La Ley 9726 establece obligaciones para organismos y proveedores del Estado y crea un sistema provincial para responder a incidentes.
La Provincia crea un esquema para monitorear amenazas, responder a incidentes y resguardar la infraestructura digital crítica.
Foto:
El gobierno de Alfredo Cornejo puso en vigencia este lunes su nueva Ley de Ciberseguridad, una normativa que establece por primera vez un marco integral para proteger los sistemas, datos, servicios digitales e infraestructura tecnológica del Estado mendocino frente a ataques e incidentes informáticos.
La Ley 9726 fue publicada este 14 de septiembre en el Boletín Oficial, luego de haber sido sancionada por la Legislatura el pasado 2 de septiembre. De esta forman, Mendoza se convierte en la primera provincia de tener una legislación de esta índole.
A partir de ahora, el Poder Ejecutivo tendrá un plazo de 90 días para reglamentarla, instancia en la que deberán precisarse varios de los procedimientos previstos por la norma. El nuevo régimen apunta a ordenar la política de seguridad informática de la Provincia bajo una estructura común.
Entre sus objetivos se encuentran garantizar la confidencialidad, integridad y disponibilidad de la información, asegurar la continuidad de los servicios públicos digitales, proteger los datos personales y reducir los riesgos sobre la denominada infraestructura digital crítica.
La ley no se limita a establecer protocolos para reaccionar frente a un ataque. También incorpora obligaciones de prevención, monitoreo, gestión de riesgos, recuperación de sistemas, capacitación y reporte de incidentes.
Uno de los principales cambios es la creación del Comité de Conducción Estratégica de Ciberseguridad (CCEC), que será la autoridad de aplicación y funcionará como la instancia superior de gobernanza estratégica de la Provincia en esta materia.
El organismo tendrá funciones normativas, de supervisión institucional y fiscalización técnica, aunque no estará encargado de las operaciones cotidianas.
Sus integrantes serán representantes designados por el Ejecutivo y deberán tener jerarquía correspondiente a las direcciones de tecnología de los ministerios o ser las personas que cada cartera designe.
Entre sus principales tareas estará elaborar el Plan Provincial de Ciberseguridad, elevarlo al Ejecutivo para su aprobación y establecer estándares, guías y requisitos mínimos obligatorios.
También podrá clasificar la criticidad de los sistemas y servicios estatales, fiscalizar el cumplimiento de las medidas y requerir informes tanto a organismos públicos como a proveedores involucrados.
Ese plan deberá fijar, entre otros puntos, requisitos mínimos de seguridad, procedimientos para gestionar incidentes, pautas de continuidad y recuperación, condiciones para proveedores y obligaciones especiales para las infraestructuras consideradas críticas.
Por separado funcionará una Autoridad de Ejecución Operativa de Ciberseguridad, que será designada por el Ejecutivo a propuesta del comité. La ley establece una separación entre quienes definen y fiscalizan la política y quienes ejecutan técnicamente las medidas de seguridad.
La operación podrá quedar en manos de una estructura estatal existente o realizarse mediante prestadores especializados, privados o esquemas mixtos. Sin embargo, la supervisión, validación técnica y control permanecerán como funciones indelegables del Estado provincial.
La aplicación será obligatoria para el Poder Ejecutivo, pero también alcanzará a empresas y terceros que presten al Estado servicios tecnológicos, digitales, de infraestructura, software, conectividad, nube, seguridad, soporte, procesamiento o custodia de información.
También estarán comprendidas las entidades que operen, procesen o custodien sistemas, datos o servicios digitales provinciales y los prestadores de servicios críticos esenciales.
Cada organismo deberá adoptar medidas permanentes para prevenir, detectar, reportar, contener y recuperarse de incidentes; implementar los estándares mínimos que determine el CCEC; designar una contraparte institucional de ciberseguridad y gestionar sus propios riesgos.
Además, las contrataciones tecnológicas deberán contemplar requisitos específicos de seguridad. Los contratos con proveedores tendrán que establecer la obligación de informar vulnerabilidades, incidentes o amenazas que puedan afectar los sistemas y datos provinciales.
La normativa invita a los municipios a adherir a sus principios y al futuro Plan Provincial de Ciberseguridad. También convoca al Poder Judicial y a la Legislatura para que designen representantes ante el comité y participen del esquema provincial o desarrollen sus propios planes siguiendo los principios establecidos por la ley.
Otro punto central será la identificación de la denominada infraestructura crítica esencial. Dentro de esa categoría podrán quedar sistemas, plataformas, redes, datos y servicios cuya interrupción o manipulación tenga consecuencias sobre funciones fundamentales del Estado.
La ley menciona expresamente la continuidad de servicios públicos esenciales, la seguridad de datos personales, los actos administrativos digitales, la identidad y firma digital, las notificaciones electrónicas y áreas como seguridad pública, salud, Hacienda, Educación y Justicia.
Los organismos responsables de esas infraestructuras deberán adoptar medidas reforzadas, mantener registros de las acciones realizadas y participar de revisiones, ejercicios o simulacros cuando sean requeridos.
La norma también incorpora un régimen específico de gobierno de datos. La protección deberá abarcar todo su ciclo de vida, desde su creación y carga hasta su intercambio, almacenamiento, respaldo y eliminación.
Los accesos, transferencias o descargas deberán responder a una finalidad institucional, estar autorizados y quedar registrados de forma auditable.
La Provincia deberá contar además con capacidades de SOC y CSIRT. El primero será el Centro de Operaciones de Seguridad, encargado del monitoreo continuo y la detección y análisis inicial de eventos; mientras que el segundo será el equipo destinado a coordinar la respuesta, contención, mitigación y recuperación frente a incidentes.
Entre sus funciones estarán monitorear eventos, detectar y clasificar incidentes, realizar análisis técnicos, contener ataques, coordinar respuestas, preservar inicialmente evidencia digital y colaborar en la recuperación de los sistemas afectados.
Frente a un incidente crítico podrán adoptarse medidas inmediatas de contención. El CCEC también podrá ordenar acciones adicionales como la segmentación o aislamiento de sistemas y restricciones destinadas a evitar la propagación del problema.
A esto se suma la creación del Registro Provincial de Incidentes de Ciberseguridad, que concentrará información para identificar episodios recurrentes, medir tiempos de detección y respuesta y mejorar la gestión del riesgo. Los datos serán reservados cuando su difusión pueda comprometer la seguridad de los sistemas provinciales.
La ley contempla además un mecanismo para que cualquier persona o empresa que descubra una vulnerabilidad en sistemas provinciales pueda reportarla mediante un canal oficial.
Quienes lo hagan de buena fe, dentro de las condiciones que establezca el programa y sin explotar, divulgar ni comercializar la falla, tendrán garantías de que no se iniciarán acciones legales en su contra por ese reporte.
El régimen también establece sanciones para los organismos y sujetos obligados que incumplan las medidas consideradas críticas.
Entre las faltas graves aparecen no implementar estándares mínimos, no reportar incidentes, obstaculizar auditorías, proporcionar información técnica falsa o incompleta, incumplir instrucciones durante un incidente u ocultar ataques que puedan afectar servicios públicos, datos personales o infraestructura crítica.
Las medidas serán progresivas y podrán ir desde una advertencia formal o una intimación para adecuarse hasta auditorías extraordinarias, restricciones de interconexión y, ante situaciones de riesgo sistémico, la suspensión de la interconexión provincial. La reglamentación deberá definir el procedimiento para su aplicación.
