Corresponsabilidad en Acción

La política nacional en materia de seguridad digital tuvo un cambio importante en el 2016 cuando se adoptó el CONPES 3854 de 2016 de seguridad digital. La política favorece la gestión de riesgo como elemento central para abordar la seguridad digital. Además, estableció la necesidad de incluir el modelo de múltiples partes interesadas en este contexto. La corresponsabilidad es uno de los aspectos más importantes que introduce la política de seguridad digital, un enfoque que reconoce un papel fundamental para todos los actores involucrados.

En este documento se presenta un caso de éxito, donde el trabajo de diferentes actores contribuye al reporte, solución y seguimiento de problemas de seguridad digital:

La Fundación Karisma, como organización de la sociedad civil que se ocupa de analizar la intersección entre tecnología y derechos humanos, se propuso analizar sitios web del Gobierno colombiano para evaluar la información que ofrecen a la ciudadanía, la seguridad digital que implementan y la forma cómo protegen su privacidad. El propósito de estos análisis es mejorar estas características de los sitios web y beneficiar tanto a la ciudadanía como a las entidades responsables.

En este marco, Karisma, realizó una exploración del sitio web de La Unidad para la Atención y Reparación Integral a las Víctimas -UARIV-, y encontró algunos aspectos a mejorar en la seguridad de la plataforma.

Con base en el estudio presentó los avances de este seguimiento en reuniones con equipos de trabajo de La UARIV y el Ministerio de Tecnologías de la Información y las Comunicaciones (MinTIC). Durante estas reuniones se llegó a acuerdos sobre cómo avanzar. Bajo la coordinación de MinTIC, la Unidad implementó en corto tiempo, una serie de medidas tendientes a minimizar los riesgos identificados en el marco de la metodología establecida y basados en las buenas prácticas.

El informe que se presentó daba cuenta del estado en que se encontraba el sitio web de la Unidad para la Atención y Reparación Integral a las Víctimas durante abril y mayo de 2017. Se basó en tres ejes principales:

• Cumplimiento de los requisitos de la Ley de protección de datos (información legal, transparencia y contratos).
• Seguridad digital del sitio web; y
• Prácticas para proteger la privacidad.

Con ello, lo que se buscaba era fortalecer la seguridad digital de la información publicada en la página web de la UARIV www.unidadvictimas.gov.co por medio de la aplicación de la gestión de riesgos relacionados con los comentarios realizados por la Fundación Karisma, reduciendo su probabilidad de ocurrencia.

Aspectos trabajados

• En relación con los servicios que transmiten información personal de usuarios, la Unidad realizó el aseguramiento mediante la implementación del protocolo seguro https, para algunos servicios, aplicaciones y la página web de la Unidad.
• Frente a la divulgación de las políticas de privacidad y protección de datos personales, la Unidad generó las respectivas políticas, así como el aviso de privacidad, publicados en la sección inferior de la página Web de la Unidad.
• Frente al tema de seguridad digital y posible fuga de datos, la Unidad implementa el control de acceso para minimizar el riesgo de fuga de información de un reporte con información sensible.
• Respecto al tema de Actualizaciones de los servidores y vulnerabilidades, La Unidad está en proceso de actualización del software del servidor Web en ambiente de pruebas del sitio de la Unidad: www.unidadvictimas.gov.co
• En lo referente a Rastreo (tracking) y privacidad, la Unidad tomó acciones correctivas frente a la configuración de herramientas de servicios de búsqueda y estadísticas de visitas al sitio web, en el marco de la gestión de riegos.

Conclusiones

La seguridad digital es un asunto de toda la sociedad y sus instituciones. Crear espacios para que las partes colaboren en la identificación de vulnerabilidades y en su solución, a pesar de lo complejo que pueda ser, no solo es importante, sino que es una necesidad.

Se requiere diseñar y establecer espacios debidamente reglamentados en los que la sociedad civil, la comunidad técnica y/o cualquier persona pueda reportar vulnerabilidades sobre la infraestructura tecnológica del Estado, y crear canales para atenderlos y hacer seguimiento.

Muchos de los problemas identificados en el sitio web de la Unidad para la Atención y Reparación Integral a las Víctimas pueden presentarse en otros sitios web. Es importante crear un mecanismo que permita aprovechar de manera constructiva estos ejercicios para actualizar e integrar las buenas prácticas identificadas en los lineamientos y manuales del gobierno en línea. 

Se deben mantener las acciones de cada actor como resultado de este tipo de ejercicios, que siempre deberán tender a salvaguardar la seguridad digital de la información publicada por las entidades.