1

Propuesta de Polı́tica Nacional deCiberseguridad(PNCS)2016-2022

2

I. Índice

I. Índice.............................................................................................................................2

II. Introducción..................................................................................................................4

III. ¿Porquéserequiereunapolíticanacionaldeciberseguridad?....................................5

A. Pararesguardarlaseguridaddelaspersonasenelciberespacio.............................5

B. Paraprotegerlaseguridaddelpaís...........................................................................5

C. Parapromoverlacolaboraciónycoordinaciónentreinstituciones..........................5

D. Paragestionarlosriesgosdelciberespacio...............................................................5

IV. Estadoactualdelaciberseguridad:normas,instituciones,panoramaderiesgos........6

A. Normaseinstituciones..............................................................................................6

B. Panoramaderiesgos.................................................................................................6

V. Hojaderutadelapolítica.............................................................................................7

A. Objetivosdepolíticaparaelaño2022......................................................................7

B. Agendademedidas2016-2017yevaluación............................................................7

C. Políticasintegradascomplementariasenmateriadigital.........................................7

VI. Objetivosdepolíticaparaelaño2022..........................................................................9

A. El país contará con una infraestructura de la información pública y privada resiliente,preparada para resistir y recuperarse de incidentes de ciberseguridad, bajo una óptica degestiónderiesgos..............................................................................................................9

B. El Estado velará por los derechos de las personas en el ciberespacio, mediante laprevención y sanción efectiva de delitos, garantizando el pleno respeto de los derechoshumanos..........................................................................................................................11

C. Chile desarrollará una cultura de la ciberseguridad en torno a la educación, buenasprácticasyresponsabilidadenelmanejodetecnologíasdigitales.................................13

D. El país establecerá relaciones de cooperación en ciberseguridad con otros actores yparticiparáactivamenteenforosydiscusionesinternacionales....................................13

E. El país promoverá el desarrollo de una industria de la ciberseguridad, que sirva a susobjetivosestratégicos.....................................................................................................15

VII. Funciones e institucionalidad necesarias para desarrollar una política nacional deciberseguridad.....................................................................................................................17

A. Institucionalidadparalaciberseguridad.................................................................17

B. Implementacióngradualdelainstitucionalidadparalaciberseguridad................18

VIII. Medidasdepolíticapública2016-2017......................................................................19

3

IX. Anexos.........................................................................................................................23

A. AnexoNº1:normaseinstitucionesqueintervienenenciberseguridadenChile...23

B. AnexoNº2:panoramaderiesgosyamenazas........................................................27

4

II. Introducción

La masificación en el uso de tecnologías de información y comunicaciones (TICS), junto conserviraldesarrollodelpaís,conllevariesgosquepuedenafectarlosderechosdelaspersonas,laseguridadpública, las infraestructurascríticas,elgobiernodigital, los interesesesencialesy laseguridadexteriordeChile.

Estos riesgos pueden provenir de múltiples fuentes y se pueden manifestar medianteactividades de espionaje, sabotaje, fraudes o ciberataques realizados por otros países, porgruposorganizadosoporparticulares,entreotros.

Anivelinternacionalexisteunimportantedesarrolloenlagestiónderiesgosasociadosalusodelas TICs. Al año 2015, más de 40 países contaban con una estrategia o política deciberseguridadi,algunosdeloscualesyaestántrabajandoensusegundaoterceraversión.Alavez,esposibleconstatar laconsiderableevolucióndoctrinaria,técnicaynormativaenlosmásdiversosorganismosyforosinternacionales.

Anivelnacional,eldesafíoescontarconunapolíticaqueorientelaaccióndelpaísenmateriadeciberseguridad,juntoconimplementaryponerenmarchalasmedidasqueseannecesariaspara proteger la seguridad de los usuarios del ciberespacio, cumpliendo además con elprograma de Gobierno de la Presidenta Michelle Bachelet, que propone “desarrollar unaestrategiadeseguridaddigitalqueprotejaalosusuariosprivadosypúblicos”ii.

El presentedocumento contiene los lineamientospolíticosdel EstadodeChile enmateriadeciberseguridad,conunamiradaqueapuntaalaño20221,paraalcanzarelobjetivodecontarconunciberespaciolibre,democrático,abierto,seguroyresiliente.

1Comoseexplicaen lasecciónV“Hojaderuta”,estapolíticacontiene lineamientosestratégicosde largoplazo,queapuntanaésteyelpróximogobierno,yunaseriedemedidasdecortoplazo,quecadaadministracióndeberáplanificaryejecutar.

5

III. ¿Por qué se requiere una política nacional deciberseguridad?

A. Pararesguardarlaseguridaddelaspersonasenelciberespacio

Esnecesariobrindaralaspersonasunniveldeseguridadquelespermitaelnormaldesarrollodesusactividadespersonales,socialesycomunitariasenelciberespacio,juntoconelejerciciode derechos fundamentales como la libertad de expresión, el acceso a la información, laproteccióndelavidaprivadaylapropiedad.

B. Paraprotegerlaseguridaddelpaís

Esnecesariopromoverel resguardode las redes y sistemas informáticosdel sectorpúblico yprivado,especialmenteaquellasquesonesencialesparaeladecuadofuncionamientodelpaís,velandoporlacontinuidadoperacionaldelosserviciosbásicos.

C. Parapromoverlacolaboraciónycoordinaciónentreinstituciones

Es necesario mejorar las instancias de comunicación, coordinación y colaboración entreinstituciones, organizaciones y empresas, tanto del sector público como privado, con elpropósito de fortalecer la confianza y entregar una respuesta común a los riesgos delciberespacio.

D. Paragestionarlosriesgosdelciberespacio

Esnecesarioconsiderareldesarrollodeprocesosdeanálisisygestiónderiesgosquepermitanidentificar las vulnerabilidades, amenazas y riesgos implícitos en el uso, procesamiento,almacenamientoytransmisióndelainformación,juntoalageneracióndelascapacidadesparala prevención y la recuperación ante incidentes de ciberseguridad que se presenten,configurandounciberespacioestable,resiliente.

6

IV. Estadoactualde la ciberseguridad:normas, instituciones,panoramaderiesgos

A. Normaseinstituciones

La institucionalidadvigenteenmateriadeciberseguridadseencuentradistribuidaendiversosorganismos y entidades. Esto hace necesario la coordinación estratégica de los diversosesfuerzos, de sus roles y funciones, y el establecimiento de prácticas y criterios técnicoscomunes,conelobjetivodemejorarlaeficienciayeficaciaenelámbitodelaciberseguridad.2

Enestamateria,nuestropaíscuentaconunconjuntodenormaslegalesyreglamentariasquesehacencargodirectaeindirectamentedelfenómenodelaciberseguridadqueresultanecesariorevisar y actualizar conforme a las directrices que plantea esta política y a los compromisosinternacionales de Chile, por ejemplo, la ley Nº19.223 sobre delitos informáticos o la leyNº19.628sobreproteccióndelavidaprivada,entreotras.

B. Panoramaderiesgos

Atendidalanaturalezaglobaldelciberespacio,losriesgosyamenazasprovienendeChileydelexterior,yseoriginantantoenactividadesdelictualescomoenlaboresdeespionajeyvigilanciallevadasacabocondiversosfines,afectandolaconfidencialidad,integridadydisponibilidaddelosactivosdeinformaciónenelciberespacio,yconello,losderechosdelaspersonas.3

Anivelglobal,existenabundantesantecedentessobreciberataquesyactividadesdeespionajeenlared.Lainterceptaciónmasivaderedesdetelecomunicaciones,lainutilizacióndelserviciode internet, el espionaje contra gobiernos y empresas, además de ataques contrainfraestructuras críticas como servicios básicos, instituciones financieras y entidadesgubernamentales,hanmarcadolapautainformativaanivelglobalenestamateria.

Anivelregional,enelaño2013lospaísesqueregistraronelmayornúmerodeciberataquesenLatinoamérica fueron Brasil, Argentina, Colombia, México y Chile. Los accesos o robo deinformacióndesdecomputadoresodispositivosinfectadospredominaronenlaregióniii.

Asimismo, los ciberdelitos cometidos en Chile confirman el carácter transnacional de éstos,especialmente losrelacionadosconelusofraudulentodetarjetasdecréditoydébito,estafasinformáticas,entreotros.

Lapolíticaconsideraestaclasedeamenazas,especialmenterespectoaaquellasqueafectenlasinfraestructurascríticasdelpaís.

2VeranexoNº1condetalledelanormativaeinstitucionalidadexistenteenmateriadeciberseguridad.3VeranexoNº2coninformaciónsobreriesgosparaelpaísenelciberespacio.

7

V. Hojaderutadelapolítica

Lapresentepolíticadeciberseguridadtienedoscomponentescentrales:unapolíticadeEstado,diseñadaconobjetivosorientadosalaño2022,yunaagendademedidasespecíficas,queseránimplementadasentrelosaños2016y2017.

Elobjetivodeestediseñoesproponerunavisióngeneraldehaciadóndedebemoverseelpaísenelmedianoylargoplazo,juntoconunconjuntodemedidasquepuedanserimplementadayevaluadaenloquerestadegobierno,dejandoalasiguienteadministraciónlatareaderevisarlapolíticayplantearunaagendaquepuedaabarcarelsiguientegobierno.

A. Objetivosdepolíticaparaelaño2022

Enestapolíticaseplanteanobjetivosdealtonivelconunamiradadelargoplazo,quepermitaorientarlosesfuerzosdelpaíshacialaconsecucióndedichasmetas,sirviendoalavezdeguíaparapriorizaryracionalizarlasmedidascontenidasenelpresentedocumento.

Juntocon loanterior, lapolíticacontieneunaseriedefuncionesmínimas imprescindiblesyelcorrespondientediseñoinstitucionalquedeberáhacersecargodeéstas,tantoenelcortoplazo(2016-2017),comoenelmedianoylargoplazo(2016-2022).

B. Agendademedidas2016-2017yevaluación

Desarrollando los objetivos de la política, se propone una agenda a implementar durante elbienio2016-2017,quepermitiráponerenmarchaunesfuerzoconjuntodepartedelgobiernoyel sector privado en materia de ciberseguridad, orientada a la adopción de las medidaspriorizadasya lapreparacióndediversos insumosquepermitanrevisaryampliar lapolíticaafinesdelaño2017.

C. Políticasintegradascomplementariasenmateriadigital

LapresentepolíticadeciberseguridadseenmarcaenunconjuntodepolíticasqueelGobiernohaimplementadooseencuentradesarrollandoenmateriadigital,conelobjetodecontarcondefinicionesclarasysistémicassobreelciberespacio:

1. AgendaDigital2020

LaAgendaDigital 2020iv es unahojade rutapara avanzarhacia el desarrollodigital del país,medianteladefinicióndeobjetivosdemedianoplazo,líneasdeacciónymedidasconcretas.Fuelanzadaelsegundosemestredelaño2015,yaspiraaqueelusomasivode lastecnologíassetransforme en un medio para reducir las desigualdades, permitiendo abrir más y mejoresoportunidades de desarrollo, y contribuir al respeto de los derechos de todos los chilenos ychilenas.

8

EnlaAgendaexisteunamedidaespecífica(Nº25)queapuntaalaelaboracióndeunaestrategiade ciberseguridad, que la presente política viene a cumplir. Además, varias medidas de laAgendapotencianycomplementanlapresentepolítica,destacandoelimpulsoqueseentregaauna nueva Ley de Protección de datos personales, el resguardo a los derechos de losconsumidores en internet, el desarrollo de un Plan Nacional de Infraestructura deTelecomunicaciones,elperfeccionamientodelanormativasobrefirmaelectrónica,entreotras.

2. Políticanacionaldeciberdefensa

Dado que las redes y sistemas de información de la Defensa Nacional constituyen unainfraestructuracríticapara la seguridadexterioryelejerciciode la soberaníadelpaís, ya lasatribucionesconstitucionalesylegalesdelaDefensaNacional,elMinisteriodeDefensa,duranteel año 2016 preparará y publicará políticas específicas de ciberdefensa, que contemplen lasdefinicionespolíticasentornoacómoseránprotegidasestasredes,ycómolascapacidadesdelaDefensaNacionalpuedencolaborarenlaformacióndeunciberespaciolibre,abierto,seguro,democráticoyresilienteparaelpaís.

3. Políticainternacionalparaelciberespacio

Uno de los objetivos de alto nivel de la presente política dice relación con la cooperación yrelaciones internacionalesentornoa laciberseguridadenelcontextoglobal.Sinembargo,esimprescindible que el país integre estos objetivos con otros tales como el desarrollo, losderechos humanos, la defensa y otros relacionados, para consolidarlos e integrarlos en lapolíticaexteriordeChile.

Paraello,lapresentepolíticacontemplaunamedidaespecíficavinculadaconlaelaboracióndeunaestrategiaenestasmateriasporpartedelMinisteriodeRelacionesExteriores,loqueasuvezesconsistenteyponeenmarchalamedidaNº11delaAgendaDigital2020,queapuntaagenerarunavisiónpaíssobregobernanzadeinternet.

9

VI. Objetivosdepolíticaparaelaño2022

A. El país contará con una infraestructura de la información pública y

privada resiliente, preparada para resistir y recuperarse de incidentes

deciberseguridad,bajounaópticadegestiónderiesgos.

1. Identificaciónygestiónderiesgos

LaPolíticacrearámodelosdeprevenciónygestiónderiesgosdelciberespacio,queservirándebasealasmedidastécnicasquedebenadoptarseparaprevenir,gestionarysuperarlosriesgoscuandoestosseverifican,conénfasisenlaresilienciaycontinuidaddeservicios.

2. Proteccióndelainfraestructuradelainformación

La infraestructura de la información la conforman las personas, procesos, procedimientos,herramientas, instalaciones y tecnologías que soportan la creación, uso, transporte,almacenamientoydestruccióndelainformación.

Dentro de las infraestructuras de la información, existe un conjunto especialmente relevantepara lamarchadelpaís, lasdenominadas infraestructuras críticasde la información (ICI),quecomprendelasinstalaciones,redes,serviciosyequiposfísicosydetecnologíadelainformacióncuya afectación, degradación, denegación, interrupción o destrucción pueden tener unarepercusión importanteen la seguridad, la salud, el bienestarde los ciudadanos yel efectivofuncionamientodelEstadoydelsectorprivado.

LasICIsedeberánrobustecer,resguardarydiseñarparaqueseansegurasyresilientesfrenteaeventos que las puedan inhabilitar, adaptándose a cambios en el medioambiente, aintervenciones humanas o interferencias informáticas tales como incidentes involuntarios ociberataques.

3. Identificación y jerarquización de las infraestructuras críticas de la

información

Los sectores que componen la clasificación de ICI son muy similares y se repiten en variasclasificacionesanivel internacional.Enelcasochileno, la infraestructurade la informacióndelos siguientes sectores será considerada como crítica: energía, telecomunicaciones, agua,

salud,serviciosfinancieros,seguridadpública,transporte,administraciónpública,protección

civilydefensa,entreotras.

10

La política contiene un esquema acabado de áreas, funciones y entidades estatalesresponsablesqueserviránparaidentificarydelimitarelniveldecriticidaddecadasector4.

Los órganos técnicos encargados de poner en práctica las medidas de la política, deberánconsiderarestándaresespecialesdeciberseguridadpara las ICI, especialmente respectoa susprocesosesenciales.

En el mediano plazo se avanzará en la implementación de medidas que garanticen lacontinuidad de servicio mediante redundancia de instalaciones físicas de algunas ICI,especialmenteenlossectoresdetelecomunicaciones,administraciónpública,proteccióncivilydefensa.

4. Contarconequiposderespuestaaincidentesdeciberseguridad

Siguiendolasmejoresprácticasinternacionales,esimprescindiblecontarconunaestructurademonitoreo,gestiónyrespuestaaincidentesdeseguridaddelainformaciónanivelnacional.

LosórganosbasedeestaestructurasonlosComputerSecurityIncidentResponseTeam,(CSIRT),o equipos de respuesta a incidentes de seguridad informática. Hoy en Chile estos centrosrequierenderecursoshumanosyfinancieros,unmarco institucionalclaroymecanismosparaoperardemaneracoordinadaentresí.

Chile contará con un CSIRT nacional que recopile y sistematice información proveniente deotros CSIRTs (nacionales y extranjeros), coordine acciones entre CSIRTs sectoriales y tenga laautoridadnecesariaparacoordinarlarespuestatécnicafrenteaincidentesquecomprometanlaseguridaddelpaís.

EntrelosCSIRTssectoriales,sereforzaráelactualdeGobiernoysecrearáunoespecíficoparalaDefensa Nacional. Por otra parte, deberá evaluarse la pertinencia de crear un CSIRT deinfraestructurascríticas.

5. Implementacióndemecanismosestandarizadosdereporte,gestión

yrecuperacióndeincidentes

Existiránmecanismos que permitan el reporte centralizado y estandarizado de incidentes deciberseguridad, de manera de contar con un panorama amplio y en tiempo real de losincidentesquesevayangenerandoenelpaís.

Estosmecanismos serán obligatorios para el gobierno central y ciertos sectores regulados, yvoluntarios, en principio, para los otros actores que quieran sumarse. La cantidad deinformación requerida se limitará a la estrictamente necesaria para caracterizar y podergestionareltipodeamenaza.

Para tal efecto, el CSIRT Nacional mantendrá una plataforma segura y confidencial decolaboración en materia de incidentes de ciberseguridad, con el objeto de agregar la

4EsteesquemaserádesarrolladoenconjuntoconlaversióndefinitivadelaPolíticaNacionaldeCiberseguridad,eiráenunanexodelamisma.

11

informaciónpertinentey,enconjuntoconotrosórganospúblicosyprivados,estableceráunareddetrabajo.

Al mismo tiempo, los organismos públicos y las ICI contarán con instancias institucionalesencargadasde la seguridadde la información, junto conplanesdegestióny recuperacióndeincidentes, conénfasis enmantener la continuidadde susoperaciones yminimizar losdañosproducidosporlosincidentesverificados.

6. Exigenciadeestándaresdiferenciadosenmateriadeciberseguridad

TodaslasinfraestructurasdelainformaciónquedependanoqueproveanproductososerviciosalGobiernodeChileoserviciosalaciudadanía,deberáncontarconunnivelbásicodeadopcióndemedidas de ciberseguridad de acuerdo a estándares que contemplen la confidencialidad,integridadydisponibilidaddelainformaciónydelossistemasqueoperan,acordealosriesgosyamenazasqueenfrenten,demaneraconsistenteconelniveldecriticidadyconfidencialidaddelainformacióny/oprocesamientosquesoportan.

En el caso de las infraestructuras críticas de la información, deberán evaluar sus riesgos yenfrentarlos de acuerdo a los estándares que contemplen la confidencialidad, integridad ydisponibilidad de la ICI, para contar con un sistema efectivo y armónico de seguridad quepermitalaprevención,manejoyrecuperacióndeciberataquesyotrosincidentesdeseguridadinformática,contandoconplanesdecontingenciaparaasegurarlacontinuidadoperativadesusservicios.

B. El Estado velará por los derechos de las personas en el ciberespacio,mediante la prevención y sanción efectiva de delitos, garantizando el

plenorespetodelosderechoshumanos.

1. Prevencióndeilícitosygeneracióndeconfianzaenelciberespacio

Laprevención,ladisuasión,elcontrolylasanciónsonindispensablesparaminimizarlosriesgosy amenazas en el ciberespacio, demanera de contribuir a la generación de confianza en lasactividadesqueenélsedesarrollan.

Existenmúltiplesactividadesilícitasquesellevanacaboenelciberespacio,comolasustraccióndeinformaciónestratégica,lainterrupcióndesistemasdeserviciosenlíneayelusofraudulentodetarjetasdecrédito,entreotros.

A nivel global, existen antecedentes sobre ciberataques consistentes en actividades deespionajeyataquesdedenegacióndistribuidadeservicio(DDoS)eninternet,lainterceptaciónmasivaderedesdetelecomunicaciones,ataquescontra infraestructurascríticascomobancos,serviciosbásicoseinstitucionalesgubernamentales,pormencionaralgunos.

2. Prioridadesenlaimplementacióndemedidassancionatorias

Adiferenciadelosilícitosquesecometenenelespaciofísico,enelciberespacioexistenalgunasdificultades para la persecución y sanción de estos delitos. Entre otros, destacan laidentificacióndelosautores,eltiempoquepasaentrelaejecucióndelilícitoylareaccióndela

12

víctima, lasbajastasasdedenunciay laescasaposibilidaddeperseguira los infractores,pueslos organismos persecutores operan en los límites territoriales del Estado mientras elciberespacioesesencialmenteunlugarsinfronteras.

Lasmedidassancionatoriasdebenimplementarseteniendoencuentaesecontexto,demaneracomplementariaconestapolítica.

La actualización de nuestra legislación, impulsada por la adhesión de Chile a la ConvenciónsobreCiberdelitosdelConsejodeEuropa,lamejorayfortalecimientodelanormativaactualylacreacióndemedidastransversalesenlugardesectoriales,constituyenobjetivosprincipalesenesteámbito.

3. Prevenciónmultisectorial

Dadoquelosciberataquesyciberdelitospuedenserllevadosacabopororganismosestatales,grupos organizados o personas individuales y que las amenazas provienen tanto del interiorcomo del exterior del país, la respuesta debe sermultisectorial, involucrando tanto al sectorprivado,comoalosorganismosdepersecuciónpenal,dedefensaylasvíctimas.

Para ello, es primordial generar instancias apropiadas de coordinación, encuentro ycolaboraciónyfortalecersignificativamentelascapacidadestécnicasdelosfiscalesyjueces,lascapacidades periciales de las policías y generar pautas de cuidado mínimas para toda lapoblación.

Se deben definir capacidades de levantamiento, estandarización e integración de datos einformaciónrelacionadosconelcibercrimen,aumentar lacapacidadpara investigarygenerarevidenciarespectoalmismo.

4. Respetoaderechosfundamentales

Paraunequilibrioentre losbeneficiosqueofreceelciberespacioy laseguridadquerequiere,todaslasmedidaspropuestasporlapolíticasedebendiseñaryejecutarconplenorespetoalosderechos fundamentales, atendido su carácter universal e indivisible y sobre la base que elciberespacioesunambientedonde laspersonas cuentancon losmismosderechosqueenelmundofísicov.Así,lapolíticaconsideraypromueve:

• Lacaracterísticadebienpúblicodeinternet,porlocualdebetenerunfuncionamientopermanenteycontinuodisponibleparatodaslaspersonaseinstituciones,velandoporelaccesoalainformaciónyalaculturadelapoblación.

• Elrespetoalalibertaddeexpresión,considerandodentrodeestaprotecciónnosóloalos medios de comunicación, sino también a la generalidad de la población, y a losintermediariosquepermitencomunicarestosmensajes,comolasredessociales.vi

• La protección de la vida privada y el debido proceso, procurando que lasmedidas devigilanciaypersecuciónpenalenelciberespaciocumplanconestándaresinternacionalesdeproteccióncomolosprincipiosdeidoneidad,necesidadyproporcionalidad.vii

• Respeto al principio de neutralidad de la red, de modo tal que los proveedores deservicios de internet no puedan discriminar ni limitar el acceso a contenidosarbitrariamente,salvojustificaciónlegal.

13

C. Chile desarrollará una cultura de la ciberseguridad en torno a laeducación, buenas prácticas y responsabilidad en el manejo de

tecnologíasdigitales.

1. Unaculturadelaciberseguridad

Lastecnologíascontribuyenalaformaciónequitativaeinclusivadelacervocultural,tecnológicoyeconómicodelpaísyaldesarrollointegraldelaspersonas.Porello,sefomentaráatodonivel,la creación de una cultura de la ciberseguridad con el objeto que la sociedad cuente con lasherramientas y el conocimiento para entender este ámbito de relaciones humanas, con susventajas,oportunidadesyriesgosypuedamanejarlosadecuadamente.

2. Sensibilizacióneinformaciónalacomunidad

Esnecesariosensibilizaralaspersonassobrelosriesgosyamenazasdelciberespacioparalograrun uso seguro de las plataformas que prestan servicios a la comunidad tanto desde lasinstitucionespúblicascomodeagentesprivados.

Es necesario informar a la comunidad sobre el buen uso, lasmedidas de cuidado personal yseguridadenelciberespacio.

3. Formaciónparalaciberseguridad

Estanecesidaddeparagrandesdesafíosanuestrosistemaeducacional.Laformacióntempranayavanzadade lapoblaciónnoestáajenaaestosdesafíosycorrespondehacersecargode lasbrechas digitales producto de desigualdades en recursos, capacidades, infraestructura,conectividad,entreotras.

Para esto es crucial apoyar la implementación de iniciativas que fomenten y desarrollen unacultura digital consciente, competente, informada y responsable que incluya a todos losactores relevantes entendiendo que estamos frente a un esfuerzo colectivo en pos de unbeneficiocomúnydelargoplazo.

D. El país establecerá relaciones de cooperación en ciberseguridad conotros actores y participará activamente en foros y discusiones

internacionales.

1. Principiosdepolíticaexteriorchilena

LapolíticaexteriordeChiletienecomobaseunaseriedeprincipiosqueorientansudiplomaciaysuacción:elrespetoalderechointernacional,lapromocióndelademocracia,elrespetoalosderechos humanos, la prevención de conflictos, la solución pacífica de las controversias y laresponsabilidad de cooperar en el ámbito internacional, los cuales guían los intereses denuestra política exterior, a saber: la contribución al fortalecimiento del multilateralismo y lapromocióndelapazylaseguridadinternacional,entreotrosviii.

14

Laemergenciadelciberespacio,ymuyespecialmenteinternet,comounbienpúblicoglobal,nosobligaaenfrentareldesafíodegestionarsusriesgosatodonivel,dondeelplanointernacionalrevisteparticularimportancia,considerandoelcarácterglobalytransfronterizodelmismo.

La ciberseguridad es un concepto transversal y multifactorial, que en el plano internacionalsignifica tanto la posibilidad de construir capacidades, enfoques y medidas comunes encooperación y asistencia con otros países, como la convicción de que un trabajo diplomáticosostenido en el ámbito multilateral y de múltiples partes interesadas permite disminuir losriesgosdeconflictoenelciberespacio.

Paralograrloanterior,elMinisteriodeRelacionesExterioresdeberácoordinarconelrestodelosministeriosyagenciasdegobierno,lapolíticainternacionalenmateriadeciberseguridad.

2. Cooperaciónyasistencia

Enmateriadecooperación internacionaldentrodelámbitobilateral,sepotenciará larelaciónconotrospaísesenciberseguridad,bajodiversasmodalidadescomolaasistenciadesdeohaciaChile, el intercambio de información y experiencias, la implementación y profundización demecanismos de diálogo político en la materia, y el empuje de medidas de transparencia yconstruccióndeconfianzaenelciberespacio,priorizandounaaproximaciónmultiagencialalostemas.

3. Reforzarlaparticipacióneninstanciasmultilateralesyeninstancias

demúltiplespartesinteresadas(multistakeholder)Se deben orientar los esfuerzos para promover que el campo digital sea un entorno libre,abierto,democráticoyseguroparatodoslosusuariosdelciberespacio.

Es necesario fortalecer el trabajo del país en la materia, tomando en consideración losespecialesdesafíosqueseplantean,tantoensuscondicionestécnicas,enelcarácterglobalydescentralizadodelared,comoensusdimensionespolíticas,caracterizadasporunsistemadegobernanzade internetdemúltiplespartes interesadas,dondeelsectorprivadoy lasociedadciviltienenunespecialrol.

Dentro de esemarco, se incrementará la participación del país en instanciasmultilaterales yglobales,apoyandodelamismaformaprocesosdeconsultaregional,subregionalymultilateralenelárea,particularmenteenAméricaLatina, involucrandoactivamentea lasdiversaspartesinteresadaseneldebate.

4. Fomentar normas internacionales que promuevan la confianza y

seguridadenelciberespacio

Auncuandoprácticamentenoexisteninstrumentosnormativosespecíficos,elciberespacioestáreguladotantoporlasleyesnacionalescomoporlanormativainternacionalgeneralaplicable,porloqueeldesafíoconsisteprincipalmenteenidentificareinterpretarlasnormasrelevantesdelderechointernacionalaplicables.

15

No obstante, existen desafíos que deben enfrentarse mediante acuerdos y normasinternacionalesespecíficas, como laConvención sobreCiberdelitos a laqueChilehadecididoadherir.

Simultáneamentesepromoveráeldebateylaadopcióndeacuerdosmultilateralesybilateralesque fomenten la cooperación y asistencia mutua en ciberseguridad, tanto a nivel deinstrumentosformalescomodeacuerdosyarreglosinformalesqueapuntenalatransparenciayconstruccióndeconfianzasinternacionalesenlamateria.

E. Elpaíspromoveráel desarrollodeuna industriade la ciberseguridad,

quesirvaasusobjetivosestratégicos.

1. Importancia de la innovación y desarrollo en materia de

ciberseguridad

Las actividades de seguridad interior y defensa exterior en general requieren de un fuertecomponentede innovaciónydesarrollo,queredundanenunmayordesarrollode la industrianacional en el área. En ese marco, el sector de la ciberseguridad requiere de un especialesfuerzo,atendidasurelativanovedadeimportanciaestratégicaparaelpaísensuconjunto.

2. Ciberseguridad comomediopara contribuir aldesarrollodigital de

Chile

Mientras el tamaño del sector TIC representa cerca de un 3~4,12% del total de la economíachilena,enlospaísesOECDestesectorpromediaun6%departicipaciónenlaeconomíadelospaísesix,generandounabrechaentreambasrealidadesqueChilesubsanará,enparte,medianteeldesarrollodelcomponentedeciberseguridaddentrodeesaindustria.

Segenerarátantounamayordemandaalaindustriadetecnologíasdelainformacióncomounmayordesarrollo industrialen lamateriaquepermitaalpaísacercarsea los indicadoresde laOECD,juntoconpotenciarlosobjetivosdelapolítica.

3. DesarrollodelaindustriadeciberseguridadenChile

No existen cifras específicas respecto al nivel de desarrollo de la industria nacional, sóloestudios que exploran esta alternativax. Los esfuerzos por desarrollar una industria deciberseguridad en el país irán acompañados de estudios que caractericen la industria eidentifiquendominiosestratégicosparadesarrollarenelcorto,medianoylargoplazo.

En particular, un dominio que normalmente se desarrolla en la experiencia comparada, es laindustria nacional vinculadas al desarrollo y uso de estándares de cifrado, atendida suimportanciaestratégicaparalaseguridadexteriordelpaís.

4. Contribuiralageneracióndeofertaporpartedelaindustrialocal

Se adoptarán medidas que ayuden a crear y fortalecer una industria nacional de servicios,tecnologías y gestión de la ciberseguridad, a través programas e iniciativas que apunten a laproduccióndenuevosbienesyserviciosenelárea.Paraello,secrearáunpolodedesarrolloen

16

elárea,enlíneaconlaAgendadeProductividad,InnovaciónyCrecimientoylaAgendaDigital2020.

5. Generacióndedemandadepartedel sectorpúblicobasadoen los

interesesestratégicosdelEstado

Apartirde lageneracióndedemandadelsectorpúblicoenbaseasusnecesidades, interesesestratégicos y de seguridad, se promoverá el fortalecimiento de una industria nacional deservicios,tecnologíasygestióndelaciberseguridad.

17

VII. Funciones e institucionalidad necesarias para desarrollarunapolíticanacionaldeciberseguridad

A. Institucionalidadparalaciberseguridad

Paracumplirconestaambiciosapolíticanacionaldeciberseguridadysiguiendoelejemplodediversospaíses quehan iniciadoesteprocesohace algunos años, resulta imprescindible paraChilecontarconunainstitucionalidadpúblicaquesehagacargodedesempeñar lasfuncionesqueseidentificancomoesenciales.

Porello,seproponelacreacióndeunserviciopúblico,queserelacioneconelPresidentedelaRepública a través de algún ministro, que cuente con un jefe de servicio responsable de laejecución de las funciones encomendadas y un consejo superior deministros que defina lasorientaciones políticas y ejerza las facultades normativas necesarias para su correctofuncionamiento. Asimismo, se evaluará la creación de un consejo consultivo asesor, deintegraciónpúblico-privada.

Lasfuncionesqueseidentificancomoesencialessonlassiguientes:

I) Función de gestión de incidentes. La gestión de incidentes constituye la tarea másimportantequedeberáabordarlainstitucionalidadrespectiva,atravésdeladirecciónyoperacióndelCSIRTNacional.Paraello,deberáintegrarinformaciónsobreelestadodelasredes,prepararejerciciosysimulacros,ycoordinardesdeelGobiernolasmedidasaadoptarparaenfrentarincidentesdeciberseguridadsobreciertagravedad.

II) Función de gestión de relaciones interinstitucionales. Deberá además generar unacoordinaciónconstanteentrelosórganosdegobierno,losdemáspoderesdelEstadoyelsector privado, así como la formación de redes de intercambio de información yconocimientoentrelasmismas.

III) Función normativa general. La institucionalidad deberá dictar diversas normativaslegalmentevinculantes,talescomoproyectosdeley,decretoseinstruccionesreferentesa ciberseguridad, tantoparael Estado comoparael sectorprivado, conénfasisen lasinfraestructuras críticas e industrias reguladas. Estas normas contendrán derechos ydeberesdeconductaparacadaentidadregulada,juntoconsancioneseincentivosparasucumplimiento.

IV) Funciónnormativatécnica.Lapreparacióndediversosestándarestécnicosenmateriade gestión de riesgos en ciberseguridad, fijando normas de conducta para losoperadorestécnicosdelsistema.

V) Funcióndeseguimientoyevaluación. La institucionalidaddeberáhacerseguimientoyevaluarlaadecuadaimplementacióndelasmedidaspropuestasenlapresentepolítica.

VI) Función de comunicaciones. La institucionalidad desarrollará una estrategiacomunicacional que permita instalar la ciberseguridad como una prioridad nacional,además proveerá a la ciudadanía de un único punto de contacto con el que puedainteractuarenestostemas.

18

Con todo, seevaluará la correspondenciade la institucionalidadpropuesta con las iniciativascomplementarias que se están desarrollando en materia de gobernanza digital en laadministracióndelEstado.

B. Implementacióngradualdelainstitucionalidadparalaciberseguridad

MientrassediscuteyapruebaenelCongresoNacionalelproyectodeleysobreciberseguridad,que contendrá la propuesta de institucionalidad definitiva, algunas de las funcionesidentificadas como esenciales, deberán ser ejercidas temporalmente por algunas de lasinstitucionesqueformanpartedelaactualestructuradeGobierno.

• A nivel político, se propone prorrogar la existencia y ampliar el mandato del ComitéInterministerial sobre Ciberseguridad, respecto de la función de coordinación yseguimientodemedidas.

• SecrearáunCSIRTNacional,comounaunidaddependientedelMinisteriodelInteriorySeguridadPública,quetendrálascapacidadesoperativasnecesariasparallevaradelantelas tareas de gestión de incidentes, relaciones interinstitucionales y generación denormativa técnica en materia de ciberseguridad en el país. La dotación del CSIRTNacional servirá de base para la creación de la futura institucionalidad de laciberseguridad.

• UnacaracterísticaimportantedelCSIRTNacionalesquecontaráconrepresentantesdediversosorganismosqueaportaránconsuscapacidadestécnicasyservirándeapoyoalacoordinaciónentreinstituciones,especialmenteconmirasalagestióndeincidentes.

19

VIII. Medidasdepolíticapública2016-2017

Laspresentesmedidasformanpartedelaagendadepolíticaspúblicasaimplementar,basadasenlosobjetivosestratégicosexpuestosanteriormente5.

Medida

Responsable-colaboradores

AñoObjetivosPNCS

1EnviaralCongresoNacionalunproyectodeLeysobreciberseguridad,paraconsolidarinstitucionalidadymanejodeincidentesdeseguridadinformáticaenelpaís.

CICS-MISP-MINDEF-MINHACIENDA

2016 A

2ActualizarelDS83sobreseguridaddelainformacióndelEstado.

MINSEGPRES 2016 A

3Añadirunadimensióndeciberseguridadalapreparaciónygestióndecontratosdeconcesióndeobrapública.

MOP(Direccióndeconcesiones)

2016 A

4CreacióndeungrupodetrabajoqueestablezcaunmarconormativoydeobligacionesparalasinfraestructurascríticasenChile,desdeunenfoquedegestiónderiesgos.

MISP 2016 A

5CreacióndeunanormatécnicaparaeldesarrolloocontratacióndesoftwareenelEstado,acordeaestándaresdedesarrolloseguro.

MINSEGPRES 2016 A

6Creacióndeunaplataformaparaagregarinformaciónsobreincidentesdeciberseguridad.

CSIRT 2017 A

7Decretarrequisitosactualizadosdeseguridadparasectoreseconómicosregulados.

MTT-Superintendencias-CSIRT

2017 A

5Elprimerorganismoeselresponsableprincipaldelatarea,ylosorganismossucesivoscolaboranensuejecución.LadenominacióndeCSIRTcorrespondealactualequipodeseguridadde laReddeConectividaddelEstado,queasumiráprogresivamentefuncionesoperativasidentificadasenlapresentepolítica.Las instituciones públicas están identificadas con las siguientes siglas: CICS, Comité Interministerial sobreCiberseguridad; MISP, Ministerio del Interior y Seguridad Pública; MTT, Ministerio de Transportes yTelecomunicaciones; MINDEF, Ministerio de Defensa Nacional; MINHACIENDA, Ministerio de Hacienda; ANI,AgenciaNacionaldeInteligencia;MINJUSTICIA,MinisteriodeJusticia;MINSEGPRES,MinisterioSecretaríaGeneralde laPresidencia;MOP,MinisteriodeObrasPúblicas;MINEDUC,MinisteriodeEducación;MINREL,MinisteriodeRelacionesExteriores;MSGG,MinisterioSecretaríaGeneraldeGobierno.Cuando se denomina un ministerio sin identificar un servicio público o subsecretaría específica, se refiere a lasubsecretaría que forma parte del Comité Interministerial sobre Ciberseguridad o, en caso que el Ministeriocorrespondienteno formepartedel Comité, a una tareaquedebeemprender elMinisterio correspondientedemaneraglobal.

20

8Identificarunsetmínimoderiesgosparalasinfraestructurascríticasdelainformación.

CSIRT 2016 A

9Implementarunamatrizestandarizadadereportesdeincidenciasenmateriadeciberseguridad.

CSIRT,MINSEGPRES 2016 A

10Incorporarladimensióndeciberseguridadenelsistemanacionaldeemergencias.

CICS-MISP 2016 A

11

PreparacióndenormativaqueestablezcaunaredseguradeintercambiodeinformaciónenelGobierno,entreautoridadesdealtonivelyotrosfuncionariosquemanejeninformaciónreservadaosecreta.

MISP-MINDEF-ANI-MINREL

2016 A

12PreparacióndeunestudiosobrelaresilienciadelasredesdetelecomunicacionesenChile,proponiendomedidasparamejorarlamismaenelámbitopúblicoyprivado.

MTT 2016 A

13 Actualizarnormativasobredelitosinformáticos. MISP-MINJUSTICIA 2016 B

14Diseñareimplementarunamatrizestandarizadadedenunciasdeciberdelitos.

MISP(conpolicíasyANI)-MINJUSTICIA

2016 B

15Promoverelfortalecimientodelascapacidadesdeinvestigaciónyanálisisforenserelacionadasconelciberdelito.

MISP(conANIypolicías)

2016 B

16GenerarprimerpuntodedifusióndeinformaciónparaelciudadanosobreCiberseguridad,basadoenlosdiferentescanaleselectrónicosyredessocialesqueofreceinternet.

CICS-MISP-MSGG 2016 C

17InstaurarelmesdelaCiberseguridadenoctubredecadaaño,promoviendoactividadesdesensibilizaciónentodoslosniveles.

CICS-MISP-MSGG 2016 C

18

Diseñareimplementarunacampañadeciberseguridaddecaráctermasivoyfomentarlaimplementacióndeprogramasdedifusiónestableciendoalianzasconlosprivadosencampañasdesensibilización,conénfasisensectoresvulnerablesyempleandoperspectivadegénero.

CICS-MSGG 2017 C

19Generarguíasdebuenasprácticasparalaciudadaníayelsectorpúblico

CICS 2016 C

20Conformarunamesaintersectorialparafomentarlaformaciónenciberseguridadentodolosnivelesyestamentosdelsectoreducativo.

CICS-MINEDUC-MINECON(MesaCapitalHumano)

2017 C

21Diseñareimplementarunacampañadeciberseguridadorientadaalosadultosmayores,queconsideremedidasdecapacitaciónydifusión

CICS-MDS(Senama)-MINECON(MesaCapitalHumano)

2017 C

21

22IncorporacióndeSeguridadenInternetenprogramasespecíficosdeMINEDUC,reforzandolainiciativaENLACES.

CICS-MINEDUC(Enlaces)-MINECON(MesaCapitalHumano)

2017 C

23

Apoyardecididamenteelestablecimientoanivelinternacionaldeprocesosdeconsultaspolíticasregionales,subregionalesymultilaterales,conespecialénfasisenlaregión.

MINREL 2016 D

24

Avanzarenelestablecimientodemecanismosbilateralesdetrabajo,diseñandoagendaseimplementandoinstanciasdeconsultaspolíticastransversalesconpaísesafines.

MINREL 2016 D

25ElaborarundocumentodepolíticainternacionaldeChilesobreelciberespacioyciberseguridad.

MINREL-CICS 2016 D

26Establecimientodeungrupodetrabajointeragencialparatemasinternacionalesrelativosalciberespacio.

MINREL-OTROS 2016 D

27Propiciarelintercambiodeexperienciasconotrospaísesenmateriadeciberseguridad,conénfasisenlaimplementaciónyevaluacióndeestrategiasypolíticas.

MINREL 2016 D

28Revisarlasnormasinternacionalesenmateriadeciberespacio,conespecialénfasiseninstrumentosdederechointernacionalysuaplicación.

MINREL-MINDEF 2016 D

29Analizarlaregulaciónyaplicacióndelrégimenvigentedecompraspúblicasrespectoaapoyoproductivoeinteresesnacionalesestratégicos.

MINHACIENDA(DirecciónChilecompra)-MISP-MINDEF

2017 E

30

Realizarestudiostantodecaracterizacióndelaindustriadeciberseguridad(oferta),comodeaccesoyusodeciberseguridadenelpaís(demanda),conelobjetodeorientarprogramasespecialesparaimpulsarlaindustriadeciberseguridadnacional,ensectoresdefinidos.

CORFO-MINDEF-MINECON

2016 E

31Estudiodeincentivostributarios,subsidiosomecanismosdeI+Dparadesarrolloyadopcióndeestándaresdeciberseguridad.

MINHACIENDA-MINECON-CORFO

2016 E

32Tramitarnuevaleydedatospersonales,confacultadesaunórganoespecíficoquepuedaimponerrequisitosdeseguridadydenotificacióndefiltracionesdedatos.

MINECON-MINHACIENDA

2016 A,B

33Establecerinstanciasdecolaboraciónpúblico-privadasconactoresdelasociedad(ONG,empresas,gremios,academiauotras)

CICS 2016 A,B,C

34

ActualizarDTO5996yDS1299encoherenciaconmodificacióndelDS83,estableciendorequisitosparaaccederalared(autoevaluación,cursoonline)ylaobligacióndereportarincidentesporpartedeorganismospúblicos.

MISP 2016 A,C

22

35

RealizarciberejerciciossobreincidentesdeCiberseguridadcondiferentescomunidadesinteresadasparafomentarelconocimiento,investigaciónydifusiónadecuadadebrechas,vulnerabilidadesyvíasdemitigaciónencontradasenlossistemasnacionales.

CSIRT 2017 A,C

36

IncorporarestándaresdeciberseguridadalosproveedoresdelEstado,exigiendorequisitosespecíficosparaproveedoresTIC,yanalizandootrosparaelrestodelosproveedores.

MINHACIENDA(DirecciónChilecompra)

2016 A,E

37IncorporarenlaEncuestaNacionalUrbanadeSeguridadCiudadana(ENUSC)unsetdepreguntasvinculadasalosciberdelitos.

MISP(SubsecretaríadePrevencióndelDelito)

2016 B,C

38Generar,yactualizarregularmente,catastrodeofertaencapacitacióndisponibleenorganismosinternacionaleseinstitucionesnacionales.

MISP-MINREL 2016 B,C,D

39AdherireimplementarlaConvenciónsobreCiberdelitosdelConsejodeEuropaxi.

MISP-MINREL-MINJUSTICIA-MINISTERIOPÚBLICO

2016 B,D

40FomentarelpatrociniodelEstadoaproyectosdeI+Dconfinanciamientopúblicooprivado,nacionalointernacionalenmateriasdeCiberseguridad.

CICS 2016 C,E

41PromovereldesarrollodecapitalhumanoavanzadoenasuntosdeCiberseguridadenlosdistintosámbitostécnico-profesionales.

CICS-CORFO-MINECON(MesaCapitalHumano)Actoresdelmundopúblico,privadoyacadémico

2017 C,E

42Apoyarlaexportacióndeproductosyserviciosnacionaleseneláreadeciberseguridad,identificandoferiasinternacionalesyevaluandoposibilidadesdeapoyo.

MINREL(Prochile)-MINECON

2016 D,E

23

IX. Anexos

A. AnexoNº1: normas e instituciones que intervienen en ciberseguridad

enChile

1. Normasrelevantesanivelnacional

a) ConstituciónPolíticadelaRepública• Artículo8º,relativoalatransparenciapública.• Artículo19,quecontemplauncatálogodederechosfundamentalesdondesonespecialmenterelevantes:

Nº2, igualdad ante la ley;Nº3 y 7, relativos al debido proceso y seguridad individual;Nº4 y 5, sobreprotecciónde la vidaprivada e inviolabilidadde las comunicaciones;Nº12, que garantiza la libertaddeexpresiónydeinformación;yNº24y25,relativosalapropiedadylibertaddecreación.

• Artículo24º,queotorgaaquienejerzalaPresidenciadelaRepúblicalaautoridadparaconservarelordenpúblico en el interior y la seguridad externa de la República, además de las normas que regulan lasfacultadesdeotrospoderesyórganosdelEstado.

• Artículos39ºysiguientes,queregulasituacionesespecíficasqueafectanelnormaldesenvolvimientodelEstado.

b) Leyes• Código Procesal Penal: Regula el proceso de investigación y juicio criminal en Chile, y en ese marco,

cualquierinvestigaciónrelativaaciberdelitosqueseallevadaadelanteenelpaís.Juntoconello,regulaunconjuntodemedidasintrusivas,quepuedenafectarlavidaprivadaoinviolabilidaddelascomunicacionesdesusdestinatarios,yporendelaconfidencialidaddesuinformación,paraloquelaLeyexigerequisitoslegalesasurespecto,juntoconunaordenjudicialqueautoricelaprácticadedichasmedidas.

• Ley Nº19.913, crea la unidad de análisis financiero y modifica diversas disposiciones en materia de

lavadoyblanqueodeactivos: regula algunasmedidasde investigación y vigilanciaque, tal comoenelcasoanterior,puedenafectarlavidaprivadaoinviolabilidaddelascomunicacionesdesusdestinatarios,ypor ende la confidencialidad de su información, debido a lo también en este caso la Ley exige unaautorizaciónjudicialaparejadaalcumplimientodelosrequisitoslegalesdelcaso.

• D.L.Nº211,LeydeDefensadelaLibreCompetencia:demaneraidénticaalcasoanterior,laLeyautorizala práctica de diligencias intrusivas en casos específicos, que se regulan en los mismos términos yaexpuestos.

• LeyNº19.974,sobreelsistemadeinteligenciadelestadoycrealaagencianacionaldeinteligencia:enelmarco de la recolección de antecedentes de inteligencia, esta Ley regula la práctica de procedimientosespeciales deobtenciónde información, quedebenefectuarse conorden judicial previa y una serie deotrosresguardoslegalesquelimitanlaobtenciónyusodeestainformación.

• CódigoPenal:eselprincipalcatálogodedelitosdelpaís,contemplandoladescripcióndeunconjuntodeconductasespecíficasjuntoalaspenalidadesqueseasocianaellas.Enelmarcodelaciberseguridad,esteCódigo contieneuna serie de conductas que son susceptibles de cometerse a través del ciberespaciooafectarsuscomponentes,conloquetieneunarelevanciacentralenlaformulacióndepolíticasycombatealcibercrimen.

• CódigodeJusticiaMilitar:esuncuerpolegalquecontienedisposicionesespecíficasrelativasensumayorparteadelitoscometidospormilitaresoentiemposdeguerra.Dentrodesusdisposiciones,secontienenalgunosdelitosrelativosalespionajeyrevelacióndeinformaciónclasificadaaterceros,queapuntanalaproteccióndelaseguridadnacional.

24

• Ley Nº19.223, tipifica figuras penales relativas a la informática:dentro de los ciberdelitos, existe unasubcategoría relativa a la afectación de los componentes lógicos del ciberespacio (programas decomputación, sistemas informáticos, bases de datos), que se denominan delitos informáticos. Esta Leycontempla tipospenalesespecíficosparaelaccesonoautorizado,sustracciónydestruccióndesistemasdeinformación.

• Ley Nº18.168, ley general de telecomunicaciones: esta Ley regula el marco jurídico del sector de lastelecomunicacionesenelpaís,queproveende infraestructuras físicasy lógicasclavesparaeldesarrollodel ciberespacio nacional. Dentro de sus disposiciones, destaca la protección la confidencialidad eintegridad de la información mediante la tipificación de delitos de interceptación no autorizada (art.Nº36Bletrasbyc).Cobrantambiénespecialrelevanciaparalaciberseguridaddelpaísdosmodificacionesrecientes,correspondientesalaLeyNº20.453,queconsagraelprincipiodeneutralidadenlaredparalosconsumidores yusuariosde internet, que regula lasmedidasde gestiónde redquepuedeadoptarunprestadordeserviciosdeInternet,juntoconestablecerundeberdeconfidencialidad;ylaLeyNº20.478,sobre recuperación y continuidad en condiciones críticas y de emergencia del sistema público de

telecomunicaciones,promulgadatrasel terremotoqueafectóaChileaño2010,yquecomosunombreseñala,establecemedidasquepermitenmantenerlacontinuidaddelastelecomunicacionesenelpaísy,conello,ladisponibilidaddelainformacióncontenidaenelciberespacio.

• Ley Nº19.799, sobre documentos electrónicos, firma electrónica y servicios de certificación de dicha

firma: regula el uso de documentos electrónicos en el país y, con ello, mecanismos para asegurar laintegridadyconfidencialidaddelainformación,medianteelusodemecanismosdefirmadigital,juntoconunsistemaquegaranticeelapropiadofuncionamientodequienesprestanestosservicios.

• Ley Nº20.285, sobre acceso a la información pública: crea un régimen de transparencia para lasactividades del Estado, con obligaciones de transparencia activa, que debe efectuarse a través del sitiowebdecadaorganismopúblicoafectado;ypasiva,consistenteenlosdatosquepuederequerircualquierpersonaaestosorganismos,enlamedidaquenoafecteotrosderechoseinteresesestablecidosenlaley,como la seguridad del Estado o la privacidad de terceros, de manera tal que no se afecte laconfidencialidaddelainformaciónenjuego.

• Ley Nº19.628, sobre protección de la vida privada: establece un conjunto de principios y derechosrelativosalmanejodedatospersonalesenelpaísquepuedeexigiruntitulardedatospersonalesaquienposeaoadministreunregistrode losmismos, juntoconreglasdeaplicacióngeneralparaelmanejodedatos personales por el sector público y privado, en torno al resguardo de la confidencialidad de esainformación.

c) Decretos• D.S. Nº83/2005, aprueba norma técnica para los órganos de la administración del estado sobre

seguridadyconfidencialidaddelosdocumentoselectrónicos:estedecreto,desarrollandoloestablecidoen la Ley Nº19.799, establece una norma técnica aplicable a la administración pública, respecto de laseguridadyconfidencialidaddelosdocumentoselectrónicos,yconello,tambiéndesuinfraestructuradelainformación,basadaenelestándarISO27.000y,juntoconello,estableciendomedidasadministrativascomolacreacióndecomitésdelaseguridaddela informaciónencadaserviciopúblico.Complementaaeste decreto elD.S. 93/2006, que aprueba norma técnica para la adopción demedidas destinadas a

minimizarlosefectosperjudicialesdelosmensajeselectrónicosmasivosnosolicitadosrecibidosenlas

casillaselectrónicasdelosórganosdelaadministracióndelestadoydesusfuncionarios,yquecomosunombredescribe,regulamedidasorientadasaprevenir larecepcióndeSPAMenlascasillaselectrónicasdelaadministracióndelestado.

• D.S. Nº1.299/2004, establece nuevas normas que regulan la Red de Conectividad del Estado que

administraelMinisteriodelInterioryfijalosprocedimientos,requisitosyestándarestecnológicospara

laincorporaciónadichareddeinstitucionespúblicas:estedecreto,teniendocomoantecedentelaleydepresupuestos para el año 2005 y el D.S. 5996/1999, consolida una intranet denominada Red deConectividad del Estado, en la que deberán inter conectarse una serie de ministerios y organismospúblicos. Esta red centraliza el acceso a Internet y debe cumplir con estándares técnicos de seguridadacordesconlosestándaresdelIEEEeISO.

25

• D.S.Nº1/2015,apruebanormatécnicasobresistemasysitioswebdelosórganosdelaadministración

delEstado:actualiza lasnormas técnicaspara los sitioswebde laadministracióndelEstado, regulandocondiciones de confidencialidad, disponibilidad y accesibilidad de la información contenida en dichossitios,todascondicionescentralesparalaciberseguridad.

• D.S.Nº533/2015,creacomitéinterministerialsobreciberseguridad:creaunComitéinterministerialconel objetivo de preparar una propuesta de Política Nacional de ciberseguridad, del que forma parte elpresenteanexo.

2. Institucionesintervinientesenmateriadeciberseguridad

a) MinisteriodelInteriorySeguridadpúblicaEntidad Rol Misión

División

Estudios,

Departamento

deCrimen

Organizado

PreventivoFormuladordePolíticaPública

ElMinisteriodelInteriorySeguridadPúblicatienelamisiónderesguardarlaseguridadpública,yentalsentidocoordina,evalúaycontrolalaejecucióndeplanesintersectorialesenmateriadeprevenciónycontroldeladelincuencia(Art.1LeyN°20.502),entreellaslasquecorrespondenalosciberdelitos,estableciendopolíticaspúblicasparaprevenirlos,enfrentarloysancionarlos.ElDepartamentodecrimenorganizadoenparticular,esresponsabledeelaborarestrategiasparaelcombatedelcibercrimen(Res.Exenta10168,3/12/2013)

División

Informática

PreventivoReactivoFormuladordepolíticapública

EnvirtuddelDecretoSupremoN°5996de1999,eselMISPelencargadodeimplementaryoperaranivelnacional,atravésdelaDivisióndeInformática,laReddeConectividaddelEstado(RCE).Encomplementoaldecretoanterior,elDecretoSupremoN°1299delde2004,facultaaestacarteradeEstado,parapublicarodifundirlasnormasoficialesdelaRepúblicaenmateriadeseguridaddelainformaciónyestablecernormas,estándaresypolíticasdeseguridadlógicaqueenformaobligadadeberáncumplirlasinstitucionespúblicasqueseparticipandelaRCE,estandohabilitadaademásparasolicitarconsultasdecaráctertécnicoacualquierinstitucióndelEstado.CabedestacarlalabordelaRCEcomoherramientadeapoyoalaciberseguridadgubernamental

PDI,Brigada

Investigadora

delCiber

Crimen

PreventivoeInvestigativo

EncargadadelainvestigacióndelosdelitosdeconformidadconinstruccionesdelMinisterioPúblico,comoeselcasodelosciberdelitos.

Carabineros,

Departamento

OS9

Preventivoeinvestigativo

Encargadosdelordenpúblicoylaseguridadpúblicainterior,sualteracióndebeserprevenidaeinvestigada,comoeselcasodelosciberdelitos.

Agencia

Nacionalde

Inteligencia

Preventivo

DeacuerdoalaLey19.974queregulasufuncionamiento,entresustareasseencuentra:“proponernormasyprocedimientosdeproteccióndelossistemasdeinformacióncríticadelEstado”Art8,letrac)

b) MinisteriodeDefensaNacionalEntidad Rol Misión

Subsecretaria

deDefensa

Formuladordepolítica

LaSubsecretaríadeDefensaeslaentidadresponsabledegenerarymanteneractualizadalaplanificaciónprimariaypolíticascorrespondientesparaenfrentarlosdesafíosquelaciberseguridad

26

planteaparalaDefensaNacional,ydeasegurarlacorrespondenciadelaplanificaciónsecundariaconésta.

EstadoMayor

Conjuntoy

Fuerzas

Armadas

Preventivoyreactivo

LasinstitucionesdelasFuerzasArmadasestánacargodeprotegersupropiainsfraestructuradelainformación,ademásdecolaborarenlastareasdeciberseguridadquecorrespondanenrelaciónconlaseguridadnacionalyelsistemanacionaldeinteligencia.ElEstadoMayorConjuntoeselorganismodetrabajoyasesoríapermanentedelMinistrodeDefensaNacionalenmateriasquetenganrelaciónconlapreparaciónyempleoconjuntodelasFuerzasArmadas,yestáacargodeelaborarymanteneractualizadalaplanificaciónsecundariadelaDefensa,juntoconotrastareasrelevantesparalaciberseguridaddelpaís.LasFuerzasArmadas,porsuparte,estánacargo,acordealaplanificaciónrealizada,delosplanesinstitucionalesyoperativosquecorrespondan.

c) MinisteriodeTransportesyTelecomunicacionesLaSubsecretaríadeTelecomunicaciones,quegenerapolíticaspúblicasy fiscaliza sucumplimientoenmateriadetelecomunicaciones, está a cargode la implementación de la Ley 20478, “SobreRecuperación y Continuidad enCondiciones Críticas y de Emergencia del Sistema Público de Telecomunicaciones”, lo que realiza a través deldecreto60/2012quefijaelReglamentoparalainteroperaciónydifusióndelamensajeríadealerta,declaraciónyresguardo de la infraestructura crítica de telecomunicaciones e información sobre fallas significativas en lossistemas de telecomunicaciones. Asimismo, esta subsecretaría es la encargada de fiscalizar que se respete elprincipiodeneutralidaddelaredconsagradoenlaLey20.453.

d) MinisteriodeEconomía,FomentoyTurismoSeencargadeformularpolíticaspúblicasenmateriaproductiva,LamisióndelMinisteriodeEconomíaespromoverlamodernizaciónycompetitividaddelaestructuraproductivadelpaís,lainiciativaprivadaylaaccióneficientedelosmercados,eldesarrollodelainnovaciónylaconsolidacióndelainsercióninternacionaldelaeconomíadelpaís,deallíquelaconsideracióndelaciberseguridadcomounfocodedesarrollonacionalseaconsideradaenlaAgendadeProductividad,InnovaciónyCrecimiento

e) MinisteriodeRelacionesExterioresCon el rol de articulador en la comunidad internacional y coordinador internacional de la política nacional deciberseguridad, la Dirección de Seguridad Internacional y Humana del Ministerio (DISIN) identifica, coordina ypromueve laposicióne interesesdeChileen lacomunidad internacionalenmateriadeciberseguridad,entodassusdimensiones.Asimismo,coordinaypromueve laparticipacióndeChileenorganismosyforos internacionalesespecializados (Meridian, Octopus, OEA, UNASUR, UIT, IGF, Grupos de expertos ONU, entre otros). Fomentaademáslasrelacionesbilateralesenestamateria.

f) MinisterioSecretaríaGeneraldelaPresidenciaEn relación con la formulación de políticas públicsa en materia de gobierno electrónico y desarrollo digital, laUnidaddeModernizacióndelEstadodetienecomoobjetivoacercarelEstadoa laspersonas,yenestecontextodesarrollalamodernizacióndelEstadoyelGobiernoElectrónico.

g) UniversidaddeChileEntidad Rol Misión

NICChileÓrganotécnico,

NICChileeslaorganizaciónencargadadeadministrarelregistrodenombresdedominio.CL,ydeoperarlatecnologíaquepermite

27

administrador queestosnombresfuncionendemaneraeficienteysegura,paraquepersonas,empresaseinstitucionespuedanidentificarseenInternet

CLCert

Órganoacadémico,puntodecontactoconCERTsinternacionalesyconFIRST

CLCerttienecomoprincipalesobjetivos:Entregarenformaoportunaysistemáticainformaciónsobrevulnerabilidadesdeseguridadyamenazas-Divulgaryponeradisposicióndelacomunidadinformaciónquepermitapreveniryresolverestosincidentesdeseguridad-Educaralacomunidadengeneralsobretemasdeseguridad,promoviendolaspolíticasquepermitensuimplementación.

h) InstitutoNacionaldeNormalizaciónCumpliendo el rol de órgano técnico, normalizador de estándares y acreditador, el Instituto nacional deNormalización (INN),esuna fundacióndederechoprivado sin finesde lucro, creadaporCORFOenel año1973,como un organismo técnico en materias de la Infraestructura de la calidad, las cuales en el ámbito de laciberseguridadserelacionanconlaseriedenormasISO/IEC27000.

i) MinisterioPúblicoCumpliendo el rol de dirigir la persecución penal y ejercer la acción penal pública, el Ministerio Público es unorganismoautónomo,cuyafunciónesdirigirlainvestigacióndelosdelitos,llevaralosimputadosalostribunales,sicorresponde,ydarprotecciónavíctimasytestigos.

j) PoderJudicialConlafacultadexclusivadeconocerresolveryhacercumplirlojuzgadoencausascivilesypenales,elPoderJudicialestá conformado por tribunales de diversa competencia: civil, penal, laboral y familia. En el marco de laciberseguridad,losjuecesautorizanalgunasdiligenciasintrusivas,controlanlalegalidaddelainvestigaciónpenal,ydecidenrespectodelascausascriminales,incluyendolosciberdelitos.

B. AnexoNº2:panoramaderiesgosyamenazas

1. Tiposderiesgosyamenazas

Enatenciónalanaturalezaglobaldelciberespacio,losriesgosprovienendeamenazasprovenientestantodeChilecomodelexterior,yposeendiversosorígenes,entrelosquedestacanparanuestropaís:• Incidentes internos: fugas involuntarias de información, interrupción accidental de sistemas informáticos, u

otros incidentes involuntarios que pueden afectar la confidencialidad, integridad y disponibilidad de lainformación.

• Desastres naturales o fuerza mayor: terremotos, inundaciones u otros desastres que puedan afectar alciberespacio, debido a la destrucción de infraestructuras físicas esenciales para la disponibilidad de lainformación.

• Actividades de espionaje y vigilancia llevadas a cabo por actores estatales: conductas que afectan laconfidencialidadde la información,mediante su sustracción con finespolíticoso estratégicos. Enparticular,destacan acciones utilizando herramientas sofisticadas conocidas como APT (amenazas avanzadaspersistentes),queasuvezpuedenvalersedevulnerabilidadesinformáticasnopublicadasdelastecnologíasenuso.

• Ataques de denegación de servicio y denegación distribuida de servicios (DOS y DDOS): consisten en lasobrecargaintencionaldeserviciosqueseproveenenunsistemainformático,quepuedeserconducidadesdeun punto de la red o distribuirse para coordinar el ataque desde varios puntos, muchas veces mediantedispositivosinfectadosconprogramasmaliciosos,conelfindecumplirdichopropósito.

28

• Cibercrimen: actividades criminales cometidas contra componentes del ciberespacio (acceso no autorizado,sabotaje de información, robo de información, secuestro de información o ransomware) o empleandoherramientas del ciberespacio como medio de comisión (phishing, pharming, fraudes virtuales, y otrosrelacionados).

• Ataques a infraestructuras críticas mediante el ciberespacio: la alteración en el funcionamiento deinfraestructurascríticas(físicasodelainformación)realizadapormedioselectrónicos.Porejemplo:disrupciónmasiva de sistemas financieros, intervención de servicios básicos, daños físicos a infraestructuras físicas, yotrosrelacionados.

Todos estos riesgos y amenazas afectan la confidencialidad, integridad y disponibilidad de los activos deinformación en el ciberespacio, y en el mediano plazo, puede afectar el desarrollo del país en el ciberespacio,privándonos de los beneficios asociados al gobierno electrónico, comercio electrónico, formas de organizaciónsocialfacilitadasporelciberespacio,yamenazandolaseguridaddelaspersonaseinstitucionesenesteambiente.Algunoscasospuedencaerenmásdeunacategoríadelasaquípresentadas.

2. Riesgosyamenazasenelcontextoglobal

A nivel global, existen abundantes antecedentes sobre ciberataques consistentes en actividades de espionaje yataquesdedenegacióndistribuidadeservicio(DDoS)xiienInternet,entreotros.Asimismo,lainterceptaciónmasivaderedesdetelecomunicaciones,lainutilizacióndelserviciodeInternet,elespionajecontragobiernosyempresas,ademásdeataquescontrainfraestructurascríticascomobancosyserviciosgubernamentaleshanmarcadolapautainformativa.Tambiénexistenantecedentesdeabusosderequerimientoslegalesdedatosadiversosproveedoresdeproductosserviciosdigitalesporpartedelospaísesdondeestánradicadoslosmismos.Dentro de estos casos, destacan: Irán (2010), cuyas centrífugas nucleares fueron inutilizadas por un virusinformáticodiseñadoparatalefecto;Estonia (2007),dondepartedesu infraestructuracrítica fue inutilizadaporsemanas; las revelaciones de Edward Snowden (2013) sobre espionaje masivo por parte de las agencias deinteligencia de Estados Unidos, cuya extensión aún permanece incierta por la cantidad y periodicidad de estasrevelaciones;yelespionajecontraempresasdedefensa(Lockheed,2011)yentretención(Sony,2014)delmismopaís,cuyaextensióncomprometegravementeintereseseconómicosyderechosfundamentalesdelaspersonasalolargodelmundo.

3. Riesgosyamenazasenelcontextoregional

A nivel regional, países que han registrado el mayor número de ciberataques en Latinoamérica fueron Brasil,Argentina, Colombia, México y Chile. Los accesos o robo de información desde un ordenador infectado -denominados botnets- predominaron en la región. Incluso, un tipo específico de este códigomalicioso llamadodorkbot generómás de 80mil acciones contra el sistema virtual, concentrándose en Chile (44%), Perú (15%) yArgentina(11%).xiii

4. Actividades maliciosas detectadas en la Red de Conectividad del

Estado

En Chile, la Red de Conectividad del Estado (RCE) sufre numerosas actividadesmaliciosas o sospechosas. Existeregistrode incidentesvinculadosaataquesdedenegacióndistribuidadeservicios (DdoS)oalteracionesdesitioswebsgubernamentales,observándoseunimportantecrecimientodeéstosdesdeelaño2010.Asimismo,enelaño2014,anivelgeneral,losadministradoresdelaredgubernamentaldetectaronlossiguientespatronesmaliciosos:

29

PatronespotencialmentemaliciososdetectadosenlaReddeConectividaddelEstado(RCE)duranteelperiodo2014(Fuente:DivisiónInformáticadelMinisteriodelInterior,año2015)

5. CiberdelitosenChile

DeacuerdoconelMinisterioPúblico,en relación conel cibercrimen,entre losaños2009y2013,elnúmerodecasosingresadosbajoelrótulo“delitoinformático”fuede3.063casos,distribuidoscomoseindicaacontinuación:

Casosingresadosporciberdelitos2009-2013porMinisterioPúblico(Fuente:ULDDECO,MinisterioPúblico,2014xiv).

30

Porsuparte,segúnlosdatosaportadosporlaPolicíadeInvestigaciones(PDI),duranteelperiodo2009-2013,serealizaronuntotalde1.980investigaciones,distribuidoscomoseindicaacontinuación:

Investigacionesefectuadasporciberdelitos2009-2013porPDI(Fuente:BrigadadeCibercrimen,PDI,2014).

Esposibleconstatarquelosdelitosinformáticostuvieronunascensohastaelaño2010,yluegoundecrecimiento.En este sentido, la PDI explica el comportamiento debido a que la orientación del fenómenomutó. En efecto,ocurrierondelitos informáticosenmenorcantidad,peromáscomplejosensuejecución,generando lanecesidaddemásrecursoshumanosydetecnologíaparadaradecuadotratamientoaestosnuevosdelitos.Porsuparte,Carabineros identificadiferentestiposde ilícitosenelciberespacioanivelnacional,siendo losmáscomunes el acceso indebido a sistemas; la adquisición, comercialización y almacenamiento de materialpornográficoinfantil;sabotajeinformático;ytransaccionesbancariasilícitas(phishing).Asimismo, los cibercrímenes cometidos en Chile confirman el carácter transnacional de los ilícitos en elciberespacio,específicamente,enelusofraudulentodetarjetasdecréditoydébito,conladeteccióndepersonasdediferentesnacionalidades,enlaplanificaciónycomisióndedichosdelitos.

a) ConclusiónLos antecedentes expuestos constituyenuna amenaza para la confidencialidad, integridad y disponibilidadde lainformaciónenelciberespacio,yafectaatodossususuarios,impidiéndolesusarlodemanerasegura,vulnerandosecretos estatales y comerciales, y amenazando los derechos fundamentales de las personas, especialmenteaquellosvinculadosconlaproteccióndesuvidaprivadaeinviolabilidaddesuscomunicaciones.Lo anterior hace imprescindible contar con políticas de gestión yminimización de riesgos que consideren estosriesgos y amenazas, especialmente en lo relativo a las infraestructuras críticas de la información, considerandoreglas especiales para la adquisición y operación de soluciones tecnológicas que tomen en cuenta el contextointernacionalexistenteenmateriadeciberseguridad.

iMásinformaciónenlossiguientessitiosweb:https://ccdcoe.org/strategies-policies.htmlhttps://www.enisa.europa.eu/activities/Resilience-and-CIIP/national-cyber-security-strategies-ncsss/national-cyber-security-strategies-in-the-worldhttp://www.itu.int/en/ITU-D/Cybersecurity/Pages/National-Strategies.aspxiiProgramadeGobiernodelaPresidentaMichelleBachelet,página57

31

iii Prandini,P. yMaggiore,M.2013.CiberdelitoenAméricaLatinayElCaribe.Unavisióndesde la sociedadcivil.ProyectoAmparo,SeccióndeEstudios.LACNICRegistrodeDireccionesde InternetparaAméricaLatinayCaribe.pp.3.ivDisponibleen:http://www.agendadigital.gob.cl/vEnesesentido, la resoluciónA/HRC/20/L.13delConsejodeDerechosHumanosde lasNacionesUnidasdeclaróque“losderechosdelaspersonastambiéndebenestarprotegidosenInternet”.viElroldelosintermediariosdeinternethaganadounacrecienteatención,porsurolcríticoenasegurarderechoscomoel de LibertaddeExpresión.Al respecto,pueden consultarsemarcosde referencia como losprincipiosdeManila.[enlínea]Disponiblesenhttps://www.manilaprinciples.org/esviiEnesesentido,unaherramientaútildeanálisiseseldocumento“PrincipiosInternacionalessobrelaAplicaciónde los Derechos Humanos a la Vigilancia de las Comunicaciones”. [en línea] Disponible enhttps://es.necessaryandproportionate.org/textviiiMásinformaciónen:http://www.minrel.gov.cl/minrel/site/artic/20080802/pags/20080802194424.htmlix Existen actualmente estudios que dan una aproximación al valor del PIB que aporta el sector TIC, como porejemplo,el“ÍndicePaísDigital”realizadoporlaFundaciónPaísDigitalenalianzaconlaUDD,entregadoenenerodelaño2015,estimóqueeltamañodelsectorTICrepresentaun3%sobreeltotaldelaeconomíachilena(fuenteaño2012).Porotraparte,lasubsecretaríadeeconomíaencargóaF&KConsultoresel“EstadodeldesarrollodigitalenChile”,enmarzode2015,elcualentregóqueelvaloragregadodelsectorTICllegaaun4,12%respectoalvaloragregadototal(fuenteaño2011).x informe“Tecnologíasdela InformaciónyComunicaciónenChile:Áreasdeinvestigaciónycapacidades, informede estado del arte”, Conicyt, 2010. “Índice PaísDigital”, Fundación PaísDigital en alianza con laUDD, enero de2015.“EstadodeldesarrollodigitalenChile”,F&KConsultores,marzode2015.xihttp://www.coe.int/t/dghl/cooperation/economiccrime/Source/Cybercrime/TCY/ETS_185_spanish.PDFxiiSiglaeningléspara“ataquedistribuidodedenegacióndeservicio”,untipodeataqueefectuadodesdemúltiplescomputadoresparasaturarlascapacidadesdeconexióny/oprocesamientodeunservidorconectadoaInternet.xiiiPrandini,P.yMaggiore,M.2013.Op.Cit.xiv Ministerio Público de Chile. Breve sinopsis acerca de la actual regulación y punibilidad en Chile de losdenominados Ciberdelitos. Unidad Especializada en Lavado de Dinero, Delitos Económicos,Medioambientales yCrimenOrganizado.Talcomoindicaeldocumentoseñalado,losdatospresentadosnoconstituyenelnúmerototaldeingresosporloscasos,debidoaquemuchosdeellosingresanrotuladoscomoestafa(página6).