Rodrigo Testón es Asesor Marítimo, Cybersecurity GRC, Auditor Interno Norma ISO9K-14K-27K-28K-45K, Consultor Sistemas de Gestión y Maritime Security
Buena noticia que se está gestionando la bajada de la información para funcionario públicos (en dos eventos virtuales, febrero y en marzo) en relación con las definiciones y principios generales de la Ley Marco, siendo importante destacar las disposiciones que se aplicarán a los Servicios Esenciales, siendo aquellos provistos por los Órganos de la Administración del Estado y, el Coordinador Eléctrico Nacional.
A modo de sugerencia, una oportunidad para ilustrar la importancia y relevancia de la Agencia Nacional de Ciberseguridad, como agencia rectora en la materia, es la de generar esta misma iniciativa, enfocada en la participación activa en las mismas plataformas, para industrias y entornos relacionados directa e indirectamente y de servicios, definiendo áreas sectoriales desde cordillera a mar y de norte a sur, para generar conocimiento, desarrollo y madurez, así proyectando esfuerzos en difusión y recepción de inquietudes relacionadas que permitan asentar la Norma.
Por otro lado, es relevante motivar la importancia para que se definan bajo ese mismo prisma, cuáles organizaciones (con nombre y apellido) tendrán la categoría de Infraestructura Crítica, Servicios Esenciales y Operadores de Importancia Vital, para efectos en lo que importa, del área sectorial marítimo-portuaria, donde ya inició el deadline para el proceso de implementación del cumplimiento de requisitos normativos (Circular Marítima Directemar, O-75/006, 16.06.25).
Lo anterior debe ir de la mano con los procesos de implantación, madurez y mejora continua, objeto las organizaciones ya sepan como flexibilizar sus estrategias y modelos de negocios en sus respectivas plataformas digitales, donde se auditará el grado de cumplimiento en la protección de activos de seguridad de la información, la digitalización de sus operaciones (Vumar), la armonización en la Protección de Activos Físicos (Infraestructura Crítica de Instalaciones Portuarias y Terminales Marítimos) y el Sistema de Gestión de Seguridad de la Información, en la Gestión de Riesgos Cibernéticos Marítimos.
Si vamos al contexto global desde la segunda mitad de 2024, los desafíos del sector marítimo portuario seguirán crecientes en materias de seguridad de la información. El aumento de los potenciales ciberataques ya dirigidos a dos vías, en sistemas de Tecnología de la Información (IT) y Tecnología Operativa (OT), sumado a la ineludible y creciente dependencia de la gestión operativa en las tecnologías digitales, hace que a nivel local, la protección de activos de seguridad de la información sea un tema crítico, donde la armonización de los requisitos de protección, mediante las directrices de la circular marítima Directemar O-75/006 y las recomendaciones de la familia de Normas de la ISO 27.001, sean claves en fortalecer las capacidades y protección de la industria, que engloba personas, organizaciones, stakeholders, infraestructuras, buques, cadenas logísticas y el entorno donde se encuentran insertas.
Ya se ha planteado el impacto en la valorización de los activos, los potenciales costos ante incidentes en la operación, en la producción; versus el precio que exigirá un actor malicioso ante una disrupción de infraestructura crítica; el impacto ante secuestro de datos que filtren información confidencial y sensible de la organización y sus stakeholders, la diferenciación entre la ciberseguridad IT y la ciberseguridad OT, para enfocar las necesidades de soluciones para acortar brechas, simplemente aplicando eficiencia y eficacia.
“A lo principal lo máximo, a lo secundario lo necesario” y, en fin, la multiplicidad de acciones preventivas que simplemente construyan una base donde la arquitectura en el tema permita creación de awareness, incorporación de la ciberseguridad en el lenguaje del negocio, generar alianzas estratégicas y de liderazgo con expertos, realizar capacitaciones y sensibilización sostenida, difundir la relevancia que implica el apoyo regulatorio existente para el cumplimiento de requisitos en implantaciones de sistemas de gestión en concordancia con las políticas organizacionales de compliance que emanan desde la alta dirección, proyectar la ciberseguridad como una ventaja competitiva y generadora de valor.
Finalmente, comprender que la difusión de este riesgo estratégico una realidad inminente, que no desaparecerá con todo lo anteriormente citado, aunque en general sea que la percepción de los riesgos no son cercanos ni inmediatos, aunque exista una brecha técnica que acortar o, porque simplemente, la cultura organizacional no priorice a la ciberseguridad; sino que por el contrario, Actuar permita mitigar, analizar, responder y restablecer, fortalezas para la resiliencia operacional.
