Subgrupo 1
- Moderadora: Mariana Ferraro, Agesic.
- Relatora: Daniel Miranda y Mauro Parada, ICD.
- Participaron 12 (doce) personas de 9 (nueve) Instituciones públicas, Organizaciones de la Sociedad Civil, Academia y/o Sector Privado.
Ronda 1. Intercambio sobre el borrador
En esta Mesa, las partes A y B de la primera ronda se trataron conjuntamente.
IBIRAPITÁ (Institución pública) - Diego Cajade
Considera la propuesta interesante y acertada, pero destaca la necesidad de enfocarse en la educación tecnológica para las personas mayores, sugiriendo presupuesto y personal dedicado, ya que las campañas actuales no son efectivas. Propone fomentar la enseñanza intergeneracional y la formación de formadores. Expresa preocupación por la brecha de conocimientos entre Montevideo y el interior, y entre ciudades y áreas rurales. Recomienda que la educación digital se centre en la confianza y seguridad en lugar del miedo. Además, cuestiona la vinculabilidad jurídica de la estrategia y la necesidad de supervisar a quienes vigilan, sugiriendo un grupo de control cibernético similar al de Estonia. Finalmente, insiste en la necesidad de un presupuesto específico para asegurar la implementación de la estrategia.
Agesic (Institución pública) - Matilde Casabó
Sugiere revisar y actualizar la terminología, alineando los conceptos con la estrategia de ciudadanía digital, recomendando términos como "entorno digital" en lugar de "ciberespacio" y "personas mayores" en lugar de "adultos mayores". Señala la necesidad de aclarar términos como "higiene digital" y sugiere incluir a la sociedad civil en el pilar de cultura por su aporte significativo. Aboga por la convergencia con la estrategia de ciudadanía digital y la inclusión de definiciones relevantes. Recomienda enfocar las capacitaciones en capacidades técnicas específicas en seguridad y sugiere incorporar la gestión de la huella digital y la privacidad. También opina que la firma digital debe tener un enfoque más amplio y destaca la importancia de incluir a diversos sectores en la estrategia, además de abordar la seguridad del almacenaje de la información relacionada con el software.
Poder Legislativo (Institución pública) - Darío Burstin
Enfatiza la importancia de implementar efectivamente la estrategia y destaca que la educación y la cultura son clave para el público en general. Resalta la relevancia de la colaboración entre el sector público y el privado. Menciona posibles problemas de redacción en el documento sin detallar específicos. Critica el enfoque excesivo en la acción pública y la falta de énfasis en el sector privado, señalando la ausencia de requisitos mínimos de privacidad para este sector y la falta de detalles sobre cómo ayudará al público.
BCU (Institución pública) - Isabel Maroñas
Subraya la importancia de coordinar esfuerzos entre distintas mesas para evitar duplicaciones y promover sinergias entre los sectores público y privado. Aboga por la educación financiera y la sensibilización de la población sobre los riesgos tecnológicos. Insiste en la necesidad de una coordinación efectiva para implementar la estrategia, resaltando la colaboración en ciberseguridad dentro del Estado. Quiere que la gobernanza de la coordinación público-privada sea más explícita en el documento. Propone que se establezcan lineamientos acompañados de recursos adecuados, mediciones y sanciones para el incumplimiento. Finalmente, sugiere considerar la protección de los niños en el ámbito digital como parte de los derechos humanos, destacando la vulnerabilidad de aquellos que asisten poco a la escuela.
Agesic (Institución pública) - Elena Machuca
Considera que la propuesta está bien estructurada, pero enfatiza la necesidad de abordar los derechos y la ética en los aspectos de seguridad, señalando posibles conflictos entre seguridad y derechos. Coincide en que se enfoca demasiado en la educación formal y sugiere desarrollar estrategias para motivar e involucrar a toda la sociedad. Menciona que el sector financiero está trabajando bien y sugiere regular la participación de distintos sectores, tanto públicos como privados. Propone que la estrategia incluya sostenibilidad y una revisión periódica para asegurar la continuidad de las iniciativas. Además, insiste en la necesidad de recursos dedicados para monitorear y asegurar la continuidad, considerando también la evolución futura. Finalmente, destaca la importancia de conectar las iniciativas con la sociedad para mantener el interés y la relevancia.
ISACA (Sociedad civil) - Ana Paula Izquierdo
Propone utilizar ejemplos de campañas de conducta exitosas, como las de no fumar, para influir en la primera infancia. Ve a los niños como una puerta de entrada efectiva para estas campañas. Sugiere educar a adolescentes sobre las amenazas cibernéticas y cómo enfrentarlas, y a los padres sobre los riesgos asociados con juegos y chats en línea. Resalta la importancia de que las organizaciones se comprometan con la ciberseguridad y realicen campañas internas, aunque a veces no se perciban. Destaca la necesidad de una gobernanza seria de la información de los ciudadanos. Recomienda crear programas de voluntariado para adolescentes y enfatiza la formación de formadores con habilidades didácticas en tecnología y ciberseguridad. Propone incluir capacitación en ciberseguridad en carreras específicas como medicina y enfermería. Subraya la necesidad de exigir cumplimiento con leyes como la Ley Nº 18.331. Sugiere hacer públicos los ataques cibernéticos a empresas para aumentar la conciencia y cultura de seguridad. Finalmente, cree que es crucial aumentar la conciencia sobre los riesgos reales para motivar a las personas a tomar medidas de seguridad.
Scotiabank (Sector privado) - Mercedes Gatti
Subraya la importancia de mantener campañas de concientización continuas y efectivas en medios accesibles. Cree que la formación en ciberseguridad debería ser obligatoria en todos los niveles. Resalta la necesidad de enseñar a los desarrolladores a crear software seguro para evitar vulnerabilidades. Observa que muchas personas no están al tanto de los riesgos cibernéticos y necesitan estar mejor informadas. Menciona a Israel como un modelo exitoso de ciberseguridad debido a su alta percepción del riesgo y buenas prácticas, que puede utilizarse como ejemplo a seguir. Destaca que cualquier persona puede ser víctima de ciberataques, por lo que la concientización debe ser continua. Propone promover una cultura de ciberseguridad sin generar miedo, enfatizando que la tecnología está para ayudar y no debe ser temida.
UDELAR (Academia) - Juan Diego Campo
Subraya la necesidad de una educación en ciberseguridad obligatoria en todos los niveles y áreas, incluyendo el derecho. Destaca la importancia de la privacidad, señalando que Uruguay es pionero en protección de datos personales, pero la ciudadanía no percibe su importancia. Sugiere más énfasis en este aspecto. Observa que términos como "higiene digital" y "resiliencia" deben explicarse de manera clara y comprensible para la ciudadanía. Indica que algunas líneas de acción, especialmente en el Objetivo 1, resultan confusas al mezclar conceptos concretos y abstractos. Además, subraya la necesidad de una adecuada formación de docentes en temas de ciberseguridad.
Agesic (Institución pública) - Natalia Salazar
Sugiere ajustar la redacción de algunos objetivos y líneas de acción para que sean más proactivos, evitando el uso excesivo del verbo “aspirar”. Destaca la importancia de mantener una comunicación continua sobre ciberseguridad para asegurar un impacto duradero. Propone tratar la prevención y respuesta para niños de manera separada con mecanismos interinstitucionales. Además, sugiere agregar una línea de acción para facilitar la participación de Uruguay en foros internacionales, con el fin de adquirir experiencia y capacitación en la gestión de ataques masivos.
UTEC (Academia) - Ignacio Pesce
Enfatiza la urgencia de mejorar la educación en ciberseguridad a nivel nacional, destacando la falta de conocimiento sobre las amenazas emergentes. Propone implementar programas educativos desde las escuelas hasta las universidades, junto con seminarios, talleres y recursos accesibles para difundir el conocimiento. Además, subraya la necesidad de establecer un plan de seguimiento de amenazas para facilitar el intercambio de información entre el sector público y privado y mantenerse al tanto de las tendencias del mercado de ciberataques. Aboga por asignar presupuestos adecuados para apoyar herramientas y proyectos de ciberseguridad, y enfatiza que la cultura organizacional debe integrar la ciberseguridad en todas las etapas de los proyectos. Critica la falta de coordinación efectiva entre el sector público y privado, proponiendo una colaboración más genuina y pasando de recomendaciones a exigencias concretas. También sugiere implementar auditorías periódicas para evaluar la calidad y efectividad de las prácticas de seguridad, y destaca la importancia de estudiar y aprender de países como Israel, conocidos por sus estrategias efectivas en ciberseguridad, para mejorar las prácticas a nivel nacional.
Agesic (Institución pública) - Natalí Paggiola
Señala varias áreas críticas en la estrategia nacional de ciberseguridad. Critica la falta de una estructura organizativa clara y específica, así como la ausencia de detalles sobre los recursos económicos y humanos necesarios para una implementación efectiva. Propone que estas definiciones sean explícitas y comparables internacionalmente. Además, destaca la necesidad de establecer mediciones claras para evaluar el progreso de la estrategia, incluyendo indicadores de rendimiento para monitorear el cumplimiento de los objetivos. Sugiere utilizar incentivos para fomentar prácticas seguras en ciberseguridad en ambos sectores, público y privado, mediante metas claras y recompensas. También propone facilitar la enseñanza de conceptos de ciberseguridad y la creación de un glosario de términos comprensible para todos los sectores. Finalmente, enfatiza la importancia de la identificación y mejora continua de cada documento estratégico, basada en retroalimentación y experiencia acumulada.
UDE (Academia) - Diego Nogueira
Enfatiza la necesidad urgente de mejorar la seguridad en el desarrollo de software, señalando que muchos programas carecen de medidas adecuadas, lo que representa un riesgo significativo para la ciberseguridad. Además, critica la falta de conciencia de los riesgos entre la población, citando ejemplos como el uso de software pirata y la visita a sitios web fraudulentos sin comprender los riesgos asociados. Propone integrar la educación en seguridad digital dentro de una cultura más amplia de seguridad, no limitándola únicamente a la ciberseguridad.
Sugiere dos pilares fundamentales para abordar estos problemas: primero, la educación para programar software seguro desde el inicio del desarrollo, promoviendo prácticas seguras en cada etapa del proceso. Segundo, propone concienciar de manera intergeneracional, donde los niños puedan educar a los adultos mayores sobre prácticas seguras en línea. Destaca la importancia de mejorar la conciencia del riesgo y de promover comportamientos seguros en el uso de la tecnología.
Además, recomienda utilizar formatos audiovisuales como videos cortos e infografías en las campañas de concienciación, considerando que estos medios pueden ser más efectivos para llegar a la población que los mensajes escritos, especialmente en contextos donde existen problemas de lectura o atención.
Ronda 2. Aportes Estratégicos, Priorización e Identificación de actores para el pilar de la mesa
Parte A. Validar los objetivos planteados en el capítulo del pilar de la mesa
Los objetivos fueron validados en forma general. Se planteó que el tercer objetivo (“Prevención y respuesta para las personas”) debería ser el primero, ya que es más fácil de incorporar y ver resultados rápidos.
Se hicieron ciertas observaciones generales respecto al abordaje de los objetivos.
Hay que fomentar una cultura de seguridad que no genere miedo, sino que genere confianza, y hacer accesibles los conceptos técnicos a través de un glosario claro y comprensible. Se deben abordar los derechos y la ética en relación con la seguridad cibernética, asegurando un equilibrio entre la seguridad y la protección de los derechos individuales.
Se subrayó la importancia de la educación desde las escuelas hasta las universidades en temas de ciberseguridad, y de mejorar la conciencia de riesgos entre la población en general.
También se puso énfasis en la necesidad de una colaboración efectiva entre el sector público y privado, pasando de recomendaciones a exigencias concretas y compartiendo recursos.
Se criticó la falta de una estructura organizativa clara y la necesidad de definir recursos económicos y humanos específicos para implementar la estrategia.
Se resaltó que deben establecerse mediciones claras y un seguimiento riguroso de los avances en la estrategia de ciberseguridad, incluyendo indicadores de rendimiento para evaluar el cumplimiento de objetivos. Deben utilizarse incentivos para promover prácticas seguras y establecer sanciones para aquellos que no cumplan con los estándares de seguridad establecidos. Faltan precisiones relacionadas al monitoreo de los programas para medir el cumplimiento de los objetivos.
Parte B. Aportes sobre actividades/acciones para el pilar específico de la mesa
Se plantean las siguientes acciones durante la Ronda 2, organizadas según cada objetivo:
Objetivo 1: “Fortalecer las habilidades de las personas en el ciberespacio”
Campañas de concientización periódicas
Enseñanzas obligatorias. Se propuso poner a disposición manuales en línea como los que elabora CERTuy, así como cursos autogestionados.
Programas de voluntariado, pasantía e iniciativas (como, por ejemplo, los premios INACAL).
Respecto a la línea de acción i (“Impulsar una cultura de ciberseguridad e higiene digital”), se sostuvo que debería cambiarse esta formulación, ya que la cultura incluye higiene.
Objetivo 2: “Desarrollar y fortalecer las capacidades humanas”
Se propuso agregar una primera línea de acción que consista en formar a los formadores. Se deben implementar programas de formación continua y mejora de las habilidades en ciberseguridad tanto en el sector público como en el privado, incluyendo la formación de formadores.
Se sugirió agregar una última línea de acción: aprender de otras experiencias e incorporar experiencia práctica, participando en ámbitos internacionales (CLEI, CIBERLAC). Generar sinergias entre todos.
Respecto a la línea de acción iv relativa a la formación en carreras vinculadas, se sostuvo que debe aplicarse a todas las carreras, no solo a las vinculadas.
Objetivo 3: “Prevención y respuesta para las personas”
Respecto a la línea de acción iii (“Desarrollar capacidades para la lucha contra la suplantación de identidad”), se propuso que el término “suplantación de identidad” sea ampliado a “fraude”.
Se sugirió incluir en este objetivo la línea de acción i del objetivo 1, subrayándose que falta el “qué” en esta línea de acción.
Parte C. Analizar viabilidad, priorizar acciones e identificar actores vinculados
Se propusieron actores pertinentes según cada objetivo.
Objetivo 1: Ministerio del Interior, Ministerio de Educación y Cultura, Academia, sector público y privado, AGESIC, actores de la educación no formal, organizaciones sociales.
Objetivo 2: AGESIC, Ministerio de Educación y Cultura, academia, sector privado, redes internacionales (CIBERLAC, CLEI, ISACA).
Objetivo 3: Ministerio del Interior, Ministerio de Educación y Cultura, academia, Poder Judicial, Fiscalía, sector público y privado, AGESIC, organizaciones sociales.