/ Sistemas de gestión de riesgos asociados a la ciberseguridad

Octubre, mes de la ciberseguridad, motiva a generar conciencia e iniciativas para que las instituciones cuenten con los recursos técnicos y humanos necesarios y adecuados para gestionar los riesgos asociados a la ciberseguridad en forma preventiva.

Macarena Gatica
Socia
Alessandri Abogados

Son innumerables las regulaciones sectoriales que buscan implementar sistemas de gestiones de riesgos asociados a la seguridad de la información. La NCG 461, por ejemplo, establece que las memorias anuales de las sociedades anónimas abiertas deben informar cómo se gestionan los riesgos relacionados con protección de datos personales y ciberseguridad.

Dichas regulaciones prescriben un rol activo del directorio, la identificación de activos y riesgos, las medidas destinadas a aminorarlos y los respectivos controles. Sin embargo, el elemento primordial para que estos sistemas de gestión sean efectivos es la educación, la cual no solo debe abarcar los riesgos y políticas asociadas a la ciberseguridad, sino también, identificar los activos de la compañía, también los intangibles, y los perjuicios por paralización que puede significar una intrusión a los sistemas de la compañía. Asimismo, el sistema implementado debe contemplar las correspondientes sanciones a los colaboradores que infrinjan las políticas y procesos determinados. De lo contrario, el mayor riesgo será el factor humano.

Los delitos informáticos recientemente publicados se incorporan como nuevos tipos respecto de la responsabilidad penal de las personas jurídicas. Esto es otra razón más para concientizar a los colaboradores de una empresa. Especial preocupación merece el delito de receptación el cual castiga al que comercialice, transfiere o almacene, a cualquier título, datos informáticos, conociendo o no pudiendo menos que conocer el origen ilícito.

¿Somos capaces de garantizar el origen lícito de los datos que almacenamos? Pensemos que una práctica habitual es que un vendedor transite entre empleadores con bases de datos de clientes, lo cual ocurre porque, por una parte, dichos datos no son considerados como un activo de la compañía y por la otra, no se reconoce como una práctica reprochable.