Ciberseguridad en Perú hoy: realidad y acción

La ciberseguridad en Perú es un tema de actualidad, sobre todo desde que se conoce que es el país que mayor número de ataques de spyware ha sufrido en Latinoamérica, solo por detrás de Brasil y México. En todo el mundo, ocupa la posición 39, según el mapa interactivo Kaspersky, que muestra los efectos de la amenaza en tiempo real.

Servicios financieros, consultorías, telecomunicaciones, manufacturas o seguros son los principales objetivos de los hackers (Fireeye) y el problema es que no existe Ley de Ciberseguridad en vigor en Perú.

Ciberseguridad en Perú: ¿estamos desprotegidos?

El aumento en la penetración de Internet en el país es fuente de ventaja competitiva para las empresas, aunque, al mismo tiempo, plantea un riesgo para la ciberseguridad y Perú no está listo aún para afrontarlo.

Tal y como se recoge en el informe de 2016 del Banco Interamericano de Desarrollo, “mientras que los servicios de gobierno electrónico y comercio electrónico continúan expandiéndose en Perú, la conciencia social es generalmente baja en lo que respecta a la seguridad cibernética”.

Afortunadamente, se observan avances legislativos y ejecutivos en lo que respecta a la gestión de la ciberseguridad en Perú, como:

1.       A pesar de la inexistencia de una Ley de Ciberseguridad en Perú en vigor; sí que existen varias leyes que se aplican a este campo, como la Ley N ° 30.171 que amplía el Código Penal incluyendo los delitos informáticos o la Ley N ° 29.733, la Ley de Protección de Datos Personales (PDPA).

2.       Se ha propuesto crear un Viceministerio de Tecnología de la Información y la Comunicación, que permitiría establecer iniciativas sobre el desarrollo de la tecnología, y se centraría en las normas de seguridad cibernética.

3.       Existe una División de Delitos de Alta Tecnología como parte de la Policía Nacional, cuyos miembros están capacitados para llevar a cabo patrullas virtuales.

De manera adicional, se observa una tendencia que surge de manera posterior a la aprobación de la Ley de Protección al Consumidor. Es la motivación de los particulares a exigir a las empresas el cumplimiento, para proteger derechos de privacidad.

Si bien en un primer momento era la autoridad competente de oficio quien se encargaba de identificar los casos de incumplimiento, a los que sancionaría; años más tarde, son los propios consumidores, conocedores de sus derechos, quienes elevan sus quejas a la Autoridad competente cuando perciben que estos están siendo vulnerados.

¿Cómo pueden las empresas elevar el nivel de ciberseguridad en Perú?

Aunque no se cuenta con el respaldo sólido de una Ley específica en la materia, existen algunas medidas de seguridad relevantes que pueden adoptar las empresas del país, como las que establece la Norma Técnica sobre Tecnología de la Información, Código de Buenas Prácticas (NTP ISO / IEC 17799).:

• Autorización y autenticación. Consiste en imponer controles de gestión de acceso y privilegios.
• Gestión de cuentas mejorada. En base a la verificación periódica y supervisión de privilegios.
• Visibilidad sobre los activos informacionales. Es preciso garantizar la trazabilidad activa de la interacción de los usuarios.
• Medidas de apoyo. Algo que se beneficiaría de protocolos de respaldo y recuperación, entre otros.

Además de estas medidas, cuando las empresas trabajan con datos sensibles e información personal, conviene reforzar la protección de ciberseguridad. En Perú, empresas en la industria legal, financiera, de la salud o los seguros se beneficiarían de la definición de una política de seguridad de la información, reforzada por la definición e implementación de una metodología de gestión de riesgos, cuya integridad podrían velar estándares, políticas y procedimientos definidos por la empresa. El complemento idóneo son las auditorías periódicas y un adecuado mantenimiento de registros que permita verificar el cumplimiento de los estándares.