La Ley 9726 obliga a organismos estatales, proveedores tecnológicos y servicios críticos a adoptar estándares de seguridad, reportar incidentes y reforzar la protección de datos. También prevé un centro de monitoreo y un registro provincial de ataques.
Ya rige en Mendoza el nuevo sistema para enfrentar ciberataques
Mendoza dio un nuevo marco legal a la protección de sus sistemas informáticos. La Ley 9726 de Ciberseguridad, establece reglas para prevenir ataques, responde frente a incidentes y reduce el riesgo de que una falla informática afecte servicios públicos o información sensible.
La norma, impulsada desde el Ministerio de Seguridad y Justicia, fue sancionada el 2 de septiembre y publicada este lunes en el Boletín Oficial. Alcanza principalmente al Poder Ejecutivo, aunque también incorpora obligaciones para empresas y terceros que presten servicios tecnológicos al Estado.
Entre los objetivos centrales aparece la protección de los datos personales, los sistemas utilizados por la administración provincial y lo que la ley define como infraestructura crítica esencial. Allí quedan comprendidas plataformas cuya interrupción podría comprometer áreas como seguridad, salud, educación, justicia, hacienda, identidad digital o servicios públicos.
Uno de los principales cambios será la creación del Comité de Conducción Estratégica de Ciberseguridad (CCEC). Ese organismo funcionará como autoridad de aplicación y tendrá la responsabilidad de elaborar el Plan Provincial de Ciberseguridad, establecer estándares obligatorios, clasificar sistemas según su nivel de riesgo y controlar el cumplimiento de las medidas.
Ver: Adorni tiene hasta el martes para responder estas preguntas a la Justicia
La operación técnica quedará separada de esa conducción política y de fiscalización. El Poder Ejecutivo deberá designar una Autoridad de Ejecución Operativa, encargada de implementar las herramientas necesarias para detectar, contener y responder a amenazas informáticas.
La ley permite que parte de esas tareas se desarrollen con estructuras propias del Estado, empresas especializadas o mediante esquemas mixtos. Sin embargo, determina que la supervisión y el control seguirán siendo responsabilidad indelegable de la Provincia.
Otro punto relevante es la incorporación de capacidades de SOC y CSIRT, denominaciones utilizadas para los centros de operaciones de seguridad y los equipos especializados en respuesta ante incidentes. Entre sus funciones estarán el monitoreo de eventos, la detección de ataques, el análisis técnico, la contención de amenazas y la asistencia para recuperar los sistemas afectados.
Frente a un incidente considerado crítico, los equipos técnicos podrán tomar medidas inmediatas para limitar el daño. Esto podría incluir la segmentación o aislamiento de sistemas y otras acciones destinadas a evitar que el problema se extienda hacia diferentes organismos.
También se creará un Registro Provincial de Incidentes de Ciberseguridad. Allí quedarán asentados los ataques y episodios detectados para identificar problemas recurrentes, medir los tiempos de respuesta y generar estadísticas que permitan mejorar la prevención.
Parte de esa información tendrá carácter reservado cuando su difusión pueda poner en riesgo los propios sistemas estatales. La confidencialidad también alcanzará a reportes técnicos, vulnerabilidades detectadas, configuraciones, planes de recuperación, evidencias digitales y detalles sobre la arquitectura de seguridad.
La nueva legislación exige además un sistema escalonado para comunicar los incidentes. El esquema deberá incluir una alerta temprana, una actualización inicial, un informe definitivo y posteriores seguimientos cuando la amenaza continúe activa.
Las obligaciones no recaerán únicamente sobre las reparticiones provinciales. Los proveedores de software, almacenamiento en la nube, conectividad, infraestructura, soporte y servicios tecnológicos que trabajen para el Estado también deberán informar vulnerabilidades o incidentes que puedan comprometer datos y sistemas provinciales.
La norma establece incluso que los contratos no podrán contener cláusulas que impidan injustificadamente comunicar información necesaria para prevenir o contener un ataque.
Un capítulo específico está destinado al gobierno de datos. Los organismos deberán proteger la información durante todo su recorrido: creación, consulta, modificación, intercambio, almacenamiento, respaldo y eliminación. Los accesos y transferencias tendrán que responder a una finalidad institucional, estar autorizados y dejar registros que puedan ser auditados.
Para los sistemas considerados esenciales habrá exigencias mayores. La Provincia podrá requerir controles reforzados de acceso, monitoreo permanente, planes de recuperación frente a desastres, ejercicios de respuesta y procedimientos especiales para reportar incidentes.
La Ley 9726 incorpora además un mecanismo para que cualquier persona o empresa pueda advertir sobre una vulnerabilidad informática encontrada en un sistema estatal. La reglamentación deberá habilitar un canal público y gratuito para recibir esas comunicaciones.
Quienes reporten una falla de buena fe y respeten las condiciones previstas tendrán una protección particular: el programa deberá contemplar el compromiso de no iniciar acciones legales contra ellos, siempre que no hayan explotado, difundido ni comercializado la vulnerabilidad.
La legislación también prevé medidas frente a organismos o proveedores que incumplan las reglas. Se consideran faltas graves, entre otras conductas, no implementar estándares mínimos, ocultar incidentes, impedir auditorías, brindar información técnica falsa o desobedecer instrucciones durante una emergencia informática.
Las respuestas podrán ir desde una advertencia y un plan obligatorio de adecuación hasta una auditoría extraordinaria, restricciones de interconexión o, ante un riesgo sistémico, la suspensión de la conexión con plataformas provinciales.
Los municipios de Mendoza fueron invitados a adherir al sistema, mientras que el Poder Judicial y la Legislatura podrán designar representantes para participar en la elaboración del esquema provincial o desarrollar planes propios bajo los mismos principios.
Además, la norma incorpora las adquisiciones y contrataciones vinculadas con ciberseguridad, protección de sistemas críticos, recuperación de información e inteligencia de amenazas al régimen previsto en el inciso a) del artículo 144 de la Ley 8706 de Administración Financiera.
Esta nota habla de:
