20ma. Asamblea Legislativa | 1ra. Sesión Ordinaria |
SENADO DE PUERTO RICO
P. del S. 24
2 de enero de 2025
Presentado por el señor Rivera Schatz
Coautores la señora Román Rodríguez; y el señor Santos Ortiz
Referido a la Comisión de Ciencia, Tecnología e Inteligencia Artificial
LEY
Para crear la “Ley de Capacitación para la Seguridad Cibernética en Puerto Rico”; establecer como política pública en Puerto Rico la capacitación compulsoria sobre seguridad cibernética para la protección y el manejo adecuado de los sistemas y activos de información; establecer el Programa de Capacitación para la Seguridad Cibernética; imponer penalidades; y para otros fines relacionados.
EXPOSICIÓN DE MOTIVOS
Los adelantos tecnológicos experimentados en los últimos treinta (30) años han provocado cambios vertiginosos en el estilo de vida e interacción de los seres humanos. El acceso a la información, el desarrollo de la inteligencia artificial, la impresión 3D, la robótica, entre otros, evolucionan a pasos acelerados. Esta revolución tecnológica ha requerido de alteraciones estructurales en organizaciones públicas y privadas, con efectos sin precedentes. Toda esta transformación tecnológica ha contribuido favorablemente en la calidad de vida de los seres humanos, ya que va dirigida a cubrir necesidades, tanto sociales como económicas.
A pesar de los múltiples beneficios que traen consigo, estos han creado en algunas instancias una sociedad cada vez más dependiente, frágil y en ocasiones vulnerable a ciertos aspectos tecnológicos que no necesariamente se pueden prevenir, por lo que es imprescindible anticipar y combatirlos. Uno de los principales problemas de índole tecnológico en la actualidad a nivel mundial son los ataques cibernéticos, mediante los cuales individuos o grupos organizados obtienen acceso no autorizado a los sistemas de información para la divulgación, uso, daño, degradación o destrucción de la información electrónica, sistemas e infraestructura crítica.
Para cumplir a cabalidad con un modelo de desarrollo socioeconómico cónsono con los constantes cambios tecnológicos, mediante la Ley 75-2019, según enmendada, se creó el “Puerto Rico Innovation and Technology Service” (en adelante, PRITS). Uno de los objetivos primordiales del PRITS es liderar la transformación digital del Gobierno ante los desafíos y las tendencias de la era moderna, a través de la innovación y la tecnología con un enfoque colaborativo, desarrollando así un gobierno centralizado, ágil y transparente, y de forma tal que los servicios que se ofrecen al ciudadano se brinden eficientemente, esto por la implementación de nuevas tecnologías e innovaciones de clase mundial.
La información es un componente crítico para el buen funcionamiento del Gobierno y para brindar servicios eficientes a los ciudadanos. El uso de medidas de seguridad es importante para evitar el acceso no autorizado, divulgación, uso, daño, degradación y destrucción de la información electrónica, sus sistemas e infraestructura crítica. Con este fin, el PRITS está comprometido con el desarrollo de un enfoque moderno sobre asuntos de ciberseguridad, de tal modo que el gobierno tenga mayor visibilidad sobre aquellos aspectos concernientes a amenazas a la información y garantizar controles efectivos para su seguridad.
Cabe señalar que se han identificado varias modalidades de amenazas tanto en individuos, grupos o entidades que llevan a cabo ataques cibernéticos con la intención de causar daño, explotar vulnerabilidades u obtener acceso no autorizado a sistemas informáticos, redes, datos u otros activos valiosos. Dichos grupos o individuos pueden abarcar una amplia gama de motivaciones, habilidades y recursos, y pueden operar en diversos contextos, entre los que se encuentran:
De todas las modalidades antes mencionadas, son las amenazas internas las que resultan el eslabón más débil en una organización, y la única amenaza que se puede prevenir mediante el adiestramiento y capacitación a los fines de enfrentar y prevenir este tipo de ataque.
Lamentablemente, Puerto Rico no ha sido la excepción a la exposición de este tipo de práctica criminal. Según datos ofrecidos por el PRITS, para el año 2022 se detectaron y bloquearon 753,276,056 ataques cibernéticos, cifra que resulta alarmante en comparación con el año 2021 donde se reportaron 13,731,041. De igual forma, al 31 de julio de 2023, se habían detectado alrededor de 490,537,483 millones de intentos de ciberataques, lo que coloca a Puerto Rico como una jurisdicción de Estados Unidos con un nivel alto de alerta en este tipo de amenazas, virus y otras actividades cibernéticas maliciosas. Ciudadanos puertorriqueños han sido testigos de los efectos de ataques cibernéticos perpetrados a varias entidades gubernamentales y privadas.
Han sido múltiples las gestiones del PRITS para prevenir y detener este tipo de ataques, tanto en el sector gubernamental como en el privado. Recientemente, se anunció la creación de un “Cyber Force”, el cual consiste en una alianza entre PRITS y diversas agencias federales y locales bajo las cuales se busca capacitar y darles participación a ciudadanos de manera voluntaria en asuntos relacionados a seguridad cibernética. Lo anterior, con el fin de colaborar con entidades de seguridad en la prevención, intercambio de información, respuesta y recuperación de ataques, para así aumentar la resiliencia y disminuir las vulnerabilidades en los sistemas electrónicos del Gobierno. De igual forma, la agencia ha sido responsiva en el establecimiento de políticas y en la creación de guías para los empleados sobre seguridad cibernética.
Tras innumerables esfuerzos del PRITS para combatir los ataques cibernéticos, aún persiste la necesidad de aprobar legislación, a los fines de establecer como política pública en Puerto Rico la capacitación compulsoria sobre seguridad cibernética, en aras de garantizar la protección y el manejo adecuado de los sistemas y activos de información, mediante la creación de un programa a estos fines. Dicho programa está dirigido para adiestrar con el propósito de concientizar e implantar protocolos y controles para mitigar los riesgos de seguridad cibernética a través de la identificación y capacidad de respuesta oportuna a las amenazas o eventos que involucren irregularidades de seguridad. Así también, se establecen penalidades a toda persona que, mediante acción u omisión, incumpla con el reporte o manejo adecuado de un incidente cibernético, permitiendo el acceso no autorizado de información y afectando las operaciones de la entidad. De esta forma, se minimizan las posibilidades de amenazas internas dentro de todos los componentes del Gobierno, así como del sector privado.
Es por todo lo anterior, que esta Asamblea Legislativa entiende y reconoce los daños que los ataques cibernéticos provocan tanto en las operaciones gubernamentales como privadas, y en los servicios que se brindan a la ciudadanía. Ante ello, es urgente e imperante identificar medidas preventivas para combatir esta actividad criminal.
DECRÉTASE POR LA ASAMBLEA LEGISLATIVA DE PUERTO RICO:
Esta Ley se conocerá como “Ley de Capacitación para la Seguridad Cibernética en Puerto Rico”.
Artículo 2.- Política Pública.
Será política pública del Gobierno de Puerto Rico, el promover y concienciar sobre la seguridad cibernética a través de capacitaciones, talleres u orientaciones compulsorias con el fin de proteger la confidencialidad e integridad de los activos de información de entidades gubernamentales y privadas, garantizando así, la implementación de medidas de seguridad y manejo adecuado para prevenir o mitigar el riesgo de eventos de seguridad cibernética y la divulgación involuntaria de información confidencial por parte de los empleados o por cualquier persona que brinden servicios.
Artículo 3.- Programa de Capacitación para la Seguridad Cibernética.
Se ordena al Puerto Rico Innovation and Technology Service, a desarrollar y ofrecer un Programa de Capacitación para la Seguridad Cibernética. El diseño e implementación de este Programa fungirá como un complemento directo a las facultades, definiciones y plataformas, tales como el PRITS Academy, ya existentes en la Ley 40-2024, conocida como la 'Ley de Ciberseguridad del Estado Libre Asociado de Puerto Rico', con el fin de lograr la mayor economía de recursos. El mismo será ofrecido al menos una vez al año.
Para el desarrollo del Programa de Capacitación se deberá considerar lo siguiente:
Artículo 4.- Aplicabilidad.
Las disposiciones de esta Ley aplicarán de manera compulsoria a toda rama, agencia e instrumentalidad pública, incluyendo las corporaciones públicas, así como las público-privadas que funcionan como empresas o negocios privados, y municipios. y empresas privadas con un volumen de negocio de cien mil dólares con cero centavos ($100,000.00) o más.
La Rama Legislativa, la Rama Judicial, los municipios, y las empresas o negocios privados con un volumen de negocio de cien mil dólares con cero centavos ($100,000.00) o más, podrán coordinar la asistencia del Puerto Rico Innovation and Technology Service o cualquier otra entidad gubernamental local o federal, así como con otras entidades privadas con el peritaje para el asesoramiento e implementación del Programa de Capacitación en cumplimiento con las disposiciones de esta Ley.
Artículo 5.- Coordinación interagencial y colaborativo.
Se faculta al Puerto Rico Innovation and Technology Service a llevar a cabo las gestiones necesarias para coordinar junto con la Oficina del Inspector General los acuerdos de colaboración con agencias, departamentos, organismos gubernamentales locales, federales y municipales, así como con otras instituciones públicas o privadas para adelantar los propósitos de esta Ley.
A tenor con lo anterior se requerirá que el jefe de cada agencia, municipio y entidad cubierta certifique anualmente ante la OIG (y PRITS) el cumplimiento de la capacitación en su dependencia. Esta certificación documentará el porcentaje de empleados adiestrados, fechas de los adiestramientos y cualquier incidente de seguridad significativo ocurrido.
Además, PRITS, en coordinación con la OIG, rendirán informes anuales a la Asamblea Legislativa detallando la implementación de la ley. El informe incluiría estadísticas de cumplimiento por sector, uso de fondos destinados a capacitación y resultados en términos de reducción de incidentes.
Artículo 6.- Conducta delictiva; Penalidades. Revisión y actualización periódica de la capacitación
Toda persona que, mediante acción u omisión, o a propósito, incumpla con el reporte o manejo establecido de un incidente cibernético y permita el acceso no autorizado de información con el propósito de afectar las operaciones del sistema de información y datos de cualquier entidad gubernamental o privada, o que comprometa su confidencialidad, incurrirá en delito menos grave.
El programa de capacitación será revisado y actualizado cada dos años con el insumo de la OIG, PRITS y expertos del campo para garantizar que los contenidos se mantengan relevantes ante la evolución constante de las amenazas cibernéticas. Esta revisión continua tendrá como objetivo fortalecer el impacto del programa de capacitación y facilitar la fiscalización.
Artículo 7.- Reglamentación.
Se faculta al Puerto Rico Innovation and Technology Service a que adopte la reglamentación necesaria para lograr el cumplimiento de las disposiciones de esta Ley. La reglamentación que se adopte deberá actualizarse, a tenor con los constantes avances tecnológicos. Incluyendo, pero sin limitarse, a incluir la figura que hará el monitoreo de cumplimiento, imposición de sanciones administrativas, entre otros.
La Reglamentación incluirá mecanismos para reforzar las fiscalización, la rendición de cuentas y el logro de objetivos
Artículo 8.- Presupuesto.
Los fondos necesarios para cumplir con los objetivos de esta Ley se coordinarán con cada una de las agencias, en colaboración con el Puerto Rico Innovation and Technology Service, la Oficina de Gerencia y Presupuesto y la Autoridad de Asesoría Financiera y Agencia Fiscal, durante el proceso presupuestario de cada año fiscal para identificar los fondos necesarios dentro del Presupuesto Certificado, programas federales o cualquier otro fondo disponible.
Artículo 9.- Cláusula Derogatoria.
Cualquier disposición de ley o reglamentación que sea incompatible con las disposiciones de esta Ley queda por la presente derogada hasta donde existiere tal incompatibilidad.
Artículo 10.- Cláusula de Separabilidad.
Si cualquier parte de esta Ley fuera anulada o declarada inconstitucional, la resolución, dictamen o sentencia a tal efecto dictada no afectará, perjudicará, ni invalidará el remanente de esta Ley. El efecto de dicha sentencia quedará limitado a la parte específica de esta que así hubiere sido anulada o declarada inconstitucional. Si la aplicación a una persona o a una circunstancia de cualquier parte de esta Ley fuera invalidada o declarada inconstitucional, la resolución, dictamen o sentencia a tal efecto dictada no afectará ni invalidará la aplicación del remanente de esta Ley a aquellas personas o circunstancias en las que se pueda aplicar válidamente. Es la voluntad expresa e inequívoca de esta Asamblea Legislativa que los tribunales hagan cumplir las disposiciones y la aplicación de esta Ley en la mayor medida posible, aunque se deje sin efecto, anule, invalide, perjudique o declare inconstitucional alguna de sus partes, o, aunque se deje sin efecto, invalide o declare inconstitucional su aplicación a alguna persona o circunstancia. Esta Asamblea Legislativa hubiera aprobado esta Ley sin importar la determinación de separabilidad que el Tribunal pueda hacer.
Artículo 11.- Vigencia.
Esta Ley entrará en vigor inmediatamente después de su aprobación. No obstante, la implementación del Programa se establecerá dentro de los dieciocho (18) meses luego de la aprobación de esta Ley.
Documento oficial de SUTRA convertido a texto para facilitar la lectura. El formato puede variar respecto al original; para la versión exacta usa “Descargar original”.