O que o marco legal de segurança cibernética representará para as empresas no Chile

O novo marco legal do Chile sobre segurança cibernética e informação crítica, aprovado em dezembro e promulgado em março, poderá representar um custo elevado para as empresas que operam no país.

“Esta norma estabelece multas tão altas que os obrigados exigem maior detalhamento das obrigações e demais disposições que visam o cumprimento da lei, ou seja, a segurança jurídica”, disse à BNamericas Macarena Gatica, sócia e líder de tecnologia, telecomunicações, mídia e proteção de dados do escritório Alessandri Abogados.

O novo regulamento terá um “impacto significativo” nas empresas, uma vez que as obrigará a ter uma estrutura para gerir o risco associado à cibersegurança. “Pode significar uma mudança que implica um investimento de alto custo”, acrescentou Gatica.

A legislação ainda não entrou em pleno vigor, em parte porque sua promulgação estabelece que devem ser regulamentadas questões relacionadas ao funcionamento do novo órgão de segurança cibernética e à data em que a norma entrará em vigor, a qual não pode ser inferior a seis meses a partir de sua publicação oficial.

As empresas devem aplicar permanentemente medidas destinadas a prevenir incidentes de cibersegurança e ataques cibernéticos, reportando e resolvendo-os quando ocorrerem.

“Os novos regulamentos exigem que implementem e reforcem as medidas de segurança cibernética existentes, visando cumprir um padrão mínimo de proteção. Isto significa que as empresas devem ter total visibilidade e controle de sua superfície de ataque para gerenciar com eficácia os ambientes digitais”, afirmou à BNamericas em entrevista Carlos Bonavita, gerente de engenharia de sistemas da região sul da empresa de segurança cibernética Palo Alto.

O marco legal estabelece três tipos de infrações: leves, graves e muito graves. No caso de operadoras de “importância vital” – a serem determinadas pela agência de segurança cibernética – as multas poderão chegar a 40 mil unidades tributárias mensais (cerca de US$ 2,8 milhões).

São operadores de “importância vital” aqueles cuja prestação de serviços depende de redes e sistemas informáticos, e cuja perturbação, intersecção, interrupção ou destruição tenha impacto na segurança e na ordem pública, na prestação de serviços essenciais ou no efetivo cumprimento das funções do Estado.

Além das multas financeiras, os regulamentos exigem que as empresas informem seus usuários quando estes forem vítimas de um crime digital.

“É importante considerar o custo reputacional que um incidente de cibersegurança e um ataque cibernético podem ter para a empresa, especialmente em relação à obrigação de notificar os afetados”, comentou Gatica.

PRÓXIMOS PASSOS 

Para cumprir os mandatos da lei de segurança cibernética no Chile, as empresas devem adaptar os seus sistemas de TI, estabelecer procedimentos de segurança claros, reforçar a governança de dados, formar pessoal em segurança cibernética e realizar avaliações de risco regulares.

“É imperativo terem total visibilidade das suas superfícies de risco e a capacidade de proteger os seus ecossistemas digitais”, disse Bonavita.

OUTROS PAÍSES

Questionado pelo BNamericas se outros países da região também avançarão com iniciativas semelhantes, Bonavita respondeu que “seria muito positivo se este tipo de regulação pudesse ser replicado em outros mercados latino-americanos”.

“Um ambiente colaborativo, como o que existe atualmente na União Europeia, ajuda todos os envolvidos a se prepararem melhor e a responderem de forma eficiente aos ataques cibernéticos”, complementou.

Para Gatica, uma vez que a cibersegurança é um risco que afeta igualmente todos os países, “deve ser considerada uma política de Estado. Além disso, poderíamos pensar em ações conjuntas entre vários países”, concluiu.