Menos intentos de ciberataques, pero más específicos
El ecosistema digital en los últimos años ha crecido exponencialmente adquiriendo una mayor dimensión. El uso de tecnologías innovadoras, nuevos servicios y la conversión de productos tradicionales hace que el mundo digital sea un lugar atractivo para que los delincuentes cometan delitos cibernéticos. Los intentos de ciberataques en el año 2022 en América latina y el Caribe según Fortinet fueron más de 360 mil millones, la misma fuente informó que en el año 2023 disminuyeron a 200 mil millones. Los países latinoamericanos con mayor actividad de ciberataques en 2023 fueron México, Brasil y Colombia.
Si bien el informe reconoce la disminución de los ciberataques con respecto al año anterior en el reporte aclara que el ransomware sigue teniendo una actividad significativa y que los ataques son cada vez más específicos y dirigidos, gracias a la creciente sofisticación en las tácticas, técnicas y procedimientos de los atacantes y el deseo de aumentar el ROI (retorno sobre la inversión) por ataque.
Así se observa menor cantidad de ataques, pero porque son diseñados para objetivos específicos, lo que los vuelve más sofisticados y con mayor posibilidad de éxito si las organizaciones no cuentan con defensas de ciberseguridad integradas, automatizadas y actualizadas
Tanto las entidades públicas como privadas deben mitigar riesgos protegiendo la información que administran. Todo lo relacionado a ciberseguridad debe estar asociado a inversión y no a gasto, el gran desafío es lograr que la seguridad de la información y el evitar incidentes no sea algo silencioso sino una victoria dentro de las organizaciones.
En ese orden de ideas, para lograr un ecosistema digital seguro es necesario tener un enfoque holístico con marcos normativos o la implementación de principios de alcance internacional exitosos con políticas públicas que se basen en las lecciones aprendidas entendiendo que el mayor acierto es fomentar el trabajo mancomunado entre el sector público y privado.
Chile a la vanguardia en tema de ciberseguridad
Internacionalmente, existen distintas formas de abarcar el enfoque normativo en temas de ciberseguridad. Así la Unión Europea tiene un marco robusto en lo que a la seguridad se refiere.
Al hacer foco en la región de América Latina existen distintas iniciativas legislativas que pretenden regular la materia, pero hay que tener en cuenta que hay proyectos que pueden afectar derechos fundamentales siendo la ciberseguridad una pantalla para generar un control en exceso de organismos dependientes del Poder Ejecutivo.
El caso de la ley de Ciberseguridad e Infraestructura Crítica de la Información sancionada en Chile es un avance favorable en la región, ya que crea una Agencia Nacional de Ciberseguridad (ANCI) con facultades específicas y con competencias claras.
La ley chilena 21.663 fue promulgada el 26 de marzo de 2024 por el Presidente Gabriel Boric, publicada en el Diario Oficial el 8 de abril siendo el primer estandarte normativo adecuado para hacer frente a la problemática de los ciberataques. Además, también se aprobó la Política Nacional de Ciberseguridad 2023- 2028. Siendo ambos instrumentos herramientas fundamentales para lograr una estrategia de seguridad amplia, prometedores de lograr eficazmente la protección de los derechos digitales y la lucha contra las amenazas cibernéticas.
¿Qué logra la ley?
Al implementar estas medidas Chile se convierte en el país pionero en la región en avanzar hacia un marco integral en materia de ciberseguridad
Crea acertadamente la Agencia Nacional de Ciberseguridad (ANCI) y el Equipo de Respuesta ante Incidentes de Seguridad Informática, tanto Nacional como de Defensa (CSIRT), con funciones específicas acotadas a la ciberseguridad y dotados de recursos.
Ambos organismos, serán liderados por un Director o Directora designado conforme a las normas del Sistema de Alta Dirección Pública establecidas en la ley Nº 19.882, siendo mandos civiles si bien tienen una estrecha colaboración con las fuerzas de seguridad pública.
La ANCI tiene un rol regulador, fiscalizador y sancionador para todas las entidades, tanto públicas como privadas, que proveen servicios esenciales. Estas entidades, deben adoptar medidas robustas para prevenir, reportar y resolver incidentes de ciberseguridad, incluyendo la obligación de informar cualquier ciberataque al CSIRT Nacional, asegurando una respuesta rápida y eficaz frente a incidentes.
Principios rectores de la ley
Un aspecto favorable en la sanción de la normativa fue que durante el debate parlamentario se convocó a la industria, la academia y asociaciones especializadas en la materia para que realizasen sus aportes respecto al proyecto. Como se dijo, en esta materia, el trabajo conjunto con visión holística son la piedra angular de una ley exitosa
Los principales aspectos que introduce son:
- Está alineada con estándares globales de ciberseguridad, introduciendo el enfoque basado en riesgo tomando como fuente recomendaciones de International Telecommunication Union (UIT) y National Institute of Standards and Technology (NIST) . Este enfoque basado al riesgo contempla responsabilidades conforme clasificación de la entidad. Así las obligaciones que debe afrontar el sector público son las mismas (según la clasificación) que se implementarán para el sector privado, evitando excesos en cumplimientos para las empresas privadas.
- Define la ciberseguridad en base a la protección de la seguridad de la información conforme lo contemplan las normas International Organization for Standardization (ISO).
- La Agencia Nacional de Ciberseguridad tiene competencias limitadas, claras y con facultades para realizar campañas de concientización para la ciudadanía. Además, debe regirse por el principio de racionalidad en las medidas respecto al ejercicio de las atribuciones ya que deberán ser necesarias y proporcionadas al grado de exposición a los riesgos y al eventual impacto social y económico.
- Principio de seguridad y privacidad por defecto y desde el diseño. Los sistemas informáticos, aplicaciones y tecnologías de la información deben diseñarse, implementarse y gestionarse teniendo en cuenta la seguridad y la privacidad de los datos personales que procesan.
- La Ley de Ciberseguridad establece que las infracciones a dicho cuerpo legal se sujetarán al procedimiento y sanciones establecidas en la legislación sectorial. Además, señala que la autoridad sectorial puede emitir normativa sobre ciberseguridad en forma coordinada con la Agencia de Ciberseguridad.
- Sanciones, infracciones y fiscalización será competencia de la Agencia evitando duplicidad ante normativa sectorial del sector TIC.
Chile con este marco normativo ha logrado que, la ciberseguridad no sea sólo una cuestión de expertos. Su impacto transversal en la vida diaria significa que garantizar un entorno digital seguro y confiable es fundamental para proteger derechos constitucionales y fomentar un entorno económico robusto. De esta forma busca hacer frente a la creciente sofisticación de los ciberataques que amenazan la seguridad personal, corporativa y nacional del país.
Esquema de los principios de la Ley Chilena de Ciberseguridad:
- Crea ANCI agencia independiente, un CSIRT nacional, equipo de respuesta a incidentes de ámbito civil y el CSIRT de defensa, con competencias limitadas y claras y respetando principio de racionalidad.
- Cooperación con la autoridad para resolver incidentes.
- Control de daños con acciones para minimizar impactos y respuestas ante incidentes.
- Seguridad y privacidad por defecto y desde el diseño.
- Seguridad de la información.
¿Qué deberían hacer los gobiernos?
La mejora de la ciberseguridad es un tema que tiene que estar en la agenda de todos los gobiernos. La seguridad digital se ha tornado un pilar fundamental para la estabilidad y desarrollo del país. Chile promulgó una ley crucial creando un nuevo marco legal representando un avance significativo en la lucha contra los ciberataques y fortaleciendo la resiliencia nacional frente a amenazas digitales.
Por ello los Estados deberían implementar estrategias nacionales de ciberseguridad acordes con las mejores prácticas internacionales, formando profesionales con conocimientos específicos, creando agencias especializadas con competencias claras y limitadas y con recursos, propiciando la cooperación entre países y entre agentes públicos y privados
Pero el Estado por sí solo no puede garantizar una ciberseguridad efectiva, por ello la ciberseguridad es, responsabilidad de todos y cada uno de los agentes involucrados en el ciberespacio, desde empresas hasta individuos.
