LA SEGURIDAD DIGITAL EN COLOMBIA
ANTECEDENTES CIBERSEGURIDAD Y CIBERDEFENSA NELSON RICARDO PÉREZ GONZÁLEZ CODIGO 225008
UNIVERSIDAD CATÓLICA DE COLOMBIA Dr. Jairo Becerra Director de Investigaciones Centro de Investigaciones Socio-jurídicas - CISJUC Facultad de Derecho jabecerrao@ucatolica.edu.co COLOMBIA
Introducción Parto de una definición muy básica de la cibernética, entendida como la ciencia del control y de la comunicación utilizada en común por seres humanos y máquinas para alcanzar un determinado fin. (Universidad Autónoma de Mexico, 2019) Es evidente que en nuestro caminar siempre dejamos huellas; Hoy estas huellas hablan con voz propia del comportamiento de una nación. Para entender la ciberseguridad y la ciberdefensa de una nación, o un conglomerado de estas, es indispensable observar el cambio dramático que tienen las comunicaciones, donde las decisiones trascendentales se comunican desde los dispositivos móviles a través de las redes sociales. Cabe preguntarse sobre la validez, vulnerabilidad, manipulación o inconveniencia de estos medios, que causan un efecto inmediato en el comportamiento social, en la productividad o cualquier fin que se propongan. Es así que al analizar los antecedentes, resulta relevante desarrollar marcos jurídicos relacionados con la ciberseguridad que sean consistentes con los parámetros internacionales; Para integrarse a la comunidad mundial está la
Convención del Consejo de Europa en Delito cibernético. En nuestro país para su ejecución se requiere de voluntad política. Para nadie es un misterio que los grupos al margen de la ley en Colombia, tienen completa información sobre el capital de los industriales y comerciantes y su capacidad económica; pueden medirlos en millones de dólares. Crear conciencia y sensibilizar a la población en todo lo referente a la seguridad de la información; En nuestro medio es común observar que vivimos en la cultura del “no pasa nada”. Las cadenas de mando junto con los mejores proyectos de capacitación se dañan en su ejecución por no aplicar con vigor el marco jurídico para quienes lo vulneran; Hoy existen nuevos tipos penales como delitos informáticos frente a la galopante política pública desarrollada en el Conpes del año 2.011. (Conpes 3701, 2011) A pesar de los grandes esfuerzos durante la última década, incluyendo el luchado Plan Nacional de Desarrollo, parecen sucumbir por la gran necesidad de una hermosa palabra que no debería ser ajena a nuestros corazones: Transparencia.
Antecedentes: En el 2009, luego del ataque a las páginas del Departamento del Tesoro y de Estado, de la Comisión Federal de Gobierno, del Pentágono y de la Casa Blanca, el gobierno de los Estados Unidos creó un Centro de Ciber-Comando Uni- ficado que depende de la Agencia de Seguri- dad Nacional (nsa, por sus siglas en inglés), dhs: National Cyber Security Division, us-cert: United States Computer Emergency Readiness Team y la oficina de Seguridad Cibernética de la Casa Blanca, para hacer posible la defensa de la infraestructura tecnológica del país y llevar a cabo operaciones ofensivas. Según un estudio de la Empresa de Análisis input del 2009, el pre- supuesto para ciberseguridad de us 7.9 billones de ese año, ha ido incrementando en un 8.1% anual, siendo en el 2010 de us 8.54 billones, que representan el 0,25% del Presupuesto Nacional de los Estados Unidos. (Universidad de los Andes, 2015) En nuestro entorno regional tampoco somos ajenos a esta problemática, como lo expone la misma autora: En los últimos dos años el aumento en los ataques cibernéticos en Latinoamérica fue de un 470%, asegura Dmitry Bestuzhev, director para América Latina del Equipo Global de Investigacion y Análisis de Kaspersky Lab.
Sin embargo, en el ciberespacio aumenta un riesgo mayor que pocos han percibido. Se trata de los ataques criminales que desde el mundo virtual están encaminadas a destruir infraestructuras, entidades públicas, sistema financiero y toda la economía de una nación. Por ende, se ha visto la necesidad de implementar políticas públicas que permitan mitigar y hacer frente a estas nuevas amenazas que se presentan para el mismo Estado, el sector privado y la ciudadanía. El Comité Interamericano Contra el Terrorismo, cicte, muestra que en Latinoamérica hay 13 países con Equipos de Respuesta a Incidentes de Seguridad Cibernética (csirt), entre los que se encuentran el arcert, en Argentina, creado en 1999, el clcert de Chile en el 2001, el ctir-gov en Brazil desde el 2004, el ctirgt de Guatemala del 2006, el certuy de Uruguay y el vencert de Venezuela desde el 2008, y el percert, creado en Perú durante el 2009. Quiere decir que desde hace varios años estos países cuentan con una estrategia nacional y un marco legal para la ciberseguridad y la ciberdefensa. La situación para las entidades públicas y privadas no es mejor, pues el más elemental diagnóstico
sugiere que existe un alto reto en temas de ciberseguridad. Durante el 2013 se detectaron 1.551 desfases, una modalidad de ataque cibernético que cambia la página principal de un sitio de internet. En lo que va del 2014 se han reportado 801 de esos ataques: 507 a portales comerciales, 186 de sitios web educativos y 108 de sitios web de entidades. (Universidad de los Andes, 2015) Esta gravísima problemática que está afectando tanto al sector público como al sector priva- do ha repercutido en el Gobierno nacional en los últimos cinco años. A partir de allí el Estado colombiano ha implementado una serie de estrategias desde la inclusión de nuevos tipos penales como delitos informáticos hasta la consolidación de una política pública plasmada en el Conpes 3701 “Lineamientos de política para ciberseguridad y ciberdefensa”. (Conpes 3701, 2011) Dichas estrategias se han convertido en una política pública que permitiría al Estado colombiano y al sector privado enfrentar las nuevas amenazas del entorno digital, fortaleciendo las instituciones, los recursos físicos y de talento humano, entre otros.
Resiliencia Gestión de Riesgo Seguridad de la información
Ciberseguridad
Se entiende como riesgo la posibilidad genérica de pérdida o lesión y la gestión del riesgo como una disciplina que busca optimizar las decisiones sobre medidas de protección, buscando maximizar el valor esperado frente a los riesgos conocidos, basada en datos históricos. Actualmente esta visión se ve complementada a través del término de resiliencia como la capacidad de que tiene un sistema de tolerar y recuperarse ante un desastre. El significado de resiliencia, seguridad y gestión del riesgo, sus significados en el contexto de la ciberseguridad están interrelacionadas. El siguiente diagrama proporciona la relación entre la ciberseguridad, la seguridad de la información, la gestión de riesgos y la resiliencia. Teniendo esto en cuenta, se puede apreciar la evolución de la política pública colombiana entre el CONPES 3701 y el CONPES 3158, donde se han utilizado el concepto de resiliencia para evaluar la capacidad de mantener la seguridad y la flexibilidad y para recuperarse de una serie de posibles eventos adversos. Además, la capacidad de recuperación ofrece la capacidad de revisar mejor cómo los sistemas pueden ajustarse continuamente a la información, las relaciones, los objetivos, las amenazas y otros factores cambiantes para adaptarse frente al cambio, particularmente aquellos cambios potenciales que podrían arrojar resultados negativos. (Escuela Superior de Guerra, 2018)
CIBERSEGURIDAD “Se define como la capacidad del Estado para minimizar el nivel de riesgo cibernético al que están expuestos los ciudadanos, en áreas como transacciones financieras, protección a la información y propiedad intelectual”
CIBERDEFENSA Es preciso hacer énfasis en la diferenciación de estos conceptos, pues la ciberdefensa tien- de a dirigirse a las acciones tendientes a la pro- tección de la soberanía nacional y el uso de las fuerzas militares y de inteligencia para contra- rrestar distintas amenazas, mientras que ciber- seguridad hace relación a todas esas acciones que ponen en marcha tanto el Estado como el sector privado para minimizar los riesgos de amenaza que puedan sufrir entidades de cual- quier naturaleza y el ciudadano del común. Tal y como se ha señalado en investigaciones anteriores , el documento conpes de seguridad digital establece que es necesario reforzar las capacidades de ciberseguridad con un enfoque de gestión de riesgos, así como reforzar las de ciberdefensa con un enfoque de gestión de riesgos; también se determina que los esfuerzos de cooperación, colaboración y asistencia, nacionales e internacionales, relacionados con la seguridad digital, son insuficientes y desarticulados. Ante este panorama se plantea una nueva política, cuyo
objetivo general es: [...] identificar, gestionar, tratar y mitigar los riesgos de seguridad digital en sus actividades socioeconómicas en el entorno digital, en un marco de cooperación, colaboración y asistencia. Lo anterior, con el fin de contribuir al crecimiento de la economía digital nacional, lo que a su vez impulsará una mayor prosperidad económica y social en el país. (Conpes, 2016, p 47) Es precisamente por ello que la política trazada por el documento conpes 3854 de 2016 está determinada de la siguiente manera.
Adoptará un enfoque multidimensional • Técnica • Jurídica • Económica • Social Estimulará la prosperidad económica y social
Tendrá en cuenta a las múltiples partes interesadas
Asegurará la defensa y seguridad nacional
Promoverá la responsabilidad compartida
Gestión sistemática y cíclica del riesgo
Alto nivel del gobierno
Salvaguardará los derechos humanos
Protegerá los valores nacionales
Concientizará y educará
Las cinco dimensiones estratégicas sobre las que se adopta el enfoque que garantice la seguridad digital desde la participación de las múltiples partes interesadas se define de la siguiente manera que se presenta de manera gráfica para la comprensión Crear las condiciones para que las múltiples partes interesadas gestionen el riesgo de seguridad digital en sus actividades socioeconómicas y se genere confianza en el uso del entorno digital
Establecer mecanismos de participación activa y permanente de las múltiples partes interesadas en la gestión del riesgo de seguridad digital
Adecuar el marco legal y regulatorio en torno a la dinámica de la economía digital y sus incertidumbres inherentes
Generar confianza en las múltiples partes interesadas en el uso del entorno digital
Identificar y abordar los posibles impactos negativos que otras políticas pueden generar sobre las actividades de las múltiples partes interesadas en el entorno digital o sobre la prosperidad económica y social
Promover en los diferentes niveles de formación comportamientos responsables en el entorno digital
ANTECEDENTES Y DESARROLLO NORMATIVO DE LA POLÍTICA PÚBLICA DE CIBERSEGURIDAD Y CIBERDEFENSA EN COLOMBIA
NORMATIVIDAD INTERNACIONAL Convenio sobre la Ciberdelincuencia (cc). Consejo de Europa. (Convenio sobre Cibercriminalidad de Budapest). Adoptado en noviembre de 2001 entró en vigor el 1° de julio de 2004.
Único instrumento vinculante vigente sobre el tema en el ámbito internacional, y su protocolo para la criminalización de actos de ra- cismo y xenofobia cometidos a través de sistemas informáticos. Cabe resaltar que si bien el cc tuvo su origen en el ámbito regional europeo, es un instrumento abierto para su adhesión a todos los países del mundo.
Resolución AG/RES 2004 (XXXIVO/04) de la Asamblea General de la Organización de los Estados Americanos.
Estrategia integral para combatir las amenazas a la seguridad cibernética: • Creación de una Red Hemisférica de Equipos Nacionales de Respuesta a Incidentes de Seguridad de Computadores. • Identificación y adopción de normas técnicas para una arquitectura segura de Internet. • Adopción y/o adecuación de los instrumentos jurídicos necesarios para proteger a los usuarios de Internet y las redes de información de los delincuentes y los grupos delic- tivos organizados que utilizan estos medios, a cargo de las Reuniones de Ministros de Justicia o de Ministros o Procura- dores Generales de las Américas (remja).
Normatividad Nacional Constitución Política de 1991 -
Articulos 2, 15, 20, 75,78.
Decretos reglamentarios -
Leyes -
Ley 527 de 1999 – Comercio Electrónico. Ley 599 de 2000 − Código Penal Colombiano. Ley 603 de 2000 − Control de legalidad de soGware. Ley 962 de 2005 − Ley Antitrámites. Ley 1150 de 2007 − Modificación al Estatuto de Contratación Pública. Ley 1266 de 2008 – Habeas Data. Ley 1273 de 2009 − Delitos informáticos. Ley 1341 de 2009 – Sociedad de la Información y las tıc. Ley 1581 de 2012 − Protección de Datos Personales.
Decreto 2693 de 2012 – Gobierno en Línea. Decreto reglamentario 1377 de 2013 − Protección de datos Personales.
Normatividad especializada -
Documento Conpes 3701 de 2011. Resolución de la Comisión de Regulación de Comunicacio- nes 2258 de 2009. Circular 052 de 2007 (Superintendencia Financiera de Co- lombia). Norma Técnica ntc−ısoƒıec Colombiana 27001.
ORGANISMOS ENCARGADOS DE LA CIBERSEGURIDAD Y LA CIBERDEFENSA EN COLOMBIA
1. Presidencia de la República
Sus funciones específicas, según el Decreto 1512 de 2000, art. 5 son, entre otras:
En sus funciones constitucionales y legales el
1. Participar en la definición, desarrollo y eje-
poder ejecutivo, en cabeza del Presidente de la
cución de las políticas de defensa y seguridad
República como suprema autoridad administrativa
nacionales, para garantizar la soberanía nacio- nal,
y comandante de las fuerzas militares, ha liderado
la independencia, la integridad territorial y el
la concreción de una política pública de
orden constitucional, el mantenimiento de las
ciberseguridad y ciberdefensa en el Estado
condiciones necesarias para el ejercicio y el
Colombiano. Desde la llegada del presidente Juan
derecho de libertades públicas, y para ase- gurar
Manuel Santos a la Presidencia se ha demostrado
que los habitantes de Colombia convivan en paz.
A. Organismos del orden nacional
gran voluntad política para enfrentar los nuevos desafíos a la sociedad y al propio Estado en
Así las cosas, esta institución es la llamada a
materia de seguridad, implementando distintos
concretar los lineamientos que materialicen la
instrumentos y mecanismos.
ciberseguridad y la ciberdefensa en el Estado colombiano, en conjunto con las fuerzas mili-
2. Ministerio de Defensa Nacional
tares y de policía, así como los organismos de seguridad e inteligencia.
La misión del Ministerio de Defensa Nacional
3. Ministerio de Tecnologías de la Información y
(Min defensa) le define como un deber “contribuir
las Comunicaciones
a la gobernabilidad democrática, la prosperidad colectiva y la erradicación de la violencia, mediante
Según la Ley 1341 de 2009 o Ley de tic, este
el ejercicio de la seguridad y la defensa, la
Ministerio es la entidad que se encarga de diseñar,
aplicación adecuada y focalizada de la fuerza y el
adoptar
desarrollo de capacidades mínimas disuasivas.”
programas y proyectos del sector de las
(Mindefensa, 2014).
tecnologías
y
promover de
comunicaciones.
la
las
políticas,
información
planes, y
las
Dentro de sus funciones está incrementar y facilitar el acceso de todos los habitantes del territorio nacional a las tecnologías de la información y las comunicaciones y a sus
1. Comando Conjunto Cibernético de las Fuerzas Militares
beneficios. Dependencia adscrita al Comando de las Fuerzas Su misión es promover el acceso, uso efectivo y
Militares, la cual se encarga de coordinar la
apropiación masivos de las tic, a través de políticas
respuesta a incidentes de seguridad que afecten la
y programas para mejorar la calidad de vida de
seguridad nacional.
cada colombiano y el incremento sostenible del desarrollo del país (MinTic, 2014). Siendo esta institución la entidad especializada designada para ayudar a la concreción de las políticas de ciberseguridad y ciberdefensa, se constituye en un aliado primordial del Ministerio
Objetivos: -Análisis forense básico. -Operaciones de ciberdefensa.
de Defensa para que estas puedan implementarse, desarrollarse y generar los efectos esperados
-Operaciones de inteligencia.
frente a las nuevas problemáticas que la modernidad nos presenta.
B. Organismos especializados La política de ciberseguridad y ciberdefensa en
-Auditorías y evaluaciones de seguridad. -Aseguramiento de portales FF. MM.
Colombia se soporta en una Comisión Intersectorial formada por los siguientes tres organis- mos creados a partir del Documento Conpes 3701 de 2011:
-Capacitación especializada en ciberseguridad y ciberdefensa. -Cooperación internacional. -Membresía al first.
2. Centro Cibernético Policial Es la dependencia de la Dirección de Investigación Criminal e interpol encargada del desarrollo
-Laboratorio de investigación de malware (sector bancario). -Análisis forense equipos Tablet Mac-Servido- res-Smarthphones.
de estrategias, programas, proyectos y demás actividades requeridas en materia de investigación criminal contra los delitos que afectan la información y los datos (Centro Cibernético Policial, 2014).
Objetivos: -Implementación del Centro Cibernético Policial (C. C. P.). -Respuesta en línea a incidentes de ciberseguridad - Cuadrante Virtual (cai Virtual). -Coordinación internacional Interpol-Europol Grupo de Trabajo de Delitos Tecnológicos.
-Atención, judicialización de incidentes ciber- néticos (afectación en distintos niveles y sec- tores). -Unidades de investigación tecnológica udite (44) Cobertura nacional de la problemática.
3. Grupo de Respuesta a Emergencias Cibernéticas de Colombia (colCERT) Tiene
como
responsabilidad
central
la
coordinación de la ciberseguridad y ciberdefensa
-Atención de incidentes informáticos Dijin Laboratorios móviles de informática forense. -Implementación csirt ponal: equipo de res- puesta a incidentes informáticos de la Policía Nacional.
nacional, la cual estará enmarcada dentro del proceso misional de gestión de la seguridad y defensa del Ministerio de Defensa Nacional. Dicha coordinación corresponde a las acciones necesarias para la protección de la infraestructura crítica del Estado colombiano frente a emergencias de ciberseguridad que atenten o comprometan la seguridad y defensa nacional.
Objetivos: - Coordinar y asesorar a csirt y entidades tanto del nivel público como privado y de la sociedad civil para responder ante incidentes informáticos. - Ofrecer servicios de prevención ante amenazas informáticas, respuesta frente a inci- dentes informáticos, así como a aquellos de información, sensibilización y formación en materia de seguridad informática. - Actuar como punto de contacto internacional con sus homólogos en otros países, así como con organismos internacionales involucrados en esta técnica.
- Desarrollar y promover procedimientos, protocolos y guías de buenas prácticas y recomendaciones de ciberdefensa y ciberseguridad para las infraestructuras críticas de la nación, en conjunto con los agentes correspondientes y velar por su implementación y cumplimiento. - Coordinar la ejecución de políticas e iniciativas público-privadas de sensibilización y formación de talento humano especializado, relativas a la ciberdefensa y ciberseguridad.
- Promover el desarrollo de capacidades loca- les/sectoriales, así como la creación de csirt
- Apoyar a los organismos de seguridad e investigación del Estado para la prevención e investigación de delitos donde medien las tecnologías de la información y las comunicaciones.
sectoriales para la gestión operativa de los incidentes de ciberseguridad en las infraestructuras críticas nacionales, el sector privado y la sociedad civil.
- Fomentar un sistema de gestión de conocimiento relativo a la ciberdefensa y cibersegu- ridad, orientado a la mejora de los servicios prestados por el colCERT.
VI. CONCLUSIONES Es evidente que en Colombia existe una política
“las acciones y grupos de trabajo de las unidades
pública líder en la región de Latinoamérica,
de seguridad e investigación informática y forense
respecto de la forma como el Estado ha venido
de la Policía y las fuerzas armadas están en un alto
enfrentando
nivel”, según el exministro de las tic, Diego
los
desafíos
que
plantean
la
ciberseguridad y la ciberdefensa al propio Estado
Molano Vega.
y a la sociedad en general. En ello hay que destacar la importancia de hacer de dicha política
Sin embargo este balance positivo contrasta con
un esfuerzo sin precedentes que debe reunir al
lo
sector privado, al sector público, al sector militar,
comunicación:
expresado
por
el
mismo
medio
de
la academia y la ciudadanía en torno de ella. Muestra de este liderazgo es que Colombia, según
Según mediciones del Centro de Cibercrimen de
la clasificación global de la uit en materia de
Microsoft, en los Estados Unidos, así como de
ciberseguridad, en el año 2014 logró situarse en el
empresas como Symantec, McAfee y Eset,
noveno lugar a nivel mundial, no muy lejos de
Colombia es un país que ya muestra altos índices
países como Francia, España, Egipto y Dina-
de criminalidad digital.
marca, y en el quinto lugar en el ámbito de las Américas, luego de Chile y México.
Robos de identidad digital con fines extorsivos; de recursos de entidades, empresas y personas;
Reconociendo la realidad que está enfrentando
ataques dirigidos contra oficinas del Estado y
Colombia, y tomando lo comunicado por la
compañías financieras; ‘secuestro’ de equipos e
Redacción de Tecnología del diario El Tiempo (7
información pública y privada, son algunas de las
de abril de 2014) a manera de diagnóstico:
modalidades que más crecen en Colombia.
Lo primero que encontraron los expertos al analizar los planes en materia de ciberdefensa y
En razón de lo anterior el Gobierno colombiano
seguridad digital en Colombia es que somos un
está ultimando la nueva estructura que tendrá
país
proteger
tanto en el alto Gobierno como a nivel nacional y
infraestructura informática y un ejemplo para
regional el plan de ciberseguridad y ciberdefensa.
otras naciones”, según dijo al diario El Espectador
Los lineamientos más relevantes según el artículo
el secretario ejecutivo de la oea, Neil Klo-
de El Tiempo (2014) que se viene comentando
pfenstein.
son:
“líder
en
experiencia
para
Puntos del nuevo programa Dos sistemas. Colombia tendría un sistema de
Entre las novedades cabe resaltar la creación de la
seguridad externa (ciberdefensa) y otro de
Agencia Nacional de Seguridad Cibernética y la
políticas internas (ciberseguridad). Ambos con
Comisión Digital.
coordinación unificada y con enlace directo a Presidencia.
De igual manera:
Refuerzo de personal. El pie de fuerza en
El
seguridad digital crecerá. Se destinarán más
Cibernéticas de Colombia (Colcert), que hoy
recursos a los comandos y grupos de investigación
forma parte del Ministerio de Defensa Nacional,
de defensa y seguridad digitales.
pasará a integrar la nueva agencia. Se crearán
Grupo
de
Respuesta
a
Emergencias
fiscalías especializadas en ciberdelitos
y se
Más tecnología. Según el ministro Molano el país
capacitarán a los jueces de la República en el
cuenta con tecnología de punta para la lucha
manejo de este tipo de casos.
contra el Cibercrimen. En este aspecto se aumentará el presupuesto y el trabajo con
En apoyo con el sector privado y las universidades,
expertos privados.
se formarán centros de innovación y excelencia, que
harán
investigación
y
desarrollo
de
Leyes fuertes. Judicializar a tiempo y de manera
herramientas para mejorar la ciberseguridad o
efectiva a los delincuentes digitales será punto
atenderán casos de ciberdefensa.
clave. El marco legislativo actual requiere de revisión y endurecimiento.
Este nuevo plan es transversal a todo el Estado colombiano, tanto a nivel central como regio- nal,
¿Y la inteligencia? Las entidades que controlan y
con la participación activa del Ministerio de la
vigilan la seguridad y la defensa nacionales en el
Defensa, el de Justicia, la Cancillería y el
campo digital estarán mejor ‘armadas’ a la hora de recabar información y datos que permitan evitar riesgos para la Nación.
de las tic, entre otros. Dentro del plan también se contemplarán planes de formación sectorial en
Promulgación. Aún no se conocen los detalles
temas de ciberseguridad y un esquema de
exactos del nuevo plan de ciberdefensa y
cooperación internacional. (Tecnosfera, 2014).
ciberseguridad que anunciará, con sus respectivos decretos, el Presidente Santos.
Es claro que los desafíos a los cuales nos estamos viendo expuestos son de gran magnitud y ameritan la respuesta que le está dando el Gobierno nacional, pues la globalización, la sociedad de la información y el desarrollo tecnológico exigen la implementación permanente de este tipo de políticas públicas, y el avance en la creación
de
organismos,
mecanismos
e
instrumentos que permitan hacer frente a las amenazas que la modernidad y la era digital nos presentan como Estado y como sociedad.
Trabajos citados Conpes 3701. (14 de julio de 2011). Consejo Nacional de Politica Economica y social. Obtenido de
Departamento
Nacional
de
Planeacion:
https://www.mintic.gov.co/portal/604/articles3510_documento.pdf Escuela Superior de Guerra. (2018). LIBRO PARES
LA
SEGURIDAD
DIGITAL
EN
COLOMBIA. BOGOTA: MINISTERIO DE LAS TECNOLOGIAS DE LA INFORMACION Y LAS COMUNICACIONES. Universidad de los Andes. (numero 14 de julio diciembre
de
2015).
Revista
de
Derecho
Comunicaciones y Nuevas Tecnologias. Obtenido de Ciberseguridad y Ciberdefensa en Colombia: file:///C:/Users/rpg32/Downloads/Ciberdefens a.pdf
CONCLUSIONES FINALES A lo largo de los capítulos presentados en este
Reducir la amenaza de ciberseguridad significa
libro se ha evidenciado la importancia para cada
centrarse en prevenir o impedir que el adversario
uno de los sectores de poder medir y mitigar el
actúe es decir que los carteles del ciberespacio
riesgo digital. Para cualquier economía, Internet
tomen control. Esto a través de la óptica de un
amplía en gran medida los mercados de productos
fortalecimiento jurídico complementa la reducción
y servicios y por ello su importancia. Las partes
de la amenaza en la ecuación del riesgo. Evitar que
interesadas reflexionan sobre la necesidad de una
el adversario actúe puede incluir la aplicación de la
mayor integración entre la ciberseguridad y los
ley, la diplomacia, la inteligencia o los esfuerzos
esfuerzos de desarrollo de la resiliencia. La
militares para neutralizar a las personas o sus
resiliencia está surgiendo como la estrategia para
herramientas. Disuadir al adversario de actuar
abordar el cambio y la incertidumbre en un
podría incluir una gama aún más amplia de
conjunto cada vez mayor de sectores, escalas y
opciones,
plazos. La resiliencia ofrece una visión de
particular.
dependiendo
del
adversario
en
equilibrio de los sistemas y cómo podría responder a diversas circunstancias. A partir de ello y usando
Las tendencias actuales hacia la digitalización, la
el análisis de riesgos, el problema del riesgo desde
automatización y la interoperabilidad no necesitan
una perspectiva clásica se compone de la amenaza,
excluirse mutuamente de la seguridad. Sin
vulnerabilidad y consecuencia, donde reduciendo
embargo, el desafío de la ciberseguridad solo
la amenaza o la vulnerabilidad se concluye que la
puede abordarse de manera efectiva al comprender
consecuencia es pequeña. Ahora bien, se sabe que
completamente la amplia gama de vectores de
no existe ningún sistema cien por cien seguro y
amenazas. Incluso entonces, estas preocupaciones
siempre existirá la probabilidad de ocurrencia de
solo se pueden resolver eficientemente al buscar
un efecto de riesgo o de desorden (Entropía de
las mejores opciones para reducir cada uno de los
Shannon) que se puede ver reducido a un
tres factores de riesgo.
equilibrio producido por la resiliencia.
Un elemento fundamental dentro de esta visión
La universidad debe asumir el liderazgo para
resiliente que se adiciona en la ecuación es una
generar los espacios en el ámbito de la educación,
ciudadanía educada en el ámbito ciber, es decir que
desde cursos formales, cursos de extensión y la
el individuo sea y deba ser un agento activo de
investigación científica. En este último creando
generación de la seguridad y con ello construir
grupos
una sociedad más segura y que tenga confianza
reconocimiento por el valor de sus resultados.
dentro de este ámbito. La educación en la
Esto
ciberseguridad nace de sensibilizar a todos, desde
conocimiento que pueda ser volcado a la sociedad
edades tempranas, pasando por jóvenes y adultos
y a las empresas.
de
investigación
puede
habilitar
que la
cuenten
generación
con de
mayores, de los riesgos y las consecuencias de sus prácticas en Internet. Por ejemplo, Estados
Ahora bien, en la línea de lo anterior, es
Unidos cuenta con el programa de educación
importante definir que del todo es lo más
“National Initiative for Cybersecurity Education
importante
(NICE)” desarrollado en el año 2012 promoviendo
investigar
el desarrollo de las personas en el tema de
infraestructura crítica por el nivel de impacto que
ciberseguridad.
puede
proteger sobre
acarrear
y
ello, una
consecuentemente en
este
interrupción
caso en
la su
funcionamiento. La infraestructura crítica como Sin embargo, existe una ausencia de un consenso
sistemas de generación y distribución de energía,
general de que se debiese enseñar sobre
redes
ciberseguridad en todo nivel, desde el nivel del
oleoductos, etc, son el blanco de los ciberataques.
ciudadano común hasta el nivel universitario. En
El impacto y el costo de estas amenazas, así como
este último debe haber un esfuerzo en el desarrollo
la presión regulatoria para mitigarlas, han creado
curricular en este ámbito. La evolución de unos
una agenda priorizada para los estados.
de
telecomunicaciones,
control
de
buenos programas de ciber seguridad a nivel universitario está siendo obstaculizada por los
La revisión de la madurez actual de la capacidad de
procesos internos de las universidades, el cambio
resiliencia y los modelos de riesgo, destacan que,
es necesario en este frente. Existe una gran
aunque muchos modelos existen, ninguno está
demanda de personas no solo en el país sino a nivel
específicamente
internacional bien calificadas en ciberseguridad, es
escenario de los operadores en Colombia, por el
visto como una carrera para el futuro.
contrario, solos existen modelos parciales o de
diseñado
para
abordar
el
sectores específicos de la industria y todos están en un nivel general. La ausencia de un modelo de
madurez de la capacidad de ciberseguridad brinda
recuperación para restaurar el sistema después de
una oportunidad para mayor investigación a
un compromiso de seguridad. No existen métricas
expertos e investigadores de la industria de los
de rendimiento y evaluación que permitan
modelos
determinar el nivel óptimo de inversión en
de
madurez
de
capacidad
de
ciberseguridad.
ciberseguridad, depende de factores relacionados con la eficiencia de la inversión.
La resiliencia está surgiendo como la mejor estrategia
para
abordar
el
cambio
y
la
La ciberseguridad, que es el desafío común de
incertidumbre en un conjunto cada vez mayor de
todas las partes interesada, debe aplicar el análisis
sectores, escalas y plazos. Las partes interesadas y
de riesgos a cada uno de los vectores de amenaza.
los expertos en la materia deben reflexionar sobre
Si bien ninguno de nosotros puede saber
la integración entre la ciberseguridad y los
exactamente cómo será el mundo futuro, creemos
esfuerzos de desarrollo de la resiliencia en general.
que es importante prestar atención a las
Los responsables de la ciberseguridad deberían
tendencias clave de hoy que podrían dar forma a
examinar cómo el pensamiento de resiliencia
ese mundo y una de ellas es todo lo relacionado
podría alterar los enfoques para gestionar los
con la ciberseguridad.
riesgos de forma explícita en el ciberespacio. Igualmente, las empresas deben unir las técnicas de evaluación del riesgo junto con las técnicas financieras de análisis, para determinar la mejor manera de utilizar sus recursos y esfuerzo para aumentar los ingresos y disminuir los costos o las pérdidas. Sin embargo, pocas organizaciones tienen tales procesos de análisis para determinar el nivel y tipo de mecanismos de ciberseguridad en los que invierten y mantener. Medir nivel óptimo no es sencillo, sin embargo, se puede conseguir una aproximación midiendo la posibilidad de ocurrencia de una brecha de seguridad versus el costo de si llegase a ocurrir. La resiliencia alimenta este modelo ya que, incorporándolo permite evaluar de manera fehaciente los tiempos de respuesta que se deben tener y los planes de