Mèxic està a punt de fer un canvi significatiu en matèria de ciberseguretat amb la introducció de la proposta de llei presentada al Congrés el 2023. Aquesta iniciativa es va sotmetre a estudi per part de les comissions cap a finals d'aquell any i és probable que es voti el 2024. Tot i que caldrà esperar que la llei es publiqui per poder-ne conèixer els detalls, ja podem revisar els punts clau d'aquesta primera versió per familiaritzar-nos amb les noves responsabilitats dels subjectes obligats per aquesta norma.
En aquest sentit, la proposta de Llei Federal de Ciberseguretat pretén reconèixer la rellevància absoluta de l'entorn virtual global, i els seus avantatges i riscos. Destaca el considerable augment de l'accés a Internet a Mèxic (que ja arriba al 70%) i el fet que la ciberseguretat tingui un nivell de prioritat cada vegada més alt arreu del món. Després d'esmentar un seguit de ciberdelictes i atacs digitals que han tingut un gran ressò al país, arriba a la conclusió que hi ha una forta necessitat de fomentar una cultura de prevenció en temes de ciberseguretat, emparada per una regulació en la matèria.
Un dels aspectes bàsics i de gran rellevància per entendre la iniciativa són les definicions que estableix en matèria de ciberseguretat. Per exemple, a efectes legals, "confidencialitat" fa referència a "la propietat de la informació, que garanteix que només hi pot accedir el personal autoritzat". Entre altres conceptes clau, l'article 3 també descriu els incidents de ciberseguretat o cibernètics com a "un o diversos esdeveniments no desitjats o inesperats que tenen una probabilitat significativa de comprometre (o que comprometen) les operacions organitzacionals i d'amenaçar la seguretat de la informació".
El text també aborda les funcions i les atribucions de diferents organismes estatals, com ara l'Agència Nacional de Ciberseguretat, i contempla la creació del Registre Nacional d'Incidents de Ciberseguretat, que "s'integrarà amb la informació dels esdeveniments que representin algun atac, delicte cibernètic o esdeveniment que hagi provocat una interrupció o una degradació importants o rellevants en l'operació dins de la infraestructura tecnològica d'un organisme públic o privat". D'acord amb l'article 18, estan obligats a lliurar informació per a aquest registre els administradors d'infraestructures crítiques d'informació públiques i privades, i tots aquells que hagin patit incidents de ciberseguretat que suposin un risc per a la seva operació o per a la seguretat de dades personals de tercers.
Els títols quart i cinquè són especialment interessants per a les empreses que presten serveis digitals, gestionen dades personals o utilitzen infraestructures digitals i de telecomunicacions. Contenen un seguit d'obligacions per a les organitzacions i els seus administradors de TI, entre les quals hi ha:
En poques paraules, aquesta proposta de llei incorpora un alt grau de responsabilitat per a les empreses i els seus administradors. En aquest sentit, a més de conèixer la informació, és fonamental centrar-se en la prevenció. Un cop s'aprovi la Llei Federal de Ciberseguretat, també serà necessari comptar amb les mesures de seguretat adequades per tal de complir-la.
Per tant, t'oferim tres recomanacions perquè et preparis per complir aquesta nova regulació:
Tenir una llei en la matèria és un pas important per protegir la informació dels usuaris i evitar els delictes cibernètics. Tot sembla indicar que la futura Llei Federal de Ciberseguretat ens farà corresponsables del seu compliment.
Si vols més informació sobre el tema, estem a la teva disposició per resoldre qualsevol dubte relacionat amb la protecció de la teva informació i les teves infraestructures digitals. Posa't en contacte amb nosaltres o visita la nostra pàgina web.