La ministra de Seguridad y Justicia, Mercedes Rus, presentó ante la Comisión de Legislación y Asuntos Constitucionales del Senado los detalles del proyecto de Ley de Ciberseguridad impulsado por el Gobierno provincial. Mendoza es actualmente la única provincia de la Argentina que avanza en una norma integral destinada a proteger los sistemas informáticos, los servicios esenciales y los datos de los ciudadanos.

La reunión, realizada en la Legislatura provincial, fue encabezada por la vicegobernadora Hebe Casado y el presidente de la Comisión de Legislación y Asuntos Constitucionales, senador Walther Marcolini. Rus estuvo acompañada por el subsecretario de Justicia, Juan Carlos Jaliff, y el subsecretario de Tecnología Aplicada a la Seguridad, Leandro Biskupovich.

Durante la exposición, las autoridades explicaron los objetivos, el alcance y las distintas etapas previstas para la implementación del proyecto, que busca convertir la ciberseguridad en una política de Estado y garantizar su continuidad más allá de las distintas gestiones de gobierno.

La iniciativa ya fue presentada y analizada en diferentes espacios técnicos y académicos y recibió valoraciones positivas de especialistas nacionales e internacionales. Durante la conferencia internacional White Hat, realizada en Mendoza, referentes en ciberseguridad y hackers éticos destacaron que la provincia estuviera avanzando con una legislación de estas características y solicitaron conocer el contenido del proyecto.

También despertó interés entre autoridades de seguridad de otras jurisdicciones durante el último Consejo de Seguridad Interior, debido a que no existe actualmente una ley similar a nivel nacional ni en otras provincias del país.

Rus señaló que la digitalización de los servicios públicos y de la comunicación entre el Estado y los ciudadanos requiere avanzar, de manera paralela, en la protección de los sistemas que sostienen esas prestaciones.

"Los Estados comenzaron una transformación vinculada con la digitalización de los servicios públicos y de su comunicación con los ciudadanos. Si no protegemos los sistemas y las infraestructuras críticas que sostienen esas prestaciones, nos quedamos a mitad de camino", explicó la ministra.

La funcionaria indicó que la iniciativa apunta a proteger servicios vinculados con la salud, la seguridad, la educación, el transporte y la energía, entre otros. También busca garantizar que los organismos públicos se encuentren mejor preparados para responder ante posibles ataques informáticos.

"Cuando hablamos de proteger las infraestructuras críticas, hablamos de los sistemas que sostienen un hospital público, el sistema de seguridad, el transporte o la energía que llega a los ciudadanos", afirmó.

Una política de Estado frente a los ciberataques

La ministra aclaró que la sanción de una ley no impedirá que Mendoza sea objeto de ciberataques, pero permitirá establecer una política pública permanente, ordenar la respuesta estatal y desarrollar capacidades para enfrentar esas amenazas.

"Una ley no va a hacer que dejemos de ser blanco de ciberataques. Lo que hace es generar una política de ciberseguridad, con líneas de acción concretas, un diagnóstico y un plan que nos permita sostener y repeler esos ataques de una mejor manera", sostuvo Rus.

La iniciativa propone que la ciberseguridad deje de depender exclusivamente de decisiones administrativas o de las prioridades de una gestión determinada y pase a consolidarse como una política de Estado respaldada por una ley provincial.

En ese sentido, Rus remarcó que el proyecto busca garantizar continuidad institucional, inversión, formación de equipos técnicos y actualización permanente de las herramientas de protección.

"Esto podría haberse establecido mediante un decreto, pero entendemos que debe ser una política de Estado. Es importante que sea la Legislatura la que sancione una ley y que la necesidad del Estado de invertir en ciberseguridad, formar equipos técnicos, trabajar y visibilizar vulnerabilidades esté siempre presente", destacó.

Según explicaron las autoridades, Mendoza es la primera y única provincia del país que avanza con una legislación integral de estas características. El proyecto también fue analizado por especialistas, representantes académicos y miembros de la comunidad técnica vinculada con la ciberseguridad.

Rus recordó que la iniciativa fue compartida con referentes nacionales e internacionales durante la conferencia White Hat, donde recibió una valoración positiva por parte de especialistas y hackers éticos.

"Es la primera provincia del país que está estudiando una ley de ciberseguridad. Referentes internacionales destacaron que Mendoza estuviera trabajando en un proyecto de estas características, nos lo solicitaron y han visto con muy buenos ojos su contenido", expresó.

Protección de los servicios esenciales

Uno de los principales objetivos del proyecto es evitar que un ataque informático pueda interrumpir o afectar servicios esenciales para la población.

Entre los ejemplos mencionados durante la exposición se encuentran los sistemas de emergencias, las historias clínicas digitales, las bases de datos estatales, los sistemas energéticos, el transporte público y las plataformas utilizadas para la realización de trámites.

Rus advirtió que un ciberataque no se limita a una afectación tecnológica, sino que puede tener consecuencias directas sobre la seguridad, la integridad y la vida de las personas.

"Queremos proteger, por ejemplo, que el sistema del 911 no sea hackeado y quede interrumpido, o que una historia clínica no sea robada y utilizada para cometer un delito", explicó.

También se refirió a los riesgos que podrían producirse ante una alteración de los sistemas de transporte, energía o señalización vial.

"Un ataque que deje sin funcionamiento un sistema de transporte o paralice un semáforo puede generar accidentes y afectar vidas humanas. Por eso, proteger las infraestructuras críticas es también proteger a los ciudadanos", afirmó.

El proyecto establece que los organismos alcanzados deberán avanzar en la identificación de los sistemas esenciales, realizar evaluaciones de riesgo, adoptar medidas de protección y comunicar los incidentes detectados.

Resguardo de los datos personales

Otro de los ejes centrales de la propuesta es la protección de los datos personales que el Estado conserva, administra y gestiona a través de sus diferentes organismos. Rus mencionó como ejemplo la información contenida en historias clínicas, registros de vacunación, bases educativas, sistemas de seguridad y plataformas de trámites públicos.

La ministra advirtió que el robo de estos datos puede facilitar su comercialización en mercados ilegales o su utilización para realizar estafas y otras maniobras delictivas. "Pensemos en la historia clínica de una persona. Si esos datos son atacados, pueden ser vendidos en mercados ilegales y utilizados por terceros para realizar negocios o cometer delitos", señaló.

La funcionaria explicó que la disponibilidad de información personal permite a las organizaciones delictivas construir engaños más creíbles y obtener la confianza de las víctimas. Como ejemplo, mencionó las estafas en las que los responsables se hacen pasar por integrantes de organismos públicos, centros de vacunación, bancos o empresas de servicios, utilizando datos previamente obtenidos para solicitar claves, códigos o información bancaria.

"Cuando una persona recibe una llamada en la que le aportan información real, tiende a confiar. Esa información puede haber sido robada previamente de una base de datos. Por eso, proteger los datos también repercute en la prevención del ciberdelito", explicó.

Ciberseguridad y ciberdelito

Durante la reunión, el subsecretario de Justicia, Juan Carlos Jaliff, aclaró que el proyecto no modifica el Código Penal ni el Código Procesal Penal y que su objeto principal no es la persecución de los delitos informáticos. "Esta no es una ley de ciberdelito. El ciberdelito está regulado por el Código Penal y por el Código Procesal Penal. Este es un proyecto de ciberseguridad del sector público y de quienes se encuentran vinculados con él", señaló Jaliff.

El funcionario explicó que la ley apunta a prevenir ataques, proteger sistemas, detectar vulnerabilidades y establecer mecanismos de actuación. En caso de que durante ese proceso se advierta la posible comisión de un delito, se realizará la denuncia correspondiente ante el Ministerio Público Fiscal.

Jaliff recordó que Mendoza ya incorporó herramientas específicas para la investigación de delitos cometidos mediante medios digitales, entre ellas la figura del agente digital encubierto. La nueva iniciativa, en cambio, se concentra en la protección preventiva de los sistemas públicos, el resguardo de la información y la continuidad de los servicios esenciales.

Un comité ejecutivo y un plan provincial

El proyecto propone crear un comité ejecutivo integrado por especialistas y referentes informáticos de las distintas áreas del Gobierno provincial. Ese organismo deberá realizar un diagnóstico general sobre la situación de la ciberseguridad en Mendoza y elaborar un plan provincial con las acciones, prioridades, herramientas y protocolos necesarios.

Rus explicó que los equipos técnicos ya mantienen reuniones y trabajan en la identificación de vulnerabilidades y en el análisis de los sistemas existentes. "El comité deberá realizar un diagnóstico y elevar un plan de ciberseguridad. Ese plan permitirá determinar cuál es el estado de situación, qué herramientas se necesitan, cuáles son los soportes y cuáles tienen que ser las respuestas frente a posibles ataques", detalló.

La iniciativa también contempla la creación de una autoridad de ejecución operativa, encargada de implementar las medidas técnicas definidas en el plan. El subsecretario de Tecnología Aplicada a la Seguridad, Leandro Biskupovich, destacó que las decisiones operativas deberán estar en manos de especialistas y mantenerse alejadas de criterios políticos.

"Quienes estarán a cargo de custodiar los sistemas que prestan servicios esenciales y protegen los datos de los mendocinos serán técnicos. Las decisiones tienen que ser técnicas, estar respaldadas por una ley y no depender del funcionario de turno", afirmó.

Además, aclaró que el comité y la autoridad operativa no administrarán las bases de datos de los organismos públicos. "No van a gestionar, mantener ni administrar los datos de los distintos poderes, ministerios u organismos. Su función será garantizar que esos datos estén correctamente custodiados y que nadie pueda acceder a ellos de manera indebida", explicó.

Biskupovich señaló que la participación de especialistas técnicos y académicos fue uno de los puntos especialmente valorados por las universidades y por la comunidad vinculada con la seguridad informática. La propuesta busca que la autoridad encargada de ejecutar las medidas de protección cuente con autonomía técnica y adopte sus decisiones exclusivamente sobre la base de criterios de ciberseguridad.

Registro obligatorio de incidentes

La ley también establece la obligación de comunicar los incidentes y vulnerabilidades detectados dentro de los organismos públicos. Según explicó Rus, actualmente no existen registros completos y oficiales que permitan conocer con precisión la cantidad, modalidad y procedencia de los ciberataques recibidos por las administraciones públicas.

"Hoy no hay reportes oficiales consolidados. Con esta ley, los organismos estatales deberán comunicar al comité los ataques recibidos y las vulnerabilidades detectadas, dentro de un ámbito seguro", indicó.

La información permitirá elaborar estadísticas, analizar la evolución de las amenazas y mejorar las respuestas. "Esa es la manera de saber cómo nos atacan, quiénes nos atacan y qué respuesta tenemos que fortalecer", sostuvo la ministra.

Las autoridades señalaron que el aumento del uso de herramientas basadas en inteligencia artificial facilitó tanto la planificación de ataques como el desarrollo de soluciones defensivas.

Biskupovich afirmó que los organismos públicos reciben diariamente numerosos intentos de ataque y que Mendoza cuenta actualmente con equipos y tecnología destinados a impedir que esos intentos prosperen. "Los ataques se incrementaron mucho durante los últimos años. La inteligencia artificial hace que hoy sea más sencillo planificar un ciberataque, pero también existen herramientas para defenderse", explicó.

El subsecretario destacó que uno de los conceptos centrales de la iniciativa es la resiliencia de los sistemas. "Sabemos que los ataques van a continuar y que probablemente van a crecer. Lo que debemos garantizar es que, aun cuando ocurra un ataque, los servicios esenciales de la provincia continúen prestándose con la misma calidad", afirmó.

Participación de hackers éticos

Uno de los aspectos innovadores del proyecto es la incorporación de mecanismos para que especialistas en seguridad informática y hackers éticos puedan reportar vulnerabilidades a través de canales formales y seguros. Biskupovich explicó que integrantes de la comunidad técnica plantearon la necesidad de contar con garantías legales para comunicar fallas sin quedar expuestos a denuncias por haber ingresado a un sistema.

"Muchas vulnerabilidades no son reportadas porque quien las detecta teme ser denunciado por un acceso no autorizado. La ley busca generar un canal formal y brindar garantías para que puedan informar esas fallas", señaló.

El funcionario destacó que la comunidad de hackers éticos trabaja principalmente de manera vocacional y que su colaboración puede permitir al Estado detectar una vulnerabilidad antes de que sea aprovechada con fines delictivos. "Es muy importante recibir esa información antes de que un hacker malicioso explote una vulnerabilidad, robe una base de datos o interrumpa un servicio", explicó.

La elaboración del proyecto contó con aportes de especialistas, representantes de la Universidad Tecnológica Nacional, integrantes de otras instituciones académicas y referentes privados vinculados con la ciberseguridad. Biskupovich indicó que los especialistas aportaron su experiencia para construir una norma moderna y que pueda convertirse en un modelo para otras jurisdicciones del país.

Continuidad de los servicios

Biskupovich sostuvo que el éxito de la política de ciberseguridad consistirá en que los ciudadanos puedan utilizar los servicios públicos sin interrupciones y sin advertir los mecanismos técnicos que funcionan detrás de ellos. "El ciudadano no tendría que percibir nada. Lo que buscamos es que cuando necesite llamar a un sistema de emergencias, acceder a su historia clínica o realizar un trámite, el servicio esté disponible y sus datos estén protegidos", expresó.

El subsecretario señaló que las inversiones en ciberseguridad muchas veces no son visibles, pero resultan indispensables para garantizar la continuidad del funcionamiento estatal. "Es más sencillo mostrar una obra física que una inversión en ciberseguridad, porque estas soluciones no se ven. Pero son las que permiten que un servicio esencial no se interrumpa y que una base de datos no termine circulando en mercados ilegales", afirmó.

Identidad digital y comunicación segura

Durante la presentación, Rus vinculó el proyecto con el proceso de modernización del Estado y con el desarrollo de la plataforma Mendoza por Mí, destinada a ordenar y fortalecer la relación digital entre el Gobierno y los ciudadanos. La plataforma busca que los mendocinos puedan realizar trámites mediante una identidad digital protegida, con mecanismos seguros de acreditación.

"Ordenar la comunicación digital del Estado con el ciudadano también es una herramienta de prevención. Si una persona sabe que existe una única vía oficial y que debe utilizar su identidad digital, tendrá más elementos para detectar un intento de estafa", explicó.

La ministra indicó que la Ley de Modernización, la incorporación de tecnología y el desarrollo de una identidad digital provincial constituyen antecedentes que permiten avanzar ahora con una política integral de ciberseguridad.

"Mendoza puede estar discutiendo hoy una ley de estas características porque realizó un camino previo. La modernización, la identidad digital y la incorporación de tecnología permiten dar este nuevo paso", sostuvo.

Implementación por etapas

Las autoridades aclararon que la aprobación del proyecto no generará por sí sola una transformación inmediata de todos los sistemas. La implementación se realizará por etapas. En primer término, se conformará el comité, se elaborará el diagnóstico y se diseñará el plan provincial. Posteriormente, se determinarán las herramientas, los servicios, la tecnología y los recursos necesarios.

Rus explicó que la sanción de la ley no requiere una partida presupuestaria inmediata. "El proyecto establece una política de Estado, crea una autoridad de aplicación y una autoridad técnica y dispone la elaboración de un plan. Cuando ese plan esté desarrollado, se podrá determinar si es necesario contratar servicios o incorporar nuevas herramientas y cuál será el impacto presupuestario", señaló.