Article 2.5.1.2.6

Requisitos de Detección. Las cámaras de comercio que operen y/o administren los sitios de internet para el servicio de venta o martillos electrónicos de bienes, deberán: - Contar con mecanismos que permitan la trazabilidad y auditoría de cada una de las operaciones del sistema, conociendo la fecha y hora exacta de la realización de cada transacción realizada por cada una de las partes (respecto de la oferta de cada postor y ventas). Los registros de todas las transacciones realizadas por los sitios de internet para el servicio de venta o martillo electrónicos de bienes, deben almacenar de forma cifrada, generando el respectivo código para la verificación de integridad y estar disponibles en los medios y por el tiempo establecido en la legislación vigente. - Contar con herramientas de monitoreo que identifiquen eventos o errores sobre la plataforma tecnológica y canales de comunicaciones de los sitios de internet para el servicio de venta o martillo electrónico de forma permanente. - Realizar como mínimo cada año una prueba de penetración (pentesting) a la plataforma tecnológica que soporta la operación de los sitios de internet para el servicio de venta o martillo electrónico de bienes, que incluye, pero no se limita al sitio de internet, aplicación móvil, equipos de cómputo, dispositivos de almacenamiento, procesamiento y medios de comunicación definidos en la arquitectura del servicio, para lo cual se puede tomar como referencia la NIST SP 800-115 o el estándar PTES (Penetration Testing Execution Standard). Así mismo, cuando se efectúen cambios en la plataforma tecnológica, la cámara de comercio deberá realizar una nueva prueba de pentesting. Los informes con la evidencia de la ejecución de las pruebas del último año, pueden ser requeridos para efectos de la verificación y vigilancia de que trata el numeral 2.5.1.1. de la presente Circular. - Los informes y las herramientas usadas en el análisis de vulnerabilidades deben hacer referencia a los códigos de vulnerabilidades de seguridad informática conocidas, publicados por el MITRE - CVE (Common Vulnerabilities and Exposures) y CWE (Common Weakness Enumeration). - Contar con los resultados de las pruebas de carga y estrés, donde se identifiquen el número de usuarios concurrentes que soporta el servicio de sitios de internet para la venta o martillo electrónico de bienes. 134/141 INSTRUCCIONES A LAS CÁMARAS DE COMERCIO