerá directamente de este Consejo,

d) — Designar a un Oficial de Seguridad de la Información de la institución, quien formará parte del Comité de Gestión de Riesgos o dependerá directamente de este Consejo, Lo indicado en este articulo deberá hacerse constar en el acta respectiva. Artículo 5. Comité de Gestión de Riesgos. El Comité de Gestión de Riesgos, en lo sucesivo el Comité, estará integrado como mínimo por un miembro del Consejo y por las autoridades y funcionarios que dicho Consejo designe. El Comilé estará a cargo de la dirección de la administración del riesgo tecnológico, entre otros riesgos, para lo cual deberá encargarse de la implementación, adecuado funcionamiento y ejecución de las políticas y procedimientos aprobados para dicho propósito y tendrá las funciones siguientes: . a) Proponer al Consejo, para su aprobación, las políticas y procedimientos para la administración del riesgo tecnológico, asi como el plan estratégico de TI y el plan de recuperación ante desastre: b) Proponer al Consejo el Manual de Administración del Riesgo Tecnológico y sus actualizaciones; c) — Analizar las propuestas sobre actualización de las políticas, procedimientos, plan estratégico de TI, plan de recuperación ante desastres y su plan de pruebas, y proponer al Consejo las actualizaciones que procedan; d) Definir la estrategia para la implementación de las políticas y procedimientos aprobados para la administración del riesgo tecnológico y su adecuado cumplimiento; e) Revisar, al menos anualmente, las políticas y procedimientos y proponer la actualización, cuando proceda;

Artículo 10. Manual de Administración del Riesgo Tecnológico. Las políticas y procedimientos a que se refiere el articulo 3 de este reglamento deberán constar por escrito en un Manual de Administración del Riesgo Tecnológico que será aprobado por el Consejo. El Consejo conocerá y resolverá sobre las propuestas de actualización del Manual de Administración del Riesgo Tecnológico y autorizará las modificaciones al mismo, las que deberán ser comunicadas a la Superintendencia de Bancos, dentro de los diez (10) días hábiles siguientes a su aprobación. Las nuevas instituciones que se constituyan o se autorice su funcionamiento deberán remitir una copia del manual a que se refiere este artículo a la Superintendencia de Bancos antes del inicio de sus operaciones. CAPÍTULO II! - INFRAESTRUCTURA DE TI, SISTEMAS DE INFORMACIÓN, BASES DE DATOS Y SERVICIOS DE TI Artículo 11. Esquema de la información del negocio. Las instituciones deberán contar con un esquema actualizado de la información del negocio que represente la interrelación entre la infraestructura de TI, los sistemas de información, los servicios de TI y los procesos de las principales líneas de negocio. Artículo 12. Inventarios de activos de información. Las instituciones deberán mantener inventarios actualizados que incluyan, como mínimo, lo siguiente: a) De infraestructura de TI:

1. Especificaciones técnicas de sus elementos: i Tipo;

Nombre; Función iv. Identificar si el mantenimiento es proplo o realizado por terceros, en este último caso deberá identificarse al proveedor. . 2. Ubicación física de sus elementos. b) De sistemas de información:

1. Características de los sistemas de información: ü. Lenguaje de programación; iv. — Versión; v. — Estructura del sistema y las relaciones entre sus componentes;

. 2. Ubicación física de sus elementos. b) De sistemas de información:

1. Características de los sistemas de información: ü. Lenguaje de programación; iv. — Versión; v. — Estructura del sistema y las relaciones entre sus componentes; vi. Nombre y versión de los manejadores de bases de datos con las cuales interactúan; vii. Nombre de las bases de datos con las cuales interactúan; vii. Identificar sí es desarrollo propio o realizado por terceros, en este último caso deberá identificarse al proveedor; y, ix. — Identificar si el mantenimiento es propio o realizado por terceros, en este último caso deberá identificarse al proveedor.

2. Documentación técnica: y, .

3. Documentación para el usuario final

c) De bases de datos:

1. Nombre; Descripción general de la información que contiene; Manejador de base de datos o sistema de gestión de archivos, y su versión; Nombre de los servidores en los que reside;

2. 3. 4.

S. Diccionario de datos;

6. Diagramas de relación; y,

7. Nombre del administrador de la base de datos.

d) De activos en el ciberespacio: Nombre; Categoría del activo; Criticidad del activo; Descripción general de la información que contiene; n del servicio que soporta; Responsable del activo; NEON Nombre de la infraestructura en la que reside;

8. Nombre del proveedor; y,

9. Esquema de conectividad.

Artículo 13. Administrador de base de datos. 0 más administradores de base de datos para gestionar los controles de ae integridad, disponibilidad y confidencialidad de los datos, así como los procsso; y actualización o eliminación de estructuras en las bases de datos, entre otros

0 más administradores de base de datos para gestionar los controles de ae integridad, disponibilidad y confidencialidad de los datos, así como los procsso; y actualización o eliminación de estructuras en las bases de datos, entre otros Articulo 14. Evaluación de capacidades y desem evaluaciones periódicas de la capacidad y desemp sistemas de información y de las bases de datos, con el objeto de de ampliación de capacidades o actualizaciones. Las instituciones deberán documentar y llevar registro de las evaluaciones periódicas a que se refiere este artículo y realizar análisis de tendencias para determinar capacidades futuras. Las instituciones deberán designar uno peño. Las instituciones deberán realizar eño de la infraestructura de TI, de los determinar necesidades Artículo 15. Adquisición, mantenimiento e implementación de infraestructura de TI, sistemas de información y bases de datos. Las instituciones deberán contar con procesos documentados y planes operativos para la adquisición, mantenimiento e implementación de la infraestructura de TI, los sistemas de información y las bases de datos. Dichos procesos deberán incluir, como mínimo, los aspectos siguientes: a) Enloreferente a adquisición y mantenimiento:

1. Selección de proveedores, considerando factibilidad tecnológica y económica;

2. Contratación, considerando la suscripción y ejecución: y.

3. Uso de herramientas controladas previamente certificadas por el proveedor, así como verificadas y aprobadas por la institución.

b) Enlo referente a implementación:

1. Realización de pruebas; y,

2. Registro y monitoreo de la implementación.

Artículo 16. Gestión de servicios de TI. Las instituciones deberán realizar una adecuada gestión de los servici