Por Jaime Vergara Ramírez, Universidad Central de Chile.
1.- ¿Cómo considera que está el actual panorama de las instituciones públicas con la legislación vigente respecto a la ciberseguridad?
No solo las instituciones públicas sino que Chile entero está en un nivel de madurez según las mediciones efectuadas por la Organización de Estados Americanos (OEA) los años 2016 y 2020 usando el Modelo de Madurez de Capacidades de Ciberseguridad de Naciones (CMM) desarrollado por la Universidad de Oxford. En este estudio estamos entre el nivel 2 y 3 de los 5 niveles considerados, por lo que podemos decir que nos encontramos en un nivel de madurez en ciberseguridad “intermedio” que es mucho más bajo que la medición de digitalización del país por la gran y potente infraestructura digital que posee, a la que le urge se incorpore mayor seguridad digital.
El sector público al igual que el de las Pymes es el más atrasado, dado se han digitalizado pero no han sido capaces de mantener al día sistemas actualizados con sus sistemas operativos al día y últimas versiones instaladas, junto con los cursos y conocimientos requeridos en las personas que administran los sistemas.
2.- De los casos mencionados anteriormente y de los demás que se han conocido, ¿cuáles han sido las mayores deficiencias y/o negligencias en que han incurrido las distintas instituciones públicas en sus casos particulares?
En general el común denominador de los últimos ataque ha sido la falta de actualización de versiones de programas, de versiones de sistemas operativos o instalaciones de correcciones a vulnerabilidades encontradas.
Esto en gran medida se debe a que cuando se compran los computadores no se considera en el costo de ciclo de vida de estos equipos los costos asociados al mantenimiento de las licencias e incluso la renovación de equipos (Hardware y Software).
3.- Desde su experiencia y conocimiento, ¿cree que deba existir una legislación única que se haga cargo de toda la ciberseguridad de todos los servicios, instituciones y poderes del Estado o estos deben contar cada uno por sí mismo y separados del resto con su propia normativa u otras vías jurídicas (reglamentos, decretos, etc) que regulen sus sistema de ciberseguridad?
En mi experiencia y basado también en la fe que profeso, concuerdo con los que señalan que “la salvación es individual”. Tal como cada persona le responde a Dios de sus actos, en ciberseguridad cada persona debe responder de sus actos por ser la primera y la última fila de defensa de la organización. En sistemas de alerta estratégica y defensivos por otro lado, el peor error consiste en jerarquizar los sistemas y que estos dependan de una sola cabeza, porque esta puede ser capturada y se captura a toda la organización o si se destruye, se afecta toda la organización.
En Ciberseguridad la mayor fortaleza la brindad un “sistema de sistemas” lo cual es un sistema complejo, con múltiples vinculamientos y relaciones de distintas naturalezas.
La ley de gobernanza que se está discutiendo en el Senado señala la necesidad de contar con una nueva Agencia Nacional de Ciberseguridad, con su propio CSIRT, vinculada con otros CSIRT como el de la Defensa y de los sectores críticos.
Esta Agencia sólo fija la norma para los terceros involucrados y dispone de mecanismos para verificar su cumplimiento, pero no es la responsable de la protección de los activos de información. Cada organización debe establecer su cultura de seguridad digital y de la información y proteger aquellos aspectos que su matriz de riesgo les indique.
4.- ¿Cuáles son los principios y demás elementos que considera debe contar toda norma que regule la ciberseguridad de instituciones públicas?
Son varios los principios ya considerados en el proyecto de ley que se debate en el senado: Responsabilidad, Protección Integral, Confidencialidad de los Sistemas de Información, Integridad de los Sistemas Informáticos y de la Información, Disponibilidad de los sistemas de Información, Control de Daños.
A estos les agregaría algunos más. Por ejemplo al de la “integridad de la información” le agregaría el de la “trazabilidad” y así se podría considerar el principio de la “interoperabilidad” que garantice la “certeza jurídica” de los actos digitales que ocurran.
También consideraría la “Robustez” como un principio basado no solo en las capacidades de los elementos técnicos sino de los conocimientos de las personas y la “Resiliencia” tan necesaria en caso el sistema se caiga, volver a operar normalmente en un plazo mínimo de tiempo.
Por último agregaría el principio de “no obsolescencia tecnológica” para asegurar mantener equipos y programas al día, contado con financiamiento para sus compras de forma recurrente.
5.- Con respecto a la pregunta anterior, ¿considera que el proyecto de ley que se está tramitando (Boletín N° 14.847-06), cumple con sus expectativas en ciberseguridad para las instituciones, servicios o poderes del Estado?
Creo que es un muy buen inicio, que debe perfeccionarse en el proceso de discusión en particular de las indicaciones que lo haremos en sesión de una comisión unida de Defensa y Seguridad. Se deben simplificar algunos aspectos, se deben agregar otros que dicen relación con la ley que regula el sistema de Inteligencia del Estado para considerar la ciberinteligencia. Se debe abordar la protección de toda la infraestructura crítica que garantice los servicios esenciales que requieran los
Ciudadanos y se debe agregar la formación de nuestro instituto nacional de ciberseguridad, de forma descentralizada y se ha propuesto a Valparaíso.
6.- Respecto al derecho comparado, ¿qué legislación extranjera o sistema de ciberseguridad extranjero se acerca más a lo que usted considera óptimo y por qué?
En el mundo existen diversos sistema y sistemas jurídicos, pero evaluándolos en su contexto general de forma sistemática, el que considero mejor es el español, porque tiene todo un ecosistema asociado. Posee un centro de respuesta a incidentes que hace además ciberinteligencia el CCN-CERT, que ha desarrollado una serie de productos digitales y sondas que reportan de forma automáticas (todos ellos con nombre de mujer como Carmen, Reyes, Lucia, Pilar, etc). Se conecta con otros centros como el de la Ciberdefensa que se encarga del sector militar. Cuentan con una Agencia de Protección de Datos personales hace más de 30 años y un Instituto Nacional de Ciberseguridad (Incibe) en León a 348 km al norte de Madrid (descentralizado) que además de generar conocimiento, se hace cargo de la protección de Infraestructura Crítica junto con el Centro Nacional de Protección de Infraestructura Crítica (CNPIC).
España es uno de los mejores países del mundo en Ciberseguridad. Ocupa el lugar número 5 de acuerdo al índice de ciberseguridad de naciones unidas (ITU) y es reconocido por EEUU como el país más avanzado en colaboración público privada siendo un ejemplo el nuevo centro de Operaciones de Ciberseguridad (COC) que el actual gobierno de misma sensibilidad que el nuestro decidió adjudicar a las empresas Indra y Telefónica externalizando la gestión de personas, el área más crítica de todo el sistema. Me gusta mucho este ecosistema porque se acerca a nuestra cultura y es en castellano.
