Estrategias de ciberseguridad Comparación internacional

Índice global de ciberseguridad Estrategias de ciberseguridad Comparativo de estrategias internacionales Comentarios finales

Medidas organizacio-nales Generación de capacidad Índice global de ciberseguridad La UIT (Unión Internacional de Telecomunicaciones) publicó el índice global de ciberseguridad (IGC), que refleja el nivel de compromiso de distintos países. El IGC se compone de cinco subíndices: medidas legales, medidas técnicas, medidas organizacionales, generación de capacidad y cooperación. Medidas legales Es una medida del número de instituciones legales y del marco regulatorio. El índice se compone de: legislación criminal y regulación y cumplimiento. Medidas técnicas Es una medida de los recursos dedicados a la ciberseguridad. El índice se compone de: existencia de equipos informáticos de respuesta, desarrollo de estándares y certificaciones. Medidas organizacio-nales Es una medida de estrategias de coordinación a nivel nacional. El índice se compone de: desarrollo de políticas de ciberseguridad nacionales, existencia de mapas (roadmaps for governance) de ciberseguridad, agencias especializadas y rendición de cuentas. Generación de capacidad Se refiere a la generación de recursos humanos, principalmente mediante educación y programas de entrenamiento. El índice se compone de: nivel de estandarización, promoción de conocimiento, certificación y agencias de certificación. Medidas legales; número de instituciones legales y del marco regulatorio Medidas técnicas: Recursos dedicados a la ciberseguridad Medidas organizacionales: estrategias de coordinación a nivel nacional Generación de capacidades: generación de recursos humanos, principalmente mediante educación y programas de entrenamiento Cooperación: cooperación entre todos los sectores y disciplinas, nacional e internacional Cooperación Se refiere a la cooperación entre todos los sectores y disciplinas, nacional e internacional. El índice se compone de: cooperación entre agencias, relación sector público – privado y cooperación internacional.

Índice global de ciberseguridad México está ubicado dentro del grupo 18 de 29, con una calificación de 0.324. México Medidas legales 0.250 Medidas técnicas 0.500 Medidas organizacionales 0.125 Generación de capacidad 0.375 Cooperación 0.375 Índice Global de ciberseguridad mide el compromiso nacional a la ciberseguridad. Valor más alto: Estados Unidos de América 0.824 Valor más bajo: San Vicente y las Granadinas 0.0 México ocupa el lugar 18 de 29, encontrándose por debajo de otros países latinoamericanos como Brasil (5), Uruguay (8), Colombia (9), Argentina (15), Ecuador (17).

Estrategias de ciberseguridad La Convención de Budapest sobre la Ciberdelincuencia impulsa, y proporciona a los países, un modelo para la redacción y actualización de sus leyes y ha demostrado ser un mecanismo eficaz para mejorar la cooperación internacional en los casos de delitos informáticos. 2010 2011 2012 2013 2014 2015 2016 Alemania Sudáfrica Japón India Rusia EEUU Las estrategias nacionales de ciberseguridad comenzaron a publicarse en su mayoría a partir de 2010. A partir de esta fecha, su número ha crecido de manera significativa. En este caso, se decidió no considerar a APEC en función de que no cuenta con un despliegue particular de una estrategia de ciberseguridad sino por su naturaleza plantea lineamientos a seguir para los países que la integran. Cabe señalar que para el caso de México aún no se cuenta con una estrategia en materia de ciberseguridad pero se estará trabajando para su emisión el próximo año. Colombia Canadá UK

Comparativo sobre estrategias de ciberseguridad La estrategia de ciberseguridad de la mayor parte de los países toca temas similares. En la siguiente tabla pueden apreciarse los temas de mayor relevancia en algunos ejemplos de políticas de ciberseguridad. Factores Clave Alemania Sudáfrica Japón India Rusia EEUU Colombia Canadá UK APEC Medidas legales Medidas técnicas Medidas organizacionales Generación de capacidad Cooperación Para hacer un comparativo sobre prácticas internacionales en materia de ciberseguridad, se escogieron 9 países que están representando a regiones del mundo y que ocupan diferentes lugares del ranking internacional. También se incorporó a la APEC (Foro de Cooperación Económica Asia-Pacifico). Lo anterior con el fin de establecer la existencia o no de coincidencias respecto a la implementación de las estrategias de ciberseguridad en países con diferentes niveles de desarrollo. Cabe señalar que las estrategias nacionales para fomentar la ciberseguridad son muy heterogéneas en su descripción. En algunos países se detallan sólo las medidas generales que implementarán en la materia y en otros plantean a una descripción muy puntual y desagregada de estrategias, políticas y acciones. No obstante lo anterior, la política de ciberseguridad de la mayor parte de los países toca temas similares, con algunas excepciones. De los factores clave vinculados con el desarrollo de sistemas de ciberseguridad listadas, destaca la recurrencia de acciones ligadas al fortalecimiento de canales de cooperación tanto con otras naciones como con actores internos clave. También sobresale el tema de medidas técnicas que es mencionado en la mayoría de las estrategias revisadas. El país con una plataforma más amplia de acciones vinculadas a la ciberseguridad es EEUU lo cual no sorprende al ocupar el primer lugar en el Indice Global de Ciberseguridad. Promoción de investigación

Aprobación de la ley para combatir el robo de identidad (Canadá). Medidas legales Armonización del marco legal interno respecto a leyes internacionales (EEUU). Incorporación de los delitos cibernéticos como tema fundamental de las políticas, normas, actos administrativos y otras figuras jurídicas (Colombia). Aprobación de la ley para combatir el robo de identidad (Canadá). Control efectivo del crimen en el ciberespacio (Alemania). Desarrollo de un marco legal dinámico y su revisión periódica para responder a los retos de ciberseguridad, y su armonización con marcos legales internacionales (India). El caso de Estados Unidos existe un trabajo importante en cuanto a la armonización de su marco legal interno respecto a leyes internacionales, al depender regularmente de la cooperación y la asistencia de otros países en cuanto a la investigación y enjuiciamiento de delitos informáticos. Los Estados Unidos ha hecho una fuerte promoción para que más países se integren a la Convención a fin de facilitar la cooperación bilateral en el corto plazo.

Protección de las infraestructuras críticas de información (Alemania). Medidas técnicas Protección de las infraestructuras críticas de información (Alemania). Fortalecimiento de los sistemas de seguridad para realizar comercio por internet, salvaguardar el libre flujo de información, y promover la interoperabilidad global de las redes (EEUU). Identificación, monitoreo y control de la infraestructura crítica (Colombia). Garantizar que los sistemas (y sus datos clave) de las empresas que poseen y manejan infraestructura crítica sean seguros y resistentes a amenazas en el ciberespacio (UK). La protección de las infraestructuras críticas de información es la principal prioridad de seguridad cibernética y un componente central de casi todas las estrategias en la materia a nivel mundial. En el caso de Alemania, se está trabajando en el fortalecimiento de la coordinación entre el gobierno y el sector privado para lograr un intercambio de información intensificado. Con la participación del Consejo Nacional de Seguridad Cibernética aleman, se promueve la integración de un mayor número de sectores productivos a estos esquemas de coordinación y se establecen protocolos obligatorios para mantener las infraestructuras críticas en condiciones seguras durante crisis de TI.

Medidas organizacionales Creación de un Centro Integrado para el Delito Cibernético (Canadá). Promoción para el surgimiento de organizaciones intergubernamentales orientadas a promover el acceso seguro a internet (EEUU). Creación de una nueva Agencia Nacional de la Delincuencia Cibernética (UK). Creación del Consejo de Seguridad Cibernética Nacional (Alemania). Canadá cuenta desde 2013 con un Centro Integrado para Delito Cibernético que le ha permitido desarrollar nuevas metodologías para la medición y recolección estadística de datos vinculados a las tendencias delictivas en la materia, así como para desarrollar nuevos métodos de combate a este tipo de delincuencia, lo cual coloca a este país como un ejemplo a seguir a nivel internacional y que le ha permitido desarrollar una estrategia de delito Cibernético que considera todos los aspectos de este tipo de delincuencia, incluyendo el fraude, la delincuencia organizada y el robo de identidad.

Generación de capacidad Educación, formación y divulgación en Ciberseguridad (Colombia). Proporcionar los conocimientos necesarios , capacitación y otros recursos a los países que buscan construir la capacidad técnica y la ciberseguridad (EEUU). Sensibilizar a la población sobre las acciones para incrementar la seguridad en el acceso a internet (APEC). Formación de recursos humanos especializados en la materia de ciberseguridad (India). Colombia cuenta con una estrategia mediática destinada a promover el uso responsables de las tecnologías de información y comunicación entre los ciudadanos y que está enfocada a la educación, formación y divulgación del tema de ciberseguridad entre otros asuntos que difunde. Asimismo, ha realizado un importante trabajo en cuanto a la capacitación de funcionarios públicos respecto al tema de la seguridad de la información.

Cooperación Construcción de un único punto autorizado de asesoramiento para empresas públicas y PyMEs para ayudarles en temas de ciberseguridad (UK). Involucramiento del sector privado en la gobernanza de Internet (EEUU). Generación de políticas orientadas a fortalecer las alianzas y los acuerdos de cooperación y colaboración internacionales (Colombia). Asociación con las provincias y territorios, el sector privado y los sectores de infraestructura crítica (Canadá). Implementación de mecanismos de múltiples niveles para el intercambio de información (Japón). El sector privado tiene un papel crucial en la seguridad cibernética en el Reino Unido. Gran parte del ciberespacio es propiedad y es utilizado por empresas privadas, por lo que las organizaciones privadas trabajan en las asociaciones entre sí, con agencias de gobierno, para el intercambio de información y recursos, a fin de disuadir activamente las posibles amenazas en el ámbito del ciberespacio. Asimismo, el sector privado ha invertido y creado centros de excelencia para proporcionar las habilidades de seguridad cibernética que se necesitarán en el futuro.

Promoción de investigación Implementación de modelos de desarrollo de software in-house orientados a complementar las necesidades de seguridad de información (Colombia). Desarrollo de un ambiente de libre comercio que fomente la innovación tecnológica en el acceso seguro a redes (EEUU). Desarrollar alianzas entre el gobierno, el sector académico y la industria (APEC). Fortalecer la investigación y desarrollo en materia de ciberseguridad a través de cooperación internacional (Japón). Desarrollo de nuevas tecnologías para asegurar el comercio electrónico (APEC). El gobierno colombiano ha destinado recursos públicos bajo la iniciativa “nodo de innovación de ciberseguridad” en donde tanto academia, como empresarios y emprendedores han presentado propuestas y modelos de desarrollo de software in-house orientados a suplir las necesidades de seguridad de información de ese país.

Comentarios finales La vida “en línea” llegó para quedarse. El establecimiento de una identidad electrónica es ineludible y su protección es indispensable. La ciberseguridad no puede desarrollarse “por decreto”. Requiere la participación activa y coordinada de todos los sectores de la sociedad. La ciberdelincuencia no tiene fronteras. Es indispensable la cooperación internacional y la armonización de los marcos jurídicos. Es indispensable la formación de recursos humanos especializados en la materia. Las estrategias de ciberseguridad son inútiles sin la adecuada capacitación de los usuarios. La población infantil es particularmente vulnerable. La digitalización de las infraestructuras críticas las hace cada vez más vulnerables a la ciberdelincuencia. Se debe poner especial énfasis en su protección, resistencia, redundancia y resilencia. Para la ciberseguridad son necesarios nuevos marcos legales (no sólo ajustar los existentes) que tengan la capacidad de responder dinámica y oportunamente a la par del avance de la tecnología y, por ende, de la ciberdelincuencia.

Gracias