Tres son las etapas en las que se funda la existencia de un delito informático: la de su inclusión en los catálogos penales (legislación), la forma en que se debe investigar (forense informática) y la forma en que se acredita ante un juzgado o tribunal (prueba electrónica). Se trata de conductas atopológicas que pueden programarse desde distintas latitudes, por lo que, al tratarse de un problema global, se deben buscar respuestas de ese calado. En ese tenor, este libro tiene la virtud de recoger las distintas visiones del problema y su tratamiento desde España, México, Argentina y Brasil.
desafíos de la justicia penal
Alberto Enrique Nava Garcés Coordinador
Coordinador
Desde hace ya tres décadas las tecnologías de la información han permeado en la vida cotidiana. Su irrupción, sumada al auge de las redes sociales, debe ser estudiada con todo detenimiento, pues no solo contribuyen a mejorar la calidad de vida de las personas, a conectarlas, a proveer información de muy distinta índole, también permiten que ciertas conductas delictivas encuentren su cauce por medios electrónicos, ya sea como meros medios comisivos o bien, como nuevas conductas. Así aparecen los delitos informáticos.
Alberto Enrique Nava Garcés
desafíos de la justicia penal
Por otra parte, nos preguntamos si es el derecho donde residen todas las respuestas o si acaso la tecnología debe dar una respuesta a lo que se origina justo con el desarrollo de la propia tecnología. Lo hemos señalado antes: “El sueño de un mundo automatizado se puede volver la pesadilla para quienes han puesto sus bienes al alcance de cualquier medio electrónico”.
CIBERDELITOS
desafíos de la justicia penal
CIBERDELITOS
Con este libro pretendemos propiciar el debate en torno a las aristas que trae consigo la tecnología y su íntima relación con las ciencias penales. Se trata pues, de un desafío impostergable para el derecho.
desafíos de la justicia penal
COMITÉ CIENTÍFICO DE LA EDITORIAL TIRANT LO BLANCH María José Añón Roig
Catedrática de Filosofía del Derecho de la Universidad de Valencia
Ana Cañizares Laso
Catedrática de Derecho Civil de la Universidad de Málaga
Jorge A. Cerdio Herrán
Catedrático de Teoría y Filosofía de Derecho. Instituto Tecnológico Autónomo de México
José Ramón Cossío Díaz
Ministro de la Suprema Corte de Justicia de México
Eduardo Ferrer Mac-Gregor Poisot
Presidente de la Corte Interamericana de Derechos Humanos. Investigador del Instituto de Investigaciones Jurídicas de la UNAM
Owen Fiss
Catedrático emérito de Teoría del Derecho de la Universidad de Yale (EEUU)
José Antonio García-Cruces González
Catedrático de Derecho Mercantil de la UNED
Luis López Guerra
Juez del Tribunal Europeo de Derechos Humanos. Catedrático de Derecho Constitucional de la Universidad Carlos III de Madrid
Ángel M. López y López
Catedrático de Derecho Civil de la Universidad de Sevilla
Marta Lorente Sariñena
Catedrática de Historia del Derecho de la Universidad Autónoma de Madrid
Javier de Lucas Martín
Catedrático de Filosofía del Derecho y Filosofía Política de la Universidad de Valencia
Víctor Moreno Catena
Catedrático de Derecho Procesal de la Universidad Carlos III de Madrid
Francisco Muñoz Conde
Catedrático de Derecho Penal de la Universidad Pablo de Olavide de Sevilla
Angelika Nussberger
Jueza del Tribunal Europeo de Derechos Humanos. Catedrática de Derecho Internacional de la Universidad de Colonia (Alemania)
Héctor Olasolo Alonso
Catedrático de Derecho Internacional de la Universidad del Rosario (Colombia) y Presidente del Instituto Ibero-Americano de La Haya (Holanda)
Luciano Parejo Alfonso
Catedrático de Derecho Administrativo de la Universidad Carlos III de Madrid
Tomás Sala Franco
Catedrático de Derecho del Trabajo y de la Seguridad Social de la Universidad de Valencia
Ignacio Sancho Gargallo
Magistrado de la Sala Primera (Civil) del Tribunal Supremo de España
Tomás S. Vives Antón
Catedrático de Derecho Penal de la Universidad de Valencia
Ruth Zimmerling
Catedrática de Ciencia Política de la Universidad de Mainz (Alemania)
Procedimiento de selección de originales, ver página web: www.tirant.net/index.php/editorial/procedimiento-de-seleccion-de-originales
CIBERDELITOS
Coordinador
ALBERTO ENRIQUE NAVA GARCÉS Autores
Armando Becerra Alicia Rubí Guerra Valdivia Noemi González Bibiana Luz Clara Federico Bueno de Mata Andrés Gabriel Murad Lorenzo M. Bujosa Vadell Alberto Enrique Nava Garcés Daniel Córdova Herrera Sandra Reza Reyes Mario A. Gómez Sánchez Manuel Vidaurri Aréchiga Emerson Wendt
Ciudad de México, 2019
Copyright ® 2018 Todos los derechos reservados. Ni la totalidad ni parte de este libro puede reproducirse o transmitirse por ningún procedimiento electrónico o mecánico, incluyendo fotocopia, grabación magnética, o cualquier almacenamiento de información y sistema de recuperación sin permiso escrito de los autores y del editor. En caso de erratas y actualizaciones, la Editorial Tirant lo Blanch México publicará la pertinente corrección en la página web www. tirant.com/mex/
© Alberto Enrique Nava Garcés (Coordinador)
© INSTITUTO NACIONAL DE CIENCIAS PENALES MAGISTERIO NACIONAL 113, Col. Tlalpan C.P. 14000, Del. Tlalpan, Ciudad de México Telf: +01(55) 5487 1500 ext. 1569 www.inacipe.gob.mx ISBN: 978-607-8551-45-3 © EDITA: TIRANT LO BLANCH DISTRIBUYE: TIRANT LO BLANCH MÉXICO Río Tiber 66, Piso 4 Colonia Cuauhtémoc Delegación Cuauhtémoc CP 06500 Ciudad de México Telf: +52 1 55 65502317 infomex@tirant.com www.tirant.com/mex/ www.tirant.es ISBN: 978-84-9190-185-3 MAQUETA: Tink Factoría de Color Si tiene alguna queja o sugerencia, envíenos un mail a: atencioncliente@tirant.com. En caso de no ser atendida su sugerencia, por favor, lea en www.tirant.net/index.php/ empresa/politicas-de-empresa nuestroprocedimiento de quejas. Responsabilidad Social Corporativa: http://www.tirant.net/Docs/RSCTirant.pdf
ÍNDICE Presentación.............................................................................................. 9 Prólogo.....................................................................................................
11
Alberto Enrique Nava Garcés
Líneas estratégicas para la creación de políticas públicas en materia de ciberseguridad........................................................................................... 13 Armando Becerra Noemi González
Estudio comparado sobre la prisión preventiva en Iberoamérica: especial referencia a la cárcel electrónica....................................................... 35 Federico Bueno de Mata
Principios generales del proceso penal ante la persecución de los ciberdelitos: perspectiva española......................................................................... 65 Lorenzo M. Bujosa Vadell
La Presunción de Inocencia en la época de los medios de comunicación y las TIC...................................................................................................... 83 Daniel Córdova Herrera
Robo de identidad empresarial: Una visión legal de los datos personales......
99
Mario A. Gómez Sánchez
Fraude Electrónico....................................................................................
121
Alicia Rubí Guerra Valdivia
Delitos y tecnologías de información......................................................... 141 Bibiana Luz Clara Andrés Gabriel Murad
Ciberterrorismo: La nueva cara de la delincuencia en el siglo XXI. La participación y fomento al delito por órganos de gobierno y empresas...... 157 Alberto Enrique Nava Garcés
Uso ilícito de la red: “El caso de la DEEP WEB”....................................... 181 Sandra Reza Reyes
Delitos Informáticos. Los Retos del Derecho Penal................................... 197 Manuel Vidaurri Aréchiga
8
Índice
La visión más allá del alcance a través de la espada justiciera: Los desafíos del Estado brasileño frente a los delitos informáticos................................ 221 Emerson Wendt
PRESENTACIÓN Cuando la editorial española Tirant lo Blanch, en su rama mexicana, y el Instituto Nacional de Ciencias Penales (INACIPE) mexicano se alían para trabajar conjuntamente, los resultados sólo pueden ser excelentes. Me honran al proponerme que presente la colección “Desafíos de la Justicia Penal”, el primer fruto de esa puesta en común, porque me reconocen como autor preocupado por la Justicia a nivel internacional, y, sobre todo, porque me creen muy interesado en el desarrollo procesal penal de México. Ambas cosas son verdad, dicho con toda humildad, pues me limito a aportar granitos de arena, que muchas veces ni yo mismo alcanzo a distinguir. Los temas propuestos en un primer avance revelan que esa preocupación es mucho más amplia de lo que parece. El libro que tiene en sus manos ahora el lector especialista es buena prueba de ello. Tanto desde el punto de vista del Derecho Penal Sustantivo, como del Derecho Procesal Penal, la sociedad está exigiendo cada día más esfuerzo a lo público (el Estados y sus fuerzas de persecución penal), para que lo privado (la gente normal y corriente, honrados y trabajadores ciudadanos) sufra menos y, si no hay más remedio que padecer, lo haga en la confianza de que como víctima será restablecida y el causante pagará por ello. Una buena forma de conseguirlo es profundizar en estudios que nos aclaren y simplifiquen el camino para lograrlo, es decir, en análisis como el que ahora les presento. Una aportación necesaria, decisiva y, sobre todo, útil para los prácticos, que ayudará a jueces, fiscales y policía judicial, a la par que a defensores públicos y litigantes, a encontrar la mejor Justicia posible. Juan-Luis Gómez Colomer.
PRÓLOGO Tres son las etapas en las que se funda la existencia de un delito informático: la de su inclusión en los catálogos penales (legislación), la forma en que se debe investigar (forense informática) y la forma en que se acredita ante un juzgado o tribunal (prueba electrónica). En México aún no se ha pasado de conformar la primera etapa a pesar de contar con escasos, pero muy buenos elementos para realizar la segunda. Todos los días, por distintos medios, somos testigos de una diversidad de conductas cometidas a través de las nuevas tecnologías. A guisa de ejemplo, el robo de identidad y la pornografía infantil son conductas que con los nuevos medios electrónicos han repuntado de manera exponencial. No muy lejos hemos leído los múltiples fraudes cometidos en la red en donde la legislación tradicional parece ser insuficiente. ¿Pero realmente no hay legislación para acotar estas conductas? ¿y qué decir del insospechado alcance que han tenido las redes sociales? Es por tal motivo que, con la emoción de haber sido convocado para hacer el tomo relativo a los ciberdelitos, me di a la tarea de hacer lo propio con experimentados colegas de otras latitudes como Argentina, España y Brasil, cuyas experiencias han enriquecido páginas y páginas sobre este tema. Así también tuve oportunidad de invitar a quienes considero pueden aportar mucho sobre distintos enfoques desde esta latitud. ¿La tecnología debe dar una respuesta a lo que se origina justo con el desarrollo de la propia tecnología o es que el legislador tiene, entre otros pendientes, legislar y unificar el tratamiento que deberá darle a los llamados delitos informáticos con el fin de no dejar vacíos que son aprovechados por la criminalidad “en línea” o informática? Lo hemos señalado antes: “El sueño de un mundo automatizado se puede volver en la pesadilla de quienes han puesto sus bienes al alcance de cualquier medio electrónico”. Es urgente revisar y unificar la legislación en la materia. Como es urgente revisar la conveniencia de resolver un problema global sin las respuestas locales que han resultado tan infructuosas, lo que se ha traducido en un nicho de impunidad que cuesta muchos millones de dólares para los afectados por las conductas de las que son víctimas en la red. Cuando se haga la revisión legislativa se deberá tomar en cuenta que día a día existen nuevas amenazas en la red, conductas que están partiendo de esa misma naturaleza etérea con la que está hecho el ciberespacio.
12
ALBERTO ENRIQUE NAVA GARCÉS
El convenio de Budapest contra la cibercriminalidad, que fue realizado en noviembre de 2001 (antes del auge de las redes sociales, que en mucho han cambiado la faz de la red y la conducta de los usuarios), representa un gran reto legislativo, puesto que abarca diversas materias sensibles que no pocas veces ha dado motivo a los dilemas sobre las libertades y el control legislativo, lo que ha retrasado su discusión para ratificarlo. Pero omitir su estudio solo mantiene en situación de atraso económico a los países en desarrollo y en un franco estado de vulnerabilidad a los usuarios de los medios informáticos. Alberto Enrique Nava Garcés Diciembre de 2017.
LÍNEAS ESTRATÉGICAS PARA LA CREACIÓN DE POLÍTICAS PÚBLICAS EN MATERIA DE CIBERSEGURIDAD ARMANDO BECERRA* NOEMI GONZÁLEZ** RESUMEN En este artículo se presenta una propuesta de las cuatro líneas estratégicas que deben considerarse para la creación de políticas públicas, tácticas y acciones en materia de ciberseguridad. Palabras clave: Ciberseguridad, seguridad informática, seguridad de la información, protección de datos personales, seguridad nacional, cibercrimen, economía. ABSTRACT This article presents a proposal of the four strategic lines that must be considered for the creation of public policies, tactics and any action related to cybersecurity. Keywords: Cibersecurity, computer security, information security, PII protection, national security, cybercrime, economy. SUMARIO: I. Ciberseguridad 101. II. Situación de la ciberseguridad en México. III. Relación entre seguridad de la información, seguridad informática y ciberseguri-
*
**
Armando Becerra (@ninjamachete) es Ingeniero en Telemática egresado de UPIITA del Instituto Politécnico Nacional en México y Maestro en Derecho de las Tecnologías de la Información y Comunicación, en la especialidad de Protección de Datos Digitales de INFOTEC. Está certificado como Tecnólogo en Privacidad, Profesional en Seguridad de Sistemas de Información, Hacker Ético, Examinador Forense y Auditor Líder. Es especialista en temas de seguridad de la información, privacidad y protección de datos. Participa en distintas publicaciones y ha sido ponente en varios foros relacionados al tema de seguridad de la información. Otra área donde se desarrolla es moneda digital. Noemi González (@nkglez) es Ingeniera en Sistemas Computacionales egresada del Instituto Tecnológico de Tepic y Maestra en Administración de Tecnologías de la Información, del Tecnológico de Monterrey. Está certificada como Tecnóloga en Privacidad, Hacker Ética, y Auditor Líder ISO27001. Se especializa en temas de seguridad de la información, privacidad y protección de datos. Ha participado como ponente en foros relacionados al tema de seguridad de datos personales.
14
ARMANDO BECERRA Y NOEMI GONZÁLEZ dad. IV. Estrategia Nacional de Ciberseguridad para México. V. Líneas estratégicas de aplicación en ciberseguridad; 5.1. Protección de datos personales; 5.2. Seguridad nacional; 5.3. Cibercrimen; 5.4. Economía. VI. Conclusiones.
I. CIBERSEGURIDAD 101 “Una compañía pudo haber comprado las mejores tecnologías de seguridad que el dinero puede comprar, entrenar a su personal tan bien que ellos guardaron todos sus secretos antes de ir a casa por la noche, y haber contratado guardias de seguridad de la mejor firma en el negocio. Esa compañía aún es totalmente vulnerable. Los individuos podrían seguir las mejores prácticas de seguridad recomendadas por los expertos, instalar servilmente todos los productos de seguridad necesarios y estar completamente atentos respecto a la configuración adecuada de los sistemas y la aplicación de parches de seguridad. Esos individuos aún son completamente vulnerables”.1
En un mundo complejo, en el que interactúan personas, software y servicios a través de medios tecnológicos interconectados, surgen amenazas cada vez más sofisticadas, las cuales no conocen fronteras y pueden tener distintos objetivos, como el ataque a servicios por medio de redes automatizadas, la extracción o secuestro de información, la afectación de infraestructura crítica de servicios básicos, el robo de datos de tarjetas de crédito, el control de cámaras para obtener imágenes comprometedoras, o bien, el espionaje de comunicaciones, por mencionar algunos. En este contexto, El Manual del Marco de Trabajo sobre Ciberseguridad Nacional de la OTAN señala que el prefijo “ciber” puede entenderse como “lo relacionado a, o que involucra equipos de cómputo y redes (como internet)”.2 Sin embargo, el mismo manual indica que ciberespacio es algo más que internet, considerando no solo el hardware, el software y
1
2
Mitnick, Kevin y Simon, William. The Art of Deception: Controlling the Human Element of Security, Wiley Pub, 2002, pág. 12. “A company may have purchased the best security technologies that money can buy, trained their people so well that they lock up all their secrets before going home at night, and hired building guards from the best security firm in the business. That company is still totally vulnerable. Individuals may follow every best-security practice recommended by the experts, slavishly install every recommended security product, and be thoroughly vigilant about proper system configuration and applying security patches. Those individuals are still completely vulnerable”. Consultable en: https://ccdcoe.org/publications/books/NationalCyberSecurityFrameworkManual.pdf
LÍNEAS ESTRATÉGICAS PARA LA CREACIÓN DE POLÍTICAS ...
15
la información, sino también a las personas y sus interacciones a través de dichos equipos de cómputo y redes. Así, el término ciberseguridad3 se puede definir como “la preservación de la confidencialidad, integridad y disponibilidad de la información en el ciberespacio”,4 extendiendo la necesidad de establecer normativa, políticas, acciones y medidas de seguridad en todos los ámbitos de la sociedad que se auxilien de las tecnologías de la información y comunicación.
II. SITUACIÓN DE LA CIBERSEGURIDAD EN MÉXICO En este apartado se presenta la numeraria relacionada con el estado del arte en materia de ciberseguridad en México. En el Índice Global de Ciberseguridad 2017 (GCI), publicado por la Unión Internacional de Telecomunicaciones,5 a pesar de que México se ubica en tercer lugar de la región de América (con un índice de 0.66), después de EEUU (0.91) y Canadá (0.81), existe una diferencia significativa de 16 puntos entre México y Canadá, ya que a nivel internacional EEUU ocupa el segundo lugar, Canadá el noveno y México el 28. Esta falta de madurez en materia de ciberseguridad resalta en hechos como el del malware #WannaCry, que causó la infección de más de 500,000 equipos de cómputo a nivel global6 resultando México el país más afectado en América Latina y el quinto a nivel mundial.7 En efecto, es posible identificar tanto la falta de diligencia por parte de las organizaciones en cuanto al establecimiento de medidas de seguridad, como la ausencia de buenos hábitos de los usuarios en entornos digitales.
3
4
5
6
7
El término ciberseguridad se popularizó durante el “error del milenio” o “y2k”, el cual ocasionó problemas en sistemas informáticos de todo el mundo, cuando ocurrió la transición del año 1999 al 2000. Esto debido a una mala práctica de los programadores en el manejo de fechas. Definición del estándar ISO/IEC 27032:2012, Information technology – Security techniques – Guidelines for cybersecurity. Global Cibersecurity Index, ITU, 2017, pág. 28, consultable en: https://www.itu.int/ dms_pub/itu-d/opb/str/D-STR-GCI.01-2017-PDF-E.pdf Véase el mapa de la infección WannaCrypt de Intel. consultable en: https://intel. malwaretech.com/botnet/wcrypt “México ya es el más afectado por el WannaCry en América Latina”, Economista. Consultable en: http://eleconomista.com.mx/tecnociencia/2017/05/15/mexicoya-mas-afectado-wannacry-america-latina
16
ARMANDO BECERRA Y NOEMI GONZÁLEZ
Por su parte, el Estudio de la Seguridad de la Información en México 2017 de PwC8 señala que el 87% de las empresas encuestadas han sufrido incidentes de seguridad de la información, donde se identificó que el 44% de ellos son eventos internos, que se atribuyen a ex empleados. Asimismo, estos incidentes provienen principalmente de dispositivos móviles o de ataques phishing.9 Por otro lado, el estudio resalta que las principales amenazas externas de la información son hackers (34.3%), competidores (31.2%), crimen organizado (25.1%), hacktivistas (15.4%) y, por último, entidades y organizaciones extranjeras (11.5%). Ante estos sucesos, solo el 13% del universo de dicho estudio indicó que cuentan con un plan de respuesta a incidentes. Esta situación refleja claramente la necesidad de organizaciones e instituciones, de los sectores público y privado, de establecer procedimientos formales para la gestión de los incidentes de seguridad de la información, que les permita tener actuaciones proactivas, con el objetivo de reducir la posibilidad y el impacto generado por estos eventos. En lo que se refiere al Estudio de la Privacidad en México 2016: más allá de los compromisos,10 se indica que el 88% de las organizaciones en México han tenido incidentes de seguridad de la información y el 43% de estos incidentes implican pérdida, robo o fuga de información. Por otro lado, para fortalecer las medidas de seguridad implementadas, el estudio indicó que el 71% de las organizaciones participantes han adoptado parcial o totalmente las recomendaciones del sistema de gestión de seguridad de la información que establece el estándar internacional ISO/IEC 27001. Sin embargo, respecto del establecimiento de la política de privacidad, el mismo estudio señala que el 34% de las organizaciones participantes no cuentan con una política de privacidad formalizada. Asimismo, el 41% de las empresas encuestadas mostraron no tener una conexión entre la política de privacidad y su política de seguridad de la información.
8
9
10
Consultable en: https://www.isaca.org/chapters4/Mexico-City/Documents/Estudio%20de%20la%20Seguridad%20de%20la%20Informaci%C3%B3n%20 en%20M%C3%A9xico%202017.pdf Phishing: Forma digital de estafa que utiliza mensajes falsos con aspecto auténtico, para solicitar información a los usuarios y dirigirlos a un sitio web falso que solicita información. Consultable en: http://recursos.pwc.mx/landing.asp?pagina=gracias-por-descargar-estudio-de-la-privacidad-en-mexico-2016
LÍNEAS ESTRATÉGICAS PARA LA CREACIÓN DE POLÍTICAS ...
17
III. RELACIÓN ENTRE SEGURIDAD DE LA INFORMACIÓN, SEGURIDAD INFORMÁTICA Y CIBERSEGURIDAD Del apartado anterior, es posible identificar que existe una relación entre los conceptos: (i) ciberseguridad, (ii) seguridad de la información y (iii) seguridad informática, los cuales es común que se utilicen de manera indistinta. Ahora bien, con el propósito de aclarar las diferencias entre tales conceptos, la ciberseguridad involucra la protección de (i) la información almacenada y en tránsito, (ii) la infraestructura crítica para los servicios de electricidad, agua, transporte, comunicaciones y salud; (iii) redes y (iv) sistemas de procesamiento de información. Por su parte, la seguridad informática contempla una serie de mecanismos que minimizan la vulnerabilidad de los bienes y recursos de una organización. En otras palabras, es cualquier medida que impida comprometer la confidencialidad, integridad y disponibilidad de (i) la información almacenada y en tránsito, (ii) redes y (iii) sistemas de procesamiento de información. Sin embargo, desde un enfoque más amplio, el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST, por sus siglas en inglés) define la seguridad de la información como la protección de la información contra el acceso no autorizado, uso, divulgación, interrupción, modificación o destrucción en los sistemas de tratamiento, a fin de proporcionar información exacta y completa para ser revelada, accesible y utilizable solo por las personas autorizadas.11 Derivado de lo anterior, se considera relevante mostrar la relación entre los términos de ciberseguridad, seguridad informática y seguridad de la información, como se ilustra en la Figura 1 y Figura 2.
11
Kisel, Richard. Glossary of Key Information Security Terms, NIST, 2013, pág. 94. Consultable en: http://nvlpubs.nist.gov/nistpubs/ir/2013/NIST.IR.7298r2. pdf.
18
ARMANDO BECERRA Y NOEMI GONZÁLEZ
FiguraFigura 1. Relación de los términos, la información, informática y ciberseguridad. 1. Relación de losseguridad términosdeseguridad de laseguridad información, seguridad
informática y ciberseguridad. Áreas Técnicas
Activos estratégicos a proteger
Áreas Técnicas Seguridad de la información
1. Información física
Seguridad
de
Seguridad informática
información
la
Activos estratégicos a proteger
2. Información digital 2. Información digital 1. Información física 4. Redes
5. Sistemas de procesamiento de información 2. Información digital 2. Información digital
Ciberseguridad
Seguridad informática
2. Información digital 3. Infraestructura crítica 4. Redes
4. Redes 5. Sistemas de procesamiento de información
Figura 2. Relación de los términos seguridad de la información, seguridad 5. Sistemas de procesamiento de información informática y ciberseguridad.
En resumen, la ciberseguridad protege la información digital, la infraes2. Información digital tructura crítica y otros recursos de Tecnologías de la Información y la Comunicación (TIC) interconectados. Por su parte, la seguridad informática solo 3. Infraestructura crítica protege la información digital y sus recursos de TIC involucrados. De manera Ciberseguridad que, la seguridad de la información se enfoca en preservar la confidencialidad, integridad y disponibilidad de4. Redes la información en formato digital y físico. Por lo tanto, es fundamental identificar el conjunto de activos estratégicos a proteger cuando se5. Sistemas de procesamiento de información generan políticas públicas o normativas, ya que se podrían estar generando instrumentos orientados a seguridad de Figura 2. Relación de los términos, seguridad de la información, seguridad informática y ciberseguridad.
LÍNEAS ESTRATÉGICAS PARA LA CREACIÓN DE POLÍTICAS ...
19
la información o informática, cuando la intención es crear entornos ciberseguros. Asimismo, conocer los campos de acción que cada una de estas disciplinas tienen en común, permite integrar diagnósticos, estudios, políticas y programas que consideren los instrumentos, documentos o herramientas existentes, a fin de minimizar la sobrerregulación o los excesos de carga en la implementación de las acciones en favor de la ciberseguridad.
IV. ESTRATEGIA NACIONAL DE CIBERSEGURIDAD PARA MÉXICO A solicitud del Gobierno de México, el Comité Interamericano Contra el Terrorismo (CICTE) de la Organización de los Estados Americanos (OEA), a través de su Programa de Ciberseguridad, convocó a una comisión de expertos internacionales para compartir las mejores prácticas con las principales entidades mexicanas. Así, durante 2017, distintos actores del sector público, privado y académico participaron en las mesas de trabajo para el desarrollo de la Estrategia Nacional de Ciberseguridad de México (ENCS), coordinadas por la Presidencia de la República con el apoyo de la OEA. A continuación, se presenta el diagnóstico incluido en las Recomendaciones para el Desarrollo de la Estrategia Nacional de Ciberseguridad de la OEA,12 derivado de estos trabajos: “A diciembre de 2015, la penetración de internet en México se estimó en 57.4%. De los 77.7 millones de personas que utilizan teléfonos móviles, dos de cada tres poseen un teléfono inteligente. En cuanto al perfil de los usuarios de internet, el 73.6% de los usuarios varía entre los 6 y los 34 años. Más significativamente, de la población mexicana con educación superior (de pregrado o posgrado), nueve de cada diez han incorporado el uso de internet en su vida cotidiana.13 México ha abordado cuestiones relacionadas con la seguridad cibernética y las TIC a nivel nacional y en diversos niveles, y algunos de los documentos que incluyen los temas son: (i) el Plan Nacional de Desarrollo
12
13
Consultable en: http://www.oas.org/documents/spa/press/Recomendacionespara-el-Desarrollo-de-la-Estrategia-Nacional-de-Ciberseguridad.pdf. Instituto Nacional de Estadística y Geografía (INEGI). Consultable en: http://www. inegi.org.mx/saladeprensa/aproposito/2016/internet2016_0.pdf Última entrada realizada: 4 de mayo de 2017.
20
ARMANDO BECERRA Y NOEMI GONZÁLEZ
2013-2018,14 (ii) el Programa para la Seguridad Nacional 2014-201815 y (iii) el Programa Nacional de Seguridad Pública 2014-2018.16 En cuanto a las recientes iniciativas gubernamentales en materia de seguridad cibernética, en 2012 el Gobierno de México creó un Comité Especializado en Seguridad de la Información (CESI), encargado de elaborar una Estrategia Nacional de Seguridad de la Información (ENSI). El Centro Nacional de Respuesta a Incidentes Cibernéticos del país, CERTMX, es miembro del Foro de Equipos de Respuesta a Incidentes de Seguridad Informática (FIRST) y sigue un Protocolo de Colaboración con otras entidades gubernamentales. El CERT-MX está muy involucrado en la protección de infraestructuras críticas nacionales (CNI, por sus siglas en inglés). Las partes interesadas coordinan la gestión de la seguridad de las infraestructuras y comparten información sobre los activos y las vulnerabilidades de la CNI. Las tecnologías se actualizan y respaldan periódicamente entre las entidades gubernamentales y se adhieren a las disposiciones del Manual Administrativo de Aplicación General en las materias de Tecnologías de la Información y Comunicaciones y de Seguridad de la Información (MAAGTICSI), desarrollado según normas internacionales como ISO 27001, ITIL y Cobit, entre otros. El estudio citado anteriormente presenta una visión general del estado de la seguridad cibernética en los países de la región del Caribe y América Latina. Los datos recogidos de este estudio fueron analizados mediante el uso de los 49 indicadores del modelo de madurez de la capacidad de seguridad cibernética desarrollado por el Centro Global de Capacidad sobre Ciberseguridad de la Universidad de Oxford (GCSCC, por sus siglas en inglés), el cual se divide en cinco dimensiones: 1) Política, 2) Sociedad, 3) Educación, 4) Legislación y 5) Tecnología. Asimismo, se utilizan cinco niveles de madurez para cada indicador: 1) Inicial, 2) Formativo, 3) Establecido, 4) Estratégico y 5) Dinámico. En las figuras siguientes se resumen las principales áreas de madurez relacionadas con el perfil de México en materia de ciberseguridad:17
14
15
16 17
Plan Nacional de Desarrollo 2013-2018. Consultable en: http://pnd.gob.mx/wpcontent/uploads/2013/06/PND-introduccion.pdf Programa Nacional de Seguridad Pública 2014-2018. Consultable en: http://www. dof.gob.mx/nota_detalle.php?codigo=5343081&fecha=30/04/2014. Idem. Tomadas del estudio Seguridad cibernética: ¿Estamos listos en América Latina y el Caribe? Consultable en: https://publications.iadb.org/handle/11319/7449.
4) Estratégico; y 5) Dinámico. En las figuras siguientes, se resumen las principales áreas de madurez relacionadas con el perfil LÍNEAS de México en materia de ESTRATÉGICAS ciberseguridad:17PARA LA CREACIÓN DE POLÍTICAS ...
21
Figura 3. Madurez de México en políticas y estrategias de ciberseguridad Figura 3. Madurez de México en Políticas y estrategias de Ciberseguridad.
Tomadas del estudio Seguridad cibernética: ¿Estamos listos en América Latina y el Caribe? Consultable en: https://publications.iadb.org/handle/11319/7449
17
Figura 4. Madurez de México en Marcos Legales de Ciberseguridad.
4. Madurez de México en Marcos Legales de Ciberseguridad. Figura 4. Figura Madurez de México en marcos legales de ciberseguridad
Figura 5. Madurez de México en cultura sociedad sobre ciberseguridad. Figura 5. 5. Madurez dede México en en Cultura y Sociedad sobre Ciberseguridad. Figura Madurez México Cultura yy Sociedad sobre Ciberseguridad.
14
22
ARMANDO BECERRA Y NOEMI GONZÁLEZ
Figura 6. Madurez de México Educación sobre Ciberseguridad. Figura 6. Madurez de México en Educación sobre Ciberseguridad. Figura 6. Madurez de México eneneducación sobre ciberseguridad.
Figura 7. Madurez de en Tecnologías de Ciberseguridad. Figura 7. Madurez deMéxico México en tecnologías de ciberseguridad.
Figura 7. Madurez de México en Tecnologías de Ciberseguridad.
16