Así es la política con la que Colombia quiere enfrentar las amenazas de internet

Colombia tiene una nueva política de seguridad digital. Se trata del documento Conpes 3854 de 2016, para el que, según el Departamento Nacional de Planeación (DNP), hay $85.000 millones que se ejecutarán de ahora a 2019. La idea de la política, anunciada ayer, pero que al cierre de esta edición no se había publicado, es poner al país a tono –y seguirlo preparando- con la revolución digital, que así como trae educación, oportunidades de negocios, entre otros, también conlleva amenazas, como suplantaciones o pérdida o hurto de información. (Lea "Avanza política de seguridad digital")

Con esta política, todas las entidades del Estado están llamadas a adoptar esquemas de lo que el Gobierno denomina “gestión del riesgo”, que no es otra cosa que identificar posibles peligros para las entidades, su infraestructura e información, evitarlos y saber cómo reaccionar ante alguna eventualidad. Pero también la idea es educar y fomentar una cultura en los ciudadanos que los haga conscientes de que el manejo del riesgo es su responsabilidad, por ejemplo, no dándole sus claves a nadie o no dejando el correo abierto en sitios públicos.

Según el Ministerio de Tecnologías de la Información y las Comunicaciones (Mintic), el grupo de la sociedad más afectado por los “incidentes digitales” son los ciudadanos de a pie, pues 42 de cada 100 recaen sobre ellos. Luego vienen el Gobierno y los sectores de educación financiero, industria, y defensa con 9,2, 9, 6,6 y 5,8 %, respectivamente. En menor medida se ven afectados el sector TIC, los medios de comunicación, las entidades adscritas y el sector de la salud.

El país ya tenía una política de seguridad digital del 2011, pero la nueva se ha hecho conforme a las recomendaciones de la Organización para la Cooperación y el Desarrollo Económicos (OCDE), y ha recogido visiones del sector privado, la sociedad civil, entre otros. Eso ha resultado, según el Gobierno, en que las “mejores prácticas” que busca el Conpes sean, por ejemplo, que la seguridad digital se maneje desde un alto nivel del Gobierno, pero que sea un poco responsabilidad de todos, con un enfoque de defensa y seguridad nacional, así como de los derechos humanos.

En la práctica, eso significa que el Mintic deberá diseñar un modelo de gestión de riesgo para que todos los interesados sepan qué hacer y aplicarlo, que deberá estar listo en 2018. A esa cartera también le corresponderá hacer un estudio del impacto del crimen en entornos digitales, que privados como Cisco han calculado que le cuestan al país $1 billón anuales. Uno de los propósitos es que los ciudadanos estén enterados de los riesgos para que con mayor tranquilidad y conocimiento puedan aprovechar el mundo digital.

De acuerdo con el subdirector sectorial del DNP, Luis Fernando Mejía, una de las acciones que se deben tomar es la actualización y adecuación del marco regulatorio, y que en el código penal se tipifiquen la gran cantidad de delitos que se van gestando en los entornos digitales. Será precisamente Planeación Nacional la entidad encargada de coordinar la ejecución del Conpes, teniendo en cuenta que todos los entes del Estado deben ahora tener un interlocutor de seguridad digital.

Uno de los aspectos más destacados del documento es la inclusión de la protección de los derechos humanos como principio de toda la política. Este es un asunto que organizaciones como la Comisión Colombiana de Juristas o la Fundación para la Libertad de Prensa habían reconocido como fundamental. Pero también es un aspecto que había sido criticado, pues, han dicho, esta es apenas una mención formal que requiere de acciones concretas.

“En el último documento que vimos no hay ningún enfoque de derechos humanos. El documento está muy centrado en proteger el desarrollo económico del país, principalmente”, en opinión de Amalia Toledo, coordinadora de proyectos de la Fundación Karisma, una de las organizaciones de la sociedad civil que enviaron comentarios para ser considerados en la redacción final de la política. Toledo comentó sin conocer el documento final, que, como se dijo, fue anunciado pero no publicado al cierre de esta edición.

María Isabel Mejía, viceministra de TI, señaló que es principio fundamental en el Conpes “salvaguardar los derechos humanos y los valores fundamentales de los ciudadanos incluyendo la libertad de expresión, el libre flujo de información, la confidencialidad de la información y las comunicaciones, la protección de la intimidad y los datos personales y la privacidad, así como los principios consagrados en la Constitución”. Limitar esos derechos, según la política, ocurriría “bajo medidas excepcionales” que deben ser conformes a la Constitución y a estándares internacionales, ser proporcionales y necesarias.

Emmanuel Vargas, de la Fundación para la Libertad de Prensa (Flip), dijo en febrero pasado que el documento “no se hace pensando en una clave de posconflicto. No se va a hacer ciberdefensa y ciberseguridad en clave de combatir a un enemigo en un conflicto armado, sino a bandas criminales en una instancia”. Según Miguel Osorio, de la Comisión Colombiana de Juristas (CCJ), al respecto surgían dudas como qué garantías tendría la información de las víctimas o de las tierras.

De acuerdo con Álvaro Chaves, director de Seguridad Pública e Infraestructura del Ministerio de Defensa, “la catalogación de infraestructura crítica en la que avanzamos tiene una aplicabilidad en el posconflicto, pues las amenazas mutan y se hacen visibles de diferentes formas”. El Mintic, por su parte, asegura que la política reconoce el estatus sensible de ciertos actores en un escenario de posconflicto. “Esa será población objetivo que tendrá un manejo de información con un esquema diferencial, y ese fue un aporte muy importante de la sociedad civil”. 

Colombia tiene una nueva política de seguridad digital. Se trata del documento Conpes 3854 de 2016, para el que, según el Departamento Nacional de Planeación (DNP), hay $85.000 millones que se ejecutarán de ahora a 2019. La idea de la política, anunciada ayer, pero que al cierre de esta edición no se había publicado, es poner al país a tono –y seguirlo preparando- con la revolución digital, que así como trae educación, oportunidades de negocios, entre otros, también conlleva amenazas, como suplantaciones o pérdida o hurto de información. (Lea "Avanza política de seguridad digital")

Con esta política, todas las entidades del Estado están llamadas a adoptar esquemas de lo que el Gobierno denomina “gestión del riesgo”, que no es otra cosa que identificar posibles peligros para las entidades, su infraestructura e información, evitarlos y saber cómo reaccionar ante alguna eventualidad. Pero también la idea es educar y fomentar una cultura en los ciudadanos que los haga conscientes de que el manejo del riesgo es su responsabilidad, por ejemplo, no dándole sus claves a nadie o no dejando el correo abierto en sitios públicos.

Según el Ministerio de Tecnologías de la Información y las Comunicaciones (Mintic), el grupo de la sociedad más afectado por los “incidentes digitales” son los ciudadanos de a pie, pues 42 de cada 100 recaen sobre ellos. Luego vienen el Gobierno y los sectores de educación financiero, industria, y defensa con 9,2, 9, 6,6 y 5,8 %, respectivamente. En menor medida se ven afectados el sector TIC, los medios de comunicación, las entidades adscritas y el sector de la salud.

El país ya tenía una política de seguridad digital del 2011, pero la nueva se ha hecho conforme a las recomendaciones de la Organización para la Cooperación y el Desarrollo Económicos (OCDE), y ha recogido visiones del sector privado, la sociedad civil, entre otros. Eso ha resultado, según el Gobierno, en que las “mejores prácticas” que busca el Conpes sean, por ejemplo, que la seguridad digital se maneje desde un alto nivel del Gobierno, pero que sea un poco responsabilidad de todos, con un enfoque de defensa y seguridad nacional, así como de los derechos humanos.

En la práctica, eso significa que el Mintic deberá diseñar un modelo de gestión de riesgo para que todos los interesados sepan qué hacer y aplicarlo, que deberá estar listo en 2018. A esa cartera también le corresponderá hacer un estudio del impacto del crimen en entornos digitales, que privados como Cisco han calculado que le cuestan al país $1 billón anuales. Uno de los propósitos es que los ciudadanos estén enterados de los riesgos para que con mayor tranquilidad y conocimiento puedan aprovechar el mundo digital.

De acuerdo con el subdirector sectorial del DNP, Luis Fernando Mejía, una de las acciones que se deben tomar es la actualización y adecuación del marco regulatorio, y que en el código penal se tipifiquen la gran cantidad de delitos que se van gestando en los entornos digitales. Será precisamente Planeación Nacional la entidad encargada de coordinar la ejecución del Conpes, teniendo en cuenta que todos los entes del Estado deben ahora tener un interlocutor de seguridad digital.

Uno de los aspectos más destacados del documento es la inclusión de la protección de los derechos humanos como principio de toda la política. Este es un asunto que organizaciones como la Comisión Colombiana de Juristas o la Fundación para la Libertad de Prensa habían reconocido como fundamental. Pero también es un aspecto que había sido criticado, pues, han dicho, esta es apenas una mención formal que requiere de acciones concretas.

“En el último documento que vimos no hay ningún enfoque de derechos humanos. El documento está muy centrado en proteger el desarrollo económico del país, principalmente”, en opinión de Amalia Toledo, coordinadora de proyectos de la Fundación Karisma, una de las organizaciones de la sociedad civil que enviaron comentarios para ser considerados en la redacción final de la política. Toledo comentó sin conocer el documento final, que, como se dijo, fue anunciado pero no publicado al cierre de esta edición.

María Isabel Mejía, viceministra de TI, señaló que es principio fundamental en el Conpes “salvaguardar los derechos humanos y los valores fundamentales de los ciudadanos incluyendo la libertad de expresión, el libre flujo de información, la confidencialidad de la información y las comunicaciones, la protección de la intimidad y los datos personales y la privacidad, así como los principios consagrados en la Constitución”. Limitar esos derechos, según la política, ocurriría “bajo medidas excepcionales” que deben ser conformes a la Constitución y a estándares internacionales, ser proporcionales y necesarias.

Emmanuel Vargas, de la Fundación para la Libertad de Prensa (Flip), dijo en febrero pasado que el documento “no se hace pensando en una clave de posconflicto. No se va a hacer ciberdefensa y ciberseguridad en clave de combatir a un enemigo en un conflicto armado, sino a bandas criminales en una instancia”. Según Miguel Osorio, de la Comisión Colombiana de Juristas (CCJ), al respecto surgían dudas como qué garantías tendría la información de las víctimas o de las tierras.

De acuerdo con Álvaro Chaves, director de Seguridad Pública e Infraestructura del Ministerio de Defensa, “la catalogación de infraestructura crítica en la que avanzamos tiene una aplicabilidad en el posconflicto, pues las amenazas mutan y se hacen visibles de diferentes formas”. El Mintic, por su parte, asegura que la política reconoce el estatus sensible de ciertos actores en un escenario de posconflicto. “Esa será población objetivo que tendrá un manejo de información con un esquema diferencial, y ese fue un aporte muy importante de la sociedad civil”.