Especialistas en ciberseguridad enfatizaron en la necesidad de que México expida una ley general en ciberseguridad ante las crecientes amenazas cibernéticas que enfrenta el gobierno y compañías.
Claudia Escoto Velázquez, integrante del consejo de la Alianza México Ciber Seguro, comentó que el que se esté postergando esta ley sólo contribuye a agravar la vulnerabilidad de los ataques cibernéticos, que cada vez serán más sofisticados con el uso de la inteligencia artificial.
Explicó que las llamadas mipymes en México no suelen tener ni la concientización ni la cultura de la ciberseguridad que les permita tener un incidente y poder recuperarse de él.
Comentó que según el Reporte de Costos de Incumplimiento de Datos del Instituto Ponemon las Pymes tardan en promedio 212 días en identificar un ataque y 75 más en contenerlo.
Escoto Velázquez refirió que el ataque cibernético más frecuente hacia las Mipymes es el ramsonware para el robo de su información y que puede derivar en otras consecuencias mucho más graves.
“Imagínate si es una empresa, quizá distribuidora de bienes perecederos, de algún insumo perecedero y les roban la información, pues entonces eso les detiene toda la distribución y podrían quedar atorados los camiones de reparto que ya tienen rutas de distribución.
“Estamos hablando que no sólo es pérdida de los insumos, sino también las consecuencias que tienen legales por las cláusulas contractuales que puedan tener en cuanto a entregas y penalizaciones o multas”, explicó.
El segundo ataque que suelen hacer los ciber delincuentes es el phishing, los fraudes y el robo de identidad.
La experta advirtió que si no se tiene un grupo o una estrategia para atender un ciberataque grande, se corre el riesgo de que se paralice la empresa y las consecuencias, además de económicas, pueden ser también en la reputación de la marca y hasta legales.
Por su parte, Elizabeth Tenorio, encargada legal del área de ciberseguridad en la Academia Mexicana de Ciberseguridad y Derechos Digitales (AMCDI) y de Intelligent Networks For Critical Business, comentó que aunque en recientes meses se le dio mucha difusión las dos últimas iniciativas presentadas en la Cámara de Diputados, en realidad en los últimos siete años se han presentado más de 20 proyectos.
“Se ha querido normar el tema pero el problema es que hay otros proyectos de ley que han sido considerados prioritarios, aunque leyes en ciberseguridad sí existen en el país y muchas veces ese es el error, pensar que no tenemos nada.
“Suele confundirse ciberseguridad con cibercrimen y son cosas bien diferentes, la primera va enfocada hacia protocolos, herramientas, gestión de riesgos; y el cibercrimen va enfocado a la protección de bienes jurídicos (…) cuando empezamos a hablar de acceso ilícito a sistemas, estamos protegiendo la información y eso sí está (en la ley), decir que no hay legislación o tipos penales o delitos cibernéticos es como decir que no existe la ley Olimpia y todo esto ha impedido que se tenga una ley mucho más cimentada”, consideró.
Agregó que se ha querido normar el tema pero el problema es que hay otros proyectos de ley que han sido considerados prioritarios.
Urgen leyes en defensa
Tenorio consideró que sí existe normatividad en cuanto a ciberseguridad en el país y muchas veces el error es pensar que no se tiene nada.
“Un ejemplo es la ley de protección de datos personales tiene repercusión en ciberseguridad, se tiene normativa respecto a la atención de incidentes como el protocolo homologado de atención de incidentes cibernéticos. Que, aunque no es una ley, si está contemplando como una normativa y opera.
“Tenemos la ley federal de telecomunicaciones y radiodifusión que tiene lineamientos para los proveedores de servicios de internet que también tiene repercusión en ciberseguridad”, explicó.
Comentó que los ataques ramsonware en las dependencias gubernamentales deben reportarse y perseguirse de oficio porque así está en la ley, pero otros incidentes, que no son catalogados como delictivos pero que deben reportarse porque pueden tener repercusiones a escala nacional.
Un ejemplo, comentó, es cuando se atacan portales y no le permiten operar, y si esto pasara para infraestructura de energía eléctrica, petróleo o manufactura, puede tener una repercusión a escala país y esta parte no está normada.
Sin embargo, aclaró que estas lagunas no significa que no haya leyes, sino que hay que reforzar las que ya se tienen.