El nuevo sistema que protegerá tus datos en Mendoza: cómo funcionará la ley que acaba de aprobarse

La Cámara de Diputados dio el visto bueno final al proyecto del Gobierno y Mendoza ya cuenta con su propia Ley de Ciberseguridad. La norma busca prevenir y responder ataques informáticos contra el Estado, con una estructura institucional inédita en la provincia.

Uno de los cambios centrales es la creación de un esquema de conducción, ejecución y fiscalización. El Comité de Conducción Estratégica de Ciberseguridad (CCEC) será la autoridad de aplicación: tendrá a su cargo el Plan Provincial de Ciberseguridad, la fijación de estándares obligatorios, la clasificación de sistemas críticos y la recepción de reportes sobre fallas.

Por otro lado, una autoridad especializada se ocupará de la ejecución operativa: implementar prevención, monitoreo y respuesta ante incidentes. La ley separa las funciones estratégicas, operativas y de control para evitar superposiciones.

También se prevé un Centro de Operaciones de Seguridad (SOC) para vigilancia permanente y detección temprana de amenazas, más un Equipo de Respuesta ante Incidentes (CSIRT) que actuará ante ataques, mitigará daños y ayudará a recuperar los sistemas.

Qué protege la norma

La ley alcanza a la infraestructura digital crítica provincial: sistemas cuya caída afectaría el funcionamiento del Estado o servicios esenciales. Quedan incluidos salud, educación, seguridad pública, justicia, hacienda, identidad digital e interoperabilidad administrativa.

El objetivo es asegurar confidencialidad, integridad, disponibilidad, continuidad y resiliencia de los servicios digitales. Se agrega un régimen de gobernanza de datos que obliga a proteger la información durante todo su ciclo de vida, desde su creación hasta su eliminación. Los accesos e intercambios deberán tener una finalidad institucional legítima y quedar auditados.

El rol de los hackers éticos

La iniciativa incorpora la figura de los llamados "hackers éticos" o "de sombrero blanco". La ley crea un marco para que especialistas puedan detectar y reportar vulnerabilidades en sistemas estatales sin miedo a represalias legales, siempre que cumplan las condiciones del programa.

La herramienta surgió de planteos en la White Hat Conference, la conferencia internacional de ciberseguridad realizada en Mendoza. El Programa de Divulgación Responsable tendrá un canal público y gratuito para recibir reportes, con la idea de corregir fallas antes de que sean explotadas.

Registro de incidentes y obligaciones

Se crea el Registro Provincial de Incidentes de Ciberseguridad para centralizar ataques, vulnerabilidades y respuestas. Servirá para analizar casos, medir tiempos de reacción y elaborar estadísticas que mejoren las políticas de prevención. La información podrá ser reservada si su divulgación compromete la seguridad del Estado.

Empresas y proveedores que brinden servicios digitales, conectividad o almacenamiento al Estado deberán informar vulnerabilidades o incidentes que afecten los sistemas provinciales. Habrá estándares mínimos de seguridad y un régimen de sanciones progresivo ante incumplimientos, sobre todo si se ocultan incidentes que pongan en riesgo servicios públicos o datos sensibles.

Las críticas de la oposición

El proyecto no estuvo exento de objeciones. Un artículo que habilita la contratación directa de software, hardware y consultorías en ciberseguridad fue cuestionado por sectores opositores.

Lucas Ilardo (Fuerza Patria) criticó que la iniciativa se enfocara en la infraestructura del Estado y pidió precisiones sobre la responsabilidad ante una filtración de datos y la notificación a los afectados. Por su parte, Germán Gómez (PJ) sostuvo que al texto le faltó "una premisa fundamental: que es la preservación, el cuidado de la información y de los datos ultra sensibles que se van a manejar". También consideró ambigua la composición del comité de ciberseguridad.

Durante el debate en comisiones se introdujeron cambios: la aplicación obligatoria quedó limitada al Poder Ejecutivo, mientras que Legislativo y Judicial serán invitados a sumar representantes al Comité Provincial. Los municipios podrán adherir al plan respetando sus autonomías.

Por qué la impulsó el Gobierno

Desde el Ejecutivo remarcaron que la ley no pretende evitar todos los ataques, algo imposible, sino dar herramientas para prevenirlos, detectarlos y responder de forma coordinada. La preocupación central es el impacto de un ataque sobre servicios esenciales: hospitales, seguridad, transporte o la administración pública, además de la información personal que maneja el Estado.

Con esta norma, Mendoza se dota de un marco específico para la ciberseguridad, con estructura institucional propia, monitoreo, respuesta y mecanismos para adelantarse a las vulnerabilidades.