En 2009 se sancionó la Ley 1341 o Ley de Tecnologías de la Información y las Comunicaciones (TIC), que establece un marco jurídico acorde con la realidad mundial y el posicionamiento de las TIC en el ciberespacio. Ese mismo año, ante la necesidad de modificar el Código Penal para reconocer delitos informáticos, se expidió la Ley 1273 de 2009, en la cual se establece la protección de la información y los datos, y se “preservan integralmente los sistemas que utilicen las tecnologías de la información y las comunicaciones”. También en 2009 se crea la Unidad de Delitos Informáticos de la Fiscalía General de la Nación, encargada de investigar y perseguir los delitos informáticos.

En el 2011 Colombia formalizó sus esfuerzos en establecer un modelo de gobernanza para reconocer la ciberseguridad y la ciberdefensa como elementos fundamentales para garantizar la defensa nacional, pues el ciberespacio se considera el quinto dominio de la seguridad de un Estado (Douzet, 2014). Dada su importancia, el CONPES 3701 de 2011 estableció por primera vez los lineamientos de política para ciberseguridad y ciberdefensa del país, reconociendo la importancia de protegerlo de amenazas cibernéticas ante la importancia del ciberespacio para el desarrollo socioeconómico del país. Este CONPES tuvo como objetivo promover la cultura de la seguridad cibernética, concienciar a la población sobre los riesgos y buenas prácticas del uso de las TIC y establecer organismos de respuesta a los incidentes cibernéticos de la Nación.

El Conpes conformó varias instancias: ColCERT (Grupo de Respuesta a Emergencias Cibernéticas de Colombia), adscrito en su momento al Ministerio de Defensa Nacional; el Comando Conjunto Cibernético, encargado de la defensa del país en el ciberespacio; y el Centro Cibernético Policial, encargado de la seguridad ciudadana en el espacio. Dichas entidades fueron encargadas del diseño e implementación de políticas y estrategias de seguridad cibernética y del establecimiento de mecanismos de protección de la información y de respuesta a incidentes cibernéticos.

El Decreto 289 de 2011 establece el Comité Nacional de Ciberseguridad como órgano de consulta y asesoría para la formulación de políticas en materia de ciberseguridad y en 2012 se establece el Plan Nacional de Ciberseguridad desarrollando una serie de estrategias para proteger las infraestructuras críticas del país. En la Resolución 05839 de 2015, la Policía Nacional estableció las funciones del Centro Cibernético Policial como una dependencia de la Dirección de Investigación Criminal, “encargada de desarrollar estrategias, programas, y proyectos para la ciberseguridad, ciberdefensa y la protección de la información y los datos que circulan por el ciberespacio de los habitantes en el territorio nacional, a través de la investigación criminal” (art. 15).

En 2016 el Conpes 3855 estructura la Política Nacional de Seguridad Digital mediante la protección de la información crítica del país y se plantea la necesidad de mejorar las capacidades de respuesta ante incidentes cibernéticos por medio de la coordinación de diferentes entidades del Estado y la asignación de recursos económicos a las instancias creadas en el Conpes 3701 de 2011. “Colombia no cuenta con una instancia de coordinación nacional en seguridad digital que optimice la gestión de los recursos destinados a esta materia” (Conpes 3855, 2016, pág. 32).

En 2018 Colombia adoptó, mediante la Ley 1928, el “Convenio sobre la ciberdelincuencia”, firmado en Budapest en 2001, cuyo objetivo es promover la cooperación internacional en la lucha contra la ciberdelincuencia en delitos como acceso ilegal a sistemas informáticos, fraude informático, abuso de niños en línea, robo de identidad, entre otros.

En 2020 el Conpes 3995 estableció la Política Nacional de Confianza y Seguridad Digital, que busca ejecutar los lineamientos planteados en el Convenio de Budapest y establecer medidas para mejorar la seguridad digital del país por medio de una actualización del marco de gobernanza. En él se reitera la importancia de la coordinación entre las instancias del Estado, el sector privado y la academia para implementar de manera efectiva la política de confianza y seguridad digital, así como la necesidad de asignar recursos financieros para ejecutar las propuestas de dicha política.

La Resolución 500 de 2021 de MinTic establece los lineamientos para la implementación de la estrategia de seguridad digital y la adopción del Modelo de Seguridad y Privacidad de la Información (MSPI). Asimismo, señala que todas las entidades públicas debían adoptar medidas técnicas, administrativas y de talento humano para garantizar la seguridad digital y prevenir incidentes.

En 2022 el Decreto 338 modificó el Título 21 de la parte 2 del libro 2 del Decreto 1078 de 2015, “con el fin de establecer lineamientos generales para fortalecer la gobernanza de la seguridad digital, la identificación de estructuras críticas, cibernéticas y servicios esenciales, la gestión de riesgos y la respuesta incidentes de seguridad digital” (Decreto 339, 2022). De igual manera, el Ministerio de Tecnologías de la Información y las Comunicaciones expidió la Resolución 00473, actualizada en la Resolución 3066 del mismo año, en donde se establece que el Grupo Interno de Trabajo de Respuesta a Emergencias Cibernéticas de Colombia (ColCERT) estaría adscrito a dicho ministerio bajo la dirección del Viceministerio de Transformación Digital y tendría como una de sus funciones “Actuar como punto único de contacto y coordinación para responder de manera rápida y eficiente a incidentes y vulnerabilidades de Seguridad Digital para la gestión de amenazas e incidentes de Seguridad Digital Nacional” (Resolución 03066, 2022, pág. 20).

De acuerdo con lo anterior, se evidencia que, en materia de Política Nacional de Seguridad Digital, Colombia se ha caracterizado por ser un país donde se han creado marcos normativos en materia de ciberseguridad. Sin embargo, la aplicación de los mismos se ha visto frenada ante la falta de coordinación de las instancias creadas, así como la falta de asignación presupuestal destinada al sector, lo que conlleva no contar con el personal necesario para aplicar la normativa.

Algunas obligaciones de entidades del sector salud en ciberseguridad [T2]

Los actores del sector salud (prestadores de servicios de salud públicos y privados, Entidades Promotoras de Salud [EPS], Entidades Adaptadas en Salud [EAS], entidades que administren planes voluntarios de salud, Administradoras de Riesgos Laborales [ARL], fondos de pensiones en sus actividades de salud, entidades pertenecientes a los regímenes de excepción o regímenes especiales de salud, y las secretarías, institutos y unidades administrativas departamentales, distritales y municipales de salud), que accedan a la información de manera innominada, y las compañías de seguros que emitan pólizas de accidentes de tránsito deberán cumplir con las siguientes obligaciones en materia de seguridad de la información (de acuerdo con el artículo 19 de la Resolución 886 de 2021 de Minsalud y MinTic):

• Adoptar una estrategia de seguridad y privacidad de la información, seguridad digital y continuidad de la prestación del servicio, en la cual deberán desarrollar periódicamente una evaluación del riesgo de seguridad digital que incluya una identificación de las mejoras a implementar en su Sistema de Administración del Riesgo Operativo. Para el desarrollo de la estrategia deberán contar con normas, políticas, procedimientos, recursos técnicos, administrativos y humanos necesarios para gestionar efectivamente el riesgo. Deben adoptar los lineamientos generales para la implementación del Modelo de Seguridad y Privacidad de la Información (MSPI), la guía de gestión de riesgos de seguridad de la información, el procedimiento para la gestión de los incidentes de seguridad digital, y los lineamientos y estándares para la estrategia de seguridad digital emitidos por MinTic en el marco de la política de Gobierno Digital.
• Asegurar la infraestructura, sistemas de tecnología de la información y prácticas de negocios que interactúan o implican el uso de cualquier información o dato personal.
• Incorporar prácticas y procesos de desarrollos destinados a salvaguardar la información personal de los individuos a lo largo del ciclo de vida de un sistema, programa o servicio.

Obligaciones específicas para los prestadores de servicios de salud (IPS) [T2]

Las Instituciones Prestadoras de Servicios de Salud (IPS), tanto públicas como privadas, deberán tener en cuenta que les aplican las siguientes obligaciones específicas, de acuerdo con las disposiciones del artículo 24 de la Resolución 886 de 2021 de Minsalud y MinTic):

• Contar con estrategias de seguridad y privacidad de la información, seguridad digital y continuidad de la prestación del servicio que permitan el uso de los mecanismos de comunicación y garantizar la confidencialidad, integridad, disponibilidad, autenticación y autorización en el intercambio de datos.
• Adoptar estándares alineados con la Política de Gobierno Digital, expedida por el Ministerio de Tecnologías de la Información y las Comunicaciones, la cual en el Manual de Gobierno Digital establece las necesidades y problemáticas que determinan el uso de las TIC.
• Cumplir las obligaciones derivadas de la condición de responsable o encargado del tratamiento de datos y las derivadas de la Ley 1581 de 2012 y las normas que la modifiquen, sustituyan o desarrollen.
• En desarrollo de los principios de finalidad y libertad de los datos personales, la recolección, la transferencia y el uso de datos personales deberán limitarse a aquellos pertinentes y necesarios para la finalidad para la cual son recolectados o requeridos conforme a la normativa vigente.

Respecto a las obligaciones establecidas en la Resolución 866 de 2021 de Minsalud y MinTic, la inspección, vigilancia y control corre por cuenta de la Superintendencia Nacional de Salud, facultada por el artículo 131 de la Ley 1949 de 2019 para imponer sanciones. Entre dichas sanciones, se destacan multas entre 200 y 8.000 salarios mínimos legales mensuales vigentes (SMMLV) para personas jurídicas, y entre 50 y 2.000 SMMLV para las personas naturales, amonestaciones escritas y revocatoria total o parcial de la autorización de funcionamiento.

Buenas prácticas según normas HIPAA [T2]

El cumplimiento de las normas de seguridad de la regulación más relevante del sector salud y farmacéutico en Estados Unidos, como la Ley de Portabilidad y Responsabilidad de los Seguros Sanitarios de 1996 (HIPAA por sus siglas en inglés), se basa en varios principios clave que pueden constituir una guía de buenas prácticas que se deben considerar para los actores del sector salud en Colombia:

• Implementación de un proceso de gestión de la seguridad, que incluya un análisis de riesgos y medidas de seguridad para mitigar los riesgos potenciales.
• Adopción de los procedimientos ilustrados en su Título II, los cuales incluyen lineamientos de privacidad, reglas transaccionales y de seguridad, y pautas de aplicación para protegerse contra softwares maliciosos.
• Formación de los usuarios sobre los principios de protección contra el software malintencionado.
• Integración de limitaciones en los controles de acceso y concesión de acceso únicamente a personas que hayan recibido formación en materia de protección de datos.