Por Hans Findel, CTO de Acid Labs; Esteban Núñez, Líder en Seguridad de Acid Labs; y Fabián Arias, CTO de Linets.
Con su publicación en el Diario Oficial, el 20 de junio de 2022, entró en vigencia la Ley 21.459, que tanto esperábamos y que moderniza la normativa sobre delitos informáticos, definiendo ocho tipos de ilícitos y sus respectivas penas asociadas.
Esta nueva ley, sin duda mejora mucho lo que existía antes. Se enfoca en distintas etapas o niveles de un ataque, las cuales deberían desincentivar malas conductas. Por ejemplo, no te deja interactuar con servidores e información debido a los altos castigos que se indican.
En consecuencia, lo anterior podría afectar a los “ethical hackers”, “altruistas” que trabajan para mejorar la ciberseguridad de todos sin ánimos de lucro. Es decir, los profesionales que trabajan en mejorar la ciberseguridad podrían considerarse como criminales a pesar de tener intenciones de reducir las brechas de seguridad en las organizaciones.
Si bien la ley por sí misma no va a prevenir los delitos, es un avance significativo y que el país requería, ya que la norma anterior sobre delitos informáticos era de 1980 actualizada en 1993. En países europeos o en Estados Unidos, donde existen normativas tomadas en la nueva ley chilena, siguen ocurriendo ataques cibernéticos, así que no es suficiente por sí sola una nueva ley. Para los atacantes sigue siendo un negocio muy rentable/lucrativo como se pudo ver en los recientes ataques de Ransomware afectando a Mercado Libre y Samsung entre otros.
El robo de contraseñas o información confidencial puede ser castigado incluso con prisión y eso es un desincentivo importante para los hackers, que es un cambio importante respecto a la ley anterior que más que nada sancionaba delitos asociados a equipos (físicos), más que afectación a la información y de esta forma, no estaban consideradas las nuevas formas que tenemos de relacionarnos con la tecnología.
Desde las empresas de tecnología, celebramos este avance, pero con el desarrollo del 5G y las nuevas tecnologías, es relevante que las empresas incorporen la ciberseguridad de manera cultural, ya que no es suficiente contar con las mejores herramientas de seguridad o capacitar a miembros específicos de una organización, sino que es necesario educar a todos los que participan de alguna forma en la creación, puesta en marcha y operación de productos digitales, así como también a los usuarios finales para que no caigan en ataques, ya que el factor humano sigue siendo el mayor flanco de ataque.
