Cuando una Semana Nacional de Ciberseguridad ya no es suficiente

Hace tres años en el Senado de la República aprobamos dedicar la primera semana de octubre de cada año a la ciberseguridad, con el fin de abrir un espacio de reflexión, discusión y análisis sobre prevención, riesgos y mejores prácticas del uso de las tecnologías de la información y comunicación.

Tan solo de 2019 a 2021 nuestro país bajó 19 escalones en el Índice de Ciberseguridad Nacional. Reportando una calificación de 37.66 puntos de 100, situación que lo coloca por debajo de la media global, que es de 80 puntos y lo ubica en el sitio 84 de 160 países, de acuerdo con el análisis realizado por la e-Governance Academy.

Todos los sectores de la sociedad coinciden que es necesario hacer cambios en nuestras leyes y en las políticas públicas para establecer objetivos y prioridades, que integren a los sectores público, privado, académico y social, con la finalidad de establecer un protocolo de prevención, acción y respuesta ante cualquier amenaza doméstica o internacional.

Durante esta Semana Nacional de la Ciberseguridad, tuve la oportunidad de participar en diversos foros y actividades, de las cuales destaca un conversatorio que realicé con diversas expertas y expertos sobre los irreductibles de una Nueva Ley de Ciberseguridad. En dicho conversatorio la conclusión fue que no se puede construir una nueva ley o leyes sobre la materia, sin tomar en cuenta los siguientes aspectos:

• Reconocer que la ciberdelincuencia es CRIMEN ORGANIZADO trasnacional y altamente especializado.
• La cooperación internacional es fundamental para atender este fenómeno, y nuestro país está en falta por todavía no haberse adherido al Convenio de Budapest.
• Fortalecer las capacidades humanas, los programas de educación y especialización en ciberseguridad, se dice que en México faltan al menos 130 mil especialistas en ciberseguridad.
• Crear políticas públicas para una efectiva cultura de protección de grupos vulnerables - niños y adultos mayores son los más expuestos y desprotegidos.
• Crear un ecosistema de empresas y especialistas enfocados a la ciberseguridad. Responsabilidad compartida, obligaciones para hacer productos y servicios ciberseguros.
• La nueva regulación debe reconocer que el medio - el espacio cibernético - no es el problema sino la conducta. La ley debe enfocarse en la regulación de las conductas.
• La regulación no puede perder de vista ni contradecir los principios con los que se fundó Internet: apertura, interoperabilidad, descentralización, horizontalidad, escalabilidad.
• Es indispensable involucrar a los tomadores de decisiones del más alto nivel y asignar presupuesto. Incluso creando una comisión de ciberseguridad en el Senado.

Además de lo anterior, es necesario observar lo que están haciendo otras naciones para atender nuevos aspectos de la ciberseguridad, en temas como neutralidad de la red, infodemia y confianza digital. Sobre esta última, recientemente fue aprobada nueva legislación en Europa, donde se ha considerado que no se puede navegar en Internet si no se tiene una expectativa clara de confianza. Confianza en la red, en los servicios, en los productos y en la información.

Otro ejemplo está sucediendo en Estados Unidos, donde en marzo pasado, el presidente Joe Biden, firmó la Ley de Fortalecimiento de la Ciberseguridad Americana de 2022, que requiere que las empresas que se ocupan de la infraestructura crítica reportan ataques cibernéticos sustanciales a la Agencia de Ciberseguridad e Infraestructura (CISA) dentro de las 72 horas y todos los pagos de ransomware en un día.

Esta Ley tiene la intención de que los ciberataques a las empresas privadas sean considerados una amenaza pública y es parte de una tendencia internacional. Que incluso con el conflicto entre Rusia y Ucrania se ha acelerado.

Hablar, debatir y reflexionar sobre la ciberseguridad, nunca fue más pertinente y urgente. Esta Semana Nacional de la Ciberseguridad fue muy enriquecedora, solo queda redoblar esfuerzos para lograr que la legislación nacional sobre este tema pueda ser aprobada a la brevedad.