Cada vez es más común escuchar de ciberataques dirigidos tanto a instituciones gubernamentales como a empresas privadas y personas naturales. En México, esta realidad es cada vez más delicada, pues hasta el 2022 nuestro país no cuenta con una legislación clara en materia de ciberseguridad.
En la actualidad, México no cuenta con legislación en materia de ciberseguridad. Esto ha llevado a que múltiples instituciones gubernamentales, así como también empresas privadas y personas naturales, sean víctimas de ciberataques. A pesar de que desde el 2018 se han propuesto 11 iniciativas de leyes sobre ciberseguridad, ninguna ha llegado a concretarse.
El hackeo a la Secretaría de la Defensa Nacional (Sedena) puso en marcha la creación de la “versión cero” de una Ley Federal de Ciberseguridad, preparada por el Senado de la República y la Comisión de Ciencia y Tecnología e Innovación de la Cámara de Diputados. Para ello, han buscado y analizado estudios nacionales e internacionales para comprender mejor el vacío legal en que se encuentra el país actualmente.
Actualmente, el uso de las Tecnologías de la Información y Comunicaciones (TIC) en los sectores público y privado es indispensable, basta imaginar alguna oficina que pueda desempeñar sus funciones sin una computadora con internet. Es por ello que, al existir esta necesidad de estar conectados, la cual se incrementó en un 200 % debido a la pandemia que vivimos, que ha multiplicado el riesgo de sufrir ataques a los sistemas computacionales, ocasionando con ello grandes pérdidas económicas, por lo que debemos pensar en resolverlo con una regulación en materia de ciberseguridad.
Desde hace algunos años, el tema de la ciberseguridad ha estado presente en México. Por ejemplo, en 2017 el Poder Ejecutivo emitió la Estrategia Digital Nacional que contó con la participación de la Organización de Estados Americanos y cuyo objetivo era, además de fortalecer las acciones en materia de ciberseguridad, mejorar las capacidades de seguridad en el ciberespacio para un mejor aprovechamiento de las TIC en los sectores público, social y privado.
Por otro lado, desde el ámbito legislativo se han promovido al menos 11 iniciativas de Ley y de reformas a otras leyes, con el fin de crear diversas instituciones encargadas de la ciberseguridad, la participación de los tres órdenes de gobierno, así como el establecimiento de un catálogo de delitos en la materia.
La pregunta que nos acontece en este tema sería: ¿Qué contempla la nueva ley?
Esta propuesta de Ley tiene 11 títulos, en los que se distribuyen 71 artículos. En estos, se consideran al menos cuatro planteamientos centrales:
- Garantizar la seguridad nacional mediante la defensa del espacio digital.
- Crear un marco legal que permita sancionar o tipificar los ciberataques.
- La realización de pruebas de penetración o pentesting anualmente a las instituciones públicas y privadas.
- Crear una Agencia Nacional de Ciberseguridad controlada por el Ejecutivo, similar a los modelos seguidos por la Unión Europea, Estados Unidos y Brasil.
No obstante, lo anterior, ya sea por falta de seguimiento a la estrategia mencionada o por la falta de consenso para la aprobación de las iniciativas señaladas, estos esfuerzos no han logrado materializarse ni consolidarse como un verdadero mecanismo para hacer frente a las amenazas de la ciberseguridad que todos los días enfrentan los sectores público, privado y social, al menos como un marco mínimo de actuación frente a estos eventos.
Parte de las leyes, reglamentos y normativas actualmente vigentes en México que hacen mención a la ciberseguridad son las siguientes:
- Constitución Política de los Estados Unidos Mexicanos.
- Ley Federal de Telecomunicaciones y Radiodifusión.
- Norma Federal de Transparencia y Acceso a la Información Pública.
- Ley Federal del Derecho de Autor.
- Ley Federal de Protección de Datos Personales en Posesión de Particulares.
- Ley General de Títulos y Operaciones de Crédito.
- Código Penal Federal.
- Estrategia Nacional de Ciberseguridad 2017.
Es probable que, para poder poner en práctica la nueva Ley, sea necesario modificar estas leyes y normativas con la finalidad de mantener la coherencia de la legislación.
Es evidente que necesitamos una Ley General de Ciberseguridad en México. Ante los desafíos que impone la realidad es indispensable que México cuente con una Ley para garantizar la seguridad cibernética del Estado, de su gobierno, de empresas y ciudadanos y que se constituya como un marco legal sólido para enfrentar los cada vez más frecuentes ataques que pueden ser considerados como auténticos delitos.
El marco legal al que nos referimos debe de tener por objeto garantizar la seguridad cibernética del Estado y darle un tratamiento de asunto de seguridad nacional, bajo la rectoría del Estado y mediante un reparto justo de competencias apegado al orden constitucional en el que los tres órdenes de gobierno ejerzan sus atribuciones para garantizarla, con una perspectiva de protección y respeto a los derechos humanos.
No basta, como ha sucedido hasta el momento, que existan diversas leyes, códigos y normas como el Código Penal Federal o la Ley Federal de Protección de Datos Personales en posesión de los particulares, que recogen o tratan el tema de la ciberseguridad, pues se trata de esfuerzos aislados que requieren de una articulación en donde deben estar perfectamente definidas las autoridades competentes en la materia, así como las facultades y obligaciones de cada una de ellas.
Se requiere de una Ley General de Ciberseguridad que logre amalgamar y armonizar las leyes existentes tales como la Ley de Seguridad Nacional, la Ley Federal de Telecomunicaciones y Radiodifusión, la Ley General de Responsabilidades Administrativas, el Código Nacional de Procedimientos Penales.
Adicionalmente, es importante que la legislación en materia de ciberseguridad establezca de manera clara y precisa, cuáles serán sus objetivos y las formas de alcanzarlo, desde una perspectiva de protección de los derechos humanos, enfocada en la gestión de riesgos y en la protección de las infraestructuras críticas para la protección de la información y los sistemas necesarios para la continuidad de los servicios públicos indispensables y para garantizar la seguridad nacional.
Finalmente, el trabajo realizado tampoco ha sido en vano, solo se debe dar un vistazo al Manual básico de ciberseguridad para la micro, pequeña y mediana empresa, emitido por el Centro Nacional de Respuesta a Incidentes Cibernéticos, perteneciente a la Guardia Nacional de la Secretaría de Seguridad y Protección Ciudadana, que tiene la finalidad de orientar a los empresarios de cualquier nivel sobre la implementación de buenas prácticas en la materia, por medio del debido cumplimiento de obligaciones respecto del manejo de la información.
Quedan pendientes los esfuerzos legislativos necesarios para crear una Ley de ciberseguridad con la que se alcancen los acuerdos necesarios y, sobre todo, fundamentada en la opinión de los expertos en la materia.
Dr. Carlos Alberto Grajales Betancourt
Presidente de Legem Abogados Colegiados A.C.
contacto@grajalesyasociados.com
