Subgrupo 3
- Moderadora: Mariana Ferraro, Agesic.
- Relatora: Mauro Parada, ICD.
- Participaron 8 (ocho) personas de 6 (seis) Instituciones públicas, Organizaciones de la Sociedad Civil, Academia y/o Sector Privado.
Ronda 1. Intercambio sobre el borrador
Agesic (Institución pública) - Adolfo Nidegger
Destaca la necesidad de mejorar la coordinación y cooperación institucional, especialmente con la fiscalía, y subraya la importancia de establecer estándares y una organización adecuada, ya que el flujo de información es actualmente inadecuado y las unidades están desorganizadas. También enfatiza la crucial necesidad de abordar la financiación. Sugiere incluir una línea de acción para alinearse con estándares internacionales como NITS y ETSO en el combate al cibercrimen, y señala que el sistema acusatorio debe estar preparado para enfrentar el cibercrimen con suficiente financiación. Adicionalmente, enfatiza la importancia de atacar a delincuentes de alto perfil y menciona que el Poder Legislativo debería estar involucrado en este proceso.
BROU (Sector privado) - Antonio Rodríguez
Resalta la importancia de la cooperación entre instituciones y observa un desfase entre el conocimiento tecnológico de los usuarios y los productos que deben usar, como los celulares, promovidos por las industrias. Señala que los usuarios no dimensionan adecuadamente los riesgos de los productos tecnológicos e identifica un problema en el tiempo que lleva desde la denuncia hasta la intervención policial, especialmente en casos de estafa.
FGN (Institución pública) - Ricardo Lackner
Critica la falta de claridad en el sistema político sobre los delitos cibernéticos y la omisión de debates cruciales sobre temas procesales y licencias de software. Sugiere cambiar "inminente" por "imprescindible" en la redacción, y enfatiza que no se puede seguir improvisando en el debate sobre cibercrimen. Apoya la creación de un laboratorio nacional de forense digital independiente y resalta la necesidad de una obligación de denunciar incidentes graves. Insiste en definir claramente los delitos informáticos y lamenta la falta de legislación adecuada en materia de ciberseguridad. Además, subraya la importancia de usar los recursos eficientemente y propone adoptar un modelo de especialización en crímenes cibernéticos similar al de otros países.
UCU (Academia) - Julio Lens
Felicita el borrador, considerándolo un buen punto de partida y una estrategia general amplia que abarca varios pilares importantes. Sin embargo, critica la superficialidad del contenido, señalando la falta de profundidad en la definición de términos y en la concreción de la estrategia y el marco normativo. Enfatiza que no hay políticas públicas sin costos y subraya la importancia del financiamiento adecuado. Destaca la necesidad de contar con peritos informáticos, ya que muchos delitos tradicionales se cometen a través de medios informáticos, y ambos tipos de delitos deben legislarse en paralelo. Además, resalta la importancia de la cooperación internacional, mencionando problemas prácticos como la falta de incautación de dispositivos electrónicos durante detenciones.
LACNIC (Sociedad civil) - Graciela Martínez
Subraya la importancia de diferenciar entre la comunicación entre organizaciones y la gestión de evidencia, y aboga por una estrategia clara y sencilla con proyectos e indicadores específicos y presupuesto adecuado. Destaca la necesidad de cooperación internacional y capacitación en ciberseguridad para abogados y el sistema judicial, señalando atrasos en procesos judiciales y la falta de peritos informáticos. Expresa preocupación por el aumento de incidentes cibernéticos y sugiere enfocarse en abordar el cibercrimen proactivamente. Recomienda no mencionar la adhesión al Convenio de Budapest en la introducción, sino implementar los puntos necesarios para adherirse. Propone aprovechar la experiencia internacional; enfatiza la importancia de la educación y cultura en la estrategia, y resalta que el Estado debe exigir requisitos mínimos de seguridad en sus licitaciones para evitar problemas de malware.
Agesic (Institución pública) - Joaquín Carega
Menciona que algunos incidentes no se denuncian a la policía porque no se consideran delitos. Señala la incertidumbre sobre si ciertos incidentes serán judicializables debido a la falta de claridad sobre su naturaleza delictiva y los responsables, además de la ausencia de una cadena de custodia rigurosa. Destaca que, en ocasiones, se interviene en incidentes que finalmente no son manejados por la policía. Propone extender la línea de acción para que el proyecto de adhesión al Convenio de Budapest sea más exhaustivo.
CUTI (Sector privado) - Ana Lucero
Señala la necesidad de una definición precisa de infraestructuras críticas para entender la relevancia de cada entidad. Destaca que, aunque existe una oferta educativa en ciberseguridad, falta atraer talento, incluyendo profesionales de otras áreas como el derecho. Aboga por desarrollar una industria de software seguro en Uruguay y posicionar la industria de ciberseguridad a nivel nacional. Menciona la importancia de formar ciberdiplomáticos y la participación de CUTI en la ley de cibercrimen, expresando preocupaciones sobre la redacción de ciertos artículos. Pregunta cómo el ciudadano común podrá acceder al laboratorio forense digital y teme que, por falta de cultura en el ámbito, el laboratorio no se utilice adecuadamente.
Ronda 2. Aportes estratégicos, priorización e identificación de actores para el pilar de la mesa
Parte A. Validar los objetivos planteados en el capítulo del pilar de la mesa
Los objetivos fueron validados, con algunas observaciones:
Como desafío, se señaló que hay un desfasaje entre la evolución de la tecnología, los delitos informáticos, y la normativa.
También se subrayó que se deben mejorar las estrategias de atracción de talento. Se sugirió desarrollar mecanismos para atraer talento de otras profesiones, como por ejemplo el Derecho.
Se resaltó que al proyecto de ciberdelitos le falta la parte procesal y operativa.
También falta una política de priorización de los cibercrímenes.
Para atender estas carencias, es importante aprender de las experiencias de otros países.
Parte B. Aportes sobre actividades/acciones para el pilar específico de la mesa
Se sugirieron algunas modificaciones en la redacción, y se plantearon nuevas líneas de acción.
Las modificaciones sugeridas fueron las siguientes:
En la introducción al pilar, evitar la palabra “inminente” y sustituirla por “impostergable”: “Es impostergable abordar el combate al cibercrimen de forma proactiva y colaborativa.”
En la descripción del objetivo 1, se argumentó que se debería quitar la parte sobre el proceso de adhesión del convenio, y colocarlo como línea de acción. A su vez, se debe identificar lo que falta para la adhesión e implementarlo.
Agregar una cuarta línea de acción sobre alineación con estándares internacionales en la temática (por ejemplo, NIST, ISO, ETSI) en el Objetivo 1. Este estándar debe ser coordinado y compatible con los demás países.
En la línea de acción ii del Objetivo 1 (“Definir y establecer la forma de colaboración activa entre todos los organismos gubernamentales, autoridades locales, el sector privado y organizaciones internacionales para intercambiar información y recursos en la lucha contra el cibercrimen”), agregar: “hacer hincapie en la cooperacion internacional.” Se subrayó que en el convenio de Budapest está prevista la obligatoriedad de la cooperación de los actores privados. Hay que ver cómo se resolvería esto en Uruguay.
En la línea de acción i del Objetivo 2 (“Establecer un laboratorio nacional de forense digital que brinde servicios”), borrar “a la comunidad”. Debe brindar servicios al sistema de justicia, con independencia técnica y protección legal de sus técnicos, y en colaboración con la academia. También se debe establecer una política de priorización de incidentes y delitos.
Respecto a este laboratorio, se sugirió corregir “forense”, reemplazándolo por “forensia”.
Crear un Observatorio de cibercrimen, incluyendo a la academia.
Implementar una exigencia de requisitos mínimos de seguridad en licitaciones públicas de productos y dispositivos tecnológicos.
Armar un esquema de diferenciación entre delito informático y delito que se realiza a través de la informática.
Realizar capacitaciones hacia funcionarios parlamentarios y jurídicos.
Parte C. Analizar viabilidad, priorizar acciones e identificar actores vinculados
Los actores mencionados fueron:
Fiscalía
Poder legislativo (para que puedan entender las necesidades y consideraciones técnicas)
Poder ejecutivo / Agesic
Academia, industria y sociedad civil.
Sin embargo, se subrayó que es necesario hacer un análisis previo de los actores involucrados.