Webinar Seguridad de los Datos - LeyDeDatos.com

Y qué es lo más importante de esta ley o
el centro del corazón y es un enfoque
basado en riesgos y no un enfoque basado
en tecnologías esto no va a prohibir el
uso de ciertas tecnologías sino más bien
va a limitar ciertos riesgos que no
queremos como afectar el los derechos
fundamentales de las personas entonces
este enfoque en basado en riesgo
clasifica las inteligencias artificiales
en cuatro sistemas el primero los
sistemas de riesgo inaceptable que están
definidos en el artículo 6 y nos da
siete ejemplos de los cuales le voy a
nombrar tres que son los sistemas de
categorización biométrica identificación
biométrica o sistemas de evaluaciones de
Estados emocionales que van a estar
prohibidos exceptuando ciertas
excepciones enunciadas en la misma ley
el no cumplimiento indica una
prohibición de este sistema y además una
multa que puede llegar a los 20000 ut
están los sistemas de alto riesgo que
tienen como ejemplo por ejemplo sistemas
biométricos para identificación y
control de acceso en servicios
esenciales inteligencia artificiales
para toma decisones en salud justicia o
crédito o para selección y evaluación de
candidatos en en puestos ofertas
laborales estos de alto riesgo están
definidos en el artículo 7 en el
artículo 8 se defin los requisitos que
tienen que tener las organizaciones para
poder usarlos y el no cumplimiento de
esta ley tiene una multa de hasta 10,000
ut luego están los de riesgos limitados
definidos en el artículo uno que son por
ejemplo los chatos que interactúan con
consumidores los sistemas de
recomendaciónes plataformas digitales o
los sistemas de Inteligencia artificial
para generar contenidos comerciales sus
requisitos están en el artículo 12 multa
también de 100000 utms y finalmente
hasta los sin riesgos evidentes que no
son definidos y por lo tanto tampoco
tienen multa pero podrían ser por
ejemplo videojuegos con Inteligencia
artificial pilos de spam sistemas de
Inteligencia artificial para análisis de
datos o para optimizar procesos
internos pueden ver más de esto en
nuestro linkedin también está el como
les dejamos el bí pueden ver este
proyecto de ley y sin más ahora vo dejar
a Ignacio Gallardo para que pueda
presentar a nuestros
invitados bueno Muchas gracias Rodrigo
Hola buenos días a todos
eh estamos muy contentos con la
convocatoria el día de hoy tenemos a dos
grandes exponentes en lo que se trata en
en derecho de las tecnologías protección
de datos y ciberseguridad y el día de
hoy eh vamos a hablar sobre un tema que
no se suele tocar mucho cuando se habla
de protección de datos eh siendo que un
tema que es transversal
a a todo lo que tiene que ver con los
sistemas de información y tema de
seguridad y esta estrecha relación entre
seguridad de la información y la
seguridad de los datos personales es lo
que queremos nosotr apuntar el día de
hoy eh abordaremos temas como las
mejores prácticas en materia de
seguridad explicaremos conceptos como la
gestión de riesgo brechas de seguridad
eh con la visión de nuestros dos dos
exponentes eh Y
que viene muy bien el día de hoy este
tema dado la la gran cantidad de casos
que han habido sobre todo este último
tiempo en relación a acceso no
autorizado a la información y
vulneraciones de datos personales en
esos accesos no autorizados y lo que se
conoce como las brechas de seguridad
eh recordarles también que al final del
de las exposiciones de cada uno de
nuestros oradores tenemos un espacio
para preguntas las cuales pueden
realizarlas a través del a través del
chat y bueno sin más vamos a presentar a
nuestro primer expositor él es Andrés
pumarino abogado especialista en
tecnologías protección de datos Y
ciberseguridad con más de 20 años
experiencia profesional es actualmente
socio de leway y destacado también por
como profesor docente en distintas
universidades e instituciones
educacionales destacando también el
magister de tecnología y inform y
gestión de la Universidad Católica y
miist de ciberseguridad de la
Universidad de Adolfo Ibáñez y así
podría seguir también con más y más
pergamino Así que dejamos a Andrés eh
para su exposición Muchas gracias
Andrés Muchas gracias Ignacio Muy buenos
días a todos a todas quienes están
conectados un gusto poder compartir con
ustedes esta jornada y bueno como bien
lo mencionaba ignao bueno pueden ustedes
acceder ahí a información que yo Estoy
permanentemente publicando a través del
código QR para a poder seguir en
contacto qué vamos y qué les tengo
preparado para el día de hoy Bueno la
importancia y el valor de los datos es
un elemento fundamental en el contexto
que vamos a analizar vamos a hacer el
cru entre la ley de protección de datos
la ley marco de ciberseguridad y me
gustaría profundizar en el tiempo que
tenemos eh unas breves recomendaciones
conclusiones frente a este nuevo entorno
que nos aborda en el contexto digital
que estamos viviendo particularmente en
el contexto chileno de esta economía
digital hace muchos años atrás en el
siglo pasado leí un libro de este señor
que se llama Alvin tofler toffler es lo
que los americanos le llamaban un
futurólogo este profesor de historia
norteamericano autor de libros como el
chock del futuro o la tercera ola
escribió en 1976 eh en su libro la
tercera ola de que los analfabetos o
prácticamente desde punto de vista
digital dice que los ignorantes del
siglo XXI no son aquellos que no sepan
leer o escribir sino aquellos que no
tengan la capacidad de aprender a
desaprender ese libro la tercera ola aa
de tres olas La ola agraria La ola
industrial y la ola de las
comunicaciones que le estaba
refiriéndose en 1976 a la llegada de lo
que era incipientemente Internet pero
hace unos meses atrás se publicó el
libro del señor mustafa Suleimán Y quién
es mustafa Suleimán mustafa Suleimán es
un emprendedor digital en ámbito de la
Inteligencia artificial lo que eh le
lleva incluso a tener una empresa por
allá al 2014 y venderla a Google en la
módica suma de más de 400 millones de
dólares esa empresa era eh in Mind Y esa
empresa luego fue adquirida por Google
para el desarrollo de aplicativos
desarrolla otra empresa que se llama
inflection y hoy autor de este libro
publicado hace unos TR cu meses atrás
año 203 sí Andrés un segundo que se ve
la presentación como
moderador Así que per ahí se ve Okay
este autor viene a señalarlo Mira se
viene una tercera después de la tercera
hora viene la Hola que viene y esta Hola
que viene es la Inteligencia artificial
y esa Inteligencia artificial destaca
fundamentalmente por la proliferación
abundante de herramientas que están
generándose frente al uso de esta
herramientas y el dato como elemento
para afrentar un nuevo uso explotación y
fundamentalmente impacto que va a
generar desde el punto de vista de la
riqueza punto de vista de los nuevos
desarrollos y aplicativos un libro
recomendado para todos aquellos que
quiere ir profundizándose en nuestro
entorno mustafa sulaimán es el
vicepresidente global de Inteligencia
artificial de Microsoft también hace
tres meses y está hoy asumiendo varios
roles de la creación del de productos
que prácticamente usamos día a día en
nuestro contexto en nuestro país el tema
del dato tiene un valor El mercurio lo
publicaba en
mercurio tomando un artículo de Wall
Street journal el año 2014 Cuánto valen
los datos porque los datos valen Qué
pasa hoy realmente el proyecto de ley
chileno ha tenido algunos nudos que han
ido entrampando el proyecto de ley ya lo
mencionaban al principio respecto de la
detención que ha tenido en el congreso Y
eso va a generar varias preocupaciones
donde incluso la carta que se envió a la
honorable cámara mixta desde punto de
vista del avance del proyecto habla y
nos deja en exposición respecto de Oye
Bueno vamos a tener que movernos más
rápido hay compromisos internacionales y
ya no podemos seguir esperando en el
contexto de esta economía digital más
aún hemos ingresado un proyecto de ley
de Inteligencia artificial que cree
dentro del rol que le da la agencia de
protección de datos funciones
importantísimas desde el punto de vista
de control pero hoy tampoco seguimos sin
avanzar en este proyecto de ley el
instituto de auditores internos ya lo
viene diciendo desde Algunos años la
ciberseguridad y la protección de datos
son preocupaciones y son retos que deben
asumir las organizaciones de hecho en el
informe 2024 publicado a comienzo de
este año la el instituto de a internos
ya nos dice que por lejos la
ciberseguridad es un factor crítico pero
Incluso en la mirada a 3 años más las
disrupción digital junto con el cambio
regulatorio son preocupaciones que
también tienen las organizaciones Desde
esa perspectiva Incluso en un informe
presentado por u a nivel latinoamericano
desde México hasta chile se le preguntó
Cuál es la importancia y los planes que
tienen los directorios en América Latina
desde México el mismo concepto así se ha
repetido los elementos los dos primeros
son temas económico el tercero
habilitación para innovación y
transformación digital cuarto El Talento
desarrollar habilidades competencias y
persona para este nuevo entorno y quinto
la supervisión de la ciberseguridad y de
la privacidad ocurre que en Chile en un
los reportes que nos entrega la cmf la
comisión de Mercado financiero ya nos
anuncia respecto de los desafíos que hay
en materia de transformación digital se
hace muy difícil desde el punto de vista
de que eh la conversación entre la alta
dirección la alta y además los equipos
directivos asuman y entiendan la
importancia que hay hoy en el contexto
de la ciberseguridad y la protección de
los datos cuesta comprender Cuáles son
los riesgos no lo entienden la alta
dirección dos se abordan los riesgos
cibernéticos pero de una manera muy
restrictiva siempre aplicando el Roy
investment cómo se cómo se habla en este
contexto de las compañías si no quieren
aplicar el Roy incluso para la
asignación de presupuesto las
prioridades simulacro no existen cuesta
encontrar que se hagan simulaciones
tener muy buenos planes directores de
ciberseguridad no nos ayudan dentro de
las compañías si no son puestos en
práctica si no hay un mecanismo de
seguimiento Y por último estos
directores y directoras son los que
están hoy necesitando tratar de
supervisar la revelación de información
para inversionistas y es es una
condición sine ecuanon que comienza a
operar en el contexto hoy dentro de las
compañías que están operando Entonces
nos encontramos en el escenario de que
el to of the top desde arriba marcar las
directrices en materia de ciberseguridad
en materia de gestión son habilitantes
Son elementos esenciales en el contexto
de cualquier gestión de las
organizaciones desde la gobierna o la
gobernanza en materia de ciberseguridad
asignación de presupuesto control
seguimiento y métrica como lo veremos en
la siguiente lámina en materia de
protección de datos Bueno cómo vamos a
abordar este tema yo me quiero centrar
en el gobierno de datos el gobierno de
datos entender Entonces como el conjunto
de personas procesos y tecnología cómo
vamos a abordar esta conjunto de
acciones para crear un manejo coherente
y adecuado en el uso de las tecnologías
de dentro de la organización aquí el rol
fundamental de este dpo que viene en el
proyecto de ley tres roles va a tener
que asumir medidas técnicas medidas
legales medidas organizativas eso es
crítico Dentro de este contexto medidas
técnicas adecuación de soluciones debe
ser pensadas en la relación a las
exigencias legales ayer en una reunión
de cisos me he encontrado con que por
una parte son las plataformas
tecnológicas y por otra parte son las
exigencias regulatorias que se nos
vienen no están conversando tenemos que
identificar esa exigencia que pide la
ley y el regulador de estar relacionad
para resolver las necesidad de la
organización y por último las medidas
organizativas que va a tener que liderar
este dpo como la capacitación la
conscientización de las diversas áreas a
nivel de la organización y por otra
parte qué vamos a ir encontrando la ley
Marcos ciberseguridad publicada el 8 de
abril de este año Ya bajo el número
21663 trae ciertos principios y dentro
de esos principios vamos a tener que ir
identificando particularmente el
principio de seguridad por privacidad
por proyecto por diseño lo mismo que en
materia de protección de datos por
diseño por defecto que también lo
incorpora el proyecto de ley Pues bien
deberemos ser conscientes de diseñar
implementar gestionar sistemas que
consideran la seguridad y la privacidad
de los datos desde su Concepción Y eso
significa que vamos a tener que actuar
de manera proactiva el equipo legal
desde va a tener que entrar al Core del
negocio e va a tener que conocer cómo
opera el negocio va a tener que
identificar los procesos ya no podemos
estar entregando informes en derecho
tenemos que aplicar esos informes en
derecho de acuerdo a la realidad de las
medidas técnicas legales y organizativas
no puede ocurrir que los isos a uno le
estén comentando me entregar un informe
en derecho y no entiendo cómo poder
aplicarlo porque no se vincula a los
procesos tenemos que ser capaces de
vincular a través de algunas
metodologías incluso la universidad de
Stanford desarrollando la metodología
legal design que deriva del design poder
desarrollar políticas procedimientos
protocolos mucho más entendibles a cada
una de las capas de la organización pero
también que sean conscientes del
respecto a la realidad organizativa Por
qué Porque la ley marco de
ciberseguridad nos va a presentar
diversos actores que van a estar
regulados por la agencia Nacional de
ciberseguridad estos sectores son
considerados una perspectiva de
servicios esenciales y vamos a tener que
ver que cada uno de ellos En su mirada
interna y partiendo de sus reguladores
van a tener que tomar medidas sobre su
aplicación cada uno de ellos tendrá que
tomar acciones concretas los los
reguladores particularmente van a ir
dictando normas hacia los regulados y
van a tener que ser capaces de poder
abordar Por lo tanto por dónde partimos
roles responsabilidades cómo vamos a
gestionar el dato como les decía Tenemos
que tener una estrategia la organización
debe asumir también niveles de
responsabilidad tres políticas procesos
debemos acostumbrarnos El caso de los
abogados a trabajar por procesos a
trabajar con workflow con herramientas
ya sea con bagi y dejar atrás lo que yo
le llamo la metodología apl a puro lápiz
y pasar desde la metodología ape a puro
Excel a una metodología donde trabajamos
con plataformas que nos ayuden a
gestionar almacenar con con sistema de
TR de trazabilidad de cada una de las
procesos y cada una de las gestiones a
nivel de la responsabilidades que
estemos asumiendo tener cultura y
formación eso es un esencial dentro de
las organizaciones no podemos desconocer
que chile es un Data Paradise en el
contexto que estamos hoy de un estatus
de estatus cub de regulación chile está
en una situación detenida no avanza Y
eso hace que seamos un Data parad vamos
a tener que ver cómo vamos a gestionar
las operaciones en materia de privacidad
y aquí le podrá despés profundizar mucho
más sobre esos roles en la auditoría
evaluación de impacto sobre la
privacidad y el mismo diseño de
privacidad que ya les he comentado todo
esto nos va a permitir tener un
inventario de privacidad Desde esa
análisis y esa perspectiva entonces las
preguntas que van a tener que ir
haciéndose frente a la recolección de
datos Cómo están definidos los derechos
de acceso se crea nueva Data están
siguiendo protocolos regulatorios los
tenemos hechos están conversando de
acuerdo a los estándares o en materia
del uso de los datos se encuentran en el
lugar o controles que nos permiten una
gestión de identidad y los sistemas de
gestión de identidad hoy vamos a tener
que redoblar los mecanismos tecnológicos
Y eso significa Cómo estamos generando
principio de privilegio mínimo monitoreo
Cuál es la zona de cobertura en que
estamos almacenando los datos no porque
digamos los datos en la nube son seguros
desde el punto de vista de de la mirada
a nivel del almacenamiento de los datos
Entonces los datos están cifrado tenemos
sistemas que nos permitan utilizar los
datos en un entorno seguro están
protegidos los activos de esos datos
como están hoy desarrollado Cómo se
comparten esos datos frente a personas
que tengan la tenemos la autorización
para compartirlo existen datos que estén
cifrados de manera integral De qué
manera vamos a ir abordando cada uno de
estos procesos y los archivos de
información están de datos están
claramente definidos se han implementado
son preguntas que tenemos que tener en
este radar que nos va a facilitar eso es
fundamental para nosotros desarrollar
una evaluación de impacto en materia de
protección de datos Desde esa
perspectiva lo más importante si no se
puede medir no se puede gestionar
entonces generar políticas son las
recomendaciones elaborar acciones
concretas asignar responsables revisar
los contrato del personal un contrato
Por qué es muy frecuente que me
encuentro que se le asigna por áreas de
recursos humanos o desarrollo personal
todos los mismos contratos para todos
igual y no cada uno tiene rolos
diferentes trabajar con estándares hizo
27,000 y la familia correspondiente de
ahí para adelante 26,001 2 La 26032
26701 en fin mecanismos que nos van a
permitir tener mecanismos de control Ah
y fundamentalmente para la alta
dirección y para el directorio
particular cómo queremos que esto se vea
desde la perspectiva de del directorio
desde la mirada del management desde la
mirada de las áreas operativas como van
a estar operando La regulación a nivel
tecnológico en Chile Entonces no vamos a
ir migrando he tenido algunas
discusiones con algunos doctores en
derecho que me dicen Mira todas esas
medidas no son soft Law y por lo tanto
no marcan dentro del hard Law el nivel
del derecho y eso nos obliga a estar
mirando siempre un modelo grc gobierno
Rigo cumplimiento nos dicen nuestros
amigos de isaca y ahí significa
estándares ve las prácticas regulaciones
que nos van a facilitar mi mirada y mi
postura siempre ha trabajemos en un
enfoque Más allá del derecho bajo un
enfoque de riesgo entendiendo el riesgo
como la incertidumbre del logro de los
objetivos de la organización dice la ISO
31000 estándares bien sea nis o ISO
cualquiera uno de ellos trabajando sobre
PS dcs en los estándares en materia de
tarjetas de crédito desarrollando
algunos de los estándares para la ISO en
materia de protección de datos
personales que ya la 27001 con sistema
de gestión de seguridad y la 27701 nos
facilitan todo esto esto incluso viene
mencionado en muchas de las normativas
que ustedes lo han visto publicado este
pequeño normograma que le llamo sobre
las normativas tecnológicas que están
impactando hoy en nuestro país no son
menores las exigencias que se nos van a
venir y vamos a estar obligados en un
contexto regulatorio cada vez más donde
el regulador siempre nos va a ir
poniendo la frase los más altos
estándares Cuáles son esos más altos
estándares habrá que verlo de acuerdo al
sector económico en que está la compañía
Bueno tengo pero no me he pasado el
tiempo quiero hacerles y vamos atentos a
a la siguiente presentación para poder
continuar con esta eh webinar con este
webinar Muchas gracias Andrés por la
presentación muy ilustrativa antes de
pasar con la siguiente presentación les
voy a mostrar de manera muy breve lo que
estamos haciendo en ley de datos voy a
compartir pantalla ahí Creo que sí dej
listo s entonces Esta es nuestra
plataforma Sas eh hoy día Les voy a
volver a mostrar módulo de registro de
actividas de tratamiento que es el
corazón a nuestro entender de cualquier
proceso de protección de datos porque
tenemos que entender las actividades que
estamos realizando en nuestra empresa y
entender los datos que están
relacionados entonces acá ustedes pueden
ver cor un
poquito la lista completa de todas las
actividades de tramiento de la
organización esto es una demo claramente
Y si yo hago clic en una de ellas voy a
poder ver directamente esta actividad de
tratamiento y yo debía haber llenado
previamente y hacer un un trabajo con
algún consultor que me apoyó o un
levantamiento que hice de manera interna
entonces si yo quiero modificar esto
pued evitar la actividad de tratamiento
y modificar todos los campos que están
descritos a continuación como el
responsable por ejemplo el encargado del
tratamiento si que hay un tercero
involucrado el departamento si este
proceso es activo o ya no se está usando
justificación de la base de solicitud
qué datos tengo qué base solicitud estoy
usando cuánta gente estoy involucrando o
sea todas las cosas que va a pedir la
ley porque esto es para cumplir la ley
básicamente cumplimiento normativo lo
voy a poder editar acá y después yo
puedo ir y guardarlo si es que es
necesario luego de esto podemos ver una
preevaluación de impacto o una
evaluación de impacto como tal entonces
la preevaluación de impacto por ejemplo
es un informe que se alimenta de
registro actividad de tratamiento y que
si uno va bajando va a encontrar que hay
un cuestionario acá Entonces el
cuestionario tenemos dos alternativas de
llenado uno llenarlo de manera manual
que consume tiempo o dos apoyarnos en
las tecnologías que hoy día están en el
mundo como la Inteligencia artificial y
hacer una eh pre propuesta o una
propuesta de evaluación de impacto con
el fin de poder tener una base con la
que trabajar y ahorrar tiempo Entonces
si ahora yo vuelvo al formulario que
este cuestionario que está acá tengo una
respuesta prellenada con lo que nos dice
la experiencia y los distintos manuales
de la rgpd por hoy respecto a estos
tratamientos y si es que no me gustan
como abogado las puedo por ejemplo
editar acá dicho eso les vamos a dejar
en el chat mi correo si es que quieren
una reunión para una demo hacer alguna
consulta ver la plataforma con mayor
detención y ahora sí sin más para mí es
un gusto presentar a nuestro segundo
invitado eh tiene un currículo muy
extenso Pero me quedo que es definido
por muchos como el Evangelista de la
privacidad tod en Chile Él es director
académico y del programa ejecutivo como
delegado de protección de datos de la
universidad Santiago y sin más dejo con
ustedes a
leocadio muchísimas gracias Buenos días
a todos mis queridos compañeros amigos y
entusiastas del mundo de la privacidad y
la protección de datos del otro lado de
la del Atlántico de chile les hablo
desde mi querida isla de Gran canaria en
islas canari en España y para mí es un
gusto También tener esta oportunidad de
de compartir con el compañero Andrés y
hablar un poquito de seguridad asociado
directamente a los programas de de
protección de Atos voy a intentar hacer
una visión como a mí me gusta y soy un
auténtico forofo del del contexto me
gusta poner las cosas en contexto Así
que le he puesto tema y el tema que le
he puesto es sin privacidad no hay
ciberseguridad posible bueno está mi
currículum no hablar precisamente de mi
currículum e en la última semana en la
última semana ha habido bastant
acontecimientos en el mundo de la
ciberseguridad últimos tiempos en en
España aquí tenemos algunos casos muy
interesantes eh un caso también muy
cercano en el en el tiempo como la la
app tro eh bastante utilizada en
muchísimas eh personas o por muchísimas
organismos eh sufren una una brecha de
seguridad el banco Santander se apenas
en dos semanas eh Y bueno Y est es un
pequeño resumen exactamente creo que de
los últimos cuatro o c días en España no
es decir empezamos con Banco Santander
telefónica iberdrola decatlón tick
Master eh Dirección General de tráfico
Eh bueno Y esto es un un goteo continuo
en ISO nos presenta un poco Cuál es el
escenario de de amenazas no el año
pasado presentó un informe y y y de
hecho hubo una actualización en marzo en
apenas 4ro meses después y nos pone en
el contexto digamos de las 10
circunstancias más importantes a las que
nosotros nos enfrentamos en el mundo de
la ciberseguridad no eh fundamentalmente
El compromiso en la cadena de suministro
eh Y se ve perfectamente en el caso de
Banco Santander y en el caso de
iberdrola eh campañas de desinformación
el aumento del autoritarismo de
vigilancia digital y la pérdida de
privacidad errores humanos y sistemas
heredados ataques dirigidos vale falta
de análisis y control de La
infraestructura amenaza de las aumento
perdón de amenazas híbridas escase de
habilidades los proveedores de servicios
TIC transfronterizo como único punto de
falla y también el abuso también de la
de la Inteligencia artificial veréis que
aparece en el top 10 de amenazas más
importante por poner un pequeño botón de
muestra eh la extorsión del ransomware
Cómo ha ido evolucionando en los últimos
tiempos hemos ido pasando de la
extorsión única a la doble extorsión a
eh A través de la infiltración a la
Triple extorción A través de la
denegación de servicio a través de
ataques de dos a la cuádruple extorsión
directamente con e la la actuación por
parte de los operadores de ransomware e
comunicándose directamente con los
clientes y con las partes interesad de
la víctima lo que Agrega una mayor
presión a la víctima Y a eso hay que
Añadir además eh un vector nuevo una
quin extorsión que se centra
fundamentalmente en contactar con la
competencia de las víctimas Esta es la
realidad a la que nosotros nos
enfrentamos Pero además vivimos en un
mundo regulado un mundo que en materia
de privacidad y protección de datos Está
en fase expansiva a nivel mundial donde
más del 75 por casi el 80% de la
población mundial se encuentra bajo
alguna norma en materia de protección de
datos donde en escenarios como el caso
de Estados Unidos está teniendo una un
avance muy muy pronunciado No aquí se ve
justo esta última modificación gráfica
ya hay 18 estados dentro del propio país
que cuentan ya con con normativa ya
aprobadas en materia de de de privacidad
y protección de datos Y además ha cogido
impulso la el nuevo proyecto de de
privacidad Estatal para los Estados
Unidos fruto también un poco de las
negociaciones también con la Unión
Europea Pero dónde nos encontramos en
realidad no en el contexto europeo y
quiero hacer una visión de Europa para
entender un poco el contexto o la
importancia de la seguridad eh Como un
elemento que que que siendo vertebrador
no es el fin sino un medio que es lo que
vamos a intentar plantear eh
precisamente vamos a centrarnos en lo
que es la agenda digital 2030 de la
Unión Europea no que se basa
fundamentalmente en cuatro en cuatro
Pilares básicos no las skill en una
población digitalmente capacitada y
profesionales digitados altamente
cualificados en temas de
infraestructuras digitales segura y
sosteni en un impulso a la
transformación digital de las empresas y
sobre todo eh eh un impulso también a a
la motorización en este caso de la
Administración pública a través de la
digitalización de los servicios públicos
no en todo este contexto de esta agenda
digital 2030 qué espacio ocupa el
reglamento general de protección de
datos y por tanto la protección de los
datos personales Y por tanto el tema que
nos tra aquí que es la seguridad de los
datos personales Cuál es la posición
bueno la siguiente slide pone de
manifiesto que el reglamento general de
protección de datos No es otra cosa sino
la piedra angular del proyecto de
construcción del proyecto europeo dónde
pone el énfasis Europa construye su
estrategia sobre el reglamento general
de protección de datos cambia su modelo
reactivo del año 95 la directiva
95/46 por un modelo proactivo con una
alta rendición de cuentas impulsado por
el accountability que se centra
fundamentalmente en el artículo 5.2 y el
artículo 24 un de su reglamento con un
enfoque a riesgos a derechos y
libertades no desde ahí
la seguridad se convierte en un Pilar
vertebrador en el medio para conseguir
el fin que no es otro sino garantizar la
protección de los derechos inherentes de
la personalidad Y la protección de los
derechos fundamentales y libertades
fundamentales de las personas desde ahí
en el contexto de este derecho europeo
de datos tenemos junto al reglamento
general de protección de datos Pues todo
un compendio de normas este año con dos
aportaciones muy importantes al
ecosistema Cómo es eh el reglamento de
Inteligencia artificial que está a
puntito de de ser publicado y también la
la la Data act como eh digamos eh fruto
de de ese esfuerzo por delante que nos
queda eh También la el reglamento de de
del espacio europeo de datos sanitario y
algunas otras iniciativas bueno Hagamos
una pequeña recapitulación para colocar
un un terreno común y creo que es
importante no Y aunque se supone que
todos los que estamos aquí entendemos
claramente que es ciberseguridad pero
creo que es importante que pongamos en
nombre y apellido alguna alguna de estas
cuestiones No mira reconocemos que para
muchas empresas muchos empresarios
muchos
profesionales de la dirección de empresa
y Andrés ha hablado de un aspecto que es
importante que es el mundo del grc el
mundo de la la del gobierno riesgo y
cumplimiento como un elemento Core para
gestionar todos los proyectos que tienen
que ver con con datos Y con datos
personales pero nosotros reconocemos que
la mayor parte de los miembros de las
juntas directivas de del alto directorio
pueden que no se sientan seguro en
materia de sus conocimientos en materia
de seguridad cibernética y tratan de
delegar esto en en otros profesionales
de hecho el propio término
ciberseguridad no siempre se comprende
de una forma correcta para empezar
algunos términos como doble factor
autenticación vale marware software
Hardware router d2 brecha hacker
fireware antivirus foran parte digamos
de de de un uso de de la lengua eh de la
comunicación que es ajeno Y que hace
muchas veces ruido al oído de la de la
alta dirección Pero qué es la
ciberseguridad Bueno pues es la forma en
que las personas y las organizaciones
reducen el riesgo de sufrir un
ciberataque no la función principal de
la ciberseguridad es proteger los
dispositivos que todos utilizamos y los
servicios los que accedemos a través de
esos dispositivos no y fundamentalmente
se trata de evitar el acceso no
autorizado a los Grand a grandes
cantidades de información que nosotros
almacenamos en nuestro dispositivo ya
sea un premis o o en entorno Cloud Pero
qué es la ciberseguridad de verdad qué
mitos y cuál es la realidad vamos vamos
a hablar de tres mitos que creo que es
importante que que eliminemos de de de
nuestra mente el primer mito Es que la
seguridad cibernética es demasiado
compleja para que yo la entienda y esto
es un problema que tenemos de
conversación con la alta dirección y por
eso echan balones fuera hacia otro lado
pero lo cierto Lo cierto es que la
realidad es que la mayor parte de los
riesgo a los que nosotros nos
enfrentamos vale
eh están al alc nuestro a la hora de
tomar decisiones no Yo siempre digo que
las áreas de de alta de alta dirección
no siempre tienen formación en temas de
marketing y toman decisiones en temas de
marketing no todos tienen formación en
materia financiera y toman decisiones en
materia financiera no todos tienen
formación en materia estratégica y toman
decisiones en materia estratégica por
tanto no tenene formación no tiene
conocimiento en materia de seguridad
cibernética no les exime de tomar
responsabilidades desde el punto de
vista de la gestión de un riesgo que es
Core eh a directamente la la la
actividad no Ah esto es importante que
nosotros lo lo pongamos en en debido
contexto Y esto no es una excusa e para
tomar decisiones el segundo mito es que
los ciberataques son sofisticados que no
podemos detenerlo Y esta es una falacia
de hecho la mayoría de los ataques
todavía se basan en técnicas muy bien
conocidas como son los correos
electrónicos el fising por ejemplo
hablamos de la ingeniería social y
muchos de los elementos vertebradores de
de de las distintas estrategias en
materia de ingeniería social pone de
manifiesto que estamos ante una práctica
repetida Sencillamente cambiando en la
vestidura con la que esta se se
manifiesta o se presenta delante de
nuestra puerta y la tercera gran falacia
o la tercera gran mito es que los
ataques Cibernético está muy dirigido y
que es muy poco probable que nuestra
organización sea lo suficientemente
interesante o valiosa para los atacantes
falso falso los ataques cibernéticos
están muy dirigidos no en realidad la
mayoría de los ataques cibernéticos son
oportunistas y no son dirigidos eh Y el
perpetrador el perpetrador Busca
aprovechar una vulnerabilidad en un
sistema sin est particularmente
interesado en quién sea la víctima
ejemplo por ejemplo los ataques de
ranong de comaki del año 2017 como botón
de muestra Sencillamente un poco para
poner esto un poco en contexto voy a
poner esto un poco en contraste con eh
un caso que es eh Ya tiene Algunos años
tiene 9 años hace 9 años en octubre del
2015 hubo una filtración eh que lo
sufrió digamos la la la empresa ttac eh
que llegó a los titulares de de todo el
Reino Unido no los atacantes explotaron
una vulnerabilidad en el sitio web de la
empresa que les permitió acceder
directamente a toda la información que
contenían a eh la base de datos que que
subyacía en detrás la base de datos
contenía información personal de los
clientes incluido nombres direcciones
correo electrónico fechas de nacimiento
números de teléfono bueno a temas datos
que llamaríamos datos normales dentro de
lo que sería la estructura del gdpr se
accedió de alguna forma casi los
registros de 160 160,000 clientes de la
de La Firma La pregunta es Cuál fue el
impacto en esta organización como
resultado de esta brecha que afectó a
estos 160,000 vamos a ver los números
creo que los números no mienten no
101,000 suscriptores se fueron vale 60
millones en libras esterlinas de Pérdida
total en ese trimestre vale 15 millones
de libras estelina de impacto comercial
a entre 30 y 45 millones de costes
excepcionales hay que recuperar los
sistemas hay que recuperar también la la
imagen de marca en la organización y a
eso hay que añadirle siempre digo que es
el mal menor 400000 libras esterlinas de
multa del ico que es la autoridad de
protección de Atom
lección lección cuando se pone el
énfasis en que deberíamos impulsar el
cumplimiento de la normativa de
protección de datos para evitar
sanciones
administrativas estamos mal entendiendo
el objetivo de la normativa de
protección de
datos Porque la sanción administrativa
es la menor de las
preocupaciones que debería afectar el
comportamiento de una alta dirección y
ahí los números no engañan señores los
números no engañan y como este podíamos
presentar infinidad de de pruebas y de
evidencia para para ilustrar esto Dijo
en su informe elco el hecho de que talt
no implementara las medidas de seguridad
cibernética más básica permitió a los
piratas informáticos perpetrar penetrar
los sistemas con facilidad dice sí la
piratería está mal pero eso no es una
excusa para que las empresas ad diquen
de sus obligaciones de seguridad y una
lección que también publicó en este caso
la comisionada del ico dijo la multa
récord de hoy actúa como una advertencia
para otros de que la seguridad
cibernética no es una cuestión de ti es
una cuestión de sala de juntas las
empresas deben ser diligentes y
vigilantes deben hacer esto no solo
porque tienen un deber ante la ley y ahí
está la elección sino porque tenemos un
deber para
con nuestros clientes y aquí el punto de
inflexión al que quiero hacer hincapié
tenemos que buscar un equilibrio señores
entre preocuparnos
y ocuparnos dicho esto está colocado
digamos un escenario de contexto vamos a
responder a la pregunta creo que más
importante que he querido plantear en
como tema central no Por qué sin
privacidad No puede haber ciberseguridad
voy a explicar esto porque lo he
explicado en muchísimos sitios porque
hay una tremenda confusión en algunos
entornos de que protección de datos se
cubre directamente con una estrategia de
seguridad de la información Cuando se
llega a esa conclusión lo que se pone de
manifiesto es que hay un clarísimo
desconocimiento de Qué es o cuál es el
objeto de la protección en el que
deberíamos entrar nuestra atención Mirad
la ciberseguridad tiene como fin último
en principio la protección de las
entidades y las personas a través de la
protección de los sistemas vale Y para
eso desplegamos medidas técnicas
organizativas y jurídicas el factor
humano es clave detrás de todas estas
garantía sin embargo si la información
personal de cada individuo queda
expuesta Bueno pues este individuo puede
ser vulnerable a ataques de ingeniería
social especialmente dirigido a sus
debilidades no y también de esta forma
el atacante podrá alcanzar tanto a la
organización como a los propios
individuos que pertenecen a la
organización sorteando las distintas
protecciones tecnológicas que nosotros
podamos desplegar como parte de nuestra
estrategia para el sistema de gestión de
seguridad de la información por tanto la
lección es muy clara lo he dicho antes
la ciberseguridad no es un fin en sí
mismo sino un medio un medio repito un
medio para proteger a las organizaciones
y a las personas para eso nos valemos de
medidas Cuáles son las naturalezas de
las Med lo comentado antes muy bien
Andrés verdad medidas organizativas
medidas técnicas medidas jurídicas pero
pero sabéis detrás de estas medidas
desplegadas implementadas mantenidas
monitoreadas estamos las personas que
las seleccionamos las diseñamos las
instalamos las configuramos las
activamos o las desactivamos las
empleamos las cumplimos las controlamos
Y eso que nos dice nos dice que en
realidad las personas se convierten en
una de las principales vulnerabilidades
de los sistemas de información por tanto
la información personal los datos los
metadatos el entorno social y familiar
nuestra huella digital a título
particular las claves criptográficas
etcétera de todo y cada uno de nosotros
se encuentran eh tras las medidas de
ciberseguridad se pueden convertir en
una de las principales vulnerabilidades
que pueden ser recopiladas y explotadas
por por la
ciberdelincuencia el informe del inbe
con respecto al año 2023 es muy claro en
el caso español no un 24 por de aumentos
de incidentes con respecto al año
anterior no exactamente
83.517 incidentes con
18307 sistemas vulnerables no con ah
fijaros eh Un aumento bastante bastante
importante sobre todo de los eh
denominados incidentes de peligrosidad
alta o muy alta eh el
52,83 por 22,000 empresas afectadas más
de 58,000 ciudadanos víctimas
directamente de incidente y y eso dónde
nos coloca nos coloca en en que el
riesgo más peligroso señores es aquel
que se haya diseñado atendiendo a las
peculiaridades de cada uno de los
individuos que conformamos nuestras
organizaciones por tanto recoger
información sobre todos y cada uno de
nosotros vale Ah puede ser una puerta de
entrada directamente a las
organizaciones y ha ser permeable
directamente la seguridad organizacional
Más allá de lo que se pueda recoger no
los datos Y muchas veces centrándose
muchas veces en esas debilidades que han
sido evaluadas a partir de nuestro
perfil de compra de geolocalización de
creencia de valores de miedo de deseos
En definitiva de esa huella o perfil
digital que nosotros vamos dejando
directamente en nuestro entorno por
tanto decimos claramente que la
protección de datos trasciende los
límites de la organización y tiene un
Impacto en el individuo y y en la
sociedad no las organizaciones eh saben
que eh Y tienen dentro de su estrategia
la protección sobre todo de de su
personal más vulnerable no eh del que
tiene más alta capacidad de que tiene
las credenciales más importantes no seo
siso coo vale o cualquiera de los eh de
la de la de las cadenas c Suite no son
puertas de entrada directamente sin
embargo todos estos roles están ocupados
siempre digo por personas personas que
por muy importante que seamos en la
estructura jerárquica y de poder de una
organización somos clientes o usuarios
de una red social somos cliente o
usuario de una entidad financiera somos
cliente usuario de seguros somos cliente
usuario de marketing somos cliente o
usuario de la red sanitaria somos
cliente o usuario de ese sistemas de
administraciones públicas o de
plataformas de contenido etcétera
etcétera y esto dónde nos coloca en el
hecho de que somos clientes digitales y
precisamente a través del de esa
acumulación de información que nosotros
podemos ir dejando podemos abrir
directamente la la la oportunidad
directamente para que Ah se puedan
provocar eh incidentes A través de la
acumulación y acceso a datos a través de
la filtración de dicha información a
través de brechas de datos a través de
un empleo poco ético o claramente
ilícito eh o a través de la generación
de información eh clave sobre
vulnerabilidades de digamos de cada uno
de nosotros de nuestras organizaciones o
de las organizaciones de las que
formamos parte Bueno este esto que hay
que quiero comentar es Sencillamente
para que entendamos cuál Debería ser la
estrategia la estrategia señores los
principios orientadores de la seguridad
no lo vamos a encontrar técnicamente en
la seguridad porque hemos dicho que la
seguridad es solo un medio no el fin
Entonces qué principios orientadores nos
van a ayudar realmente a mejorar el
estatus de seguridad de nuestros datos
personales Sin lugar a duda el principio
de limitación de finalidad el principio
de conservación y comunicación de datos
entre otros vale el principio de
minimización de datos que coincide con
el principio de mínimo privilegio que
antes se ha comentado con el tema de los
eh famosos controles de acceso a los
sistemas de información cuarto el
principio responsabilidad proactiva y un
quinto elemento un quinto bloque que es
el principio de protección de datos por
diseño y por defecto señores la pérdida
de privacidad convertirá a las personas
en objetivos vulnerables de esta forma
arrastrará a la inseguridad a las
entidades u organizaciones en las que
nosotros nos encontramos y Estos
principios van a ayudarnos a acumular
esa información y que esa información
pueda eh afectarnos a nosotros desde un
punto de vista de la de la seguridad un
punto de vista de de la privacidad eh en
algunos casos para conseguir el
propósito el atacante ya no será
necesario comprometer los sistemas
cuando la privacidad cuando nuestra
intimidad cuando nuestro libre albedrío
de de de cada uno de nosotros est
comprometido simplemente condicionado
se podrá materializar un ataque
directamente al corazón de una
organización o al corazón de cualquiera
de los estados en los que nosotros nos
conformamos por eso es importante la
privacidad porque sin el enfoque de la
privacidad los objetivos finales de la
ciberseguridad disculpad me está sonando
ya la temporizadora a cabo sin el
enfoque de la privacidad los objetivos
finales de la ciberseguridad se van a
ver comprometidos desde el minuto uno la
ciberseguridad sin privacidad encuentra
su hábitat en regímenes donde existen
carencias en el estado de derecho y en
las garantías democráticas y la gran
lección es cuando la ciberseguridad
actúa sin privacidad tendrá un objetivo
distinto a la protección de los
individuos en su esfera individual y
social y será más una herramienta para
el control y limitación de los derechos
y libertades de los ciudadanos lo
podemos ver en muchos países con con
sistemas autocráticos lección con la
triada garantizando la confidencialidad
integridad la disponibilidad que es
requisito en el propio reglamento
general de proteccion y que es también
requisito en el proyecto de ley con esto
no cubrimos en absoluto el riesgo de
seguridad en relación con nuestros datos
personales Esta es una parte de la
vestidura Cuál es la otra parte la otra
parte
son la desv vinculaba el control y la
transparencia con esto podemos formar
todo un pack perfecto con el que
nosotros hacer frente directamente al
desafío de la seguridad de nuestros
datos el modelo español además añadimos
dentro del esquema nacional de seguridad
dos propiedades más de la información
que es la autenticación y la
trazabilidad y el reglamento añade
también la importancia de la resiliencia
y la capacidad de restaurar la
disponibilidad técnica en caso de una
caída y todo esto tanto la protección de
datos del diseño como también el la las
medidas de seguridad en el reglamento
están condicionados por uno de los
elementos que pocas veces hablamos de
ello que es el estado de la técnica y
uno se pregunta dónde se sitúa en este
escenario el estado de la técnica lo
veréis estado de la técnica se encuentra
entre los conocimientos científicos e
investigaciones exist
y las reglas o normas Generalmente
aceptadas bordeadas por el
reconocimiento general y y la y probado
en en en la técnica muchas veces nos
encontramos ante una evolución de los
modelos existentes para llegar a modelos
que denominaría con el tiempo de forma
pausada y asentada en lo que serían
buenas prácticas como bien nos demuestra
el famoso ciclo de de garner El hiper
cclo en materia digamos de de evolución
tecnológica he querido poner un pequeño
botón de muestra y con esto acabo
precisamente para para entender esto no
pensemos por ejemplo en en los sistemas
de seguridad Cuando hablamos de eh
antiguamente Hablamos siempre de
antivirus antimalware y ahora se nos ha
ido añadiendo a través de ese desarrollo
tecnológico una serie de soluciones
nuevas que probablemente muchos de
nosotros ya la estamos utilizando o
estamos pensando en migrar hacia ell no
edr mdr ndr xdr como un modelo eh que
nos pone en en en en en la el escenario
central o en la idea central de que el
riesgo es Dinámico que es el primero de
los grandes principios que nos dice dice
la ISO 31000 riesgo Dinámico por tanto
las medidas de seguridad tiene que estar
acorde al Estado de la técnica y no
podemos plantear esto fuera de una
estratégica de una estrategia
eh digamos moderna actual teniendo en
cuenta la naturaleza el alcance el
contexto y las propias finalidades de
los tratamientos de datos que nosotros
tenemos pres present como conclusión
Sencillamente recordar digamos los
cuatro elementos fundamentales no que he
querido plantear no uno el escenario
actual nos encontramos rodeados de
ciberincidentes donde la
cibercriminalidad y los actores de
amenaza eh exigen de nosotros una
reorientación en la estrategia nos
encontramos ante un impulso de nuevas
regulaciones internacionales y
nacionales eh se ha hablado el proyecto
de ley de Chile de protección de alos
proyectos en materia de Inteligencia
artificial hablamos de los objetivos
recordar que la ciberseguridad tan solo
es un medio no es el fin no y que el
vector de ataque más importante son Y
seguirán siendo en las personas y por
último para concluir recordar la la
clave que es un poco el tema que querido
presentar es que sin privacidad señores
no hay ciberseguridad posible porque la
ciberseguridad se centra en la
protección de la de las organizaciones
en su perímetro interno mientras que la
privacidad protege a las personas en el
perímetro externo y desde ahí de paso
protegen a las organizaciones Así que
Les animo a todos a a a tomar acción de
verdad y y y adelantarse sin a a a
aplicar ya proyectos de implementación
en materia de de gobierno riesgo y
cumplimiento en materia de protección de
datos no hace falta esperar a que las
normas o la ley se se apruebe porque
nuestros ciudadanos nuestros clientes
nuestra familia nuestros amigos se
merecen lo mejor de nuestras
organizaciones con esto concluyo
Gracias muchas gracias leocadio por tu
presentación eh Y por tu llamado a la
acción para empezar a tomar medidas
desde ahora mismo eh vamos a pasar a a a
las preguntas hay varias preguntas del
público vamos a tratar de abordar la
gran parte de ellas voy a dirigirles a
cada uno ya un poco más dirigidas las
preguntas porque algunas tienen que ver
con la realidad de chile y otras con con
una visión más más internacional eh
Andrés quería partir contigo con esta
pregunta respecto a algo que mencionaste
eh En cuanto a Qué medidas podrían
adoptar los estudios jurídicos eh Y
también abarques a consultorías o
asesores en general para adaptarse a las
nuevas exigencias de la ley Cuáles
serían tus recomendaciones eh En este
sentido bueno Muchas gracias Ignacio y
también por la pregunta fundamentalmente
tenemos que entender algo en primer
lugar el uso intensivo de la tecnologías
de la información forma parte también de
la labor y la gestión de los abogados
esto viene desde la facultad de derecho
que tenemos que enseñar también a las
futuras generaciones respecto del uso de
est estas tecnologías no basta solamente
usar enseñar la ofimática Word Excel
Powerpoint tenemos que enseñar también
una un uso eh productivo de estas
herramientas y eso aplica sobre
distintos tipos o metodologías que uno
puede estar estrañando dos en el
ejercicio nuestra profesión los abogados
tenemos un deber fundamental de asumir
un compromiso ético responsable desde el
punto de vista del cuidado de nuestros
datos de nuestros clientes Y eso
significa respetar la información que
tenemos y que llega nuestro poder bien
sea por vía digital o por vía papel
debemos ser conscientes del cuidado de
esa información tres las oficinas vamos
a tener que empezar a gestionar desde
tener nuestros sistemas de repositorio
mecanismos de control de acceso datos
esto nos obliga a mejorar cada vez cada
vez más nuestras medidas digitales eh lo
que decía bajo la lógica de de la
privacidad y desde el punto de vista de
la ciberseguridad pero hay que agregar
un concepto tenemos que pensar también
que las organizaciones hoy en nuestro
país y en varias partes de América
Latina se están transformando
digitalmente concepto que ha sido muy
manoseado de hecho la ley 21180 que es
la ley de transformación digital pero yo
creo que no hay transformación digital
sin ciberseguridad esto es un e
fundamental a nivel de los procesos
porque el avance de la transformación
digital que está hoy incorporando el
estado También muchas empresas las
oficinas de abogados tienen que avanzar
en esta lógica lo pueden hacer las
grandes por supuesto pero las pequeñas y
las medianas no pueden quedarse abajo
debemos ser cada vez más conscientes en
el uso de nuestros Correos en el uso de
la información y por lo tanto tenemos
que estar conscientes que estamos
inmersos como profesionales en el
ejercicio de nuestra profesión ahora
desde el punto de vista del
asesoramiento y acompañamiento si un
abogado va a hablar de protección de
datos va a entrar en el interno desde el
punto de vista de las implementaciones
desde un diagnóstico desde una
implementación a ninguna compañía solo
no puede quiere tener una mirada también
técnica y des esa perspectiva muchas de
las medidas técnicas que ha mencionado
locadio tanto para el mecanismo
preventivos para incidentes como también
para ataques recordemos que nuestra
legislación divide dos tipos de
conceptos uno los incidentes y otro los
ataques desde el punto de vista si
interviene un tercero o si es una falla
dentro de los sistemas eh a nivel des
del punto de vista de la ley marco de
seguridad a nivel conceptual Entonces
tenemos que prepararnos también desde la
mirada de acompañar a nuestros clientes
adecuadamente para abordar estos
desafíos aquí lo único constante para
nuestra profesión es lo que los europeos
desarrollaron ya por allá el año 2001 lo
que le llaman la triple l lifel learning
aprendizaje a lo largo de la vida
estamos obligados a estar
permanentemente aprendiendo y como lo
decía tli tenemos que aprender a
desaprender Para volver a aprender
nuevas metodologías nuevas herramientas
nuevos estándares e identificando las
mejores prácticas como bien lo
mencionaba el gráfico de isaca en la
lógica de que tenemos que buscar Cuáles
son las best practices que nos permiten
dar un buen servicio y también nosotros
mejorar permanentemente nuestras líneas
y flujo de proceso y de servicio desde
las oficinas que estamos apoyando en
materia de tecnología y
regulación es un excelente consejo
entonces para los estudios jurídicos Ya
empezar a implementar tecnología y y no
llegar a implementarla sino también
tener en cuenta los riesgos que esta
también conlleva efectivamente rul los
procesos exactamente leocadio una
pregunta para ti en tu
visión ya bueno sabemos que en Europa el
reglamento ya lleva sus años eh Hay una
gran experiencia al respecto y hay una
pregunta que se va a hacer mucho la
gente cuando empiece acá en Chile
empecemos a implementar lo que va a ser
la normativa de protección de datos lo
que ya es la ley de ciberseguridad que
es eh este juego entre el rol del ciso
con el delegado de protección de datos
muchas veces se pregunta puede ser la
misma persona tienen que ser personas
distintas Cuál es la relación que hay
existe entre ellos cómo cómo cómo se
comunican entre ellos ahí no sé si nos
puedes comentar un poco desde tu
experiencia para acá en Chile cuando se
empieza a
implementar para mí desde la visión
europea es la respuesta es muy muy clara
eh el modelo español
eh lo tenemos perfectamente Claro en la
administración pública tenemos eh los
informes muy claritos del centro
cristológico nacional y también de la
propia agencia española protes dato que
habla de la incompatibilidad del el
equivalente al ciso en la administración
pública que se llama responsable de
seguridad vale con la posición del del
dpo entre otras cosas porque
evidentemente hay un conflicto de
interés ese conflicto de interés eh
anula la posición de segunda línea de eh
Y digamos del lo que es la habilitación
del estatuto de del dpo que les exige
entre otras cosas la su misión
fundamental es informar y asesorar
informar y asesorar directamente a la al
directorio la alta dirección
sobre digamos
las el cumplimiento alineamiento y la
gestión digamos de los riesgos a
derechos y libertades de la tanto en el
contexto interno como externo de la de
la
organización Creo que creo que hay un
gravísimo error de sobre todo muchas
muchas estrategias de muchas
organizaciones primero yo creo que and
ha comentado mu no entender el concepto
de transformación digital creo que es un
tema importantísimo donde el eje siempre
lo digo la palanca es el clav pero el
eje es la ciberseguridad si no estamos
completamente desnudos si no mejor nos
quedamos un premis mejor nos quedamos en
casita Vale y volvemos al papel la
máquina de escribir y entonces reducimos
el riesgo exponencialmente eso eso así
de Claro porque de lo de lo contrario es
que no estamos entendiendo a qu estamos
jugando esto es importante que lo que lo
que lo dejemos así per que utilice un
lenguaje tan tan tan sencillo de
expresar pero yo creo que es importante
Claridad y y no y y no llenarnos de
retórica en este tipo de historia
no el problema cultural es que
intentamos acumular posiciones de poder
en en distintos individuos dentro del
organigrama de la organización no sin
entender fundamentalmente de que muchas
de estas posiciones generan conflictos
de interés Entonces lo primero que hay
que hacer una organización y sobre todo
en el debate de de una figura que que es
está siendo transformadora de los
modelos en Europa que es el oficial de
protección de datos sin lugr duda vale
está Precisamente en definir qué roles
generan un conflicto y eliminarlos O sea
no se puede elegir a ninguna personas
que pertenezca técnicamente a la a la c
Suite eso ya por defecto no eh Me gusta
un posicionamiento que hace lail
francesa que dice hombre yo no tengo
ningún inconveniente en que siso y dpo
sea sea eh compatible eh ahora dice yo
te coloco a ti bajo tus hbos bajo en tu
mochila de responsabilidad que me
demuestres Cómo protege el conflicto de
interés y ahí es donde donde las
organizaciones no han hecho ningún tipo
de ejercicio Sencillamente han dicho hay
que nar un dpo a ver quién es el que a
te ha tocado no hay un ejercicio de
ponderación cuidado porque la la la
selección equivocada rápida Ah
Sencillamente al primero que se gira al
primero que se mueve le le le ha tocado
eh desde luego no es eh No está acorde
con la gestión con el enfoque a riesgos
y puede haber una altísima
responsabilidad por parte del directorio
un nombramiento inadecuado a al riesgo
que se quiere cubrir cuidadito con este
tema porque podemos hablar también de
otro tipo de responsabilidades civiles o
penales en un momento determinado
también en derivada de de de de de una
ausencia digamos de de estrategia en
materia digamos de de atención a esta
regulación y Y sí que es importante en
todo caso sí quiero comentar un detalle
importante no eh Para mí como dpo que
soy de ocho organizaciones eh los isos
me quiere mucho y lo voy lo quiero
expresar de esta forma el dpo viene a
reforzar y a sacar brillo a los
compañeros de área porque somos ante
todo en las skill grandes conversadores
pero sobre todo somos personas que
escuchamos muchísimo entonces venimos a
reforzar la labor hemos dicho central y
eje de la ciberseguridad donde muchas
veces los hizo no tienen ese poder en la
alta dirección y el de po va a ser su
embajador en muchos casos vale en la la
reforma actual eh presente el año pasado
de la normativa de infraestructuras
críticas en España eh adelantando un
poco ya a lo que era nis 1 y ahora
pendiente falta la transposición de la
nis2 que entrar en octubre de este año
se cambió el rol del ciso en
infraestructuras críticas se ha puesto
un rol durísimo y además el ciso a
partir de ahora en infraestructuras Crí
en España ya con la nis 1 vale se sienta
en
dirección entonces la un un poder
bastante alto y cambia cambia un poco el
el el el rol entonces una de las grandes
quejas que tienen los compañeros de
mundo de la seguridad de la información
es que el ciso está muchas veces
enterrado debajo de otras posiciones
jerárquicas y tiene que rendir a
personas a órganos que no tienen
formación en temas tecnológicos y al
final quedan eh digamos e
encorsetada la la estrategia en materia
de ciberseguridad en este caso al salir
el dpo a una posición neutra con
completamente por encima de todas estas
posiciones digamos de control y tener
que rendir cuenta a la máxima dirección
se convierte en un gran Aliado para mí
el ciso es mi gran Aliado mi gran amigo
brechas de seguridad estrategia de
pravis en B design es mano a mano con el
dpo mano a mano con el área jurídica
mano a mano con los con Play officer
mano a mano con con todas las áreas que
están afectadas decir vamos a cambiar la
cultura y necesitamos a todos en este
cambio
cultural muchas Gracias leoo eh Bueno
una pregunta para
Andrés que luego de esta pregunta lo
loamos ya que tiene compromisos
académicos e pero muy enfocado con eso
en hay una pregunta respecto de más
menos como desde tu visión Qué
diferencia hay entre el proyecto ley de
datos personales y el reglamento europeo
ahora podríamos estar todo hacer un
webinar completo de esto eh
Así que enfoquémonos el tema del webinar
que es la seguridad Cómo aborda el
proyecto de ley el tema de la seguridad
y Quiero agregar también otro principio
que mencionó Leo cio también en sus
conclusiones que es el principio de
responsabilidad proactiva que bueno
quizás tú podrás decirnos si si está
presente o no está presente también
dentro del proyecto de ley bueno a ver
punto de vista de lo que es
eh la seguridad el proyecto ahí lo tiene
muy presente pero también hay que pensar
que y así ha sido también discutido en
el congreso respecto de la ley marco de
ciberseguridad ocurre que todos presumí
que iba a salir ante la ley marco de
ciberseguridad que la ley de protección
de datos Y eso ha sido una
Ah era como un un comentario que era
conocido Box popul hoy con la detención
que tenemos en Chile del proyecto de ley
quedamos en una posición bastante
compleja porque los tiempos están
pasando yo recuerdo estar hablando de
estas materias hace 10 11 12 años eh Y
esta era una necesidad urgente para
poder equiparar noos para poder entrar
en el contexto de la economía digital
hoy es un tema de urgencias porque no
solamente está en desde el punto de
vista de la economía digital sino que
también está la reputación del país bu
los compromisos adquiridos a nivel de
acuerdos y conversaciones a nivel de la
Unión Europea sin perjuicio también de
que tenemos acuerdo con Brasil
Ah no puedo no tengo hoy día este minuto
el número exacto de diferencias porque
mientras no sea ley del proyecto de ley
cuando se convierta en ley vamos pod
sacar la diferencias Brasil tiene 53
diferencias con el gdpr el reglamento
europeo de protección de datos Entonces
vamos a tener que ver cuando la norma
final para ver cómo queda estructurado
en la mirada de las diferencias a a
nivel implementación Ahora sí es
importante destacar que el proyecto nos
contempla exigencias a nivel de las
organizaciones desde sus medidas
preventivas y des el punto de vista de
sus medidas de instalar una conciencia
de manera proactiva en el cuidado de los
datos bien lo mencionaba también leoc en
que tiene que ser una estrategia desde
la organización y por lo tanto es
importante que esto sea también mirado
en la lógica de dónde va a estar la
frontera entre la agencia de protección
de datos y la agencia Nacional de
ciberseguridad porque el artículo 25 del
ley vigente en materia de la ley marco
de ciberseguridad contempla facultades a
la agencia interpreta y también le da
facultades para poder eh mejorar todas
aquellas falencias o deficiencias o
choques normativos que se vayan a
producir Y eso le permite coordinarse no
solamente con eh sus pares reguladores
sino que con otros reguladores que van a
tener y que tienen normativa que se está
hoy emitiendo vamos a ver que a lo largo
de la implementación las medidas
proactivas y la responsabilidad que se
va emanar por parte de la de las
instituciones van a tener que estar
mirando muy detalladamente eh
qué disposiciones o normativas va a
estar emitiendo la agencia Nacional de
protección de datos pero también vamos a
tener que estar viendo Cuál va a ser la
frontera entre la agencia de Nacional de
ciberseguridad y el toque que va a tener
a lo mejor con la agencia de protección
de datos podrá darse esa frontera que es
algo que también dependerá mucho de las
normas y reglamentos que la agencia
tiene que dictar recordemos que si bien
está la ley se deben dictar un conjunto
de reglamentos protocolos estándares e
instrucciones vamos a tener un conjunto
de disposiciones no tenemos todavía qué
otras disposiciones va ya ti que estar
un reglamento tiene que estar reglamento
por parte de la agencia Nacional de
protección de datos vamos a ver cuál va
a ser la frontera entre ambos al minuto
que llegan a implementarse lo que sí
tenemos que tener claro Es que hoy las
compañías y estoy Completamente de
acuerdo con lo en que tenemos las
compañías deben avanzar proactivamente
en mecanismos de regulación chile tuvo
el año pasado 6000 intentos de C ataques
6,000 intentos aquellos con éxito no
sabemos Porque no tenemos un registro de
los efectivamente realizados solamente
aquellos que están con obligación de
reportar e están bajo el control de la
cmf y sector público el resto no lo ha
no le ha anunciado ni lo ha informado
por lo tanto es una realidad y
emergencia en el contexto digital ahora
los números van bajando pero la
efectividad va subiendo las compañías
especializadas nos dicen que cada vez
más en la medida que hay más Data puedo
ser más preciso al minuto de llegar a
con mayor efectividad a los ataques par
particularmente particularmente porque
no vamos a encontrar que que los ataques
hoy están fuertemente utilizando con
Inteligencia artificial lo cual su
efectividad también va aumentando Así
que el desafío en materia de
ciberseguridad control va a estar sujeto
también a la responsabilidad que tenemos
que autorregularnos también las
compañías las compañías tienen que
desarrollar Desde esa perspectiva los
clientes nosotros lo recomendamos que en
su procesos de tal manera de no quedar
eh desfasado Cuando Espera que salga la
ley no podemos esperar la ley debemos
avanzar más rápidamente para abordar
este desafío que lo que es enfrentarnos
a los desafíos de eh transformación
digital que en muchas compañías chilena
está en esa fase el 1 2% de la empresas
está un nivel mucho más alto ya está
transformado digitalmente el resto de
las compañías el tejido de las pequeñas
mediana empresa en Chile es la que tiene
que asumir ese e rol y ese reto de
adecuar su cambio tecnológico y sus
procesos a estos nuevos
entornos Gracias Andrés y efectivamente
se llamado a tomar acción ahora y no
esperar a que salga la ley o que se
retome la discusión tienen que estar hoy
haciendo tomando las medidas que
corresponde Eh bueno para cerrar ya
última pregunta leocadio eh voy a
combinar dos
preguntas me llamó mucho la atención
esta pero creo que tú t nos podrías como
quizás dar como luces al respecto eh si
Existe algún tipo de kpi medible alguna
forma de auditar el cumplimiento de los
datos personales el eh o sea de la
protección de los datos personales
dentro de lo que es también la
ciberseguridad cómo se cómo cómo lo mide
la empresa porque creo que la pregunta
apunta un poco porque cuesta representar
a a los altos mandos de las
organizaciones Cómo esto
Eh me sirve en la organización como esto
se puede transparentar en número comoo
esto se puede transparentar en en
ingresos para la compañía creo que en
alguna parte de tu presentación también
lo tocaste si nos puedes dar algún algún
alud al respecto s sí sin sin problema
eh yo soy una persona de número Así que
como profesional que vengo que mi
especialidad es la son las ciencias
empresariales pues mi mi mi gran pasión
es estudiar las normas en número no
antes hablando de de cuestiones yo el
reglamento lo estudio en números la ley
de Ecuador la presento en números y el
proyecto de chile también lo lo analizo
en números o sea yo creo que es hay
conceptos semánticos muy interesantes
que depende de
de las veces que aparezcan en una Norma
y sobre todo donde aparezcan en una
norma eh ponen el peso y el énfasis en
si las cosas se están entendiendo de una
forma eh puntual eh de una forma
trasversal o sencillamente de una forma
sesgada esto también a mí me interesa
muchísimo no por ejemplo el término
riesgo y libertades que aparece en el
proyecto de ley aparece cinco veces en
52 artículos Eh Esto es un dato
interesante en el reglamento aparece
creo que son 70 veces es verdad que hay
173 considerando Pero bueno aparece 33
veces 99 artículos eh si cogemos la la
normativa de de de Chile proyecto de
chile lo multiplicamos en vez de 52 lo
multiplicamos por dos eh tendríamos 104
en vez de 5 aparecerían 10 as creo que
esto es muy interesante el el el tema
eso es un detalle porque de las cosas
que me gusta y la pregunta de los kpi es
muy interesante Mira una de las grandes
problemas que tenemos en matrias seg la
información es Cómo medir directamente
el alineamiento o el desalineamiento
entre lo que la organización Está
realizando y lo que el sistema de
gestión pretende y para eso trabajamos
con métrica evidentemente necesitamos ki
en el la se la información muchas veces
hay algunas normas algunos estándares
ISO 27000 tiene un estándar que aporta
algunas métricas muy poquita de hecho
creo que son como cinco o seis métricas
el resto digamos de los kpi vamos a
tener que construirlo en base también a
a experiencia y a y a y a formación
materia de protección de datos y
privacidad eh existen métricas sí muchas
muchas métricas y los que amos
trabajando casi tres décadas en este
tema trabajamos con kpi trabajamos con
indicadores y es y son digamos las
grandes herramientas con las que yo voy
a la a la alta dirección yo consigo
muchas veces en los proyectos cuando
trabajo con alta dirección consigo Ah
muchas veces que la alta dirección me
escuche precisamente porque yo hablo en
el contexto europeo hablo en euros en el
contexto latinoamericano Pues en peso
chileno o en dólares dec llevo
directamente cada uno de estos
indicadores a peso económico eh a costo
ya lo he visto un poco en el análisis
del procedimiento sancionador que que
poníamos antes de de del Reino Unido de
hace 9 años atrás para que prestemos
atención de de verdad Cuál es la
situación Cuál es el escenario que más
nos debería preocupar Y sí que hay
indicadores No de hecho eh forma parte
de una de las unidades académicas que la
universidad de Santiago implementa
impartimos no directamente hay una
unidad entera en la que dedicamos
espacio a a medir y pasar del plano
subjetivo al plano objetivo porque
muchas de las cuestiones que tenemos Es
evidente que son eh Muy subjetivas sobre
todo cuando
sobre todo en el contexto europeo donde
la contabil tiene tanto peso tanto tanto
peso de hecho el rgpd esa contabil pur y
duro vale es cont respons proactiva vale
o proactiva y demostrada que como me
gusta más tal y cual lo han traducido
los compañeros de de Ecuador es creo que
la mejor traducción que se le podía
haber hecho a ese término y necesitamos
sustanciar directamente las acciones
para eso tenemos que traerlo a número
por delante No necesitamos Los
indicadores eh Como agua de mayo porque
muchas veces eh sobre todo cuando
estamos en el plano de la rendición de
cuentas ante las partes interesadas
internas y externas que eso es el
accountability no solamente hace las
cosas sino estar en condición de
demostrarlo a quien te lo exija
autoridades de control vale clientes o
proveedores entonces sociedad civil o
administraciones públicas que puedan
afectarte Entonces cómo yo demuestro
esto eh si no tengo indicadores por
ejemplo Cómo sé que mi programa de
formación proponente un tema que es una
de las grandes cuestiones de la cláusula
5 los sistemas de gestión que hablamos
del liderazgo no cómo sé yo que un
programa de formación de verdad eh eh es
capaz de cubrir los objetivos que la
organización se ha se se ha planteado
primero tengo que establecer exactamente
Cuáles son las competencias que tiene mi
organización con las competencias que el
sistema de gestión me exige tengo que
hacer un Gap análisis Localizar el Gap
de formación y competencia En qué área
las tengo para luego diseñar un programa
una vez que se diseña el programa se
puede medir los resultados número de
participantes grado de implementación
grado de incidentes que teníamos antes
de la formación Cómo hemos ido mejorando
o reduciendo el nivel de incidente Cómo
ido hemos ido mejorando por ejemplo el
nivel de reputación en la en la en en en
en el mercado Cómo hemos ido mejorando
nuestros índices por ejemplo con en un
Best marking con nuestra propia
competencia es decir hay muchos
indicadores que se pueden utilizar
Sencillamente para para medir esto y
creo que es fundamental fundamental que
entendamos Que Esto va a cambiar nuestra
cultura y que debemos cambiar nuestra
cultura los kpi eh eh están
perfectamente eh establecido eh Bueno
hay algunos paper que están circulando a
nivel a nivel mundial pero
fundamentalmente yo creo que es
importante que que nosotros también
generemos nuestros kpi y hay una cosa
que a mí me gusta sobre todo los kpi eh
la normativa de California las cpa eh
obliga a las organizaciones por ejemplo
a publicar esos cap por ejemplo
ki en materia de gestión de
atención de derechos vale Y se tienen
que publicar
eh aquí la pena y yo creo que en una
estrategia muy equivocada por parte de
las organizaciones es de pensar que esto
Sencillamente es de consumo propio y que
esto además es dar pista a la
competencia
eh Y yo creo que esto justo lo contrario
es decir andr an te comentaba la
definición de término riesgo en el
contexto de 31,000 no que es el efecto
sobre la incertidumbre y la consecución
de los objetivos y dice la Norma que el
efecto puede ser positivo en forma de
oportunidad o negativo en forma de
amenaza para mí esto es una maravillosa
oportunidad de decir quién soy qué soy
vale cómo soy y evidentemente cómo me
importan directamente las otras partes
no y hacia dónde voy yo puedo marcar
misión visión objetivo yo busco cuando
llega a una organización lo primero que
miro es como soy un emprendedor nato es
que me describa efectivamente estos tres
términos para saber dónde estás y dónde
quieres estar para saber si me puedo
aliar contigo o si me puedo puedo ser yo
un Partner tuyo directamente en la
estrategia Porque si estás En la
antípoda donde yo quiero ir no quiero no
quiero que me acompañes o yo no quiero
acompañar esa es un poco la la
lección Muchas gracias leoo muy
aclarador tu respuesta eh Bueno ya
estamos en el tiempo así que vamos a
cerrar e damos las gracias a nuestros
expositores a leocadio y Andrés por su
tiempo por sus exposiciones aclaratorias
eh se aclararon muchas cosas y quedaron
también otras dudas
seguramente Así que la invitación es e a
seguirnos en nuestra página de ley de
datos a ver e nuestro linkedin lo que
estamos haciendo los webinars que
estamos realizando mensualmente con
estos temas con distintos temas
distintos expositores para poner este
tema por lo menos acá en Chile eh dentro
de lo que es la cultura organizacional
eh ponerlo encima del tapete poner sobre
la mesa lo que es la protección de datos
personales y no verlo como algo aislado
o algo que ya como todavía lejano es
algo que está hoy algo que ya está que
ya hay que estarlo gestionando como bien
se se ha concluido acá
e y bueno revisen también nuestro
nuestros webinar anteriores hay
distintos temas que se han ido abordando
respecto a la normativa
eh Y bueno podemos dar ya por concluido
nuestro
nuestro webinar del día de hoy Muchas
gracias leocadio muchas gracias andr y
gracias a todos los que asistieron
muchas gracias muchas gracias a todos y
a todas todos
Adiós an