El presente anteproyecto tiene como principal objetivo actualizar los elementos normativos contenidos en la Norma Oficial Mexicana vigente NOM-151-SCFI-2002, “Prácticas comerciales-Requisitos que deben observarse para la conservación de mensajes de datos”, que deberán observar todos los comerciantes que conserven mensajes de datos y/o digitalicen documentos en términos de lo dispuesto en los artículos 33, 38, y 49 del Código de Comercio. De acuerdo con el Código de Comercio, los comerciantes están obligados a mantener y llevar un sistema de contabilidad adecuado, mismos que puede llevarse a través de medios digitales y con ayuda de las tecnologías de la información. No obstante, los mismos deben cumplir con requisitos mínimos establecidos en el Art. 33 del Código de Comercio. Asimismo, los comerciantes deberán conservar los comprobantes originales de sus operaciones; los originales de aquellas cartas, telegramas, mensajes de datos o cualesquiera otros documentos en que se consignen contratos, convenios o compromisos que den nacimiento a derechos y obligaciones por un plazo mínimo de diez años. Adicionalmente, en el caso de mensajes de datos, se requiere que la información se haya mantenido íntegra e inalterada a partir del momento en que se generó por primera vez en su forma definitiva y sea accesible para su ulterior consulta.  Derivado de lo anterior, surge la necesidad de asegurar la integridad y autenticidad de mensajes de datos por periodos prolongados de tiempo, garantizando la actualización de los elementos de seguridad electrónica y con ello disminuir la vulnerabilidad a que están expuestos. Los elementos criptográficos involucrados en la digitalización y mensajes de datos quedan inseguros con el paso del tiempo debido al incremento en el poder de cómputo, elemento que no se considera actualmente en la norma vigente.  Por ello, la presente actualización de la regulación busca fortalecer los elementos de seguridad informáticos, mediante el establecimiento de requisitos para conservar los mensajes de datos, así como para la digitalización de toda o parte de la documentación en soporte físico, relacionada con los negocios. En este sentido, se pretende incluir métodos para la conservación de los mensajes de datos así como de los equipos para digitalización descritos en el Apéndice 7 y 8 del documento modificatorio. Adicionalmente, el proceso de digitalización deberá ser controlado por un tercero legalmente autorizado, que constatará que dicha migración se realice íntegra e inalterablemente tal y como se generó por primera vez en su forma definitiva. El tercero legalmente autorizado deberá ser un Prestador de Servicios de Certificación acreditado para tales efectos.  Por último, el instrumento jurídico propuesto tiene como objetivo considerar la factibilidad técnica de la comprobación del cumplimiento de la norma propuesta, así como de la existencia de infraestructura técnica para ello.

El tipo de ordenamiento jurídico es la Norma Oficial Mexicana NOM-151-SCFI-2002 “Requisitos que deben observarse para la conservación de mensajes de datos y digitalización de documentos”, misma que constituye el objeto del anteproyecto de modificación que se pretende justificar a partir de la presente Manifestación de Impacto Regulatorio (MIR), con base en la actualización del nivel de seguridad para la conservación de mensajes y la digitalización de documentos en términos de lo dispuesto en los artículos 33, 38 y 49 del Código de Comercio. En este sentido, la modificación de la NOM-151-SCFI-2002 vigente atiende principalmente a dos aspectos: • La NOM-151-SCFI-2002 vigente no contempla la actualización durante el periodo de vida de la constancia de los elementos de seguridad electrónica (algoritmos, longitudes de claves, etc.), lo que provoca que las mismas se vuelvan vulnerables con el paso del tiempo. • En la NOM-151-SCFI-2002 vigente se describen los pasos para obtener una constancia que permita alcanzar el objetivo planteado: 1) Obtención de información de los archivos de interés (archivos parciales); 2) Generación de la huella digital de cada archivo parcial (compendios); 3) Recopilación de compendios (expedientes electrónicos); 4) Obtención de la “constancia”. No obstante, estos pasos han producido complejidades técnicas y una ineficaz implementación.  Por otra parte, el anteproyecto de modificación de la regulación vigente está planteado de acuerdo a la factibilidad técnica de la comprobación del cumplimiento y la existencia de infraestructura técnica para la evaluación de la conformidad, en términos de lo establecido en el artículo 32 del Reglamento de la LFMN. En consecuencia, se identificaron tres vertientes a partir de las cuales se va a atender la problemática planteada:  • Simplificar y robustecer el proceso mediante el uso de estampas de tiempo electrónicas de acuerdo a la especificación internacional RFC 3161. Las estampas permitirán, en primera instancia, asegurar la información electrónica por periodos de hasta 10 años.  • En caso de que se requiera asegurar la información por un periodo mayor a diez años, se propone un proceso que permite la prolongación de la vigencia de la estampa.  • El Prestador de Servicios de Certificación contemplará la aplicación de un conjunto de operaciones de mantenimiento preventivo y comprobaciones rutinarias que permitirán garantizar mediante su cumplimiento que, en todo momento, el estado de la aplicación de digitalización y los dispositivos asociados producirán archivos electrónicos fieles al documento en soporte físico, que deberá reflejar en un Plan de Gestión de Calidad, mismo que describirá el mantenimiento de los procedimientos y dispositivos asociados, en su caso, la aplicación de digitalización, así como otros aspectos que puedan afectar al propio software tales como, el seguimiento de la vigencia de las normas y algoritmos empleados, o aspectos de mantenimiento de los sistemas operativos que pudieran afectar al rendimiento de la aplicación de digitalización, u otros de naturaleza analógica.

No emitir regulación alguna

Esta alternativa no resulta viable ya que implica dejar de reconocer el riesgo existente de que la norma vigente no considere, totalmente, las especificaciones de seguridad en el tiempo con las cuales deben cumplir los comerciantes que, conforme a lo establecido en los artículos 33, 38, y 49 del Código de Comercio, conserven mensajes de datos conforme a su definición en el artículo 89 del mismo Código, así como los requisitos a cumplir en la digitalización de toda o parte de la documentación relacionada con sus negocios en soporte papel a un mensaje de datos.

Esquemas de autorregulación

Se evaluó la alternativa de desarrollar esquemas de autoregulación, sin embargo, se concluyó que la alternativa tampoco es viable ya que los programas de autorregulación y difusión por si solos no previenen la aparición de riesgos, ni otorgan seguridad jurídica, aspectos que si son cubiertos a través de una Norma Oficial Mexicana.

Esquemas voluntarios

Actualmente existen normas mexicanas que toman como base lineamientos y normas internaciones, que se ocupan de aspectos diversos e inherentes a la conservación de mensajes de datos y la digitalización de documentos. No obstante lo anterior, una de las múltiples características que distinguen a las normas mexicana es su carácter voluntario, mismo que resulta insuficiente cuando lo que se busca es brindar un nivel de seguridad adecuado a la conservación de mensajes de datos y digitalziación de documentos, y que de no gestionarse adecuadamente ese riesgo, puede afectar negativametne la actividad económica y la seguridad de las personas. Por ende, es necesario establecer un régimen mínimo obligatorio que permita atenuar el riesgo en la seguridad de los usuarios, a partir de los principios de seguridad que se señalan en los lineamientos internacionales (como lo es el RFC 3161) en materia de conservación de mensajes de datos y digitalización de documentos. El costo de implementar esta alternativa depende totalmente del número de comerciantes que decidieran voluntariamente sujetarse a las normas mexicanas, al ser éstas disposiciones de carácter voluntario no se tiene certeza del número de empresarios que estarían dispuestos a cumplir con las especificaciones de seguridad que las normas mexicanas señalan. 

Incentivos económicos

Los incentivos económicos no representan una alternativa viable, debido a que la problemática planteada en la presente MIR, no se relaciona con la capacidad económica de los comerciantes, ya que lo que se busca mediante una Norma Oficial Mexicana es atender un riesgo, para que el consumidor no se vea afectado. 

Otro tipo de regulación

No implica una alternativa con la que se pueda resolver la problemática planteada, toda vez que es indispensable contar con un mecanismo jurÍdico que permita garantizar que los comerciantes lleven a cabo la conservación de mensajes de datos y la digitalización de documentos con estandares de seguridad en el tiempo.

Otras

NA

Población, grupo industria potencialmente afectada.

NA

NA

NA

NA

Falsificación de datos personales, fraudes, estafas, extorsión.

NA

Origen y área geográfica de riesgo.

NA

NA

NA

NA

Comerciantes y consumidores en general.

NA

Alto.

NA

NA

NA

NA

Territorio de los Estados Unidos Mexicanos

NA

Tipos de riesgo, afectación o daño probable (enfermedades, fallecimientos, accidentes, daños ambientales, afectaciones económicas, etc.) y su magnitud.

NA

NA

NA

NA

ALTO

NA

NA

NA

NA

NA

Con la norma propuesta se busca que los comerciantes y consumidores tengan la certeza de que sus datos cuentan con las medidas de seguridad acorde a los riesgos informáticos que enfrentan. En consecuencia, dado que la NOM-151-SCFI vigente no atiende cabalmente los riesgos asociados a la conservación de mensajes de datos y digitalización de documentos y, por ende, aumenta la probabilidad de ocurrencia de una posible afectación al patrimonio y seguridad de los consumidores, la norma propuesta incrementa el nivel de seguridad, mediante la atención de riesgos inherentes a la conservación y digitalización de datos a lo largo del tiempo, esto a través del establecimiento de requisitos generales de seguridad, los cuales están basados en lineamientos y protocolos internacionales.

Otros riesgos o afectaciones potenciales (especifique)

Comerciantes y consumidores en general.

Se modifican los principios de seguridad aplicables a la conservación de mensajes de datos y digitalización de documentos, además de establecer los métodos de prueba que deben cumplir los comerciantes, tomando como base las actualizaciones de los protocolos internacionales.

Las disposiciones contenidas en la regulación propuesta buscan adecuar el nivel de seguridad en la conservación de mensajes de datos y digitalización de documentos acorde con los riesgos reconocidos por los lineamientos y protocolos internacionales aplicables al objeto del anteproyecto. Si bien la regulación actual ofrece cierto nivel de seguridad, aún se observa que existen riesgos sin atender, por ende, la norma propuesta incrementa el nivel de seguridad en la conservación de mensajes de datos y digitalización de documentos, mediante la atención del riesgo inherente a dichos procesos, esto a través del establecimiento de requisitos generales de seguridad.

De los incidentes cibernéticos denunciados en 2013, aproximadamente 39% fueron contra instituciones académicas, 31% contra instituciones gubernamentales, 26% a entidades del sector privado y 4% a otras entidades

A partir de la entrada en vigor de la norma propuesta se adecuarían las medidas de seguridad, de forma tal que enfrenten los riesgos a los que están expuestos actualmente la conservación de mensajes de datos y la digitalización de documentos, ya que la falta de actualización de las medidas de seguridad puede derivar en la pérdida de información y causar un daño en el patrimonio de los consumidores y comerciantes e incluso poner en riesgo su seguridad. 

No Aplica

No Aplica

Establecen obligaciones

4.1, 4.4, 5.1

Se modifican los numerales 4.1, 4.4. y 5.1 en el presente anteproyecto, esto con el objetivo de estar en concordancia con lo establecido en los protocolos internacionales de seguridad como son el RFC 3161 Internet X.509 Public Key Infrastructure Time-Stamp Protocol (TSP) y RFC 5816 ESSCertlDv2 Update for RFC 1361, mismos que establecen que la seguridad en la conservación de los mensajes de datos y digitalización de documentos debe ser a lo largo del tiempo, las herramientas consideradas tienen, entre otras cualidades, la de permitir una renovación de la vigencia más allá de 10 años.  Así mismo, en el Apéndice 7 y 8 se describen los requisitos que se deben de seguir para la obtención de la Constancia Conservación de Mensajes de Datos y Digitalización de Documentos en Soporte Físico, respectivamente. 

Establecen obligaciones

Apartado 4 Disposiciones Aplicables se actualizan los numerales 4.1, Apéndices 7 y 8 

Se establece los métodos que deben observar los comerciantes para conservar los mensajes de datos, así como para la digitalización de toda o parte de la documentación en soporte físico relacionada con sus negocios, mismo que se describen en los apéndices 7 y 8. Lo anterior, con el objetivo de mejorar los protocolos de seguridad en la materia de la presente norma.  la aplicación de normas específicas (normas mexicanas) que se encuentren armonizadas con normas y lineamientos internacionales, según el nivel de riesgo del producto en particular, esto con el objetivo de que cada producto tenga una regulación en específico que regule las particularidades de este.

Otras

Aparatado 3 Definiciones

Se establecen las definiciones de aquellos conceptos que se utilizarán a lo largo del texto de la norma. El objetivo de esta acción regulatoria es delimitar claramente lo que se entiende por cada uno de los conceptos utilizados en la regulación, con el propósito de facilitar la aplicación de la norma.

Establece normas o reglas de calidad para los productos o servicios y requisitos técnicos 

La entrada en vigor de la presente norma provocará que se mantenga un nivel general de seguridad en la conservación de mensajes de datos y digitalización de documentos, lo que brindará certidumbre a las transacciones comerciales, promoviendo su agilidad y reduciendo los costos de transacción de las empresas. Lo anterior, incrementa la eficiencia en las operaciones de las empresas y mejora su productividad. Por su parte, aquellas empresas que no implementen los requerimientos señalados en la norma, pueden enfrenten problemas con el manejo de sus datos, haciéndose ineficientes perdiendo competitividad en el mercado y, eventualmente, salir del mismo; si lo anterior sucede, se tendrán en el mercado aquellas empresas más eficientes. 

Los numerales 4.1, 4.4, 5.1, apéndices 7 y 8

Los efectos de la regulación se reflejarán en una mejora de los protocolos de seguridad en la conservación de mensajes de datos y digitalización de documentos a lo largo del tiempo y que por Ley están obligados a realizar los comerciantes, lo que brinda mayor certidumbre en las transacciones comerciales, haciendo más eficiente los mercados y agilizando el sistema económico. Actualmente, la NOM-155-SCFI-2002 no considera la actualización durante el periodo de vida de la constancia de los elementos de seguridad electrónica (algoritmos, longitudes de claves, etc.) lo que provoca que sean vulnerables a lo largo del tiempo.  El presente anteproyecto, establece protocolos de seguridad electrónica generales para todos los comerciantes, para evitar la pérdida de información y delitos cibernéticos. Con ello, se fortalecen los elementos de seguridad electrónica, disminuyendo los riesgos de fraudes, pérdida de información, extorsión, etc.; delitos que están vinculados al hackeo de sistemas de conservación de datos y digitalización de documentos. En consecuencia, se tendrá un sistema de manejo de la información con protocolos de seguridad adecuados y que podrán actualizarse a lo largo del tiempo, brindando certidumbre a todos los agentes económicos en las transacciones comerciales y eficientando sistema económico en general. 

La falta de actualización durante el periodo de vida de la constancia de los elementos de seguridad electrónica en la conservación de mensajes de datos y digitalización de documentos que considera la NOM-151-SCFI-2002 provoca vulnerabilidad con el paso del tiempo ante posibles delitos cibernéticos. Por ende, la modernización de la regulación nacional, para asegurar la integridad y autenticidad de mensajes de datos por periodos prolongados de tiempo respecto a protocolos internacionales, permitirá mejorar el nivel en los elementos de seguridad electrónica de las constancias de la conservación de mensajes de datos y digitalización de documentos. 

Se analizaron alternativas de carácter voluntario y esquemas de autorregulación, sin embargo, dichos mecanismos no son adecuados para mitigar el riesgo que se justifica en la presente MIR, por ende, los agentes económicos se encontrarían vulnerable a falta de un ordenamiento jurídico eficiente y actualizado que regule los elementos de seguridad electrónica en la conservación de mensajes de datos y digitalización de documentos.    

Para mayor detalle véase anexo II

$ 16,407,614 dólares

1

4,230,745

$16,407,614 dólares americanos. 

Todos los comerciantes que conserven mensajes de datos y/o digitalicen documentos en términos de lo dispuesto en los artículos 33, 38, y 49 del Código de Comercio.

El costo que va a generar el presente proyecto se puede estimar a partir de la cuantificación de la obtención del certificado de cumplimiento que avala y permite que los comerciantes conserven mensajes de datos y/o digitalicen documentos conforme a la norma. Por ende, según con lo establecido en el artículo 73 de la Ley Federal sobre Metrología y Normalización (LFMN), los comerciantes tendrán la necesidad de volver obtener su certificado de cumplimiento de la NOM-0151-SCFI una vez que el período de vigencia de su actual certificado fenezca. Cabe destacar que en la actualidad el período más común de  renovación del certificado de cumplimiento es anual.

De acuerdo con lo expuesto anteriormente, el primer paso para dar cumplimiento a lo establecido en el apartado de evaluación de la conformidad de la NOM-151-SCFI, es obtener el certificado que evalué el cumplimiento de las especificaciones establecidas en la norma.  Para el año 2013, se estima que el número de certificados de conservación de mensajes de datos fue de 56,474,711 y de digitalización de documentos de 56,731,179, mismos que tiene un costo promedio de $1.85. Derivado de lo anterior el costo para 2014 fue de $209,525,235. Para efectos de equiparar las unidades monetarias con el beneficio, se convierte a dólares el costo mencionado, a un tipo de cambio diario promedio de 2013, por lo que se estima un costo de 16,407,614 dólares americanos. 

Para mayor detalle véase anexo II

$ 780,000,000 dólares americanos

1

Para mayor detalle véase anexo II

780,000,000 dólares americanos

4,230,745

Los comerciantes y consumidores de los Estados Unidos Mexicanos.

A partir de la entrada en vigor del ordenamiento jurídico propuesto, los efectos de la regulación se reflejarán en una mejora de los protocolos de seguridad en la conservación de mensajes de datos y digitalización de documentos a lo largo del tiempo y que por Ley están obligados a realizar los comerciantes. Lo cual, permitirá mitigar el riesgo de sufrir un algún tipo de delito cibernético, tanto a comerciantes como a los consumidores, derivado de alguna deficiencia en los protocolos de seguridad. Por ende, el presente proyecto de norma contempla la inclusión de una mejora en los protocolos de seguridad, los cuales no están considerados en la regulación vigente. Con la inclusión de estos protocolos de seguridad se pretende reducir la probabilidad de que un comerciante o consumidor sufra una pérdida en su patrimonio o sus datos personales. 

Cabe destacar que entre los delitos cibernéticos en México, consecuencia de una falta de actualización de los protocolos de seguridad de los datos electrónicos, se tienen los siguientes: malware, phishing, hackeos y las intrusiones al sistema . Derivado de esos riesgos, el consumidor o comerciante puede ser víctima de fraude, robo de identidad y patrimonial.  En este sentido, y dado que no se cuentan con datos de una fuente oficial del gobierno mexicano sobre el impacto monetario derivado de los delitos cibernéticos, los beneficios de la regulación propuesta se obtuvieron del estudio que realizó la Organización de los Estados Americanos y Symantec, en el cual identificaron que las perdidas monetarias derivadas de diversos delitos cibernéticos en 2013 asciende a 780,000,000 de dólares americanos. Por anterior, al mejorar los protocolos de seguridad se puede reducir dicha pérdida monetaria, lo que se traduce en beneficios para los comerciantes y consumidores. 

Para mayor detalle véase anexo II

Formación de grupo de trabajo / comité técnico para la elaboración conjunta del anteproyecto

Se realizó un grupo de trabajo correspondiente a la elaboración del proyecto NOM-0151-SCFI, el cual contó con la participación de diferentes cámaras empresariales, empresas relacionadas con la seguridad de información electrónica, bancos comerciales y de inversión, Banco de México y la representación de la Secretaría de Economía a través de la Dirección de Normatividad Mercantil. 

A partir del grupo de trabajo se generó la aportación y discusión de los diferentes numerales que comprenden el presente proyecto, originando un consenso de criterios entre los integrantes del grupo.