Apuntes sobre nuestra legislación en el entorno digital

Las normas de seguridad informática constituyen desde siempre el segmento más acabo de la legislación cubana en materia de Tecnología de la Infomación y la comunicación. La principal motivación estuvo dada y está en la decisión de desarrollar capacidades endógenas que sostengan una decisión y voluntad política de ser soberanos tecnológicamente. Un estudio del devenir evolutivo de este tema en Cuba[1], pone en relieve referencias sobre la existenciade normas dictadas por el Ministerio del Interior quien ostenta la labor primordial de ser rector y proponer normas sobre la seguridad que es un concepto monolítico y que alcanza a las peculiaridades propias del área informática e infraestructura crítica.

Antes de la promulgación del Decreto Ley 204, de 11 de enero de 2000, las normas en materia de Protección de Datos y Seguridad de la Información fueron emitida por elMinisterio de la Industria Sidero-Mecánica dado que éste tenía entre sus funciones la de coordinar y gestionar la marcha de las tareas relativas a la Electrónica y la Informática en el país. Por su parte, siendo materia de su competencia, el Ministerio del Interior dispuso también las reglas correspondientes. Por eso, casi sobre aspectos de una misma materia se pueden encontrar referencias de regulaciones específicas en dos cuerpos resolutivos de organismos que han tenido entre sus funciones la regulación de la actividad de la seguridad informática.

En este contexto fue promulgada la Resolución 204, de 20 de noviembre de 1996 del Ministerio de la Industria Sideromecánica y la Electrónica, que puso en vigor el Reglamento sobre la Protección y Seguridad Técnica de los Sistemas Informáticos. En él se establecieron las medidas de protección y seguridad técnica que se debían aplicarse en el trabajo con las tecnologías informáticas, las que por definición de la misma norma, incluían los medios técnicos y los programas. Luego, con la creación del Ministerio de la Informática y las Comunicaciones, estas funciones le fueron transferidas.

También, en el mismo contexto, fue promulgada por el Ministerio del Interior, la Resolución 6 del 18 de noviembre de 1996, en virtud de la cual entró en vigor el Reglamento sobre la seguridad informática, estableciéndose las normas básicas que permitieron implementar un sistema de medidas administrativas, organizativas, físicas, técnicas y legales para garantizar la confidencialidad, integridad y disponibilidad de la información que se procese, intercambie, reproduzca y conserve mediante el uso de las tecnologías de la información.

Un avance en esta materia lo constituyó la promulgación por el Consejo de Estado, en noviembre de 1999 del Decreto Ley 199 sobre la Seguridad y protección de la información oficial. En dicho Decreto Ley se regula el sistema para la seguridad y protección de la información oficial aplicable a los órganos, organismos, entidades o a cualquier otra persona natural o jurídica residente en el territorio nacional, como las representaciones cubanas en el exterior. Se establece, además, que el sistema para la seguridad y protección de la información oficial comprende la seguridad informática, la protección criptográfica y el conjunto de regulaciones, medidas, medios y fuerzas que eviten el conocimiento o divulgación no autorizados de esta información.

En virtud de las facultades que le confiere la disposición final primera del Decreto ley 199 al Ministerio del Interior para adecuar en lo que fuese necesario la aplicación de lo dispuesto, se promulgó la Resolución 1, de 26 de diciembre de 2000 denominado Reglamento sobre la seguridad y protección de la información oficial y estableció el modo en que se aplicarán las normas de seguridad establecidas en el Decreto Ley 199.

Con el fin de cohesionar institucionalmente la estrategia en materia de seguridad informática en el paíspor medio de la Resolución 64, de 21 de mayo de 2002 se creó la Oficina de Seguridad para las Redes Informáticas (OSRI), adscrita al Ministerio de la Informática y las Comunicaciones.De este modo, dicho Ministerio dejaba en manos de una entidad específica la gestión especializada de la seguridad en el ámbito de la informática.

Mediante el Acuerdo 6058 de 9 de julio de 2007 del Consejo de Ministros, fueron aprobados los lineamientos para el perfeccionamiento de la seguridad de las tecnologías de la información en Cuba. La relevancia de este Acuerdo fue significativo en cuanto estableció el término legal de seis meses para que se promulgara un Reglamento que desarrollara debidamente la necesaria actualización del ordenamiento jurídico cubano en materia de Seguridad Informática. En dicho Acuerdo quedó plasmado el contenido que debería quedar obligatoriamente incluido en los requerimientos de una adecuada política de Seguridad Informática a cualquier nivel en el país.

Siguiendo el mandato legal del Acuerdo anteriormente citado se puso en vigor la Resolución 127 de 24 de julio de 2007 del Ministerio de la Informática y las Comunicaciones mediante la cual queda aprobado el Reglamento de Seguridad para las tecnologías de la información. Con este Reglamento quedaban regulados los requerimientos para brindar la seguridad mínima a las tecnologías de la información dando un respaldo de esta forma al proceso de informatización de la sociedad cubana. La definición que de Seguridad de las Tecnologías de la información se hace en la mencionada disposición está relacionada con la confidencialidad, integridad y disponibilidad de la información tratada con el uso de las computadoras y redes de datos.

Por mandato expreso del Decreto Ley 370 de 17 de diciembre de 2017,   se derogó el Acuerdo No. 6058, de 9 de julio de 2007 del Comité Ejecutivo del Consejo de Ministros, que aprueba los Lineamientos de Seguridad de las tecnologías de la información. Este Decreto Ley 370 dedica el Título IV a la Seguridad de las tecnologías de la información y la comunicación y la defensa nacional cuyo Capítulo I establece las normas específicas sobre la seguridad de las tecnologías de la información y la comunicación y en el Capítulo IIlas disposiciones relativas a las tecnologías de la información y la comunicación para la seguridad y la defensa nacional.

En el Título VII se establece las contravenciones y sanciones asociadas a las tecnologías de la información y la comunicación y los recursos administrativos para su impugnación. En las Disposiciones Especiales se faculta al Ministro de Comunicaciones para dictar, en el ámbito de su competencia, las disposiciones jurídicas que correspondan para la aplicación de lo establecido en el presente Decreto-Ley y también se reconoce la facultad a los ministros de las Fuerzas Armadas Revolucionarias y del Interior a adecuar para sus sistemas lo establecido en el presente Decreto-Ley, de conformidad con sus estructuras.

Las Disposiciones Finales establecen que el Consejo de Ministros queda encargado de dictar las disposiciones complementarias sobre la Industria de Programas y Aplicaciones Informáticas y sobre la Seguridad de las Tecnologías de la Información y la Comunicación y la Defensa del Ciberespacio Nacional. Y, encarga a los jefes de los órganos, organismos de la Administración Central del Estado, el Banco Central de Cuba, las entidades nacionales y los órganos del Poder Popular, en el marco de su competencia a dictar las disposiciones legales, realizar el control y la fiscalización y a establecer las coordinaciones que resulten necesarias, relativas a la aplicación del presente Decreto-Ley.

Cumpliendo su mandato el Consejo de Ministro promulgó el Decreto 360 de 31 de mayo de 2019, sobre la seguridad de las tecnologías de la información y la comunicación y la defensa del ciberespacio nacional.

También en cumplimiento del mandato del Decreto 370, el Ministro de Comunicaciones dispuso  a través de la Resolución 128 de 24 de junio de 2019, el Reglamento de seguridad de las tecnologías de la información y la comunicación, el que dejó sin vigor las resoluciones 127 del Ministro de la Informática y las Comunicaciones, de 24 de julio de 2007 y la 192 del Ministro de Comunicaciones, de 20 de marzo de 2014. Esta Resolución se complementa con la Metodología para la gestión de la seguridad informática que se dispuso mediante la Resolución 129 de 24 de junio de 2019.

En virtud de la promulgación de la Resolución 126 de 24 de junio de 2019, se aprobó el Reglamento que establece las medidas de control y los tipos de herramientas de seguridad que se implementan en las redes privadas de datos, inscritas en el Control Administrativo Central Interno del Ministerio de Comunicaciones.

Mientras que la Resolución 127 de 24 días del mes de junio de 2019, se estableció el vigente Reglamento del proveedor de servicios públicos de alojamiento y de hospedaje en el entorno internet y se derogó expresamente las resoluciones 55, de 9 de marzo de 2009 y 104 de 16 de junio de 2011 del Ministro de la Informática y las Comunicaciones.

Desarrollar capacidades tecnológicas y habilidades para gestionar incidencias así como reforzar la prevención han estado siempre en la mira de la política cubana en seguridad informática.

Hoy los retos son superiores,  los desafío éticos y jurídicos en esta área también lo son para avanzar más en la legislación sobre la Ciberseguridad con especial vocación de impulsar en el país la estrategia de Transformación Digital para contribuir al desarrollo humano,  el bienestar social y la seguridad jurídica en todas las transacciones de información y datos.