¿Qué son los delitos informáticos?
Los delitos informáticos en Chile están regulados por la Ley N° 21.459, publicada el 20 de junio de 2022, que derogó la antigua Ley N° 19.223 y adecuó la legislación al Convenio de Budapest. Sanciona, entre otras conductas, las que afectan sistemas informáticos, datos y comunicaciones:
- el ataque a la integridad de un sistema informático;
- el acceso ilícito a un sistema;
- la interceptación ilícita de transmisiones no públicas;
- el ataque a la integridad de los datos informáticos;
- la falsificación informática;
- la receptación de datos informáticos;
- el fraude informático;
- el abuso de dispositivos, como programas o claves creados para cometer estos delitos.
Para una empresa, esto puede significar tanto ser víctima de un ataque, como de un ransomware o del robo de credenciales, como enfrentar el riesgo de que alguien de su entorno cometa una de estas conductas.
¿Puede responder la empresa por un delito informático?
Sí, en ciertos casos. La Ley N° 21.595 incluye varios de los delitos de la Ley N° 21.459 entre los delitos económicos, que lo son cuando se cometen en el ejercicio de un cargo, función o posición en una empresa, o para su beneficio. A su vez, la Ley N° 20.393 permite sancionar a la empresa por los delitos listados en esa ley cuando se cometen en el marco de su actividad y su perpetración se ve favorecida o facilitada por la falta de implementación efectiva de un modelo de prevención adecuado.
Si el delito se comete exclusivamente en contra de la propia empresa, la Ley N° 20.393 no se aplica para hacerla responsable. En ese caso la empresa es víctima y puede querellarse.
La Ley Marco de Ciberseguridad
La Ley N° 21.663, publicada el 8 de abril de 2024, establece el marco institucional de la ciberseguridad y crea la Agencia Nacional de Ciberseguridad (ANCI). Se dirige principalmente a los organismos del Estado y a los prestadores de servicios esenciales y operadores de importancia vital. Los servicios esenciales incluyen, por ejemplo, energía, agua, telecomunicaciones y servicios digitales, transporte, banca y servicios financieros, salud, servicios postales y otros que la ANCI pueda calificar.
Para las entidades obligadas, la ley contempla deberes generales de aplicar medidas para prevenir, reportar y resolver incidentes, la obligación de reportar los incidentes significativos al CSIRT Nacional en plazos muy breves (una alerta temprana de pocas horas, seguida de actualizaciones e informe final) y un régimen de infracciones y multas.
Si tu empresa no presta esos servicios, las obligaciones específicas de la ley podrían no aplicarle directamente, pero es importante revisarlo, porque la ANCI puede calificar nuevos servicios y porque clientes obligados pueden exigirte estándares mínimos por contrato.
Buenas prácticas de ciberseguridad
- Inventariar los sistemas, cuentas y datos críticos, y definir quién accede a qué.
- Activar la autenticación en dos pasos y gestionar las claves con una política clara.
- Mantener copias de respaldo probadas y separadas de la red principal.
- Actualizar sistemas y software, y revisar a los proveedores tecnológicos.
- Capacitar al personal contra el phishing y el uso indebido de cuentas.
- Registrar la actividad de los sistemas críticos para poder reconstruir lo ocurrido.
- Definir en el reglamento interno o en políticas escritas las reglas de uso de equipos y correo. Las medidas de control sobre los trabajadores deben ser idóneas, generales e impersonales y respetar su dignidad (Código del Trabajo, artículo 154, último inciso).
Qué hacer ante un incidente
- Activar un plan de respuesta con responsables definidos, incluido el de comunicaciones.
- Contener el incidente, por ejemplo aislando equipos, sin borrar ni sobrescribir información.
- Evaluar si se afectaron datos personales y qué obligaciones de reporte existen.
- Informar a la administración superior y, según el caso, a seguros, clientes y autoridades.
- Presentar una denuncia o querella ante el Ministerio Público cuando corresponda.
- Documentar lo ocurrido y las decisiones tomadas.
Evidencia digital
La prueba digital es frágil: puede alterarse con solo encender un equipo o revisar un archivo. Para que sea útil ante un juez, conviene preservar los dispositivos y los registros en su estado original, hacer copias bajo un procedimiento que pueda explicarse después, registrar quién tuvo acceso a cada elemento y cuándo (cadena de custodia), y evitar que personas sin formación manipulen los equipos. La ley contempla reglas de preservación y custodia de evidencia electrónica, y medidas de investigación que requieren autorización de un juez de garantía.
Cómo podemos ayudarte
Te ayudamos a revisar tus políticas y contratos tecnológicos, a ordenar los protocolos de respuesta y de uso de sistemas, y a evaluar la presentación de acciones penales cuando tu empresa ha sido víctima. Atendemos en Viña del Mar y Valparaíso, con trabajo coordinado con especialistas técnicos cuando se requiere.