El organismo especializado de las Naciones Unidas llamada la Unión Internacional de Telecomunicaciones (ITU), publicó el Índice Mundial de Seguridad Cibernética 2017 (GCI-2017). Este estudio mide el compromiso de los 193 países miembros de la ITU. En el caso de Colombia, a nivel mundial ocupa el puesto 46 y el puesto seis a nivel de América.

El Índice Mundial de Seguridad Cibernética mide el compromiso de los países en cuanto a seguridad cibernética y les ayuda a encontrar áreas de mejora. Además, este estudio muestra la mejora y el fortalecimiento de los indicadores legales, técnicos, organizacionales y la cooperación internacional de cada país.

En total son 31 indicadores que son evaluados en tres colores: verde, amarillo y rojo. Si está en color verde es porque aplica en su totalidad al país. Si está en amarillo es porque se está implementando hace poco y si está en rojo es porque carece del mismo en sus estrategias de seguridad cibernética.

Asuntos legales en ciberseguridad

De los 31 indicadores, Colombia tiene 17 en color verde, cinco en amarillo y nueve en rojo. En aspectos legales, nuestro país cuenta con una legislación en contra del cibercrimen y en pro de la ciberseguridad. “Colombia se convirtió en uno de los primeros países del mundo cuando, en 2009, promulgó una ley específicamente dirigida al ciberespacio. Esta se llama Ley 1273 ‘Protección de la información y los sistemas de datos'”, reza el documento en la página 39.

Sin embargo, el estudio refleja que el entrenamiento en ciberseguridad no es tan bueno, por lo que está en color rojo. En cambio, la legislación en ciberseguridad y cibercrimen está en color verde, dándole un color amarillo como resultado en el indicador de asuntos legales.

Aspectos técnicos

En los aspectos técnicos de seguridad cibernética, Colombia cuenta con cuatro luces verdes y dos en rojo, dándole como resultado una luz verde en este aspecto. Este resultado se porque cuenta con un equipo de respuesta para emergencias cibernéticas del Ministerio de Defensa (ColCERT), Policía Nacional (CSIRT) y Empresa de Telecomunicaciones de Bogotá (CSIRT-ETB).

Además se suman otros tres centros de respuestas llamados DigiCSIRT, Comando de operaciones cibernéticas (SOC-CCOC) y equipo de respuesta a incidentes de la Cámara olombiana de informática y telecomunicaciones (CSIRT-CCIT). En cuanto a las dos calificaciones negativas, estas son debido a la falta de un centro de respuesta a ataques en los sectores empresariales y en la protección a menores en la red.

Aspectos organizacionales

En los aspectos organizacionales, la calificación no es tan buena. Según el estudio, Colombia tiene tres calificaciones rojas y solo una amarilla. Esto le da una calificación en color rojo. El único valor en amarillo son las métricas de ciberseguridad, mientras que las estrategias y la presencia de una agencia responsable de la misma están en color rojo.

Por otro lado, en el perfil de Colombia del mismo estudio se resalta que el Ministerio de las Tecnologías de la Información y las Comunicaciones, MinTIC, es la entidad encargada de implementar la estrategia nacional de ciberseguridad junto al Departamento de Planeación Nacional.

Capacidad de crear

Aquí ya son seis evaluaciones en verde, dos en amarillo y uno en rojo. Esto le da a Colombia una calificación de color verde. Los organismos de estandarización, las buenas prácticas en ciberseguridad, campañas de concientización pública, cursos profesionales de entrenamiento y la industria nacional son los propietarios del color verde.

En el perfil de Colombia, el estudio resalta que el país cuenta con un programa de investigación y desarrollo (I+D) nacional o sectorial para las normas de seguridad cibernética, las mejores prácticas y las directrices que deben aplicarse en el sector público. Pero también especifica que no cuenta con programas nacionales de educación y formación profesional reconocidos oficialmente para la sensibilización del público en general, la promoción de cursos de ciberseguridad en la educación superior y el fomento de la certificación de los profesionales del sector público o privado.

Cooperación internacional

Finalmente, Colombia cuenta con tres calificaciones en verde y dos en rojo. En el caso de los verdes están los acuerdos bilaterales y multilaterales junto a la participación internacional. Para las puntuaciones en rojo, el país deberá mejorar su capacidad en la interacción entre patrocinadores privados y públicos y en la integración de los mismos. Con estos valores, esta categoría quedó en verde para el país, dándole un total de 0.569 puntos, el puesto 46 a nivel mundial y una calificación en color amarillo.

Imagen: iStock.

Este lunes, los ministros de Defensa y de TIC, junto con expertos de varios países, instalaron la Misión de Asistencia Técnica de Seguridad Cibernética en un evento en Bogotá. Se trata de un encuentro en el que el Gobierno busca recibir asistencia técnica y legal de algunos de los más importantes especialistas internacionales en el tema, invitados por la OEA, con miras a la construcción de su política de ciberdefensa.

De puertas para adentro, el Gobierno lleva varias semanas trabajando en el desarrollo de esta política. El proceso comenzó recién se reveló el escándalo de Andrómeda, cuando el presidente Juan Manuel Santos encomendó su construcción a los ministros.

Tras la instrucción inicial, se conformó un comité que se ha ido reuniendo regularmente. En él no sólo han participado funcionarios oficiales, sino también expertos nacionales en seguridad informática y representantes del sector privado que tienen infraestructura informática crítica, como los sectores financiero y energético.

De estas reuniones salió un documento con una serie de recomendaciones, que hasta ahora no ha sido divulgado públicamente. Ese será el borrador que será discutido esta semana por los expertos internacionales. Se trata de altos responsables de algunas de las unidades de ciberseguridad más activas y mejor entrenadas del mundo.

Entre otros, estarán presentes Nathan Doyel, especialista en seguridad informática para el Hemisferio Occidental del Departamento de Estado de EE. UU.; Erez Kreiner, consultor de la Oficina de Asuntos Cibernéticos de Israel; y Young-Hung Kim, investigador de la Agencia de Internet y Seguridad de Corea del Sur.

Se espera que la decisión definitiva se produzca el 8 de abril

El objetivo es que el próximo viernes se le entregue al presidente Santos un documento con las recomendaciones de los especialistas internacionales. Según el ministro TIC, Diego Molano Vega, “los expertos validarán lo que hemos hecho los colombianos“, y no se espera que haya cambios sustanciales sobre el primer documento.

Con ese documento en la mano, el Presidente y los Ministros harán unos últimos ajustes para, finalmente, expedir un Decreto en el que éstas se pongan en práctica. Se espera que la decisión definitiva se produzca el 8 de abril.

Qué tendrá y qué no tendrá la política

Los detalles concretos se desconocen, pero a juzgar por el perfil de los invitados y las palabras de las autoridades, será una política muy centrada en la prevención del cibercrimen y la protección de infraestructura crítica.

Según dijo el Viceministro de Política Criminal y Justicia Restaurativa , Miguel Samper Strouss, la idea es “aumentar la probabilidad de captura” de quienes utilicen medios electrónicos para delinquir.

Molano anotó que parte del objetivo es minimizar los que llamó “riesgos del mal uso de internet“, como el robo de identidad y el cibercrimen en general. Además, aseguró que esta política es parte de un proyecto más grande que busca fijar políticas sólidas que rijan los sistemas de información del Estado.

El resultado seguramente sólo se conocerá cuando se convierta en Decreto

Según el Ministro de Defensa, Juan Carlos Pinzón, parte de la política también busca que Colombia comience a pensar en cómo enfrentar escenarios de ciberguerra, y aseguró que las decisiones que se tomen deben estar limitadas de acuerdo con lo que dice la Constitución, y que se intentará “buscar ese delicado equilibrio entre libertad y seguridad” .

Sin embargo, aún se desconocen los contenidos concretos de la política de ciberseguridad y ciberdefensa, cómo estará organizada y qué incluirá. Eso solo se conocerá cuando el Gobierno decida hacerla pública, lo que muy probablemente sólo ocurrirá cuando ya se convierta en Ley.

Imagen: 519 Graphic (vía Shutterstock)