Seguridad

Chile avanza en el Índice Nacional de Ciberseguridad ¿Qué sigue ahora?

Chile subió 20 puestos en el Índice Nacional de Ciberseguridad (National Cyber Security Index), preparado por la e-Governance Foundation de Estonia. Esto lo que se convirtió en el líder de Latinoamérica en materias de preparación para prevenir amenazas de ciberseguridad y gestión de incidentes.

El año pasado, Chile ocupaba el lugar 54, después de Panamá y Colombia en Sudamérica, pero este año pasó a ocupar el puesto 34, quedando primero entre los 11 países de Latinoamérica que son medidos, y solo detrás de Estados Unidos y Canadá en América, que tienen los lugares 23 y 32, respectivamente.

Este índice global se actualiza de forma periódica, midiendo parámetros como la preparación ante las tres principales ciberamenazas:

• Denegación de servicios: No se puede acceder a los servicios y la mayoría de las veces ocurre por accidente.
• Violación de integridad de los datos: Cuando hay modificaciones no autorizadas. En este caso, de parte de los perpetradores puede haber un ánimo de vandalismo o incluso de ciberterrorismo.
• Violación de confidencialidad de los datos: Cuando se accede a datos que deberían estar secretos, como contraseñas y datos personales, es un problema grave pues se trata de ataques que pueden abrir brechas para estafas y secuestros de datos.

Por esto, un país debe tener las capacidades adecuadas para enfrentar estas vulnerabilidades a través de protocolos de seguridad base, manejo de incidentes y desarrollo de ciberseguridad.

¿Cómo se desarrolla este índice?

El índice de NCSI se desarrolla en cinco pasos:

• Identificación de ciberamenazas a nivel nacional.
• Identificación de medidas y capacidades para enfrentar las ciberamenazas.
• Selección de aspectos importantes y medibles.
• Desarrollo de indicadores en cuanto a ciberseguridad.
• Agrupación de estos indicadores.

El foco de acción se desarrolla a través de revisar los avances tangibles de cada país en cuanto a su legislación; a si tiene unidades especiales establecidas (organizaciones, departamentos); formatos de cooperación (comités, grupos de trabajo); productos desarrollados (políticas, ejercicios, tecnologías, sitios web, programas). Cada uno de ellos da entre 1 a 3 puntos que se suman según el nivel de importancia dada por un panel de expertos.

Así, el puntaje se multiplica por 100 y el resultado se divide por el número máximo de puntos, por lo que arroja un porcentaje de cumplimiento en cuanto a la ciberseguridad.

¿Hacia dónde debemos avanzar?

El índice, además, entrega algunos factores en los que se debe trabajar. Estos son:

• Falta una unidad gubernamental a nivel nacional especializada en análisis de ciberamenazas.
• Faltan reportes anuales de ciberamenazas.
• Falta incluir competencias de ciberseguridad en el currículum de educación primaria o secundaria.
• Faltan doctorados en ciberseguridad en Chile.
• No existen sedes de organizaciones internacionales de ciberseguridad en Chile.
• No existen instalaciones que den servicios de ciberseguridad a otros países.
• No existe legislación por la que los proveedores de servicios digitales, excepto pequeñas y medianas empresas, debieran manejar los riesgos de las Tecnologías de la Información y Comunicación o implementar requerimientos de seguridad.
• No existe una autoridad competente a nivel estatal que supervise a los proveedores de servicios digitales tanto públicos como privados en cuanto a requerimientos de ciberseguridad.
• No existen leyes para que los operadores de servicios esenciales deban manejar riesgos de ciberataques.
• No existe una autoridad competente en cuanto a ciberseguridad que supervise a los operadores de servicios esenciales en cuanto a requerimientos de seguridad de la información.
• No existe monitoreo de medidas de seguridad de los operadores de servicios esenciales en cuanto a políticas de seguridad de la información.
• No existen requerimientos para criptosistemas en el ámbito fiduciario.
• No existen servicios de reparto con registro electrónico.
• No existe una entidad pública e independiente que vele por la protección de los datos personales.
• No existe obligación legal para que los proveedores de servicios digitales o de servicios esenciales reporten cuando tengan incidentes en cuanto a la ciberseguridad.
• No existe un contacto único que sirva para la coordinación internacional en cuanto a la ciberseguridad.
• No existen planes de manejo de crisis de gran escala en cuanto a la ciberseguridad.
• No se han realizado ejercicios de manejo en cuanto a crisis de ciberseguridad.
• No se tiene considerada la cooperación de voluntarios en el campo de la ciberseguridad.
• No se han desarrollado ejercicios contra un ciberataque por parte de fuerzas militares en los últimos tres años.

Camino por recorrer

Sin duda, todavía queda un gran número de tareas pendientes. Un 55.84% de cumplimiento significa un margen enorme de mejora. Los esfuerzos a nivel país deben ser mayores si queremos que nuestra legislación e instituciones estén a un nivel óptimo, como ya lo lograron otros 20 países en el mundo.

En IDA, desarrollamos nuestros proyectos con especial atención al factor de ciberseguridad en nuestros administradores de contenido. Recuerda revisar algunos de los consejos que entregamos en nuestro blog para evitar ataques y amenazas que puedan llegar a tu sitio web.