Redacción Mendoza TimesLa ciberseguridad en Mendoza cuenta desde ahora con un nuevo marco legal para prevenir ataques informáticos, responder ante incidentes y reducir el riesgo de que una falla comprometa sistemas públicos o información sensible.
Se trata de la Ley 9726 de Ciberseguridad, impulsada por el Ministerio de Seguridad y Justicia, sancionada el 2 de septiembre y publicada este lunes en el Boletín Oficial.
La norma alcanza principalmente al Poder Ejecutivo provincial, pero también incorpora obligaciones para empresas y terceros que presten servicios tecnológicos al Estado.
Uno de los cambios centrales es la creación del Comité de Conducción Estratégica de Ciberseguridad (CCEC), que funcionará como autoridad de aplicación.
Entre sus responsabilidades estarán elaborar el Plan Provincial de Ciberseguridad, fijar estándares obligatorios, clasificar los sistemas según su nivel de riesgo y controlar que las medidas de protección sean cumplidas.
La ejecución técnica quedará a cargo de una Autoridad de Ejecución Operativa, que deberá implementar las herramientas para detectar, contener y responder ante amenazas.
La ley permite que estas tareas se desarrollen mediante estructuras estatales, empresas especializadas o esquemas mixtos, aunque la supervisión y el control seguirán bajo responsabilidad de la Provincia.
El sistema incorporará capacidades de SOC y CSIRT, destinadas al monitoreo de eventos de seguridad y a la respuesta especializada frente a incidentes.
Entre sus funciones estarán detectar ataques, analizar técnicamente las amenazas, contenerlas y colaborar en la recuperación de los sistemas afectados.
Cuando se trate de un incidente crítico, los equipos podrán adoptar medidas inmediatas para limitar su alcance, como segmentar o aislar sistemas para evitar que el problema se extienda hacia otros organismos.
Además, se creará un Registro Provincial de Incidentes de Ciberseguridad, que permitirá reunir información sobre los ataques, detectar problemas recurrentes, medir los tiempos de respuesta y elaborar estadísticas para mejorar la prevención.
Parte de esos datos será reservada cuando su difusión pueda comprometer la seguridad de los sistemas. La confidencialidad también alcanzará a reportes técnicos, vulnerabilidades, configuraciones, planes de recuperación, evidencias digitales y arquitectura de seguridad.
La ley establece un sistema escalonado para informar los incidentes, que deberá contemplar alerta temprana, actualización inicial, informe definitivo y seguimientos mientras la amenaza continúe activa.
Las obligaciones también alcanzarán a proveedores de software, almacenamiento en la nube, conectividad, infraestructura, soporte y otros servicios tecnológicos contratados por el Estado.
Estas empresas deberán informar vulnerabilidades o incidentes que puedan comprometer sistemas o datos provinciales. Los contratos tampoco podrán impedir injustificadamente la comunicación de información necesaria para prevenir o contener un ataque.
La nueva legislación establece reglas específicas para el gobierno de datos. La información deberá estar protegida durante todo su ciclo, desde la creación y consulta hasta el almacenamiento, respaldo, intercambio y eliminación.
Los accesos y transferencias deberán tener una finalidad institucional, contar con autorización y dejar registros que puedan ser auditados.
Para los sistemas considerados esenciales, las exigencias serán mayores. La Provincia podrá requerir controles reforzados de acceso, monitoreo permanente, planes de recuperación ante desastres, ejercicios de respuesta y protocolos especiales para comunicar incidentes.
Entre las áreas que pueden quedar comprendidas se encuentran seguridad, salud, educación, justicia, hacienda, identidad digital y servicios públicos, cuando una interrupción pueda comprometer su funcionamiento.
La Ley 9726 incorpora un mecanismo para que personas y empresas puedan reportar fallas de seguridad detectadas en sistemas estatales.
La reglamentación deberá establecer un canal público y gratuito para recibir esas comunicaciones. Quienes actúen de buena fe y cumplan las condiciones previstas tendrán una protección específica, siempre que no hayan explotado, difundido ni comercializado la vulnerabilidad.
En paralelo, la normativa contempla sanciones para organismos o proveedores que incumplan las reglas. Entre las faltas graves figuran ocultar incidentes, impedir auditorías, no aplicar estándares mínimos, brindar información técnica falsa o desobedecer instrucciones durante una emergencia informática.
Las medidas podrán ir desde advertencias y planes obligatorios de adecuación hasta auditorías extraordinarias, restricciones de interconexión y, ante un riesgo sistémico, la suspensión de la conexión con plataformas provinciales.
Los municipios de Mendoza fueron invitados a adherir al sistema provincial. A su vez, el Poder Judicial y la Legislatura podrán designar representantes para participar en la elaboración del esquema provincial o desarrollar sus propios planes de ciberseguridad, siempre bajo los principios establecidos por la nueva legislación.
La Ley 9726 establece un esquema que combina prevención, monitoreo, respuesta, reporte y control, con especial atención sobre los sistemas cuya interrupción pueda afectar servicios esenciales o información sensible de la provincia.
