Proyecto de Ley de Ciberseguridad pone fin a la recolección laxa de datos

(Dan Tri) - El Proyecto de Ley de Ciberseguridad 2025 marca un punto de inflexión jurídico importante al definir por primera vez la "Seguridad de Datos" como un componente esencial de la seguridad nacional.

Este cambio no sólo llena vacíos legales sino que también establece estrictas barreras técnicas, exige a los responsables de las organizaciones tener certificación en ciberseguridad y pone fin a la era de la recogida "fácil" de datos por parte de las empresas.

Los datos se convierten en una cuestión de supervivencia nacional

En el seminario “Ley de Ciberseguridad 2025: Un paso adelante en la protección de la seguridad de los datos” organizado por la Asociación Nacional de Ciberseguridad en la tarde del 24 de noviembre, los expertos coincidieron unánimemente en que el antiguo marco legal había cumplido su misión inicial pero no era lo suficientemente completo para afrontar la velocidad actual de la transformación digital.

El teniente coronel Nguyen Dinh Do Thi, subdirector del Departamento de Seguridad Cibernética (Departamento de Seguridad Cibernética y Prevención y Control de Delitos de Alta Tecnología - Ministerio de Seguridad Pública ) enfatizó el cambio en el pensamiento de la gestión estatal al considerar los datos como la "sangre" de la economía digital e identificar las políticas clave del Estado para garantizar la seguridad cibernética y la seguridad de los datos.

En primer lugar, priorizar la ciberseguridad en la defensa nacional, la seguridad, la socioeconomía , la ciencia y la tecnología, y las relaciones exteriores. En segundo lugar, construir un ciberespacio seguro que no perjudique la seguridad nacional ni el orden social.

En tercer lugar, centrar los recursos en la creación de fuerzas especializadas, el desarrollo de recursos humanos de alta calidad y la promoción de la investigación y el desarrollo de tecnología de ciberseguridad. En cuarto lugar, fomentar la participación de organizaciones e individuos en la gestión de riesgos y la coordinación con las autoridades competentes. En quinto lugar, priorizar el uso de los productos y servicios de la industria vietnamita de ciberseguridad. En sexto lugar, fortalecer la cooperación internacional para proteger la ciberseguridad.

Teniente coronel Nguyen Dinh Do Thi, subdirector del Departamento de Seguridad Cibernética, Departamento de Seguridad Cibernética y Prevención de Delitos de Alta Tecnología (Foto: NCA).

La urgencia de una legislación sobre seguridad de datos surge del hecho de que el riesgo de inseguridad es cada vez más grave.

El coronel Thi señaló que solo en 2024, Vietnam registró más de 600.000 ataques cibernéticos, de los cuales decenas de miles tuvieron como objetivo sistemas de agencias estatales.

Además, los ataques de ransomware han obligado a muchas empresas vietnamitas a pagar millones de dólares en rescates por datos, similares a casos en EE. UU. que alcanzaron los 40 millones de dólares. La compraventa de datos se lleva a cabo abiertamente, como es habitual en febrero, cuando se desmanteló un grupo que compraba y vendía ilegalmente hasta 6 millones de datos personales.

Compartiendo la misma opinión, el Sr. Vu Ngoc Son, Jefe del Departamento de Investigación, Consultoría, Desarrollo Tecnológico y Cooperación Internacional (Asociación Nacional de Seguridad Cibernética), evaluó que la adición del concepto de "seguridad de datos" es un gran éxito del proyecto de ley, colocando los datos en el centro del trabajo de seguridad.

Sr. Vu Ngoc Son, Jefe de Investigación, Consultoría, Desarrollo Tecnológico y Cooperación Internacional, Asociación Nacional de Seguridad Cibernética (Foto: NCA).

Según el Sr. Son, la nueva regulación creará un estricto proceso de selección, separando el mercado en dos grupos distintos: unidades "reales" y unidades "falsas".

Anteriormente, las entidades podían recopilar y almacenar datos libremente sin invertir en seguridad. Sin embargo, se espera que el proyecto de ley ponga fin a esta situación. Las entidades que no garanticen infraestructura y soluciones de ciberseguridad no podrán recopilar ni almacenar datos.

El Sr. Son comparó los datos con el dinero: las personas sólo depositan dinero en bancos que cumplen con los estándares de protección y, de igual manera, no proporcionarán datos a organizaciones que carezcan de la capacidad para garantizar la seguridad.

Este cambio impulsará el surgimiento de un nuevo sector económico: la industria de los datos, junto con la industria de la ciberseguridad. Las empresas que no estén cualificadas para proteger sus datos por sí mismas tendrán que recurrir a servicios de compra, conectarse a bases de datos nacionales o participar en intercambios de datos fiables en lugar de recopilarlos por sí mismas.

“Esto ayuda a optimizar los recursos sociales, reducir los costos de inversión descentralizada y limitar los riesgos de fuga”, añadió el Sr. Son.

La autenticación facial no es suficiente para combatir las deepfakes

El Sr. Tran Cong Quynh Lan, subdirector general del Banco Comercial de Industria y Comercio de Vietnam (Vietinbank), dijo que actualmente el 99% de las transacciones en este banco se realizan a través de canales digitales.

Para cumplir con los nuevos requisitos, VietinBank ha implementado un modelo de seguridad multicapa, aplicando la autenticación de 4 capas que se aplica actualmente:

Capa 1 y 2: Nombre de usuario/contraseña y código OTP.

Clase 3: Biometría (rostro).

Capa 4: Autenticación mediante Tarjeta de Identificación Ciudadana con chip mediante tecnología NFC (tecnología de comunicación inalámbrica de corto alcance).

El Sr. Lan destacó la función de la cuarta capa de protección en la lucha contra el fraude de identidad (Deepfake). Por ejemplo, con transferencias de dinero superiores a mil millones de VND, el sistema requiere que los usuarios escaneen sus tarjetas de identificación ciudadana con chip integrado para la verificación, en lugar de basarse únicamente en sus rostros.

El Sr. Tran Cong Quynh Lan, Director General Adjunto de VietinBank, participó en el debate (Foto: NCA).

En particular, cuando los clientes cambian sus dispositivos telefónicos (un comportamiento de alto riesgo), el banco también aplica la autenticación NFC para garantizar la autenticidad.

Además de la solución técnica, el Sr. Lan destacó los principales desafíos operativos que plantea el proyecto de ley:

Clasificación de datos: Los bancos deben clasificar y etiquetar millones de transacciones diarias. Los datos biométricos, financieros y de comportamiento deben contar con diferentes mecanismos de protección y autorizaciones de acceso.

Informe de incidentes las 24 horas: el requisito de informar incidentes de ciberseguridad dentro de las 24 horas con un plan de respuesta supone una enorme presión sobre el proceso de respuesta.

"No confiar en nadie" es la protección más segura

Respecto a la infraestructura de red, el Sr. Le Cong Trung, jefe de la unidad de negocio de seguridad de red (MobiFone), presentó la aplicación de la arquitectura Zero Trust (no confiar en nadie) para cumplir con los nuevos estándares de seguridad de red.

Este modelo se basa en cinco pilares: identidad, dispositivo, red, aplicación y datos. Cada acceso debe autenticarse continuamente.

Otro punto clave es el control de los riesgos de la cadena de suministro.

"MobiFone está impulsando su estrategia de autonomía tecnológica, fabricando dispositivos de seguridad de red como firewalls y soluciones de identificación "Hecho en Vietnam" para evitar la dependencia de terceros", afirmó el Sr. Trung.

El representante de MobiFone también valoró mucho el hecho de que el Proyecto de Ley de Seguridad Cibernética sigue de cerca los estándares TCVN 11423 sobre seguridad cibernética, ayudando a las empresas a tener medidas cuantitativas específicas (15 requisitos para sistemas de agencias estatales, 18 requisitos para sistemas nacionales importantes) para implementar soluciones técnicas.

Sr. Le Cong Trung, Jefe del Departamento de Seguridad Cibernética de MobiFone (Foto: NCA).

Un nuevo punto innovador en la Ley de Seguridad Cibernética de 2025 que el Sr. Vu Ngoc Son enfatizó especialmente es la exigencia de un líder.

A diferencia de la ley anterior, que solo estipulaba responsabilidades generales, el proyecto de ley exige que el director de la organización tenga conocimientos y certificación en gestión de ciberseguridad. El Sr. Son afirmó que este es un paso importante para cambiar la cultura organizacional, ya que si el líder no comprende, no podrá tomar decisiones de inversión eficaces.

Los usuarios de internet también deben cambiar su mentalidad, pasando del "disfrute" a la "responsabilidad". Compartir datos personales de forma descuidada y sin control es como dejar activos desprotegidos, lo que incentiva indirectamente las actividades delictivas, añadió el Sr. Son.

Al compartir su experiencia internacional, el Sr. Son citó el modelo de Corea del Sur, el país que en su momento fue el más atacado por ciberataques del mundo. Corea del Sur ha establecido un sistema universal de certificación en ciberseguridad desde la educación primaria hasta el posgrado.

“Gracias a este exhaustivo entrenamiento, el pueblo y el personal coreanos poseen excelentes habilidades de defensa, creando un sólido escudo para el país cuando todas las partes tienen conocimiento e inversión en ciberseguridad”, señaló el Sr. Son.

Fuente: https://dantri.com.vn/cong-nghe/du-thao-luat-an-ninh-mang-cham-dut-tinh-trang-thu-thap-du-lieu-de-dai-20251124225636608.htm