A comienzos de la semana pasada se promulgó la Ley Marco sobre Ciberseguridad e Infraestructura Crítica de la Información, normativa que busca enfrentar las crecientes y variadas amenazas que deambulan en el mundo digital.

La gran novedad de la Ley, que había sido aprobada en el Senado en diciembre pasado, es la creación de la Agencia Nacional de Ciberseguridad (ANCI), que será el organismo rector de este ámbito en el país. Estará encargada de dictar protocolos y estándares para prevenir, reportar y resolver incidentes de ciberseguridad; y de regular, fiscalizar y sancionar a todos los organismos públicos y privados que presten servicios esenciales.

En línea con esta misión, la ANCI estará facultada para aplicar multas de hasta 40.000 UTM, es decir, cerca de $2.600 millones.

“Por nuestra idiosincracia, de ser reactivos en general, esto ayudará a destinar más recursos humanos y económicos para la gestión y gobernanza de la ciberseguridad”, opina al respecto César Pallavicini Z., líder de la mesa plataforma estratégica CISOs de la Alianza Chilena de Ciberseguridad y CEO de Pallavicini Consultores.

Dentro de los servicios que serán considerados como esenciales se encuentran la generación, transmisión o distribución eléctrica; el transporte almacenamiento o distribución de combustibles; el suministros de agua potable o saneamiento; las telecomunicaciones e infraestructura digital; los servicios digitales y tecnologías de la información; el transporte terrestre, aéreo, ferroviario o marítimo; la banca, los servicios financieros y los medios de pagos; la administración de prestaciones de seguridad social; los servicios postales y de mensajería; la prestación institucional de servicios de salud y la producción e investigación de productos farmacéuticos.

También estarán considerados todos los organismos de administración del Estado y el Coordinador Eléctrico Nacional.

Con la Ley de Ciberseguridad ya promulgada, ahora hay que esperar que la ANCI publique su primer reglamento, que marcará el inicio de una cuenta regresiva para que todos los prestadores de servicios esenciales puedan adaptarse a los mínimos que se impondrán.

“La mayoría de estos son entidades privadas que ahora se enfrentan a la necesidad de cumplir con nuevas obligaciones de seguridad, que además de ser potencialmente costosas, pueden resultar complejas de implementar, lo que plantea un desafío significativo para su adecuada ejecución”, postula Myriam Pérez, líder de la Mesa de Ciberseguridad de la Asociación de Empresas Chilenas de Tecnología (Chiletec).

Pérez también considera que aún falta mayor especificidad para saber cómo se determina que una empresa sea exactamente proveedora de servicios esenciales o infraestructura crítica y apunta a que esa ambigüedad puede generar incertidumbre entre los operadores, dificultando la implementación efectiva de la nueva ley.

Por último, destaca la importante inversión que habría que hacer en la ANCI para que pueda funcionar de formar correcta y, al mismo tiempo, el esfuerzo de las empresas por darle más importancia al tema de la ciberseguridad en su día a día.

“Uno de los principales obstáculos es la falta de conocimiento generalizado sobre estándares y certificaciones en ciberseguridad. Esta brecha de conocimiento puede dificultar que las empresas identifiquen y comprendan qué medidas específicas de seguridad necesitan implementar para estar en conformidad con la ley. Otro desafío importante es la escasez de talento especializado en el campo. Hay una demanda creciente de profesionales con habilidades específicas para implementar y gestionar la ciberseguridad, pero la oferta de estos expertos no siempre satisface las necesidades del mercado”, dice Pérez.

A pesar de los desafíos que implicará esta nueva ley, los expertos consultados concuerdan en que su promulgación es todo un avance.

Según Myriam Pérez, “coloca al país a la vanguardia de la región en temas de seguridad digital” y en opinión de César Pallavicini, “es un avance respecto a la madurez de la comunidad europea”.

Aunque la Ley Marco de Ciberseguridad es parte de una serie de esfuerzos recientes que van en la misma dirección, como la nueva Ley de Delitos Informáticos, Pérez y Pallavicini coinciden en que aún hay cosas por hacer. Para el primero, es importante que las empresas busquen adherirse a las normas internacionales en esta materia y que se siga legislando en torno al tema.

“Hay que aprobar la reforma de Ley de Protección de Datos Personales y tiene que funcionar la Agencia de Protección de Datos Personales. Al menos el sector privado seguirá esperando esta reforma para aplicar mayores controles en la protección de información, que se relacionan con la desregulación del ciberespacio”, señala Pallavicini.

Por su parte, Myriam Pérez cree que hacen falta más regulaciones a los servicios de ciberseguridad. “Esto aseguraría que los servicios cumplan con estándares de calidad, fortaleciendo a este ecosistema en el país”, opina

Además, sugiere la creación de un fondo de financiamiento para la ciberseguridad. “Así se ayudaría a los operadores de servicios esenciales e infraestructura crítica a cumplir con las nuevas obligaciones de seguridad, mitigando el impacto financiero de estas medidas”, concluye.