Rige en Mendoza el nuevo sistema de ciberseguridad para los servicios públicos

Mendoza puso en marcha un nuevo marco legal para fortalecer la protección de los sistemas, datos y servicios digitales del Estado provincial. La Ley 9726, sancionada por la Legislatura, establece las bases para organizar la política de ciberseguridad y busca reducir los riesgos derivados de ataques, vulnerabilidades e incidentes informáticos.

La norma apunta a garantizar la confidencialidad, integridad, disponibilidad, continuidad y resiliencia de los servicios públicos digitales, además de proteger los datos personales y la infraestructura digital considerada crítica para el funcionamiento de la provincia.

Uno de los ejes centrales será la gestión de los riesgos. Las medidas de seguridad deberán establecerse de acuerdo con la probabilidad de que ocurra una amenaza y el impacto que pueda generar. También se incorporan como principios la proporcionalidad, la trazabilidad, la continuidad de los servicios, la coordinación entre organismos, la responsabilidad compartida y la protección de la seguridad y la privacidad desde el diseño de los sistemas.

La ley establece además que la respuesta ante incidentes deberá concentrarse en prevenir, contener, mitigar y recuperar los sistemas afectados. De manera expresa, quedan excluidas las acciones ofensivas.

Un comité será la autoridad estratégica

La nueva estructura tendrá como máxima instancia de gobernanza al Comité de Conducción Estratégica de Ciberseguridad (CCEC), que funcionará como autoridad de aplicación de la ley.

El organismo estará integrado por representantes designados por el Poder Ejecutivo y tendrá funciones estratégicas, normativas y de fiscalización. Entre sus principales responsabilidades estará elaborar el Plan Provincial de Ciberseguridad, elevarlo para su aprobación, establecer estándares y requisitos mínimos obligatorios y determinar qué activos, servicios e infraestructuras son críticos.

También deberá supervisar el cumplimiento del plan, establecer indicadores de desempeño, requerir información a organismos y proveedores y coordinar la política provincial con municipios, otros poderes del Estado, organismos nacionales, universidades y el sector privado.

La ley establece una separación entre la conducción estratégica y la ejecución técnica. El Poder Ejecutivo deberá designar una Autoridad de Ejecución Operativa, que tendrá a su cargo implementar las capacidades necesarias para llevar adelante el plan.

La operación podrá realizarse con recursos propios del Estado, mediante empresas especializadas o a través de un esquema mixto. La elección deberá considerar factores como la especialización, eficiencia, criticidad, continuidad operativa y protección de la información estatal.

SOC y CSIRT para detectar y responder ataques

Uno de los componentes centrales del nuevo esquema será la creación de capacidades de Centro de Operaciones de Seguridad (SOC) y Equipo de Respuesta ante Incidentes (CSIRT).

Estos equipos deberán monitorear eventos de seguridad, detectar y clasificar incidentes, realizar análisis técnicos, contener amenazas, coordinar respuestas y colaborar en la recuperación de los sistemas. También deberán mantener registros de las actuaciones y preservar evidencia digital cuando corresponda.

Ante un incidente crítico, la estructura operativa podrá adoptar medidas inmediatas de contención. A su vez, el CCEC podrá ordenar acciones adicionales como segmentar, aislar o restringir sistemas y servicios cuando exista un riesgo relevante.

La normativa también establece un sistema escalonado de comunicación de incidentes, con alerta temprana, actualización inicial, informe final y seguimiento posterior cuando sea necesario.

Además, se crea el Registro Provincial de Incidentes de Ciberseguridad, que permitirá identificar recurrencias, evaluar riesgos, medir los tiempos de detección y recuperación y mejorar la coordinación entre organismos. La información será reservada cuando su difusión pueda poner en riesgo sistemas o infraestructura estatal.

Qué deberán hacer los organismos y proveedores

La ley alcanza al Poder Ejecutivo, pero también a terceros que presten servicios tecnológicos o digitales al Estado, como proveedores de software, conectividad, nube, infraestructura, seguridad, soporte o procesamiento de información.

Los organismos deberán implementar medidas permanentes de prevención, detección, reporte, contención y recuperación; gestionar sus riesgos; designar un responsable institucional de ciberseguridad y comunicar los incidentes de acuerdo con los protocolos establecidos.

Los contratos con proveedores deberán incluir la obligación de informar vulnerabilidades, amenazas e incidentes que puedan afectar sistemas o información provincial. La ley establece que será nula cualquier cláusula que restrinja injustificadamente la comunicación necesaria para prevenir o responder ante un incidente.

También se establecen obligaciones especiales para quienes administren infraestructura digital crítica, que deberá contar con medidas reforzadas de seguridad, continuidad operativa, recuperación ante desastres, monitoreo, control de accesos, gestión de vulnerabilidades y ejercicios periódicos.

Entre las áreas que pueden ser consideradas críticas aparecen servicios vinculados con seguridad pública, salud, hacienda, educación y justicia, además de sistemas de identidad digital, firma electrónica, notificaciones digitales y otras plataformas esenciales para el funcionamiento del Estado.

Protección de datos y reporte de vulnerabilidades

La norma incorpora un régimen de gobierno de datos que deberá aplicarse durante todo el ciclo de vida de la información: desde su creación y carga hasta su intercambio, almacenamiento, respaldo, archivo y eliminación.

Todo acceso o transferencia de datos deberá responder a una finalidad institucional legítima, contar con autorización y quedar registrado de manera auditable. También deberán garantizarse criterios de proporcionalidad, minimización, seguridad y confidencialidad.

Otro aspecto novedoso es que cualquier persona o empresa podrá reportar vulnerabilidades de seguridad detectadas en sistemas del Estado mediante canales oficiales. El programa de divulgación responsable deberá establecer mecanismos para recibir los avisos, evaluarlos y coordinar su corrección.

Quienes informen de buena fe una vulnerabilidad, dentro de las condiciones establecidas y sin explotarla, divulgarla o comercializarla, contarán con un compromiso de no inicio de acciones legales dentro del alcance previsto por el programa.

Sanciones por incumplimientos graves

La Ley 9726 también establece un régimen sancionatorio. Entre los incumplimientos considerados graves figuran no aplicar los estándares mínimos, no informar incidentes, obstaculizar auditorías, entregar información técnica falsa, ocultar ataques que puedan afectar servicios públicos o datos personales e incumplir medidas de mitigación.

Las sanciones serán progresivas y deberán respetar criterios de razonabilidad y debido proceso. Podrán incluir desde una advertencia formal o un plan obligatorio de remediación hasta auditorías extraordinarias, restricciones de interconexión e incluso la suspensión de la conexión con la red provincial en casos de riesgo sistémico.

La norma también invita a los municipios a adherir a sus principios y convoca al Poder Judicial y al Poder Legislativo a participar en el Comité o desarrollar sus propios planes bajo los criterios establecidos.

Finalmente, la ley modifica la Ley de Administración Financiera para otorgar un tratamiento específico a las adquisiciones y contrataciones vinculadas con ciberseguridad, seguridad digital, continuidad operativa, protección de información, respuesta ante incidentes y recuperación de sistemas críticos.

El Poder Ejecutivo tendrá un plazo de 90 días desde la publicación de la ley para reglamentarla y poner en funcionamiento los distintos mecanismos previstos.

Con Boletín Oficial, editó Carina Pérez