Mendoza activó el escudo contra ciberataques: quiénes deberán rendir cuentas

Mendoza ya cuenta con un marco legal propio para defenderse de los ataques informáticos. La Ley 9726 de Ciberseguridad, impulsada por el Ministerio de Seguridad y Justicia, fue sancionada el 2 de septiembre y publicada este lunes en el Boletín Oficial. La norma apunta a prevenir incidentes, responder con rapidez y evitar que una falla digital derribe servicios públicos o exponga información sensible.

El alcance principal recae sobre el Poder Ejecutivo, pero también alcanza a las empresas y terceros que le presten servicios tecnológicos al Estado. La protección abarca los datos personales, los sistemas de la administración provincial y lo que la ley denomina infraestructura crítica esencial: plataformas cuya interrupción podría comprometer seguridad, salud, educación, justicia, hacienda, identidad digital o servicios públicos.

Un comité estratégico y una autoridad operativa

El texto crea el Comité de Conducción Estratégica de Ciberseguridad (CCEC), que funcionará como autoridad de aplicación. Tendrá a su cargo elaborar el Plan Provincial de Ciberseguridad, fijar estándares obligatorios, clasificar los sistemas según su nivel de riesgo y controlar que las medidas se cumplan.

La operación técnica quedará separada de esa conducción política y de fiscalización. El Ejecutivo deberá designar una Autoridad de Ejecución Operativa, encargada de implementar las herramientas para detectar, contener y responder a las amenazas. Esa tarea podrá desarrollarse con estructuras propias del Estado, empresas especializadas o esquemas mixtos, pero la supervisión y el control seguirán siendo responsabilidad indelegable de la Provincia.

La ley incorpora capacidades de SOC y CSIRT, los centros de operaciones de seguridad y los equipos de respuesta ante incidentes. Sus funciones incluyen monitorear eventos, detectar ataques, analizar técnicamente lo que ocurre, contener las amenazas y asistir en la recuperación de los sistemas afectados.

Ante un incidente crítico, los equipos técnicos podrán tomar medidas inmediatas para limitar el daño, como segmentar o aislar sistemas y evitar que el problema se propague a otros organismos.

Registro de ataques y reporte escalonado

También se creará un Registro Provincial de Incidentes de Ciberseguridad, donde quedarán asentados los ataques y episodios detectados. El objetivo es identificar problemas recurrentes, medir los tiempos de respuesta y generar estadísticas para mejorar la prevención. Parte de esa información tendrá carácter reservado cuando su difusión ponga en riesgo los propios sistemas estatales. La confidencialidad alcanzará a reportes técnicos, vulnerabilidades, configuraciones, planes de recuperación, evidencias digitales y detalles de la arquitectura de seguridad.

La comunicación de incidentes seguirá un esquema escalonado: alerta temprana, actualización inicial, informe definitivo y seguimientos posteriores si la amenaza continúa activa.

Las obligaciones no son solo para las reparticiones provinciales. Los proveedores de software, almacenamiento en la nube, conectividad, infraestructura, soporte y servicios tecnológicos que trabajen para el Estado deberán informar vulnerabilidades o incidentes que puedan comprometer datos y sistemas provinciales. Los contratos, además, no podrán incluir cláusulas que impidan injustificadamente comunicar información necesaria para prevenir o contener un ataque.

Protección de datos y exigencias para sistemas esenciales

Un capítulo específico aborda el gobierno de datos. Los organismos deberán proteger la información durante todo su recorrido: creación, consulta, modificación, intercambio, almacenamiento, respaldo y eliminación. Los accesos y transferencias tendrán que responder a una finalidad institucional, estar autorizados y dejar registros auditables.

Para los sistemas esenciales habrá exigencias mayores: controles reforzados de acceso, monitoreo permanente, planes de recuperación frente a desastres, ejercicios de respuesta y procedimientos especiales para reportar incidentes.

La norma habilita un canal público y gratuito para que cualquier persona o empresa advierta sobre una vulnerabilidad informática en un sistema estatal. Quienes reporten de buena fe y cumplan las condiciones tendrán protección: el programa contemplará el compromiso de no iniciar acciones legales contra ellos, siempre que no hayan explotado, difundido ni comercializado la falla.

Incumplimientos y sanciones

La ley prevé medidas contra organismos o proveedores que no cumplan las reglas. Se consideran faltas graves no implementar estándares mínimos, ocultar incidentes, impedir auditorías, brindar información técnica falsa o desobedecer instrucciones durante una emergencia informática.

Las respuestas pueden ir desde una advertencia y un plan obligatorio de adecuación hasta una auditoría extraordinaria, restricciones de interconexión o, ante un riesgo sistémico, la suspensión de la conexión con plataformas provinciales.

Los municipios fueron invitados a adherir al sistema. El Poder Judicial y la Legislatura podrán designar representantes para participar en la elaboración del esquema provincial o desarrollar planes propios bajo los mismos principios. La norma también incorpora las adquisiciones y contrataciones vinculadas con ciberseguridad, protección de sistemas críticos, recuperación de información e inteligencia de amenazas al régimen del artículo 144, inciso a, de la Ley 8706 de Administración Financiera.