Los casinos de juego en su actividad comercial se encuentran sujetos a riesgos de ciberseguridad, tales como ocurrencias de incidentes asociados a contenido abusivo, interrupción de la red local o global (disponibilidad), código malicioso, recopilación de información, intentos de intrusión, intrusión, disponibilidad, información de seguridad de contenidos, fraude, vulnerabilidades del día cero, captura no autorizada de tráfico de datos en la infraestructura de red (confidencialidad) y medios de pago electrónicos; modificación o redireccionamiento del tráfico de datos en la infraestructura de red (integridad y/o confidencialidad); destrucción o alteración de otras infraestructuras o información digital, a través de las redes (integridad y/o disponibilidad), interceptación de cualquier forma de comunicación; iteración o interceptación no autorizada de dispositivos o máquinas de azar contempladas en la ley 19.995, entre otros.
Por este motivo es que la Superintendencia de Casino ha puesto en consulta una norma técnica que imparte instrucciones sobre ciberseguridad y que pone en consulta pública hasta el 5 de febrero del 2021.
Algunos de los puntos que aborda la normativa en materia de ciberseguridad son:
Gestión del riesgo: Analizar el impacto operacional de los riesgos, establecer controles para la mitigación de los mismos y definir el ciclo de vida de un incidente. Por lo tanto, considera la prevención, detección, análisis, notificación, contención, radicación, recuperación, documentación del incidente y su escalamiento a las instancias respectivas.
Prevención y gestión de la ciberseguridad: Se proponen definiciones comunes, ya que el ecosistema digital es uno solo, y el objetivo es que todas las instituciones adquieran el mismo lenguaje respecto, por ejemplo, a los incidentes.
Criterios para notificar: Establece estándares comunes para determinar el tipo y nivel peligrosidad e impacto de los incidentes. Se deberá notificar si los incidentes son de riesgo grave, muy alto y alto.
Canales o vía de notificación: Se fija la manera en que se comunicarán los incidentes. Además, se deberá nombrar a una contraparte, un encargado suplente y un equipo de respuesta.
