/ Nuevo decreto que establece la obligación de reportar incidentes de ciberseguridad por parte de la Administración del Estado

El sector público dicta nueva norma a raíz de las repercusiones que han traído los recientes ataques de ciberseguridad a organismos del Estado.

Maria Ignacia Ormeño Sarralde
Asociada
Alessandri Abogados

El 2 de diciembre se publicó en el Diario Oficial por el Ministerio del Interior y Seguridad Pública, el decreto N.° 273 2022 que establece la obligación de reportar incidentes de ciberseguridad (en adelante “Decreto”).

Dado los recientes ciberataques que ha sufrido el Estado en el último año, tal como las filtraciones del Estado Mayor Conjunto o el hackeo al Poder Judicial, el sector público se ha visto en la necesidad de dictar este tipo de normas. El programa de Gobierno 2022-2026 contempla la protección de la información y la ciberseguridad, a través de la implementación una Política Nacional de Ciberseguridad.

El Decreto establece que los jefes de servicios de los Ministerios y demás organismos de la Administración centralizada y descentralizada del Estado (en adelante “organismos obligados”), deberán comunicar los incidentes de ciberseguridad que les afecten al Ministerio del Interior y Seguridad Pública, a través de su notificación al Centro de Respuesta ante Incidentes de Seguridad Informática (CSIRT). Dicha notificación deberá llevarse a cabo tan pronto se constate de su ocurrencia, sin poder superar el plazo superior a tres horas contado desde que se tome conocimiento.

Por otro lado, establece que los jefes de servicio deberán exigir a los proveedores de servicios tecnológicos que compartan la información sobre amenazas y vulnerabilidades que le puedan afectar a las redes, plataformas y sistemas informáticos de los órganos de la administración del Estado. Además, se debe notificar sobre las medidas de mitigación que les sirvan junto a políticas y prácticas de seguridad.

Asimismo, en su último artículo, el Decreto establece la posibilidad de una búsqueda preventiva de vulnerabilidades por parte de los organismos obligados. Para poder mejorar la seguridad de las redes y los sistemas informáticos de su respectiva institución, los jefes de servicio indicados pueden solicitar a los equipos técnicos del CSIRT su revisión y análisis. Además, pueden pedir la búsqueda preventiva de vulnerabilidades informáticas, si otorgan las facilidades que sean necesarias para ello.

Cabe destacar que este decreto señala que los ciberataques que afecten a la integridad de los sistemas y/o datos informáticos estarán tipificados según la ley de delitos informáticos (ley N°21.459), la que entró en vigor en junio de este año.