"En este contexto es imprescindible, tal como otras entidades u organizaciones, tomar con antelación las medidas necesarias para mitigar riesgos, puesto que una implementación veloz pero insegura conduce a una transformación digital para nada sustentable".

*Por Patricio Villacura, Regional Key Account Manager en Trend Micro.

Hace algunas semanas, en Chile, el dominio web de Clave Única fue puerta de entrada para que hackers promocionaran sitios online con alto contenido sexual, que permitía abusar y redireccionar a los usuarios a sitios externos de forma arbitraria y sin consentimiento. Lo anterior pudo generar para muchos la pregunta: ¿Son las entidades públicas y gubernamentales un blanco atractivo para ciberataques, considerando la data sensible que involucra la información de los ciudadanos?

Creo que la respuesta es no específicamente, pero sin duda las motivaciones que hay detrás de los ataques, son un tema que hay que tener en la mira. En términos generales, existen dos grandes vías que generan vulnerabilidad en el sector público. Por un lado, es cada vez más frecuente que diversas instituciones migren hacia la nube para disponer un servicio a la comunidad que cubra la alta demanda de necesidades y programas sociales. La premura de estar operativo de manera digital, muchas veces impide una correcta configuración del control de acceso o permisos, abriendo un paso para la ciberdelincuencia. Por otra parte, figura el aumento de campañas de Phishing que apelan a la curiosidad de la ciudadanía y llaman su atención con falsos mensajes de beneficios, para capturar credenciales y así acceder a otros servicios o tipo de información. Esto sin embargo no es un reto exclusivo del sector público, sino de todas las entidades en proceso de transformación digital.

En este contexto es imprescindible, tal como otras entidades u organizaciones, tomar con antelación las medidas necesarias para mitigar riesgos, puesto que una implementación veloz pero insegura conduce a una transformación digital para nada sustentable.

En Chile, las entidades públicas han tenido avances importantes en el desarrollo de estrategias de protección de la infraestructura y de datos sensibles. Muestra de ello, son los marcos regulatorios como el Decreto 83, que establece los mínimos controles de seguridad en el ámbito del gobierno central, o la Ley de Protección de Datos Personales que actualmente está en su segunda revisión en el Congreso. También el desarrollo de una gobernanza o la discusión en torno a qué organismo será el responsable de gestionar y custodiar la información confidencial o delicada a nivel central. En este sentido, poco a poco las distintas reparticiones de Gobierno han ido armando una estrategia de ciberseguridad, iniciada hace tres años, con la creación del Equipo de Respuestas e Incidentes de Seguridad Informática, CSIRT, que busca fortalecer y promover buenas prácticas, políticas, leyes, reglamentos, protocolos y estándares en estas materias, al interior de los órganos de la administración del Estado. Y recientemente, con el anuncio presidencial de un proyecto de ley para crear una Agencia Nacional de Ciberseguridad.

Ante el panorama, el gran desafío que enfrenta nuestro país es obtener visibilidad de los riesgos y gestionarlos, siendo clave para ello una interacción permanente con organismos internacionales y la elaboración de protocolos de colaboración entre representantes del sector público y privado, como el reciente acuerdo de cooperación con el  CSIRT destinado a compartir información global de amenazas, suscrito por entidades de ciberseguridad, así como  también la creación de roles y de controles de seguridad, para lo cual será relevante superar la burocracia propia del ámbito público y las respectivas limitaciones presupuestarias.

La buena noticia es que este tema va bien encaminado. La cooperación técnica público-privada para resolver estas materias son parte de la estrategia definida hoy como una política de Estado, clara y precisa, que permitirá al Chile del futuro avanzar de forma protegida en materias de ciberseguridad y protección de datos.