En un mundo donde la tecnología impulsa el crecimiento de los negocios, los delitos informáticos son una amenaza constante y silenciosa. En este contexto Chile ha sido un país pionero en Latinoamérica regulando nuestro entorno digital para proteger a las personas y sus negocios. La Ley 21.459 sobre delitos informáticos se posiciona como un pilar en la protección de ese entorno alineándose con estándares internacionales como el Convenio de Budapest y con la propia regulación nacional como la Ley de Protección de Datos Personales y la Ley Marco de Ciberseguridad entre otras, creando un marco normativo robusto e interconectado para quienes dirigen empresas deben entender para protegerse y asegurar su crecimiento a largo plazo.
Este artículo ofrece una guía práctica y accesible sobre los delitos que establece la Ley 21.459 sobre delitos informáticos, el impacto para las organizaciones y qué hacer para mitigar sus riesgos.
Que regula la ley y por qué es importante
La Ley 21.459 es el arma contra los ciberdelitos en Chile. Es una de las herramientas que te ayuda a proteger tu negocio. Su objetivo es proteger los sistemas informáticos y los datos contenidos en ellos, y con datos nos referimos a uno de los activos de tu organización. Por otro lado, busca también exigir a que las organizaciones adopten medidas para mitigar los riegos y por sobre todo, castigar a quienes resulten responsables.
Los delitos informáticos no deben ser considerados como un tema aislado. Un ciberataque puede involucrar datos personales afectando la privacidad de tus clientes o colaboradores o afectar la infraestructura crítica de tu negocio. Comprender esta normativa te ayuda a blindar a tus trabajadores, tus activos y a tu empresa de manera integral contra cualquier ataque.
Delitos informáticos que debes conocer
La Ley N° 21.459 tipifica 8 delitos claves que pueden afectar la integridad, confidencialidad o disponibilidad de la información de tu empresa. Aquí te los mencionamos con ejemplos simples:
Ataque a la integridad de un sistema informático:
Implica acceder a un sistema y mediante la transmisión, daño, deterioro, alteración o supresión de los datos contenido en ellos, impedir u obstaculizar el normal funcionamiento del sistema.
Ejemplo: Un ataque de ransomware bloquea el sistema de facturación de tu empresa, exigiendo un rescate para desbloquearlo.
Acceso ilícito:
Ocurre cuando alguien accede a un sistema informático sin autorización o excediendo la autorización que posee para acceder al sistema e impide su normal funcionamiento.
Ejemplo: Un exempleado usa una contraseña antigua para entrar al sistema de la nómina de la empresa y descargar datos de los empleados y sus salarios. Ya que, pese a no seguir trabajando ahí, su acceso no fue desactivado.
Interceptación ilícita:
Consiste en interrumpir por medios técnicos, la transmisión no pública de información contenida en uno o más sistemas informáticos.
Ejemplo: Un delincuente borra la base de datos del inventario de una tienda online, dejando a la empresa sin saber qué productos tiene en stock. Esta pérdida de información clave puede generar un caos operativo.
Ataque a la integridad de datos informáticos:
Implica dañar, suprimir o alterar datos informáticos indebidamente.
Ejemplo: Un ataque de ransomware bloquea el sistema de facturación, exigiendo un rescate para desbloquearlo.
Falsificación informática:
Consiste en introducir indebidamente, alterar, dañar o suprimir datos informáticos con la intención de que sean tomados como auténticos o utilizados para generar documentos auténticos.
Ejemplo: Un proveedor falsifica facturas digitales en el sistema de la empresa alterando los precios para cobrar de más.
Receptación de datos informáticos:
Se trata de que una persona que conociendo el origen de los datos o, no pudiendo menos conocerlos, comercialice, transfiera o almacene datos informáticos con un fin ilícito, a cualquier título, provenientes de la realización de las conductas descritas en la ley.
Ejemplo: Un partner o un competidor adquiere una base de datos dudosa -barata- ofrecida en un foro, sin verificar su procedencia.
Fraude informático:
Consiste en causar un perjuicio a otro con la finalidad de obtener un beneficio económico para sí o para un tercero, manipulando un sistema informático, mediante la introducción, alteración, daño o supresión de datos informáticos o a través de cualquier interferencia en el funcionamiento del sistema.
Ejemplo: Un colaborador altera el sistema de pagos de la empresa para desviar fondos a su cuenta personal, simulando transacciones legítimas.
Abuso de dispositivos:
Implica que alguien con el objetivo de perpetrar alguno de los delitos descritos en la ley, entregue u obtenga para su utilización, importase, difundiese o realizase otra forma de puesta a disposición de uno más dispositivos, programas computacionales, contraseñas, códigos de seguridad o de acceso u otros similares, creados o adaptados principalmente para la comisión de los delitos descritos.
Ejemplo: Un colaborador del área de TI vende un programa malicioso a un tercero para que lo use con el objetivo de hackear los sistemas de la empresa y robar información.
Impacto organizacional de los delitos informáticos
No contar con una estructura organizacional interna que permita a lo menos, clasificar y mitigar riegos y gestionar adecuadamente ciber incidentes puede golpear a tu organización de manera fuerte. En efecto, un manejo no adecuado en la gestión de la protección de tus sistemas informáticos e información contenida en ellos puede generar un impacto:
- Financiero y Operativo: Un ciber incidente puede interrumpir el normal funcionamiento de los sistemas lo que, probablemente afecte las operaciones diarias y ocasione pérdida de ingresos directos. En igual medida y debido a una gestión negligente de un incidente, es posible que la autoridad competente aplique multas -elevadas- por incumplimiento a la normativa de la Ley Marco de Ciberseguridad o de Protección de Datos.
- Legal: Diferentes normativas han incorporado un Registro público de sanciones en el caso de que se dictamine una sanción para la empresa, lo que sin duda impacta en la visibilidad de la sanción frente a proveedores, socios y clientes.
- Reputacional: Lejos de ser lo menos importante, una afectación en la información de los sistemas puede repercutir en la imagen corporativa y desconfianza en clientes actuales y futuros, afectando relaciones comerciales fundamentales.
Cómo proteger tú negocio
A la hora de pensar en cómo proteger tu negocio contra delitos informáticos, debes pensar desde la perspectiva de gestión y mitigación de los riesgos asociados a las operaciones diarias de la organización.
Algunas acciones prácticas que puedes ejecutar son:
- Implementación de soluciones de protección avanzada para endpoints (EDR).
- Análisis de vulnerabilidades y gestión proactiva de parches.
- Segmentación avanzada de la red.
- Políticas de acceso con privilegios mínimos (Zero Trust)
- Simulación de ataques o Ethical Hacking.
- Sistemas de detección de amenazas.
Ahora, más allá de la implementación aislada de estas acciones se necesita como antes comentamos de manera sucinta, un marco normativo interno que sustente todo el conjunto de procedimientos, responsables, reglas y controles para proteger no solo a la organización sino también a las personas que forman parte de ella, de manera ordenada y clara.
En este sentido, la confección de políticas, procedimientos, protocolos y por sobre todo, un modelo de prevención de infracciones juega un rol clave que puede en algunos casos, constituir una atenuante de responsabilidad en caso de incumplimiento y en todos los otros, un dolor de cabeza menos a la hora de responder frente a un ciber incidente.
Un ecosistema legal conectado
Como se ha dejado entrever, la Ley 21.459 sobre Delitos Informáticos es solo una pieza del puzle. Un ciberataque puede afectar el funcionamiento de sistemas. Con ello la Ley 21.633 Marco de Ciberseguridad; y sin ningún problema afectar información personal contenida en dichos sistemas vulnerando la Ley N° 19628 sobre Protección de Datos Personales. Además, con la entrada en vigencia de estas normas, surgen nuevos entes fiscalizadores como la Agencia Nacional de Ciberseguridad (ANCI) y la Agencia de Protección de Datos quienes pueden aplicar e interpretar normas y aplicar sanciones sobre los infractores.
En el contexto de ciberataques, la clave no está en preguntarse si me va a pasar o no, sino cuándo. Prepárate hoy: protege a tu equipo, protege tus activos, protege tu empresa.
