El Registro Nacional de Leyes y Decretos del presente semestre aún no fue editado.
VISTO: la importancia de prevenir, atender y gestionar incidentes de seguridad cibernética que se puedan presentar en el marco de la defensa nacional;
RESULTANDO: I) que por el artículo 73 de la Ley N° 18.362, de 6 de octubre de 2008, se creó el Centro Nacional de Respuesta a Incidentes de Seguridad (CERTuy) con el objetivo de regular la protección de los activos de información críticos del Estado;
II) que por el Decreto N° 451/009, de 28 de setiembre de 2009, se reglamentó el funcionamiento y organización del CERTuy;
III) que por el artículo 4° literal i) se establece entre sus cometidos estratégicos la creación de centros de respuesta a incidentes de seguridad informática en sectores específicos para mejorar la gestión de incidentes a nivel nacional;
IV) que por Decreto N° 452/009, de 28 de setiembre de 2009, se reglamentaron las competencias legales establecidas por el artículo 55 de la Ley N° 18.046, de 24 de octubre de 2006, en la redacción dada por el artículo 118 de la Ley N° 18.172, de 31 de agosto de 2007, por el que se confiere a la Agencia para el Desarrollo del Gobierno de Gestión Electrónica y la Sociedad de la Información y del Conocimiento (AGESIC) las facultades para establecer medidas de seguridad que hagan confiable el uso de las tecnologías de la información, concibiendo y desarrollando una política nacional en temas de seguridad de la información, que permita la prevención, detección y respuesta frente a incidentes que puedan afectar los activos críticos del país;
V) que en el artículo 1° del mencionado Decreto se establece la obligación para las Unidades Ejecutoras 02 al 15 de adoptar una Política de Seguridad de la Información, con el propósito de impulsar un Sistema de Gestión de Seguridad de la Información;
CONSIDERANDO: I) que se entiende pertinente la creación de un Centro de Respuestas a Incidentes de Seguridad Informática en el Ministerio de Defensa Nacional, con el propósito de especializarse en actividades de seguridad de la información relativas a la defensa nacional;
II) que se entiende adecuado que el Centro de Respuesta a Incidentes de Seguridad Informática de Defensa desarrolle sus cometidos, coordinando su accionar con el Centro Nacional de Respuesta a Incidentes de Seguridad Informática en el marco de las regulaciones que éste establezca;
ATENTO: a lo precedentemente expuesto y a lo dispuesto en el artículo 168 de la Constitución de la República, el artículo 118 de la Ley N° 18.172, de 31 de agosto de 2007, el artículo 73 de la Ley N° 18.362, de 6 de octubre de 2008, la Ley N° 18.650, de 19 de febrero de 2010, los Decretos Nos. 451/009 y 452/009, de 28 de setiembre de 2009 y el Decreto N° 92/014, de 7 de abril de 2014;
El PRESIDENTE DE LA REPÚBLICA
DECRETA:
Creación.- Créase un Centro de Respuesta a Incidentes de Seguridad Informática en el Ministerio de Defensa Nacional (D-CSIRT), el que tendrá por visión ser el centro coordinador de todas las actividades relacionadas con la gestión de incidentes de seguridad informática de la comunidad objetivo y colaborará con organismos e instituciones nacionales e internacionales en actividades de seguridad informática, en coordinación con el Centro Nacional de Respuesta a Incidentes de Seguridad Informática (CERTuy).
Ámbito objetivo.- El centro de respuesta a incidentes de seguridad informática en el Ministerio de Defensa Nacional será el centro coordinador de todas las actividades relacionadas con la gestión de incidentes de seguridad informática de su comunidad objetivo.
La comunidad objetivo son todas las Unidades Ejecutoras, Dependencias y demás Unidades Organizativas pertenecientes al Inciso 03 - Ministerio de Defensa Nacional.
Ámbito subjetivo.- Todas las Unidades Ejecutoras, dependencias y demás Unidades Organizativas pertenecientes al Inciso 03 - Ministerio de Defensa Nacional, se encuentran obligadas por las previsiones del presente Decreto.
Objetivos generales.- El centro de respuesta a incidentes de seguridad informática en el Ministerio de Defensa Nacional tendrá por misión la participación de forma eficaz y eficiente en la respuesta a incidentes informáticos sobre infraestructuras críticas y servicios esenciales de la comunidad objetivo, así como desarrollar capacidades de prevención y detección temprana de incidentes de seguridad informática en dicha comunidad.
Son sus objetivos generales:
a) Ser un punto de contacto para su comunidad objetivo, reconocido y
confiable para el reporte y gestión de incidentes de seguridad
informática.
b) Desempeñarse como punto de contacto del Ministerio de Defensa
Nacional en la respuesta a incidentes informáticos a nivel
Nacional e Internacional para su comunidad objetivo.
c) Concientizar y capacitar a su comunidad objetivo.
d) Investigar en materia de seguridad informática para mejorar las
capacidades del equipo de respuesta y de su comunidad objetivo,
colaborando e interactuando con otros centros y equipos de
respuesta.
e) Colaborar activamente con el CERTuy.
Objetivos específicos.- El centro de respuesta a incidentes de seguridad informática en el Ministerio de Defensa Nacional tendrá por objetivos específicos:
a) Coordinar y gestionar la respuesta a incidentes de seguridad
informática de su comunidad objetivo.
b) Establecer e implementar una política de gestión de riesgos de
activos de información, así como la metodología para la
identificación de riesgos, en coordinación con las regulaciones
que se establezcan desde el CERTuy.
c) Identificar, planificar y coordinar toda actividad de protección
de activos críticos de la información de su comunidad objetivo en
coordinación con las regulaciones que se establezcan desde el
CERTuy.
d) Colaborar y brindar servicios de alerta y avisos en materia de
seguridad a su comunidad objetivo.
e) Desarrollar planes de implantación de soluciones de seguridad de
la información en su comunidad objetivo.
Funciones.- Son funciones del centro de respuesta a incidentes de seguridad informática en el Ministerio de Defensa Nacional:
a) Gestionar incidentes informáticos de manera de minimizar los
tiempos de respuesta y el impacto que éstos puedan generar.
b) Conocer, participar y compartir experiencias de equipos similares
en esta materia, estableciendo y haciendo propias las mejores
estrategias para el manejo efectivo de incidentes de seguridad
informática.
c) Dar cumplimiento a la normativa vigente en seguridad de la
información, fundamentalmente los Decretos Nos. 452/009, de 28 de
setiembre de 2009 y 92/014, de 7 de abril de 2014.
d) Promover la utilización de la infraestructura informática bajo
buenas y mejores prácticas.
e) Planificar acciones de evaluación de planes de contingencia y
funcionalidad de las soluciones de seguridad implementadas en su
comunidad objetivo.
f) Colaborar en la difusión e implementación de las mejores
prácticas en seguridad de la información y respuesta a incidentes
informáticos dentro de su comunidad objetivo.
g) Coordinar con los responsables de gestión de seguridad de las
Unidades Ejecutoras y Dependencias del Inciso para la prevención,
detección, manejo y recopilación de la información sobre
incidentes de seguridad informática.
h) Alertar ante amenazas y vulnerabilidades de seguridad que puedan
afectar a los sistemas de información del Inciso.
i) Gestionar planes de capacitación para el equipo de respuesta y
los responsables de gestión de seguridad de las Unidades
Ejecutoras y Dependencias del Inciso en lo referente a seguridad
informática y de la información.
Obligaciones.- Son obligaciones del centro de respuesta a incidentes de seguridad informática en el Ministerio de Defensa Nacional:
a) Colaborar con organismos e instituciones nacionales e
internacionales en actividades de seguridad informática, en
coordinación con el Centro Nacional de Respuesta a Incidentes de
Seguridad Informática (CERTuy).
b) Participar de forma eficaz y eficiente en la respuesta a
incidentes informáticos sobre infraestructuras críticas y
servicios esenciales de su comunidad objetivo.
c) Desarrollar capacidades de prevención y detección temprana de
incidentes de seguridad informática en dicha comunidad.
Servicios.- El centro de respuesta a incidentes de seguridad informática en el Ministerio de Defensa Nacional prestará servicios de carácter reactivo y proactivo.
Servicios reactivos.- Son servicios reactivos:
a) Gestionar los eventos e incidentes de seguridad informática en la
comunidad objetivo.
b) Brindar apoyo técnico y logístico a fin de mitigar el impacto de
incidentes de seguridad informática.
c) Coordinar el trabajo de respuesta a incidentes.
d) Reportar de forma centralizada al CERTuy de todo incidente de
seguridad informática que se haya registrado en la comunidad
objetivo.
Servicios Proactivos.- Son servicios proactivos:
a) Investigar, desarrollar y mantener vigentes políticas, normas,
procedimientos, técnicas, herramientas y buenas prácticas que
mejoren la seguridad informática y seguridad de la información de
la comunidad objetivo en coordinación con las regulaciones que se
establezcan desde el CERTuy.
b) Analizar periódicamente los riesgos asociados a los activos de
información.
c) Capacitar y entrenar al personal del equipo de respuesta, así
como a los responsables designados de la comunidad objetivo.
d) Detectar y notificar en forma temprana eventos e incidentes de
seguridad informática y seguridad de la información.
e) Colaborar en la resolución de incidentes de seguridad informática
con otros centros y equipos de respuesta, tanto a nivel nacional
como internacional, coordinando con el CERTuy.
f) Integrar e intercambiar conocimientos en seguridad informática
con comunidades de aprendizaje.
Vínculo con la Comunidad Objetivo.- El vínculo se establecerá a través de la integración de todas las Unidades Ejecutoras y Dependencias del Inciso del Ministerio de Defensa Nacional dentro de un Plan de Trabajo común, donde la seguridad de la información sea el eje central, con criterios y procedimientos unificados. En cumplimiento de lo preceptuado por el Decreto N° 452/009, de 28 de setiembre de 2009, se deberá:
a) Designar el Responsable de la Seguridad de la Información para el
Inciso.
b) Crear un Sistema de Gestión de Seguridad de la Información (SGSI)
para el Inciso.
c) Designar los Responsables de Seguridad de la Información de las
distintas dependencias de la comunidad objetivo.
Gestión de Incidentes.- La gestión de incidentes se llevará a cabo a través de su reporte por medio de las vías disponibles para tal fin, ejecutándose las comunicaciones y operativas correspondientes con los distintos Responsables de Seguridad de la Información designados dentro de la comunidad objetivo.
CERTuy.- Lo establecido en los artículos anteriores no afectará la vigencia de los cometidos, potestades y obligaciones atribuidos por el Decreto N° 451/009, de 28 de setiembre de 2009 y concordantes, al Centro Nacional de Respuesta a Incidentes de Seguridad Informática (CERTuy).