Aut 11 Manual de Tecnologias de La Informacion

v. 1.
El presente manual tiene como objetivo incorporar los elementos mnimos que pudieran permitir
a las Entidades mantener un ambiente de control aceptable en materia de Tecnologas de la
Informacin. Por ningn motivo se debe considerar el ndice y contenido del presente Manual
como una versin definitiva y completa, existen muchos otros elementos que cada Entidad debe
considerar de acuerdo a su tipo y tamao, as como las condiciones adecuadas para su operacin.
Los elementos que se relacionan en el ndice del presente Manual no deben ser eliminados, ya que
sern sujetos de revisin durante las visitas que llegara a realizar la Comisin Nacional Bancaria y
de Valores, sin embargo; como se indic antes, se pueden adicionar elementos, de acuerdo a las
necesidades propias de cada Entidad.
Es importante que este documento sea autorizado mediante un proceso formal que se lleve a
cabo al interior de la Entidad.
En caso de tener dudas o comentarios, favor de contactar al personal de la CNBV responsable del
proceso de autorizacin:
Lic. Arturo Murillo Torres

Director General Adjunto de Supervisin de Riesgo Operacional y Tecnolgico
Tel: 1454-7864/7865
Correo electrnico: amurillo@cnbv.gob.mx
C. Rafael Castaeda Monter

Subdirector de Riesgo Operacional y Tecnolgico
Tel: 1454-7887
Correo electrnico: rcastaneda@cnbv.gob.mx
Manual de Tecnologas de la Informacin para Entidades de Ahorro y Crdito Popular
2 de 25
MANUAL DE T
|
ECNOLOGAS DE LA
INFORMACIN
Contenido
Tema 1.
Organizacin del rea de Sistemas ..............................................................................4
Tema 2.
Inventario de procesos de negocio y componentes informticos ..............................4
Tema 3.
Prestacin de servicios de Tecnologas de Informacin por Proveedores .................5
Tema 4.
Respaldos de Informacin ...........................................................................................5
Tema 5.
Seguridad ......................................................................................................................7
Tema 6.
Bitcoras de acceso y transacciones ............................................................................9
Tema 7.
Infraestructura de cmputo y telecomunicaciones ..................................................10
Tema 8.
Intercambio de informacin con sucursales .............................................................11
Tema 9.
Operacin del negocio ...............................................................................................12
Tema 10.
Contabilidad y reportes regulatorios .........................................................................13
Tema 11.
Prevencin de lavado de dinero ................................................................................14
Manual de Tecnologas de la Informacin
3 de 25
MANUAL
DE
TECNOLOGAS
Tema 1.
DE LA
INFORMACIN
Organizacin del rea de Sistemas
1.
Descripcin del rea de sistemas
2.
Puesto del responsable del rea de sistemas.
3.
Puesto y rea a la que le reporta.
4.
Organigrama.
5.
Actividades que desempea cada una de las personas que integran el rea de Sistemas.
6.
Funciones externas del rea de sistemas. En caso de no contar con un rea de Sistemas mencionar
el puesto de la persona que lleva a cabo las funciones de sistemas o, en su caso, el nombre del
proveedor que realiza estas funciones.
Tema 2.
1.
Inventario de procesos de negocio y componentes informticos

Tabla de procesos de negocio y componentes informticos. Relacionar en la siguiente tabla los
aplicativos con que soportan la operacin de la Entidad.
Contemplar al menos los siguientes procesos de negocio:
Captacin
Colocacin
Calificacin de cartera
Registro contable
Generacin de reportes financieros y regulatorios
Prevencin de lavado de dinero
Sistemas utilizados por la Entidad
Proceso de
Negocio
Ejemplo:
Captacin,
Colocacin,
Contabilidad,
PLD
Captacin,
Colocacin,
Contabilidad,
Prevencin
de Lavado de
Dinero (PLD)
Nombre
del
sistema
Lugar donde se
encuentran los
equipos
SisteTwin CCPrincipal
Ave. 1, Col.
Numrica,
Chihuahua, Chi.
CCAlterno
Calle Azul, Col.
Colorida,
Chihuahua, Chi.
(Sucursal
Dorada).
Mascore Centro de
Cmputo
Principal y
Centro de
Cmputo
Alterno, en su
caso.
Len,
Guanajuato
Instalaciones
Equipo donde
Proveedor
propias o de
procesa el
del sistema
terceros
sistema
Propias
Desarrollo
propio
Blade
PowerEdge
M805, Dell.
Sistema
Operativo
Lenguaje de Base de
Programacin Datos
Windows
Server 2010
C++
My SQL
Windows
Server
2008
Visual Studio
2008
SQL
Server
2008
Fecha de
inicio de
operacin
del sistema
9 enero
2014
CCA Dell
PowerEdge
M910
Propio
Federacin
de cajas
Dell
PowerEdge
M915
15 de julio
de 2010
4 de 25
MANUAL
TECNOLOGAS
DE
Tema 3.
1.
DE LA
INFORMACIN
Prestacin de servicios de Tecnologas de Informacin por Proveedores
Control de proveedores. Relacionar en la siguiente tabla los principales servicios de TI.
Relacin de proveedores externos para los servicios de TI
Servicio
contratado
Descripcin del
servicio
Empresa
Fecha de
finalizacin del
contrato
Indicador del
acuerdo de
1
servicio
Responsable
1
de evaluar
Frecuencia de
evaluacin del
1
nivel
Acuerdos de
2
confidencialidad
(S / NO)
Nombre del
proveedor
Nota: Las Federaciones se consideran proveedores de servicios, cuando proporcionan servicios de Tecnologa
de la Informacin.
1
Indicador con el que se mide el nivel de cumplimiento del servicio, por parte del proveedor, como pudieran
ser: porcentaje de disponibilidad, tiempo de atencin de incidentes, otros; as como el responsable de su
evaluacin y la frecuencia con que ser medido.
2
Es importante tener identificado que los contratos con proveedores de servicio deben contener acuerdos o
clusulas de confidencialidad en el manejo de la informacin por parte del proveedor.
2.
Informacin fuera de las instalaciones.

Descripcin de la informacin de clientes/socios y/o operaciones que algn proveedor mantenga fuera
de las instalaciones de la Entidad.
La Entidad debe mantener un control y registro sobre la informacin de clientes/socios que se
encuentre almacenada, por parte de algn proveedor, fuera de las oficinas de la Entidad.
3.
Estrategia de continuidad de los proveedores.

Descripcin de la estrategia de continuidad en la prestacin del servicio por parte de los proveedores
que proporcionen almacenamiento y/o procesamiento de informacin.
4.
Acceso a sistemas y/o bases de datos por parte de proveedores.

Descripcin del tipo de acceso a los sistemas y/o bases de datos de la Entidad que algn proveedor
pudiera tener, as como la forma en que se controla el acceso.
Tema 4.
1.
Respaldos de Informacin
Procedimientos de respaldo de informacin.

Descripcin detallada de las polticas y procedimientos que llevan a cabo para generar los respaldos de
informacin. En este punto se deben incluir los procedimientos para generar los respaldos de, al
menos, la siguiente informacin:
1.1. Respaldos de bases de datos.
5 de 25
MANUAL
DE
TECNOLOGAS
DE LA
INFORMACIN
1.2. Respaldos de aplicativos.

1.3. Respaldos de configuracin de sistemas operativos.
As mismo, se debe documentar, al menos, lo siguiente:
a.
b.
c.
d.
e.
2.
Nombre de los equipos de cmputo donde se encuentra la informacin a respaldar.

Ruta de acceso a la informacin a respaldar.
Ruta de acceso al lugar (equipo o dispositivo) de almacenamiento.
Descripcin detallada del procedimiento de respaldo.
Puesto del responsable de realizar los respaldos.
Almacenamiento de respaldos.
Describir el lugar en el que se resguardan los respaldos, incluyendo direccin, ciudad y estado
Indicando si es dentro de las instalaciones donde residen los servidores principales (centro de
cmputo), fuera de sus instalaciones (oficinas) o en los dos.
2.1. Nombre y puesto de las personas que tienen acceso a los medios de respaldo.
2.2. Control de respaldos. Incluir un procedimiento y formato con el que se llevar el control de los
respaldos generados, de cada uno de los elementos descritos en los incisos 4.1.1, 4.1.2 y 4.1.3 antes
descritos.
2.3. Control de incidentes de respaldos. Incluir un procedimiento y formato con el que se llevar el
control de los incidentes que se hayan presentado al realizar los respaldos, as como la forma en
que fue solucionado el incidente y si se gener el respaldo correspondiente o no.
Respaldos de informacin y sistemas

Responsable: puesto del responsable
Nombre del
sistema,
herramienta, base
de datos, sistema
operativo
Nombre del
sistema o
herramienta
(por ejemplo:
Excel, SisteFin)
3.
Tipo de Informacin
respaldada
Frecuencia
Medio de
almacenamiento
Lugar de
resguardo
Seleccionar una o
varias de las
Equipo de
Diario,
siguientes opciones:
cmputo, CD, Caja fuete,
semanal,
Base de datos
cinta,
gabinete
quincenal,
(informacin
diskette,
sucursal,
mensual,
productiva)
unidad
estante,
anual,
Programas
extrable,
cajn u otro
otro
Configuracin
otro
del sistema
operativo
Ubicacin
Fecha
Centro
cmputo,
sucursal
Dorada,
Federacin,
bveda
bancaria,
domicilio de
funcionario,
otro
Fecha en la
que se
ejecuta el
respaldo
Pruebas de respaldos.
Describir lo siguiente:
3.1. Procedimiento de recuperacin de respaldos. Describir, de manera muy detallada, el
procedimiento que deber seguir la persona responsable de llevar a cabo la recuperacin y puesta
6 de 25
MANUAL
DE
TECNOLOGAS
DE LA
INFORMACIN
en operacin, de informacin y sistemas respaldados, en caso de presentarse alguna contingencia

o necesidad de acceder a dicha informacin.
3.2. Frecuencia con que se realizan las pruebas de los respaldos.
3.3. Responsable de realizar las pruebas.
3.4. Procedimiento y formato para documentar el resultado de las pruebas.
3.5. Formato para dar seguimiento a la solucin a incidentes.
3.6. Formato para registrar el inventario de respaldos. El inventario deber contener al menos la
siguiente informacin: informacin respaldada (sistemas y bases de datos), fecha de ejecucin,
responsable de realizarlo, medio en el que se almacena, ubicacin fsica.
3.7. Destruccin de medios. Describir el procedimiento que seguirn para destruir los medios en los que
se haya respaldado informacin, antes de ser desechados, en su caso.
Tema 5.
Seguridad
A. CONTROL DE ACCESO A LOS APLICATIVOS

1.
Polticas y procedimientos, autorizados, relacionados con Seguridad de Sistemas. Debern incluir al

menos lo siguiente:
1.1. Definicin de perfiles de acceso a los sistemas, de acuerdo con las funciones o actividades que se
realicen en los diferentes puestos o reas, incluyendo sucursales.
1.2. Control de perfiles. Formato en el que se registra el sistema y perfil asignado a cada usuario que
tiene acceso al mismo. Debe existir un control para los usuarios finales y otro para los usuarios
administradores, tanto de sistemas como de base de datos.
1.3. Polticas relacionadas con la definicin de contraseas de acceso a los sistemas. Debe incluir
cambio de contrasea la primera vez que se entrega al usuario.
1.4. Poltica de sesiones simultaneas. Debe restringir la posibilidad de que un usuario pueda utilizar su
acceso dos veces en el mismo equipo o en equipos diferentes.
1.5. Procedimientos para altas de usuarios., incluyendo al menos lo siguiente:
1.5.1. Procedimiento de solicitud de alta.
1.5.2. Puesto del responsable de llevar a cabo el procedimiento.
1.5.3. Medio por el que se solicita al responsable el alta del usuario.
1.5.4. Procedimiento de entrega de usuario y contrasea.
1.6. Procedimientos para baja de usuarios. Debe existir un documento en el que se registren las
solicitudes de baja de usuarios de algn o algunos sistemas, as como evidencia de que el usuario
fue dado de baja.
1.6.1. Procedimiento de solicitud de alta.
1.6.2. Puesto del responsable de llevar a cabo el procedimiento.
1.6.3. Medio por el que se solicita al responsable el alta del usuario.
1.6.4. Procedimiento de entrega de usuario y contrasea.
1.7. Procedimientos para asignar y/o modificar un perfil a un usuario de acuerdo a sus funciones.
7 de 25
MANUAL
DE
TECNOLOGAS
DE LA
INFORMACIN
1.7.1. Procedimientos para el restablecimiento de cuentas bloqueadas o contraseas olvidadas.

1.8. Puesto y lnea de reporte de la persona responsable de la administracin de usuarios.
1.9. Caractersticas de las contraseas de acceso de los sistemas.
1.10. Polticas de control de acceso, usuarios finales y administradores de sistemas.
Caractersticas de claves de acceso. La siguiente tabla es una gua para mantener un control de la poltica de contraseas
que se ha configurado para cada sistema, la cual es aplicable tanto para usuarios finales como para administradores.
Aplicacin o
Base de
Datos
Nombre del
sistema o
base de
datos
Ejemplo:
SCOP
B.
Longitud
mnima
Composicin
de contrasea
Periodo de
rotacin de
contrasea
Tiempo en que
el sistema
obliga al
usuario a
cambiar su
contrasea
Nmero de
caracteres
mnimo que
componen la
contrasea
Letras,
nmeros y/o
caracteres
especiales
8 caracteres
Letras, una
60 das
mayscula, y
por lo menos 2
nmeros
Intentos
fallidos
Nmero de
intentos
fallidos de
acceso antes
de bloquearse
la contrasea
3 intentos
Tiempo de
desconexin
Tiempo en que el
sistema
desconecta al
usuario despus
de un periodo de
inactividad
(minutos)
20 minutos
Cifrado de
contrasea
Mtodo
utilizado para
cifrar las
contraseas
MD5
CUENTAS CON MAYORES PRIVILEGIOS (por ejemplo: administrador del sistema, administrador de
la base de datos, cuentas de soporte tcnico o cuentas del proveedor de servicio, en su caso).
1.
Polticas de control de acceso, administradores. Desarrollo de polticas de control de acceso para los
administradores de los sistemas y bases de datos, que deben ser similares a las de usuarios finales. En
caso de contar con reas de desarrollo, debern incorporar polticas para manejar ambientes de
desarrollo y produccin separados, as como polticas de segregacin de funciones entre desarrolladores
y personal que pone en produccin los aplicativos.
Tabla de perfiles de administradores.

Aplicacin o
Base de Datos
Nombre del
sistema o base
de datos
Ejemplo:
Base de datos
del Sistema de
Captacin
(SQL)
Nombre y puesto del

Nombre de la
Actividades realizadas con la
responsable de la
Perfil de la cuenta
cuenta
cuenta
cuenta
Alcance que tiene
Tipo de
Persona
la contrasea con Motivos por los que el usuario
usuario que
responsable
que entra el
tiene el tipo de acceso.
utiliza
usuario
Responsable de
administracin
SA
Administrador del
sistema
Configuracin de la base
de datos.
Alta de productos.
Modificacin de tasas
de inters en caso de
errores.
8 de 25
MANUAL
2.
DE
TECNOLOGAS
DE LA
INFORMACIN
Procedimiento para asignar cuentas privilegiadas, incluyendo al menos la siguiente informacin:

2.1. Procedimiento de solicitud de alta.
2.2. Puesto del responsable de llevar a cabo el procedimiento.
2.3. Medio por el que se solicita al responsable el alta del usuario.
2.4. Procedimiento de entrega de usuario y contrasea.
3.
Control de accesos directos. Controles para impedir accesos directos a las bases de datos (fuera del
sistema) para realizar modificaciones en la informacin de la Entidad o de sus clientes/socios.
Tema 6.
Bitcoras de acceso y transacciones
A. BITCORAS DE ACCESO Y TRANSACCIONES DE LOS APLICATIVOS

1.
Poltica para mantener activadas las bitcoras de los aplicativos. Este punto se refiere a las bitcoras en
las que se registran las actividades realizadas por los usuarios.
La poltica debe incluir el registro de informacin de clientes/socios que fue modificada, como pudiera
ser el nmero o nombre del cliente, el nmero de cuenta del cliente que fue afectada, el importe de la
operacin, en su caso.
2.
Tipo de informacin de los usuarios que se registra:

2.1. Identificador del usuario.
2.2. Fecha y hora de la actividad realizada, incluyendo el acceso al sistema.
2.3. Fecha y hora de la salida del aplicativo.
2.4. Intentos de accesos fallidos.
2.5. Identificador de la informacin modificada durante el tiempo que el usuario estuvo activo en el
sistema.
2.6. Alta de informacin.
2.7. Modificacin de informacin.
2.8. Borrado de informacin.
2.9. Otros (especificar).
2.10. Tipo de transacciones que se registran en las bitcoras.
2.10.1. Depsitos.
2.10.2. Retiros.
2.10.3. Inversiones.
2.10.4. Consultas.
2.10.5. Pago de servicios.
2.10.6. Otros (especificar).
3.
Poltica de uso de bitcoras. Identificar las personas que tiene acceso a las bitcoras y el uso que le
darn.
9 de 25
MANUAL
4.
DE
TECNOLOGAS
DE LA
INFORMACIN
Poltica de almacenamiento de bitcoras de accesos y transacciones. Debe incluir una definicin de

tiempo.
B. BITCORAS DE ACCESO Y TRANSACCIONES DE LA BASE DE DATOS

1.
Puesto del responsable de configurar los parmetros de la base de datos (tamao, particiones, usuarios,
etc.).
2.
Poltica de usuarios que cuentan con permisos de administrador para ingresar directamente a la base de
datos. Esta poltica debe restringir el nmero de usuarios y solo contemplar a aquellos que es necesario
que tengan acceso, como pudiera ser el administrador de la base de datos.
3.
Poltica para mantener activas las bitcoras de los aplicativos. Este punto se refiere a las bitcoras en las
que se registran las actividades realizadas por los administradores.
4.
Tipo de informacin de los usuarios que se registra:

4.1. Identificador del usuario.
4.2. Fecha y hora de la actividad realizada, incluyendo el acceso al sistema.
4.3. Fecha y hora de la salida del aplicativo o base de datos.
4.4. Intentos de accesos fallidos.
4.5. Identificador de la informacin modificada durante el tiempo que el usuario estuvo activo en el
sistema.
4.6. Alta de informacin.
4.7. Modificacin de informacin.
4.8. Borrado de informacin.
4.9. Otros (especificar).
Tema 7.
Infraestructura de cmputo y telecomunicaciones
1.
Especificar en dnde se encuentran ubicados los equipos de cmputo y telecomunicaciones que

procesan los sistemas de la Entidad (colocacin, captacin, contabilidad, prevencin de lavado de
dinero, etc.), sealando si se encuentran en instalaciones propias o de un tercero.
2.
Domicilio de las instalaciones donde se resguardan los equipos de cmputo y telecomunicaciones que
procesan los sistemas de la Entidad, incluyendo, en su caso, los equipos de respaldo.
3.
Requerimientos mnimos con que deben contar las instalaciones donde se ubican los equipos de
cmputo y telecomunicaciones, incluyendo lo siguiente:
3.1. Aire acondicionado.
3.2. Detectores de humedad.
3.3. Detectores de Temperatura.
3.4. Detectores de humo.
3.5. Sistemas de extincin de incendios.
3.6. Circuito cerrado de televisin (CCTV).
10 de 25
MANUAL
DE
TECNOLOGAS
DE LA
INFORMACIN
4.
Mecanismos para el control de acceso al rea donde se ubican los equipos de cmputo y
telecomunicaciones (llaves convencionales, teclados numricos, tarjetas de proximidad, otro).
5.
Formato de registro de accesos al rea donde se ubican los equipos de cmputo y telecomunicaciones
(bitcora de acceso). Identificar la informacin mnima que deber contener el registro de accesos al
lugar en que se encuentra su equipo de cmputo y comunicaciones.
6.
Suministro de energa elctrica alterna (No Breaks, UPS, Planta de Emergencia, etc.) para los equipos en
donde procesan las aplicaciones principales. Describir las caractersticas mnimas que deber cumplir el
equipo de suministro de energa elctrica alterna y quin ser responsable de probar que se encuentre
en condiciones ptimas de operacin. Incluir informacin sobre la capacidad de operacin, como pudiera
ser 30 minutos.
7.
Estrategia de continuidad de la operacin. Describir la estrategia que seguirn para dar continuidad a
sus operaciones en caso de que el rea donde se ubican los equipos de cmputo que procesan los
sistemas crticos deje de operar debido a una contingencia, sealando si existen instalaciones alternas
para alojar equipos de cmputo de respaldo. De acuerdo al riesgo y nivel de operacin de la Entidad, se
puede considerar el uso de instalaciones alternas adecuadas, tales como sucursales acondicionadas para
tal efecto, instalaciones de terceros o centros de datos alternos.
8.
Enlaces de comunicacin, principales y redundantes, entre las oficinas principales, sucursales y centros
de datos. En caso de que cuenten con una red de comunicaciones entre diversos edificios, oficinas o
sucursales, especificar las caractersticas de los enlaces de comunicacin (principales y redundantes),
contemplando, al menos, lo siguiente:
8.1. Tipo de enlace.
8.2. Ancho de banda.
8.3. Mecanismos de cifrado de los enlaces.
8.4. Proveedor que proporciona los servicios de comunicaciones.
Tema 8.
1.
Intercambio de informacin con sucursales
Enlaces con sucursales. Relacionar cada una de las sucursales, su direccin y el tipo de enlace con que
cuenta.
Nombre de la sucursal
Ejemplo:
Pars
Ejemplo:
Kuk
Direccin
Calle Pars No. 2, Col. Francia,
Tecuala, Nayart
Paseo Kuk s/n, esquina Calle
Camarn, Holbox Q. Roo.
Infinitum
Modalidad de
transmisin de
informacin
(Lnea o batch)
Batch
Microonda
Lnea
Tipo de enlace de
comunicaciones
2.
Mecanismos de cifrado. Describir de manera breve los mecanismos de cifrado que utilizan en el
intercambio de informacin entre las sucursales y la oficina central. Incluir cada tipo de enlace y el
mecanismo de cifrado utilizado.
3.
Proceso de consolidacin de informacin. Describir el procedimiento que siguen para consolidar

informacin operativa entre las sucursales y oficinas remotas hacia las oficinas centrales, indicando el
tipo de dispositivo que, en su caso, se utiliza para trasladar la informacin (CD, USB, correo electrnico,
11 de 25
MANUAL
DE
TECNOLOGAS
DE LA
INFORMACIN
otro). Asimismo, describir el mecanismo de cifrado que utilizan al almacenar la informacin en el

dispositivo o medio, con el que se evita que cualquier persona no autorizada pueda conocer el contenido.
4.
Operaciones en sucursales fuera de lnea. En caso de que los clientes/socios puedan realizar operaciones
en cualquiera de sus sucursales, pero que estas no se encuentren conectadas en lnea, describir el
procedimiento que llevan a cabo para actualizar la informacin de ese cliente en la sucursal donde abri
la cuenta, en la oficina central y en las otras sucursales.
Tema 9.
Operacin del negocio
A. ASPECTOS GENERALES DE LA OPERACIN (CAPTACIN Y COLOCACIN)

1.
Folio automtico. Establecer como parte de su poltica informtica, que su aplicativo asigne de manera
automtica el nmero de clientes/socios (folio) y nmero de contrato, para cada producto, sin que dicho folio
se pueda modificar y/o duplicar.
2.
Actualizacin de productos y tasas de inters. Describir el procedimiento que siguen para dar de alta o
modificar algn producto en el sistema, ya sea de captacin o de colocacin.
3.
Puesto de la persona responsable de registrar y modificar los productos y tasas de inters, tanto de colocacin
como de captacin. No debe pertenecer al rea de sistemas.
4.
Asignacin de productos a un mismo cliente/socio. Establecer como parte de su poltica informtica, que su
aplicativo permita relacionar productos a un mismo cliente/socio, sin que sea necesario capturar nuevamente
la informacin del cliente/socio para cada producto contratado.
5.
Historial crediticio. Establecer como parte de su poltica informtica, que su aplicativo permita conocer el
historial crediticio de cada cliente/socio.
B. OPERACIN DEL APLICATIVO DE COLOCACIN

1.
Consultas a Sociedades de Informacin Crediticia. Establecer como parte de su poltica informtica, que
su aplicativo permita registrar informacin proveniente de las consultas a las Sociedades de Informacin
Crediticia, como el Bur de Crdito. Esto se puede llevar a cabo de forma manual o mediante la carga de
informacin crediticia utilizando una interfaz automatizada.
2.
Procesos automatizados para otorgamiento y gestin de crdito: Establecer como parte de su poltica
informtica, que su aplicativo cuente con funcionalidad para llevar a cabo las siguientes actividades.
2.1. Administracin de Renovaciones.
2.2. Administracin de Reestructuras.
2.3. Calificacin de Cartera.
2.4. Clculo y registro de provisiones.
2.5. Traspaso de cartera vigente a vencida.
2.6. Traspaso de vencida a vigente.
2.7. Administracin de garantas y avales.
2.8. Actualizacin de montos y tasas de inters de los productos de colocacin y captacin.
12 de 25
MANUAL
DE
TECNOLOGAS
DE LA
INFORMACIN
2.9. Identificacin y control de operaciones con personas relacionadas (miembros del Consejo de
Administracin, del Consejo de Vigilancia y del Comit de Crdito o su equivalente, as como los
auditores externos de la Sociedad Cooperativa de Ahorro y Prstamo, cnyuges y las personas que
tengan parentesco con las personas sealadas y funcionarios de la Entidad, as como las personas
distintas a stos que con su firma puedan obligar a la Entidad).
2.10. Identificacin y control de crditos otorgados a los clientes/socios que representen riesgo comn,
entendiendo como tal los crditos que la Sociedad le haya otorgado a los parientes por
consanguinidad en primer grado en lnea recta ascendente o descendente y, en su caso, al
cnyuge, concubina o concubinario del acreditado, cuando alguna de estas personas dependa
econmicamente de la persona que solicita el crdito.
C. OPERACIN DEL APLICATIVO EN VENTANILLA (SUCURSALES Y OFICINAS CENTRALES)

1.
Lmites de operacin. Describir los importes mximos que puede dispersar el personal de ventanilla
(cajero o supervisor) de los crditos autorizados, as como los importes mximos que puede entregar en
efectivo para operaciones de retiro.
2.
Aparatos telefnicos. Establecer como poltica que los aparatos telefnicos que se encuentran en el rea
de ventanilla no permitan realizar llamadas al exterior, toda comunicacin debe estar restringida al
interior de la sucursal o a con oficinas centrales.
3.
Servicios de los equipos de cmputo ubicados en ventanilla. Establecer como poltica que los equipos de
cmputo que utiliza el personal de ventanilla, tenga bloqueado el acceso a los siguientes servicios:
1.
2.
3.
4.
5.
6.
Puertos USB.
Internet.
Quemador de CD o DVD.
Office (Word, Excel, etc.), o similares.
WordPad, NotePad, o similares.
Mensajera instantnea como Messenger, entre otros.
Tema 10. Contabilidad y reportes regulatorios

1.
Cierre contable. Describir el procedimiento que se sigue para llevar a cabo los cierres contables, en el
sistema con que se maneja la contabilidad principal. En caso de tener interfaces manuales o
automatizadas con otros sistemas, incluir informacin sobre la forma en que se concentra la
informacin.
Siempre es conveniente que los procedimientos de cierre y generacin de contabilidad sean
automatizados en su totalidad.
2.
Reportes regulatorios. Describir el procedimiento que se sigue para generar los reportes regulatorios
que deben ser enviados a la Comisin Nacional Bancaria y de Valores.
Siempre es conveniente que los procedimientos de generacin y envo de los reportes regulatorios sean
automatizados en su totalidad.
13 de 25
MANUAL
DE
TECNOLOGAS
DE LA
INFORMACIN
Tema 11. Prevencin de lavado de dinero

1.
Descripcin general del sistema.
2.
Informacin de clientes/socios. Identificar los campos en los que se registra informacin de los
clientes/socios, contemplada en la normatividad (conocimiento e identificacin del cliente/socio). El
llenado de estos campos debe ser obligatorio para el usuario y no permitir avanzar en el proceso de
registro de informacin de clientes/socios si no son llenados.
3.
Listas negras o Personas Polticamente Expuestas (PEP). Describir el procedimiento que utiliza el sistema
para comparar los clientes/socios potenciales contra las listas de personas de alto riesgo (Listas
Negras y Polticamente Expuestas). En caso de que este proceso de identificacin se lleve a cabo en una
herramienta alterna al sistema principal de Prevencin de Lavado de Dinero, se debe describir la forma
en que se lleva a cabo y el registro del resultado de la bsqueda debe ser obligatorio en el sistema
principal, para identificar el nivel de riesgo asignado a cada cliente/socio.
4.
Nivel de riesgo: Describir el procedimiento que se sigue para actualizar el perfil de riesgo de
clientes/socios, al menos dos veces por ao.
5.
Operaciones relevantes. Describir la forma en que el aplicativo identifica las operaciones relevantes, as
como la forma en que se generan los reportes de operaciones relevantes. Este proceso debe ser
realizado por el sistema de manera automtica.
6.
Operaciones inusuales. Describir la forma en que el aplicativo identifica las operaciones inusuales, as
como la forma en que se generan los reportes de operaciones inusuales. Este proceso debe apegarse a lo
establecido en la normatividad.
7.
Operaciones internas preocupantes. Describir la forma en que el personal que labora en la Entidad
reporta operaciones internas preocupantes as como la forma en que se generan los reportes de
operaciones preocupantes. Se debe evitar el uso de correo electrnico y apegarse a lo establecido en la
normatividad.
14 de 25
INFORMACIN COMPLEMENTARIA
En complemento al Manual de Tecnologas de Informacin, la Entidad deber
responder y anexar el presente requerimiento respecto a la infraestructura y
recursos informticos con que cuenta y con la cual pretende iniciar
operaciones
Informacin complementaria
15 de 25
Requerimiento de informacin en materia de

Tecnologas de la Informacin aplicable a Entidades de
Ahorro y Crdito Popular
La Entidad deber proporcionar la informacin que se relaciona a continuacin:
1. Presentacin de servicios de Tecnologa de Informacin por Proveedores

a. Copia de contratos con proveedores externos para los servicios de TI.
2. Bitcoras de acceso y transacciones
a. Ejemplo de las bitcoras de acceso y transacciones de los aplicativos y sistema
operativo.
3. Infraestructura de cmputo y telecomunicaciones
a. Fotografas o imgenes de las instalaciones donde se ubican los servidores
principales que alojan los sistemas de la Entidad y equipos de telecomunicaciones
(centro de cmputo), que muestren lo siguiente:
i. Totalidad de los equipos.
ii. Medidas de control de acceso fsico (cerraduras, lectores biomtricos, etc.).
iii. Medidas de controles ambientales (aire acondicionado, detectores de
humedad, detectores de humo, etc.).
b. Bitcora de registro de los accesos a las instalaciones donde se ubican los equipos
de cmputo (bitcora en papel o generada por el dispositivo para el control de
acceso).
c. Diagrama de la red de Telecomunicaciones con que cuenta la Entidad, en el que se
identifique la ubicacin de los servidores principales y las conexiones con
sucursales.
4. Diagrama de interfaces entre los sistemas de la Entidad.
5. Medios Electrnicos
No llenar esta seccin si no ofrecen ni tienen pensado ofrecer servicios a travs de medios
electrnicos (Operaciones por internet, cajeros automticos, terminales punto de venta, telefona
mvil).
Descripcin de servicios. Eliminar los renglones correspondientes a los servicios que no ofrecen.
Las entidades que se encuentren en proceso de ofrecer el servicio, identificar la informacin
que se solicita considerando los planes que tienen para cada servicio de medios electrnicos.
a.
Portal en Internet
Portal en Internet
Direccin electrnica de la
pgina.
Descripcin
Indicar la URL de la pgina. Ejemplo:http://www.entidad.com.mx
16 de 25
Portal en Internet
Descripcin
Identificar el tipo de factor de autenticacin que solicitan para que el
cliente/socio pueda tener acceso al portal y para realizar cada tipo de operacin.
Acceso al portal y Tipo
de operacin
Acceso al portal
Registro de cuentas
Tipo de factores de
autenticacin utilizados
(password, token, nmero de
tarjeta, huella digital, otro).
Composicin de contraseas.
Longitud mnima.
Medio de notificacin de las
operaciones realizadas.
Mecanismo de cifrado de la
informacin.
Factor de autenticacin
requerido
Letras y nmeros, maysculas y minsculas, otra.

Nmero mnimo de caracteres aceptable.
Correo electrnico, mensaje a celular, otro.
Tipo de cifrado utilizado en el proceso de envo de la contrasea, desde el portal
hasta el servidor en que se valida.
Listar cada tipo de operacin que se puede realizar. Consulta de saldos,
transferencias entre cuentas del mismo cliente/socio, transferencias a cuentas
de terceros (cliente/socio de la Entidad), compra de tiempo aire, SPEI, otros).
Operaciones que puede realizar

el cliente/socio a travs del
portal.
Tipo de operacin
Razn social de
proveedor
Tipo de servicio que

proporciona
Especificar si en el servicio est

involucrado algn proveedor.
b. Servicios Mviles
Servicios Mviles
Descripcin
Alta del servicio y enrolamiento de Describir el proceso que debe seguir el cliente/socio para darse de alta en el
17 de 25
Servicios Mviles
Descripcin
cuentas.
servicio y la forma en que relaciona la cuenta con la que realizar las

operaciones.
Identificar el tipo de factor de autenticacin que solicitan para realizar cada
tipo de operacin.
Tipo de operacin
Factores de autenticacin
utilizados en cada uno de los
servicio de operaciones por mvil.
Factor de autenticacin
requerido
Relacionar cada tipo de operacin que puede realizar el cliente/socio, como

pudieran ser: consulta de saldos, consulta de movimientos, retiros de efectivo,
compra de tiempo aire, entre otros.
Tipo de operacin
Tipo de operaciones.
1.
2.
3.
Identificar el nmero total de clientes/socios que tienen contratado el servicio

y el total de clientes/socios que lo han utilizado en el ltimo ao.
Nmero de clientes/socios y
usuarios activos en el servicio de
operaciones por mvil.
Total de clientes/socios
activos
que han utilizado el
servicio en el ltimo
ao.
Identificar el nmero total de operaciones que se han realizado desde el

ltimo semestre a la fecha.
Nmero de operaciones por mvil

realizadas a la fecha.
Fecha de inicio del

servicio
Total de operaciones
realizadas
18 de 25
Servicios Mviles
Descripcin
En caso de que algn proveedor les proporcione algn tipo de servicio,
relacionarlo en la siguiente tabla.
Razn social de
proveedor
Servicios de proveedores.
c.

proporciona
Tarjetas de Crdito/Dbito
Descripcin del medio electrnico
Marca de afiliacin de la tarjeta
(Visa, Mastercard, Carnet, otra).
Identificar el nmero total de clientes/socios que tienen contratado el servicio
y el total de clientes/socios que lo han utilizado en el ltimo ao.
Nmero de clientes/socios y
usuarios activos en el servicio de
Tarjetas de Dbito.
activos
que han utilizado el
servicio en el ltimo
ao.
Razn social y direccin completas del proveedor encargado de embosar la

tarjeta (nombre y grabacin de datos en la banda y CHIP).
Proveedor de embosado de
tarjetas.
Banda magntica y/o CHIP.
Razn social completa

del proveedor
Direccin completa de
su ubicacin
Identificar si en las tarjetas utilizan banda magntica o banda magntica y

CHIP.
Proporcionar el nombre de su proveedor de servicio de interconexin, switch.

Servicio de interconexin (switch). (Prosa, E-Global, otro).
19 de 25
Identificar si el proceso de autorizacin de operaciones lo hacen de forma
directa o si est involucrado algn proveedor.
Proceso de autorizacin de
operaciones. (Verificacin de saldo
y vigencia de la tarjeta para
aprobar la transaccin).
Proceso de
autorizacin
(Directo o Proveedor)
Razn social del

proveedor y direccin
En caso de tener algn proveedor distinto al de embosado de tarjetas y al de

interconexin, relacionarlo en la siguiente tabla.
Razn social de
proveedor

proporciona
d. Terminales Punto de Venta (TPV)
Terminales Punto de Venta (TPV)

Identificar el nmero de TPV que tienen distribuidas y su ubicacin geogrfica,
por regiones.
Cantidad de Terminales Punto de
Venta (TPV) distribuidas.
Cantidad de TPV
Regin
Indicar el tipo de conexin que utilizan las TPV, en caso de tener ms de un tipo
de conexin, indicarlo. Puede ser terminal (PC), interredes, celular,Internet.
Tipo de conexin
Cantidad de TPV
Marca y modelo
Cantidad de TPV
Tipo de conexin.
Marca y modelo
20 de 25
Terminales Punto de Venta (TPV)
Nmero de equipos habilitados para lectura de CHIP (tarjetas con circuito

integrado).
Lectura de CHIP (circuito integrado).
Total de TPV distribuidas

Con lectura de CHIP
Sin lectura de CHIP
Describir los servicios y operaciones que se pueden realizar a travs de las TPV.
Servicios y operaciones
Servicios y operaciones por TPV.

Razn social de
proveedor
e.

proporciona
Cajeros Automticos (ATM)

Descripcin
Mximo de retiro.
Importe mximo permitido al cliente de retiros por da.
Marca del equipo.

Modelo del equipo.
Proveedor.
Razn social del (los) proveedor(es) de cajeros automticos.
Nmero de equipos en sucursal.
21 de 25
Descripcin
Nombre de la sucursal
Nmero de
equipos
Identificar la ubicacin (direccin completa) y el nmero de equipos instalados

en cada direccin. Si es un centro comercial o lugar conocido en la localidad,
identificar el nombre.
Direccin y nombre de la
ubicacin
Nmero de equipos fuera de sucursal.
Tipo de lector de tarjetas.

Motorizado - La Tarjeta queda dentro
del equipo y se devuelve
automticamente cuando termine todas
las transacciones. Se denomina multi
transaccional porque en una sola
sesin se pueden realizar las
transacciones deseadas.
Nmero de
equipos
Identificar el tipo de lector que utiliza cada equipo, agrupar por tipo de lector y
el nmero de dispositivos que utilizan ese lector.
Tipo de lector
Nmero de
equipos
DIP - La Tarjeta debe introducirse y

retirarse inmediatamente para poder
iniciar la sesin. Los cajeros con este
tipo de lector se denominan mono
transaccional ya que por seguridad,
slo permite realizar una transaccin
por sesin.
SWIPE - La Tarjeta debe deslizarse para
poder iniciar la sesin. Los cajeros con
este tipo de lector se denominan mono
transaccional.
Del total de equipos con que cuentan, identificar el nmero de equipos que
Lectura de CHIP (lector de tarjetas con
estn habilitados y operando con lectura del CHIP de la tarjeta.
circuito integrado).
Relacionar cada tipo de operacin que puede realizar el cliente/socio, como
pudieran ser: consulta de saldos, consulta de movimientos, retiros de efectivo,
compra de tiempo aire, entre otros.
Tipo de Operaciones.
Tipo de operacin
1.
2.
3.
22 de 25
Descripcin

f.
Razn social de
proveedor

proporciona
Centro de Atencin telefnica (CAT)

Centro de Atencin telefnica (CAT)
Operacin del CAT
Operacin
(Propia o Tercero)
Direccin completa
del CAT
Razn social
completa del
tercero, en su caso
Describir los servicios y operaciones que se pueden realizar a travs de las CAT.
Servicios y operaciones
Servicios y operaciones por CAT.
Mecanismos de autenticacin de
cliente/socio.
Describir la forma en que se aseguran de que la persona que llama al CAT es

efectivamente el titular de la cuenta (mecanismo de autenticacin), antes de
que pueda realizar algn tipo de operacin.

Razn social de
proveedor

proporciona
23 de 25
24 de 25
6. Corresponsales
No llenar esta seccin si no tienen considerado ofrecer servicios a travs de corresponsales.
a. Programa de implementacin.
El programa de implementacin deber contemplar al menos los siguientes puntos:
1. Fecha de implementacin.
2. Nombre del corresponsal.
3. Nombre del administrador de corresponsales, en su caso.
4. Esquema de operacin, lnea o batch.
5. Descripcin de cada una de las
corresponsales.
operaciones que van a ofrecer a travs de sus
6. Tipo o nombre del corresponsal. Cadenas comerciales, tienditas, otros.

7. Reportes regulatorios. Considerar el envo de reportes regulatorios a la Comisin Nacional
Bancaria y de Valores.
25 de 25

Aut 11 Manual de Tecnologias de La Informacion

Transféré par

Informations du document

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Aut 11 Manual de Tecnologias de La Informacion

Transféré par

Droits d'auteur :

Formats disponibles

v. 1.

Lic. Arturo Murillo Torres

C. Rafael Castaeda Monter

Manual de Tecnologas de la Informacin para Entidades de Ahorro y Crdito Popular

Organizacin del rea de Sistemas ..............................................................................4

Inventario de procesos de negocio y componentes informticos ..............................4

Prestacin de servicios de Tecnologas de Informacin por Proveedores .................5

Respaldos de Informacin ...........................................................................................5

Bitcoras de acceso y transacciones ............................................................................9

Infraestructura de cmputo y telecomunicaciones ..................................................10

Intercambio de informacin con sucursales .............................................................11

Operacin del negocio ...............................................................................................12

Contabilidad y reportes regulatorios .........................................................................13

Prevencin de lavado de dinero ................................................................................14

Manual de Tecnologas de la Informacin

Organizacin del rea de Sistemas

Descripcin del rea de sistemas

Puesto del responsable del rea de sistemas.

Puesto y rea a la que le reporta.

Inventario de procesos de negocio y componentes informticos

Sistemas utilizados por la Entidad

Manual de Tecnologas de la Informacin

Prestacin de servicios de Tecnologas de Informacin por Proveedores

Control de proveedores. Relacionar en la siguiente tabla los principales servicios de TI.

Relacin de proveedores externos para los servicios de TI

Informacin fuera de las instalaciones.

Estrategia de continuidad de los proveedores.

Acceso a sistemas y/o bases de datos por parte de proveedores.

Procedimientos de respaldo de informacin.

Manual de Tecnologas de la Informacin

1.2. Respaldos de aplicativos.

Nombre de los equipos de cmputo donde se encuentra la informacin a respaldar.

Respaldos de informacin y sistemas

Manual de Tecnologas de la Informacin

en operacin, de informacin y sistemas respaldados, en caso de presentarse alguna contingencia

A. CONTROL DE ACCESO A LOS APLICATIVOS

Polticas y procedimientos, autorizados, relacionados con Seguridad de Sistemas. Debern incluir al

Manual de Tecnologas de la Informacin

1.7.1. Procedimientos para el restablecimiento de cuentas bloqueadas o contraseas olvidadas.

Tabla de perfiles de administradores.

Nombre y puesto del

Manual de Tecnologas de la Informacin

Procedimiento para asignar cuentas privilegiadas, incluyendo al menos la siguiente informacin:

Bitcoras de acceso y transacciones

A. BITCORAS DE ACCESO Y TRANSACCIONES DE LOS APLICATIVOS

Tipo de informacin de los usuarios que se registra:

Manual de Tecnologas de la Informacin

Poltica de almacenamiento de bitcoras de accesos y transacciones. Debe incluir una definicin de

B. BITCORAS DE ACCESO Y TRANSACCIONES DE LA BASE DE DATOS

Tipo de informacin de los usuarios que se registra:

Infraestructura de cmputo y telecomunicaciones

Especificar en dnde se encuentran ubicados los equipos de cmputo y telecomunicaciones que

Manual de Tecnologas de la Informacin

Intercambio de informacin con sucursales

Proceso de consolidacin de informacin. Describir el procedimiento que siguen para consolidar

Manual de Tecnologas de la Informacin

otro). Asimismo, describir el mecanismo de cifrado que utilizan al almacenar la informacin en el

Operacin del negocio

A. ASPECTOS GENERALES DE LA OPERACIN (CAPTACIN Y COLOCACIN)

B. OPERACIN DEL APLICATIVO DE COLOCACIN

Manual de Tecnologas de la Informacin

C. OPERACIN DEL APLICATIVO EN VENTANILLA (SUCURSALES Y OFICINAS CENTRALES)

Tema 10. Contabilidad y reportes regulatorios

Manual de Tecnologas de la Informacin