JEFATURA DE GABINETE DE MINISTROS
DIRECCIÓN NACIONAL DE CIBERSEGURIDAD
Disposición 1/2021
DI-2021-1-APN-DNCIB#JGM
Ciudad de Buenos Aires, 19/02/2021
VISTO el Expediente EX-2021-00473060- APN-SIP#JGM, el Decreto N° 260 de fecha 12 de marzo de 2020, la Decisión Administrativa N° 1865 de fecha 14 de octubre de 2020, la Resolución de la JEFATURA DE GABINETE DE MINISTROS N° 580 de fecha 28 de julio de 2011, la Resolución de la ex SECRETARÍA DE GOBIERNO DE MODERNIZACIÓN N° 1523 de fecha 12 de septiembre de 2019, la Disposición de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN N° 2 de fecha 8 de agosto de 2013, y
CONSIDERANDO:
Que mediante la Resolución de la JEFATURA DE GABINETE DE MINISTROS N° 580 de fecha 28 de julio de 2011, se creó el “Programa Nacional de Infraestructuras Críticas de Información y Ciberseguridad” (ICIC) en el ámbito de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN, con el objetivo de elaborar un marco regulatorio específico que propicie la identificación y protección de las infraestructuras estratégicas y críticas de las entidades y jurisdicciones definidas en el artículo 8º de la Ley Nº 24.156 y sus modificatorios, los organismos interjurisdiccionales, y las organizaciones civiles y del sector privado que así lo requieran, así como al fomento de la cooperación y colaboración de los mencionados sectores con miras al desarrollo de estrategias y estructuras adecuadas para un accionar coordinado hacia la implementación de las pertinentes tecnologías.
Que la mencionada medida, estableció, de igual manera, que la OFICINA NACIONAL DE TECNOLOGIAS DE INFORMACION tendría entre otras, la atribución de dictar las normas que resulten necesarias para la implementación del Programa creado.
Que, dentro de ese marco normativo, mediante la Disposición de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN N° 2 de fecha 8 de agosto de 2013, se crearon, en el marco del “Programa Nacional de Infraestructuras Críticas de Información y Ciberseguridad”, y bajo la órbita de la OFICINA NACIONAL DE TECNOLOGIAS DE INFORMACION, entre otros, los Grupos de Trabajo: ICIC-GAP (Grupo de Acción Preventiva), ICIC-GICI (Grupo de Infraestructuras Críticas de Información) e ICIC-INTERNET SANO, los cuales se encuentran actualmente inactivos.
Que, asimismo, la Disposición ya citada creó, también, el grupo de trabajo “ICIC - CERT” (Computer Emergency Response Team) en el marco del referido Programa y también bajo la órbita de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN.
Que, desde la creación del mencionado Grupo de Trabajo, han surgido en nuestro país otros equipos especializados de similar naturaleza, que atienden la gestión de incidentes de seguridad de distintos sectores y organizaciones, y cuyo accionar es necesario articular a nivel nacional.
Que mediante Decisión Administrativa N° 1865 de fecha 14 de octubre de 2020 se aprobó la estructura organizativa de primer y segundo nivel operativo de la JEFATURA DE GABINETE DE MINISTROS creándose, entre otras, la DIRECCIÓN NACIONAL DE CIBERSEGURIDAD en el ámbito de la SECRETARÍA DE INNOVACIÓN PÚBLICA dependiente la JEFATURA DE GABINETE DE MINISTROS, estableciendo como responsabilidad primaria la de “Entender en los aspectos relativos a la ciberseguridad y la protección de las infraestructuras críticas de información, así como también a la generación de capacidades de prevención, detección, defensa, respuesta y recupero ante incidentes de seguridad informática del Sector Público Nacional”.
Que, la citada medida, determinó, asimismo, entre las acciones de la DIRECCIÓN NACIONAL DE CIBERSEGURIDAD las de “Diseñar políticas de ciberseguridad, en coordinación con los organismos del ESTADO NACIONAL con competencia en la materia, elaborar planes, programas y proyectos con perspectiva federal en materia de ciberseguridad, en el ámbito de competencia de la Secretaría, participar en las acciones destinadas a implementar los objetivos fijados en la Estrategia Nacional de Ciberseguridad, articulando proyectos con las diferentes áreas del ESTADO NACIONAL involucradas, asistir a la Secretaría en su participación ante el Comité de Ciberseguridad creado por Decreto N° 577/17 y sus modificatorios, y colaborar en la ejecución de las decisiones que se adopten, proponer proyectos de normas relacionados con la ciberseguridad en la REPÚBLICA ARGENTINA, en coordinación con las áreas con competencia en la materia” y “entender en los procesos relativos al accionar del equipo de respuesta a emergencias informáticas a nivel nacional (CERT NACIONAL)”.
Que, de la normativa antes citada, surge que tanto la actividad del Programa de Infraestructuras Críticas de Información como de los diferentes grupos de trabajo creados por la Disposición de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN N° 2/2013, se encuentran actualmente bajo la órbita de competencia de la DIRECCIÓN NACIONAL DE CIBERSEGURIDAD.
Que, por la Resolución N° 1523 de la ex SECRETARÍA DE GOBIERNO DE MODERNIZACIÓN de fecha 12 de septiembre de 2019 se aprueba la definición de Infraestructuras Críticas y de Infraestructuras Críticas de Información, la enumeración de los criterios de identificación y la determinación de los sectores alcanzados.
Que, la Resolución citada en el Considerando anterior define a las Infraestructuras Críticas como aquellas que resultan indispensables para el adecuado funcionamiento de los servicios esenciales de la sociedad, la salud, la seguridad, la defensa, el bienestar social, la economía y el funcionamiento efectivo del Estado, cuya destrucción o perturbación, total o parcial, los afecte y/o impacte significativamente.
Que, de igual modo, la mencionada Resolución determina como Infraestructuras Críticas de Información a aquellas tecnologías de información, operación y comunicación, así como la información asociada, que resultan vitales para el funcionamiento o la seguridad de las Infraestructuras Críticas.
Que durante el transcurso de vigencia de la Disposición de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN N° 2/2013, se ha producido un incremento exponencial en el uso de las Tecnologías de la Información y las Comunicaciones, por parte de las personas humanas y jurídicas, tanto públicas como privadas.
Que, particularmente en el curso del presente año, la ampliación de la emergencia pública en materia sanitaria establecida por Ley N° 27.541, mediante el dictado por el Decreto N° 260 de fecha 12 de marzo de 2020 y sus complementarias, a raíz de la pandemia declarada por la ORGANIZACIÓN MUNDIAL DE LA SALUD (OMS) en relación con el coronavirus COVID-19, ha obligado a una más intensa utilización de las plataformas tecnológicas, especialmente en el ámbito de las entidades y jurisdicciones del Sector Público Nacional definidas en el inciso a) del artículo 8° de la Ley Nº 24.156 y sus modificatorios, al punto que se han tornado indispensables para el desenvolvimiento de toda su actividad, tanto en lo que se refiere a la gestión interna como a los servicios que prestan a la sociedad.
Que esta notable expansión en el uso de las herramientas digitales, tanto en el campo del trabajo, como en las actividades económica y educativa, entre otros aspectos de la vida social ha producido también un aumento considerable de los riesgos y amenazas a la seguridad de la información, particularmente, en aquellos sistemas informáticos mediante los cuales son brindados por el Sector Público Nacional de manera eficiente y constante los servicios esenciales a la sociedad.
Que, la celeridad del cambio tecnológico antes referenciado, así como la complejidad creciente de los sistemas informáticos, obliga a mantener actualizados los medios para su protección a fin de la efectiva gestión de los incidentes de seguridad y de la prestación de la asistencia necesaria, en aquellas situaciones que afecten a las entidades y jurisdicciones del Sector Público Nacional definidas en el inciso a)del artículo 8° de la Ley Nº 24.156 y sus modificatorios, en especial en aquellos vinculados a las Infraestructuras Críticas de Información.
Que, todo ello hace indispensable la derogación de la Disposición de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN N° 2/2013 puesto que la misma ha perdido virtualidad.
Que, en el ámbito internacional, el Informe UNGGE 2015 aprobado por Resolución AG 70/237 de las Naciones Unidas, ha recomendado a los países miembros: “Establecer a nivel nacional un equipo de respuesta ante emergencias informáticas o u equipo de respuesta a incidentes de seguridad informática”.
Que, consecuentemente, de todo lo expuesto surge que resulta necesaria la creación de un CENTRO NACIONAL DE RESPUESTA A INCIDENTES INFORMATICOS, como punto de referencia nacional confiable, especializado y de consulta para la respuesta a incidentes de seguridad informática que puedan afectar a los sistemas informáticos de las entidades y jurisdicciones antes citadas y que tenga por objetivo coordinar la gestión de incidentes de seguridad a nivel nacional y prestar asistencia en aquellos que las afecten y, en particular, a las Infraestructuras Críticas de Información, declaradas como tales.
Que ha tomado la intervención de su competencia la DIRECCIÓN DE ASUNTOS LEGALES DE INNOVACIÓN PÚBLICA de la SECRETARIA DE INNOVACIÓN PÚBLICA de la JEFATURA DE GABINETE DE MINISTROS.
Que la presente medida se dicta en virtud de las facultades conferidas por el artículo 4° inciso a) de la Resolución de la Jefatura de Gabinete de Ministros Nº 580/2011 y la Decisión Administrativa N° 1865/2020.
Por ello,
El DIRECTOR NACIONAL DE CIBERSEGURIDAD
DISPONE:
ARTICULO 1°.- Crease en el ámbito de la DIRECCIÓN NACIONAL DE CIBERSEGURIDAD el CENTRO NACIONAL DE RESPUESTA A INCIDENTES INFORMÁTICOS (CERT.ar.), con el objetivo de coordinar la gestión de incidentes de seguridad a nivel nacional y prestar asistencia en aquellos que afecten a las entidades y jurisdicciones del Sector Público Nacional definidas en el inciso a) del artículo 8° de la Ley Nº 24.156 y sus modificatorios y a las Infraestructuras Críticas de Información, declaradas como tales.
ARTICULO 2°.- El CERT.ar, tendrá las siguientes funciones específicas:
a) Administrar y gestionar toda la información sobre reportes de incidentes de seguridad en las entidades y jurisdicciones del Sector Público Nacional definidas en el inciso a) del artículo 8° de la Ley Nº 24.156 y sus modificatorios.
b) Asesorar técnicamente ante incidentes de seguridad en sistemas informáticos que reporten las entidades y jurisdicciones enumeradas en el artículo 1° de la presente medida.
c) Coordinar las acciones a seguir, ante incidentes de seguridad, con otros Programas y equipos de respuesta a incidentes de la REPÚBLICA ARGENTINA.
d) Contribuir a incrementar la capacidad de prevención, alerta, detección y recuperación ante incidentes de seguridad informática que puedan afectar activos de información críticos del país.
e) Interactuar y cooperar con equipos de similar naturaleza de otros países.
f) Llevar un registro de estadísticas y establecer métricas a nivel nacional.
g) Coordinar la gestión de incidentes de seguridad informáticos que afecten recursos críticos a nivel nacional
h) Impulsar la formación de capacidades de prevención, detección, alerta y recuperación para la respuesta ante incidentes de seguridad informática.
i) Cooperar con los gobiernos provinciales y de la Ciudad Autónoma de Buenos Aires en la gestión de incidentes de seguridad informática.
ARTICULO 3°.- Deróguese la Disposición de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN N° 2 del 8 de agosto de 2013.
ARTICULO 4°.- La presente medida entrará en vigencia a partir del día siguiente a su publicación en el BOLETÍN OFICIAL DE LA REPÚBLICA ARGENTINA.
ARTICULO 5°.- Comuníquese, publíquese, dese a la Dirección Nacional del Registro Oficial y archívese.
Gustavo Raúl Sain
DIRECCIÓN NACIONAL DE CIBERSEGURIDAD
Disposición 1/2021
DI-2021-1-APN-DNCIB#JGM
Ciudad de Buenos Aires, 19/02/2021
VISTO el Expediente EX-2021-00473060- APN-SIP#JGM, el Decreto N° 260 de fecha 12 de marzo de 2020, la Decisión Administrativa N° 1865 de fecha 14 de octubre de 2020, la Resolución de la JEFATURA DE GABINETE DE MINISTROS N° 580 de fecha 28 de julio de 2011, la Resolución de la ex SECRETARÍA DE GOBIERNO DE MODERNIZACIÓN N° 1523 de fecha 12 de septiembre de 2019, la Disposición de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN N° 2 de fecha 8 de agosto de 2013, y
CONSIDERANDO:
Que mediante la Resolución de la JEFATURA DE GABINETE DE MINISTROS N° 580 de fecha 28 de julio de 2011, se creó el “Programa Nacional de Infraestructuras Críticas de Información y Ciberseguridad” (ICIC) en el ámbito de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN, con el objetivo de elaborar un marco regulatorio específico que propicie la identificación y protección de las infraestructuras estratégicas y críticas de las entidades y jurisdicciones definidas en el artículo 8º de la Ley Nº 24.156 y sus modificatorios, los organismos interjurisdiccionales, y las organizaciones civiles y del sector privado que así lo requieran, así como al fomento de la cooperación y colaboración de los mencionados sectores con miras al desarrollo de estrategias y estructuras adecuadas para un accionar coordinado hacia la implementación de las pertinentes tecnologías.
Que la mencionada medida, estableció, de igual manera, que la OFICINA NACIONAL DE TECNOLOGIAS DE INFORMACION tendría entre otras, la atribución de dictar las normas que resulten necesarias para la implementación del Programa creado.
Que, dentro de ese marco normativo, mediante la Disposición de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN N° 2 de fecha 8 de agosto de 2013, se crearon, en el marco del “Programa Nacional de Infraestructuras Críticas de Información y Ciberseguridad”, y bajo la órbita de la OFICINA NACIONAL DE TECNOLOGIAS DE INFORMACION, entre otros, los Grupos de Trabajo: ICIC-GAP (Grupo de Acción Preventiva), ICIC-GICI (Grupo de Infraestructuras Críticas de Información) e ICIC-INTERNET SANO, los cuales se encuentran actualmente inactivos.
Que, asimismo, la Disposición ya citada creó, también, el grupo de trabajo “ICIC - CERT” (Computer Emergency Response Team) en el marco del referido Programa y también bajo la órbita de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN.
Que, desde la creación del mencionado Grupo de Trabajo, han surgido en nuestro país otros equipos especializados de similar naturaleza, que atienden la gestión de incidentes de seguridad de distintos sectores y organizaciones, y cuyo accionar es necesario articular a nivel nacional.
Que mediante Decisión Administrativa N° 1865 de fecha 14 de octubre de 2020 se aprobó la estructura organizativa de primer y segundo nivel operativo de la JEFATURA DE GABINETE DE MINISTROS creándose, entre otras, la DIRECCIÓN NACIONAL DE CIBERSEGURIDAD en el ámbito de la SECRETARÍA DE INNOVACIÓN PÚBLICA dependiente la JEFATURA DE GABINETE DE MINISTROS, estableciendo como responsabilidad primaria la de “Entender en los aspectos relativos a la ciberseguridad y la protección de las infraestructuras críticas de información, así como también a la generación de capacidades de prevención, detección, defensa, respuesta y recupero ante incidentes de seguridad informática del Sector Público Nacional”.
Que, la citada medida, determinó, asimismo, entre las acciones de la DIRECCIÓN NACIONAL DE CIBERSEGURIDAD las de “Diseñar políticas de ciberseguridad, en coordinación con los organismos del ESTADO NACIONAL con competencia en la materia, elaborar planes, programas y proyectos con perspectiva federal en materia de ciberseguridad, en el ámbito de competencia de la Secretaría, participar en las acciones destinadas a implementar los objetivos fijados en la Estrategia Nacional de Ciberseguridad, articulando proyectos con las diferentes áreas del ESTADO NACIONAL involucradas, asistir a la Secretaría en su participación ante el Comité de Ciberseguridad creado por Decreto N° 577/17 y sus modificatorios, y colaborar en la ejecución de las decisiones que se adopten, proponer proyectos de normas relacionados con la ciberseguridad en la REPÚBLICA ARGENTINA, en coordinación con las áreas con competencia en la materia” y “entender en los procesos relativos al accionar del equipo de respuesta a emergencias informáticas a nivel nacional (CERT NACIONAL)”.
Que, de la normativa antes citada, surge que tanto la actividad del Programa de Infraestructuras Críticas de Información como de los diferentes grupos de trabajo creados por la Disposición de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN N° 2/2013, se encuentran actualmente bajo la órbita de competencia de la DIRECCIÓN NACIONAL DE CIBERSEGURIDAD.
Que, por la Resolución N° 1523 de la ex SECRETARÍA DE GOBIERNO DE MODERNIZACIÓN de fecha 12 de septiembre de 2019 se aprueba la definición de Infraestructuras Críticas y de Infraestructuras Críticas de Información, la enumeración de los criterios de identificación y la determinación de los sectores alcanzados.
Que, la Resolución citada en el Considerando anterior define a las Infraestructuras Críticas como aquellas que resultan indispensables para el adecuado funcionamiento de los servicios esenciales de la sociedad, la salud, la seguridad, la defensa, el bienestar social, la economía y el funcionamiento efectivo del Estado, cuya destrucción o perturbación, total o parcial, los afecte y/o impacte significativamente.
Que, de igual modo, la mencionada Resolución determina como Infraestructuras Críticas de Información a aquellas tecnologías de información, operación y comunicación, así como la información asociada, que resultan vitales para el funcionamiento o la seguridad de las Infraestructuras Críticas.
Que durante el transcurso de vigencia de la Disposición de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN N° 2/2013, se ha producido un incremento exponencial en el uso de las Tecnologías de la Información y las Comunicaciones, por parte de las personas humanas y jurídicas, tanto públicas como privadas.
Que, particularmente en el curso del presente año, la ampliación de la emergencia pública en materia sanitaria establecida por Ley N° 27.541, mediante el dictado por el Decreto N° 260 de fecha 12 de marzo de 2020 y sus complementarias, a raíz de la pandemia declarada por la ORGANIZACIÓN MUNDIAL DE LA SALUD (OMS) en relación con el coronavirus COVID-19, ha obligado a una más intensa utilización de las plataformas tecnológicas, especialmente en el ámbito de las entidades y jurisdicciones del Sector Público Nacional definidas en el inciso a) del artículo 8° de la Ley Nº 24.156 y sus modificatorios, al punto que se han tornado indispensables para el desenvolvimiento de toda su actividad, tanto en lo que se refiere a la gestión interna como a los servicios que prestan a la sociedad.
Que esta notable expansión en el uso de las herramientas digitales, tanto en el campo del trabajo, como en las actividades económica y educativa, entre otros aspectos de la vida social ha producido también un aumento considerable de los riesgos y amenazas a la seguridad de la información, particularmente, en aquellos sistemas informáticos mediante los cuales son brindados por el Sector Público Nacional de manera eficiente y constante los servicios esenciales a la sociedad.
Que, la celeridad del cambio tecnológico antes referenciado, así como la complejidad creciente de los sistemas informáticos, obliga a mantener actualizados los medios para su protección a fin de la efectiva gestión de los incidentes de seguridad y de la prestación de la asistencia necesaria, en aquellas situaciones que afecten a las entidades y jurisdicciones del Sector Público Nacional definidas en el inciso a)del artículo 8° de la Ley Nº 24.156 y sus modificatorios, en especial en aquellos vinculados a las Infraestructuras Críticas de Información.
Que, todo ello hace indispensable la derogación de la Disposición de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN N° 2/2013 puesto que la misma ha perdido virtualidad.
Que, en el ámbito internacional, el Informe UNGGE 2015 aprobado por Resolución AG 70/237 de las Naciones Unidas, ha recomendado a los países miembros: “Establecer a nivel nacional un equipo de respuesta ante emergencias informáticas o u equipo de respuesta a incidentes de seguridad informática”.
Que, consecuentemente, de todo lo expuesto surge que resulta necesaria la creación de un CENTRO NACIONAL DE RESPUESTA A INCIDENTES INFORMATICOS, como punto de referencia nacional confiable, especializado y de consulta para la respuesta a incidentes de seguridad informática que puedan afectar a los sistemas informáticos de las entidades y jurisdicciones antes citadas y que tenga por objetivo coordinar la gestión de incidentes de seguridad a nivel nacional y prestar asistencia en aquellos que las afecten y, en particular, a las Infraestructuras Críticas de Información, declaradas como tales.
Que ha tomado la intervención de su competencia la DIRECCIÓN DE ASUNTOS LEGALES DE INNOVACIÓN PÚBLICA de la SECRETARIA DE INNOVACIÓN PÚBLICA de la JEFATURA DE GABINETE DE MINISTROS.
Que la presente medida se dicta en virtud de las facultades conferidas por el artículo 4° inciso a) de la Resolución de la Jefatura de Gabinete de Ministros Nº 580/2011 y la Decisión Administrativa N° 1865/2020.
Por ello,
El DIRECTOR NACIONAL DE CIBERSEGURIDAD
DISPONE:
ARTICULO 1°.- Crease en el ámbito de la DIRECCIÓN NACIONAL DE CIBERSEGURIDAD el CENTRO NACIONAL DE RESPUESTA A INCIDENTES INFORMÁTICOS (CERT.ar.), con el objetivo de coordinar la gestión de incidentes de seguridad a nivel nacional y prestar asistencia en aquellos que afecten a las entidades y jurisdicciones del Sector Público Nacional definidas en el inciso a) del artículo 8° de la Ley Nº 24.156 y sus modificatorios y a las Infraestructuras Críticas de Información, declaradas como tales.
ARTICULO 2°.- El CERT.ar, tendrá las siguientes funciones específicas:
a) Administrar y gestionar toda la información sobre reportes de incidentes de seguridad en las entidades y jurisdicciones del Sector Público Nacional definidas en el inciso a) del artículo 8° de la Ley Nº 24.156 y sus modificatorios.
b) Asesorar técnicamente ante incidentes de seguridad en sistemas informáticos que reporten las entidades y jurisdicciones enumeradas en el artículo 1° de la presente medida.
c) Coordinar las acciones a seguir, ante incidentes de seguridad, con otros Programas y equipos de respuesta a incidentes de la REPÚBLICA ARGENTINA.
d) Contribuir a incrementar la capacidad de prevención, alerta, detección y recuperación ante incidentes de seguridad informática que puedan afectar activos de información críticos del país.
e) Interactuar y cooperar con equipos de similar naturaleza de otros países.
f) Llevar un registro de estadísticas y establecer métricas a nivel nacional.
g) Coordinar la gestión de incidentes de seguridad informáticos que afecten recursos críticos a nivel nacional
h) Impulsar la formación de capacidades de prevención, detección, alerta y recuperación para la respuesta ante incidentes de seguridad informática.
i) Cooperar con los gobiernos provinciales y de la Ciudad Autónoma de Buenos Aires en la gestión de incidentes de seguridad informática.
ARTICULO 3°.- Deróguese la Disposición de la OFICINA NACIONAL DE TECNOLOGÍAS DE INFORMACIÓN N° 2 del 8 de agosto de 2013.
ARTICULO 4°.- La presente medida entrará en vigencia a partir del día siguiente a su publicación en el BOLETÍN OFICIAL DE LA REPÚBLICA ARGENTINA.
ARTICULO 5°.- Comuníquese, publíquese, dese a la Dirección Nacional del Registro Oficial y archívese.
Gustavo Raúl Sain
e. 22/02/2021 N° 8965/21 v. 22/02/2021