•Esteban Elías, académico Facultad de Derecho, U.Central.
Para nadie es una sorpresa que día a día algo nuevo se destaca en los medios relativo a la ciberseguridad. Desde los problemas que presentan las entidades financieras hasta las filtraciones de agencias de gobiernos por el mundo, el tema de la ciberseguridad se está tomando las agendas alrededor del mundo.
En este sentido, los graves incidentes que han afectado este último tiempo a nuestra industria financiera, en especial al Banco de Chile, han llevado a la Superintendencia de Bancos e Instituciones Financieras (SBIF), a dictar recientemente una nueva circular (Circular Nº3640) que impone obligaciones adicionales a las entidades financieras de nuestro país en materia de ciberseguridad. Lamentablemente, y como muchas veces ocurre en nuestro país, nuestras instituciones asumen un rol “reactivo” en vez de “proactivo”.
Creemos que la circular Nº3640 de la SBIF, plantea una solución al problema de la ciberseguridad que en definitiva no se preocupa del problema de fondo, sino que le encomienda a las instituciones sometidas a su fiscalización una obligación, lo que probablemente creará más problemas.
Resulta bastante absurdo pretender que un banco pueda, en menos de 30 minutos como señala la referida circular, informar los primeros antecedentes sobre algún “incidente operacional”. A modo de referencia, podemos citar las obligaciones que contiene el recientemente dictado Reglamento General de Protección de Datos en Europa, conocido comúnmente como GDPR, y que contiene probablemente, los más altos estándares en materia de protección de datos, donde obliga a las empresas y organismos a comunicar un caso de afectación de datos en un plazo de 72 horas.
Cuesta imaginar y entender cuál podría ser la verdadera capacidad de reacción, y por tanto calidad en la entrega de información que pueda hacer un banco en dicho brevísimo plazo. Incluso se podría llegar al absurdo, que las instituciones financieras con el solo afán de cumplir con dicha normativa entren en pánico y su labor técnica y profesional se vea opacada con el fin de cumplir con el marco normativo. Del mismo modo, la citada Circular contiene otro grave antecedente respecto al manejo de datos de los clientes de dichas instituciones, ya que obliga a la institución que se vio afectada, a compartir con el resto de la industria los incidentes asociados, pudiendo comprometer datos de sus propios clientes.
El gran problema con la ciberseguridad, y como lo explican los expertos en el mundo entero, es que se ha transformado en un verdadero juego del gato detrás del ratón, lo que en términos simples se reduce al hecho que los ciberataques son múltiples, pero las soluciones frente a ellos son limitadas. Si bien nuestro país ha adoptado una Política Nacional de Ciberseguridad, nuestras instituciones deben adoptar medidas robustas y de alerta que nos permitan estar preparados para los cambios y desafíos que vivimos día a día.
•Esteban Elías, académico Facultad de Derecho, U.Central.
Para nadie es una sorpresa que día a día algo nuevo se destaca en los medios relativo a la ciberseguridad. Desde los problemas que presentan las entidades financieras hasta las filtraciones de agencias de gobiernos por el mundo, el tema de la ciberseguridad se está tomando las agendas alrededor del mundo.
En este sentido, los graves incidentes que han afectado este último tiempo a nuestra industria financiera, en especial al Banco de Chile, han llevado a la Superintendencia de Bancos e Instituciones Financieras (SBIF), a dictar recientemente una nueva circular (Circular Nº3640) que impone obligaciones adicionales a las entidades financieras de nuestro país en materia de ciberseguridad. Lamentablemente, y como muchas veces ocurre en nuestro país, nuestras instituciones asumen un rol “reactivo” en vez de “proactivo”.
Creemos que la circular Nº3640 de la SBIF, plantea una solución al problema de la ciberseguridad que en definitiva no se preocupa del problema de fondo, sino que le encomienda a las instituciones sometidas a su fiscalización una obligación, lo que probablemente creará más problemas.
Resulta bastante absurdo pretender que un banco pueda, en menos de 30 minutos como señala la referida circular, informar los primeros antecedentes sobre algún “incidente operacional”. A modo de referencia, podemos citar las obligaciones que contiene el recientemente dictado Reglamento General de Protección de Datos en Europa, conocido comúnmente como GDPR, y que contiene probablemente, los más altos estándares en materia de protección de datos, donde obliga a las empresas y organismos a comunicar un caso de afectación de datos en un plazo de 72 horas.
Cuesta imaginar y entender cuál podría ser la verdadera capacidad de reacción, y por tanto calidad en la entrega de información que pueda hacer un banco en dicho brevísimo plazo. Incluso se podría llegar al absurdo, que las instituciones financieras con el solo afán de cumplir con dicha normativa entren en pánico y su labor técnica y profesional se vea opacada con el fin de cumplir con el marco normativo. Del mismo modo, la citada Circular contiene otro grave antecedente respecto al manejo de datos de los clientes de dichas instituciones, ya que obliga a la institución que se vio afectada, a compartir con el resto de la industria los incidentes asociados, pudiendo comprometer datos de sus propios clientes.
El gran problema con la ciberseguridad, y como lo explican los expertos en el mundo entero, es que se ha transformado en un verdadero juego del gato detrás del ratón, lo que en términos simples se reduce al hecho que los ciberataques son múltiples, pero las soluciones frente a ellos son limitadas. Si bien nuestro país ha adoptado una Política Nacional de Ciberseguridad, nuestras instituciones deben adoptar medidas robustas y de alerta que nos permitan estar preparados para los cambios y desafíos que vivimos día a día.
•Esteban Elías, académico Facultad de Derecho, U.Central.
