La ciberseguridad se contrata con transparencia; aquí no cabe la austeridad: Julieta del Río

• Invertir en la protección de servidores, sistemas y bases de datos no es un gasto, sino una obligación para salvaguardar los derechos, el patrimonio y la seguridad de millones de personas.
• La vulneración reportada de datos personales de más de 400 mil personas en la Oficina de Atención Ciudadana de la Presidencia de la República evidencia que la ciberseguridad debe convertirse en una prioridad permanente del Estado.

“Ante el reciente incremento de hackeos y filtraciones de bases de datos de instituciones públicas y empresas privadas, es importante que la ciberseguridad deje de considerarse un asunto exclusivamente tecnológico y se convierta en una prioridad permanente de la política pública”, afirmó Julieta del Río Venegas, especialista en protección de datos personales y ex comisionada del INAI.

Advirtió que cada vulneración representa un riesgo real para miles de personas, pues la exposición de datos personales puede derivar en fraudes, extorsiones, robo de identidad, suplantación de identidad y otros delitos que afectan el patrimonio, la privacidad e incluso la seguridad de las familias.

“Detrás de cada base de datos no hay únicamente archivos digitales; hay personas que confiaron su situación, sus preocupaciones y sus datos a una institución y esperan que esta los proteja. Cuando falla la seguridad de los sistemas, el riesgo se traslada directamente a las personas”, señaló.

Del Río Venegas sostuvo que México no puede normalizar que cada semana se conozca un nuevo caso de hackeo o una nueva filtración de información, como si fueran una consecuencia inevitable de la transformación digital.

“En lugar de acostumbrarnos a las vulneraciones, deberíamos estar hablando de cómo fortalecer la infraestructura tecnológica de las instituciones, cómo invertir permanentemente en ciberseguridad y cómo proteger mejor los datos personales de la ciudadanía”, enfatizó.

Recordó que durante su gestión en el INAI la protección de la Plataforma Nacional de Transparencia fue una prioridad permanente. Para ello se implementó una estrategia integral que incluyó infraestructura especializada, monitoreo continuo, protección de servidores, segmentación de redes, herramientas avanzadas de seguridad y personal especializado para resguardar una de las plataformas de información pública más importantes del país.

En este sentido, destacó que invertir en ciberseguridad nunca debe considerarse un gasto prescindible ni convertirse en víctima de recortes presupuestales.

“Aquí no cabe la austeridad. La austeridad mal entendida puede salir mucho más cara cuando se sacrifica la seguridad de la información. Recuperar un sistema puede ser posible; recuperar la confianza de las personas y reparar los daños ocasionados por una filtración es mucho más difícil”, señaló Del Río Venegas.
Asimismo, hizo un llamado a los gobiernos de los tres órdenes de gobierno para que la protección de servidores, sistemas, aplicaciones y bases de datos sea una prioridad presupuestal permanente.

“No basta con digitalizar los servicios públicos. Es indispensable invertir en la seguridad de la infraestructura que almacena la información de millones de personas. Una base de datos mal protegida puede terminar convirtiéndose en una herramienta para la delincuencia; la falta de inversión en seguridad puede resultar mucho más costosa que los beneficios de la propia simplificación administrativa”, afirmó.

Del Río Venegas también señaló que la autoridad que actualmente tiene a su cargo la protección de los datos personales debe ejercer plenamente las facultades que le otorga la legislación.

“La ley establece mecanismos para actuar de oficio o a partir de denuncias cuando existen vulneraciones de datos personales, así como para verificar que las instituciones cuenten con las medidas de seguridad correspondientes. Es indispensable que esas atribuciones se ejerzan con oportunidad, rigor y transparencia. El silencio o la falta de actuación frente a estos incidentes también debilitan la protección efectiva de este derecho.”

Como ejemplo, mencionó recientes casos de vulneraciones que involucran información en poder de instituciones públicas, entre ellos la vulneración reportada de datos personales de más de 400 mil personas que acudieron a la Oficina de Atención Ciudadana de la Presidencia de la República, la exposición de información de pensionados del IMSS y el caso de la UNAM.

“Cuando una base de datos de esta naturaleza es vulnerada, no solamente se compromete información personal. También se pone en riesgo la confianza de miles de personas que acudieron al Estado para solicitar apoyo, presentar una petición o buscar una solución a un problema. La protección de esos datos debe ser una prioridad absoluta.”

Añadió que estos casos adquieren una dimensión todavía más delicada cuando la información corresponde a personas que acudieron ante una institución para presentar una denuncia o solicitar ayuda.
“Hay personas que entregaron sus datos confiando en el Estado para denunciar actos de corrupción, extorsiones, violencia, amenazas u otros delitos. Cuando esa información se expone, el daño trasciende lo tecnológico y se convierte en un riesgo para las personas.”

Respecto al caso de la UNAM, Del Río Venegas sostuvo que, además de revisar las fallas en materia de ciberseguridad, resulta indispensable transparentar la contratación de la empresa responsable del sistema.

“La ciberseguridad también se contrata con transparencia. No basta con reaccionar cuando ocurre una filtración; las instituciones deben explicar cómo seleccionan a las empresas que administrarán información sensible, cuáles fueron los criterios técnicos, qué mecanismos de supervisión existieron y quién responde cuando los resultados no son los esperados. La confianza pública también se construye con rendición de cuentas”, consideró Julieta del Río Venegas, con base en su experiencia en la protección de la Plataforma Nacional de Transparencia.

“Este caso plantea varias preguntas que la sociedad tiene derecho a conocer: ¿Quién recomendó a la empresa y con base en qué criterios fue seleccionada? Si bien la universidad podía optar por una adjudicación directa, el monto del contrato ameritaba una licitación pública, sobre todo por el impacto que representaba en la educación. ¿Qué cláusulas del contrato se incumplieron y quién responderá por ello? ¿Quién es el beneficiario final de este contrato?”, cuestionó.

Añadió que la transparencia no consiste únicamente en informar que ocurrió un incidente, sino en explicar cómo se tomó la decisión de contratar, quiénes participaron, si se cumplieron las obligaciones pactadas y cuáles serán las responsabilidades derivadas de este caso.

“La transparencia es eso: respuestas claras. Este caso merece una investigación a fondo y el deslinde de responsabilidades. La sociedad tiene derecho a saber qué ocurrió, por qué ocurrió y qué se hará para evitar que vuelva a suceder.”

Finalmente, Del Río Venegas llamó a impulsar una estrategia nacional que combine inversión permanente en ciberseguridad, cumplimiento de la legislación, supervisión de la infraestructura tecnológica y campañas de educación digital que permitan a la ciudadanía identificar riesgos e intentos de fraude.

“La austeridad en este tema no aplica; más aún cuando existen otros rubros en los que se destinan cantidades millonarias sin una justificación clara”, señaló.

“La ciberseguridad tiene un costo, sí, pero proteger a las personas, sus derechos y su confianza no tiene precio. Invertir en seguridad digital no es una opción: es una responsabilidad del Estado y de todas las instituciones que administran datos personales. En este rubro, la austeridad puede terminar costando el patrimonio, la tranquilidad e incluso la vida cotidiana de muchas personas”, finalizó.

El caso de la UNAM exige respuestas claras sobre la contratación de la empresa responsable, el cumplimiento del contrato y las responsabilidades derivadas de la vulneración.

La autoridad responsable de proteger los datos personales debe ejercer plenamente las facultades que le otorga la ley y actuar con oportunidad, rigor y transparencia ante cualquier incidente de seguridad.