Texto oficial
Artículo 6º. Es obligación de los prestadores de
servicios de certificación contar con reglas sobre
prácticas de certificación consistentes en una
descripción detallada de las políticas, procedimientos y
mecanismos que el certificador se obliga a cumplir en la
prestación de sus servicios de certificación y
homologación. Las Prácticas de Certificación deben
declarar el cumplimiento de los requisitos señalados en el
artículo 17 de este Reglamento, con excepción de la
póliza de seguro que se acredita por medio de la
presentación de la misma.
Las Prácticas de Certificación deben ser objetivas y
no discriminatorias, y se deben comunicar a los usuarios de
manera sencilla y en idioma castellano.
Dichas prácticas deberán contener al menos:
a. Una introducción, que deberá contener un resumen de
las prácticas de certificación de que se trate,
mencionando tanto la entidad que suscribe el documento, como
el tipo de usuarios a los que son aplicables.
b. Consideraciones generales, debiendo contener
información sobre obligaciones, responsabilidades,
cumplimiento de auditorías, confidencialidad, y derechos de
propiedad intelectual, con relación a todas las partes
involucradas.
c. Identificación y autenticación, debiendo describirse
tanto los procesos de autenticación aplicados a los
solicitantes de certificados, como los procesos para
autenticar a los mismos cuando piden suspensión o
revocación de certificado.
d. Requerimientos operacionales, debiendo contener
información operacional para los procesos de solicitud de
certificado, emisión de certificados, suspensión y
revocación de certificados, procesos de auditoría de
seguridad, almacenamiento de información relevante, cambio
de datos de creación de firma electrónica, superación de
situaciones críticas, casos de fuerza mayor y caso
fortuito, y procedimiento de término del servicio de
certificación.
e. Controles de procedimiento, personal y físicos,
debiendo describir los controles de seguridad no técnicos
utilizados por el prestador de servicios de certificación
para asegurar las funciones de generación de datos de
creación de firma electrónica, autenticación de usuarios,
emisión de certificados, suspensión y revocación de
certificados, auditoría y almacenamiento de información
relevante.
f. Controles de seguridad té