Entró en vigencia la Ley de Ciberseguridad en Mendoza para combatir hackeos
El Gobierno de Mendoza promulgó la norma que busca blindar a la administración pública de ciberataques y establece una serie de obligaciones para organismos públicos y proveedores.
La norma fue sancionada días atrás por la Legislatura provincial. Foto: EFE
El Gobierno de Mendoza promulgó este lunes la Ley de Ciberseguridad sancionada por la Legislatura provincial días atrás. Se trata de una iniciativa que busca proteger los sistemas informáticos, los datos y la infraestructura tecnológica del Estado ante las amenazas digitales como hackeos.
La norma fue impulsada por el Ejecutivo y prevé un plan provincial y una serie de obligaciones para organismos públicos y proveedores de servicios críticos. Fija reglas claras, responsabilidades definidas, herramientas modernas, cooperación regional e internacional, protección de datos, participación de especialistas y capacidad de respuesta frente a una amenaza creciente.
Con esta iniciativa pretenden blindar a la administración pública de los delitos orquestados en el mundo digital a través de ciberataques con los que se obtienen datos, se cometen estafas, se ataca infraestructura, se vulneran sistemas y se compromete información sensible de las personas y del Estado.
La nueva ley de ciberseguridad
Esta nueva ley plantea la creación de un organismo especializado, el Comité de Conducción Estratégica de Ciberseguridad (CCEC) que será la instancia superior de gobernanza estratégica y política en materia de ciberseguridad provincial.
Estará integrado por representantes designados por el Poder Ejecutivo y designará un Coordinador General y deberá elaborar un Plan Provincial de Ciberseguridad.
Este plan determinará estándares, guías, lineamientos técnicos y requisitos mínimos de cumplimiento obligatorio, los cuales serán:
- requisitos mínimos de seguridad
- procedimientos de gestión de incidentes
- criterios de clasificación de criticidad
- lineamientos de continuidad y recuperación
- controles de cumplimiento
- criterios de reporte
- requisitos aplicables a proveedores
- condiciones de integración segura con plataformas provinciales
- criterios de aceptación y tratamiento del riesgo
- obligaciones diferenciadas para Infraestructura Digital Crítica Provincial
Obligaciones y responsabilidades
La norma es de cumplimiento obligatorio para el Poder Ejecutivo, el Poder Legislativo y el Poder Judicial. Pero también alcanza a los privados que presten servicios digitales, tecnológicos, de infraestructura, software, conectividad, nube, seguridad, soporte, procesamiento o custodia de información para el Estado provincial.
También estará comprendida cualquier entidad que opere, procese, custodie o integre sistemas, datos o servicios digitales del Estado provincial, conforme lo determine la reglamentación o los instrumentos contractuales respectivos. Además de los prestadores de servicios críticos esenciales.
Todos estos sujetos obligados deberán cumplir con una serie de requisitos previstos en la ley:
- Adoptar medidas permanentes de prevención, detección, reporte, contención, mitigación y recuperación;
- Implementar los estándares mínimos obligatorios dictados por el ;
- Designar una contraparte institucional de ciberseguridad;
- Reportar incidentes conforme a los procedimientos establecidos;
- Gestionar sus riesgos de ciberseguridad;
- Cumplir los planes de adecuación, remediación o mejora
- Mantener registros de cumplimiento
- Asegurar que sus contrataciones tecnológicas contemplen requisitos de ciberseguridad.
El incumplimiento de los lineamientos de este proyecto implicará la aplicación de sanciones que estarán a cargo del Comité.
Las penalidades más leves van desde la advertencia formal, la intimidación de adecuación con un plazo determinado, un plan obligatorio de remediación o una auditoría técnica extraordinaria.
Por otro lado, frente a las infracciones consideradas como más graves se puede proceder a una segmentación preventiva de servicios, una restricción parcial de interconexión, la suspensión de interconexión provincial en casos de riesgo sistémico, la comunicación a la autoridad superior del organismo o el inicio de actuaciones administrativas o contractuales.