Una vez más: urge una política de protección de los activos digitales en poder del Estado
El ataque sufrido por los sistemas de la Dirección Nacional de Migraciones (DNM) pone una vez más de relieve la importancia de una política pública de protección de activos digitales. No vamos a dedicar mucho de esta columna al caso en particular, que ya ha sido narrado en nuestro sitio web y reportado por buena parte de la prensa nacional, sino al contexto en el que se presenta y los lineamientos que consideramos esenciales para que sucesos de este tipo no se repitan.
Resulta indispensable mencionar que en casos donde se producen filtraciones de información bajo gestión del Estado, las acciones de investigación policial y las causas penales que pudieran abrirse no reparan el daño. Es más, en la mayoría de los casos conocidos, jamás se llega a detectar, identificar y mucho menos condenar a los reales responsables de los ataques. Pero aún así, el daño ya está hecho. Cuando se trata de filtración de información personal, datos sensibles, datos confidenciales de oficinas públicas y de la ciudadanía, no hay reparación posible.
Por eso, nuestra posición en relación a la seguridad de los activos digitales en poder del Estado es diametralmente opuesta a la que parece ser la norma de sentido común y la respuesta de diversos sectores, incluyendo el Ministerio de Seguridad de la Nación. La política de cibercrimen, ciberdelito y ciberseguridad planteada en el marco de la Resolución 977/2019, aprobada en la gestión anterior y vigente a la fecha, es no sólo desatinada sino insuficiente y estéril para el objetivo de proteger la información que gestiona la Administración Pública Nacional.
Una política de seguridad de la información no es, ni debe ser, una política policial ni sostenida por las fuerzas de seguridad. Debe ser una política de prevención basada en protocolos de acción, estrategias de mitigación, prevención de daños y ataques que fije lineamientos rigurosos a toda la administración pública. Esta política no debe estar en manos de las fuerzas federales ni de las policías de ningún tipo, ya que no se trata de una mirada estrictamente criminal y punitiva del problema.
Existe en Argentina, en el marco de la Jefatura de Gabinete de Ministros, un área dedicada a la ciberseguridad. En el actual organigrama estatal, es ese el lugar desde el que deben partir las políticas y protocolos de custodia y protección de los activos digitales. Este es el escenario actual de Argentina. En un escenario ideal deberíamos, con carácter de urgencia, delinear una institucionalidad más sólida y estratégica que lleve adelante esta tarea.
A la hora de imaginar una política adecuada, evaluar modelos exitosos es el primer paso a seguir. Es por eso que nos permitimos poner como ejemplo a la Bundesamt für Sicherheit in der Informationstechnik (BSI), la Oficina Federal de Seguridad de la Información de Alemania. Se trata de un cuerpo profesional de trabajo en seguridad informática que marca la pauta y fija las condiciones bajo las cuales se procesa la información en el Estado alemán. Esta oficina, altamente especializada y con capacidades institucionales transversales a todo el gobierno alemán, establece y monitorea todos los aspectos centrales de la gestión de información en la Administración Pública Federal, incluyendo las aplicaciones y dispositivos que usan las máximas autoridades del Estado. Su objetivo es promover la seguridad de la información para todo el país, no sólo para el Estado, sino para la ciudadanía y el sector privado. Trabaja en coordinación y cooperación con el sector privado y los practicantes de la seguridad de la información en Alemania.
Por supuesto es imposible comparar la coyuntura alemana con la nuestra. La BSI cuenta con una planta profesional permanente, un presupuesto enorme y una dedicación de recursos que le permite trabajar en investigación, desarrollo y prevención como política de Estado. No es la única agencia de este tipo. Francia cuenta con la Agence nationale de la sécurité des systèmes d'information, con un presupuesto de más de 100 millones de Euros y más de 500 empleados en su planta permanente. España, por su parte, cuenta con el Instituto Nacional de Ciberseguridad (InCIBe).
Esto no pretende ser un mero relato de lo que sucede en países con muchos más recursos que los nuestros. Pero si queremos enfatizar que es necesario contar con políticas de protección de la información, especialmente a nivel Estado, y que estas políticas no pueden ser minimizadas ni postergadas. El evento de Migraciones es elocuente por si mismo, pero no es el único. Hace pocas semanas dimos cuenta en este espacio de la filtración de datos de 115.000 argentinos registrados en las bases de datos del gobierno de San Juan, víctimas de la negligencia de un Estado provincial que no dispuso ninguna medida de resguardo a esos datos.
Hace pocos días, además, junto a un equipo de amigos de la Fundación, dimos la voz de alerta sobre la precariedad en la seguridad de la app de covid 19 de la Provincia de Salta. Nuestra buena relación con el CERT y con el área de Ciberseguridad nos permitió levantar una alerta con la esperanza de haber contribuido a hacer un rápido control de daños.
Ahora bien, no es posible ni aceptable publicar apps llenas de agujeros de seguridad. No es admisible que el Estado ponga en riesgo un bien que no le pertenece, los datos de la ciudadanía. No es admisible que Argentina, que cuenta con una pujante comunidad de Infosec, no cuente con una política pública en este sentido.
No es admisible que todo lo que se construya alrededor de la seguridad de la información tenga la impronta de las fuerzas federales de seguridad, que con el escandaloso caso La Gorra Leaks dejó de manifiesto no sólo que carece de cualquier competencia para lidiar con el tema en materia preventiva, sino que carece además de la voluntad de investigar a los reales responsables tras allanar perejiles y miembros de la comunidad de infosec por el mero hecho de haber informado públicamente sobre esos sucesos.
Si finalmente, como parece ser, se impone la doctrina heredada de la gestión de Patricia Bullrich al frente del Ministerio de Seguridad, vamos a estar un paso más lejos de construir una política pública sólida, razonable y apropiada para proteger la seguridad de los activos digitales en Argentina. Los y las argentinas estaremos en mayor riesgo, definitivamente, no menos.
Beatriz Busaniche
Fundación Vía Libre
