Artículo tercero. Deshabilitación de accesos remotos o administrativos expuestos.

    Detectado un incidente de ciberseguridad, los operadores de importancia vital deberán:

    a) Revisar que no existan accesos remotos o administrativos expuestos públicamente a Internet. En caso de detectar su existencia, deberán ser informados a la Agencia en la alerta temprana del proceso de reporte de incidentes, además de ser bloqueados o dados de baja dentro de las primeras tres horas de toma de conocimiento del incidente;

    b) Permitir el acceso exclusivamente a través de la VPN institucional, en caso de existir sistemas de acceso remoto expuestos a Internet. En la eventualidad de que la infraestructura de VPN no pudiese ser utilizada, el acceso debe restringirse solamente a conexiones desde segmentos o direcciones IP específicas indispensables, para la gestión del incidente, bloqueando y llevando registro de cualquier intento de conexión desde un origen no permitido explícitamente;

    c) Configurar mecanismos seguros de acceso remoto, con credenciales aleatorias y, en caso de ser factible su configuración inmediata, el uso obligatorio de autenticación multifactor;

    d) Deshabilitar todo acceso remoto tan pronto como la tarea que le dio origen durante el proceso de gestión del incidente se haya completado.