- 智利在网络安全领域推行了开创性的法律框架，包括第 21.663 号法律、第 21.459 号法律和国家网络安全政策。
- 该地区的网络攻击数量较少，但更具针对性和复杂性，其中勒索软件和网络钓鱼发挥了尤为突出的作用。
- 国家网络安全局和计算机安全事件响应小组 (CSIRT) 正在构建一种基于风险且符合国际标准的新型机构模式。
- 企业、政府和公民共同有责任通过技术、流程和持续培训来加强数字安全文化。
La 智利网络安全 这个问题迅速从几乎完全是技术人员和IT专业人员的问题，发展成为企业、公共管理部门和公民每天都要关注的问题。该国已经遭受了损失。 高影响事件 与此同时，它还在该地区推动了一个开创性的法律框架，彻底改变了我们对数字环境保护的理解。
近年来，令人眼花缭乱的过程 数字化转型云服务的普及和远程办公的兴起扩大了网络犯罪分子可利用的攻击面。尽管拉丁美洲的整体入侵尝试似乎有所减少，但如今的攻击更具针对性，对攻击者而言利润更高，而且如果防御措施不足，甚至可能导致关键服务瘫痪。
智利和拉丁美洲网络安全概况
在整个地区， 数字生态系统呈指数级增长新的在线服务、传统产品的数字化、联网设备的广泛部署以及创新技术的加速应用，使得拉丁美洲的数字环境成为网络犯罪特别有吸引力的滋生地。
根据 Fortinet 的数据， 2022年，记录在案的网络攻击尝试超过360亿次。 2023 年，拉丁美洲和加勒比地区的网络攻击数量下降到约 200 亿次。尽管数量有所下降，但网络活动最频繁的国家仍然位居榜首：墨西哥、巴西和哥伦比亚占已发现事件的很大比例。
这种表面上的改善其实存在问题：有报告指出， 尝试次数减少，但准确率提高。攻击者不再对所有移动的东西进行攻击，而是将资源集中在特定目标上，开展更复杂、准备更充分的攻击活动，力求最大限度地提高每次入侵的收益。
勒索软件持续占据主导地位 在威胁形势中占据领先地位这些数据劫持活动远非过去的事情，而是得到了改进，并将经典技术与社会工程、悄无声息的横向移动以及事先泄露具有经济或战略价值的信息结合起来。
所有这些背景信息的直接结果是： 防御措施分散、人工操作或过时的组织 它们尤其脆弱。如果没有集成化、自动化且最新的网络安全解决方案，遭受严重安全事件的可能性将显著增加，尤其是在提供关键服务或重要基础设施的行业。
智利企业在网络攻击面前的处境
以智利为例，多项研究表明，相当大比例的生产设施已经遭受了事故。 十家公司中有四家 近年来，他们很可能遭受过某种袭击，大约在…… 在90%的案例中，主要传播途径是网络钓鱼。.
就以下方面而言，该国在拉丁美洲属于最脆弱的国家之列： 电子邮件和短信诈骗2022 年，此类攻击每月达到约 4000 起。这远非一个孤立的问题，而是反映了高度数字化与部分民众和商业部门安全意识不足之间危险的结合。
所经历的事件 智利公共机构 他们凸显了某些系统的脆弱性。诸如美国参谋长联席会议遭黑客攻击（导致涉及国家安全的敏感信息泄露）以及西班牙国家安全局（SERNAC）系统遭攻击（导致其系统瘫痪近两周）等备受瞩目的案例表明，无论是公共部门还是私营部门都无法保证安全。
也是 司法 它曾遭遇影响运营的安全事件，这凸显出网络安全不仅仅关乎服务器或网络，更关乎机构的持续运营和公众信任。此类事件会影响公众对国家抵御数字威胁能力的看法。
其中一个主要的潜在问题是： 人们普遍缺乏数据保护和良好数字实践方面的意识。许多个人和小企业仍然将网络安全视为遥远的、近乎理论的东西，而不是日常运营的基本组成部分。这导致他们迟迟未能采取预防措施，并使他们容易受到相对简单的攻击。
与此同时，包括IBM在内的多家全球报告估计： 数据泄露的平均成本超过4万美元。 2022年，网络攻击达到历史最高水平。这种经济影响——包括服务中断、声誉损害、罚款和损失恢复——表明攻击者的业务有利可图，而且所有组织都无一例外地成为攻击目标。
影响智利及该地区的主要网络攻击类型
拉丁美洲在全球安全事件指标排名中不断攀升，如今已跻身全球遭受攻击最严重的地区之列。根据诸如 X-Force 威胁情报指数等威胁情报报告， 勒索软件攻击约占所有安全事件的三分之一。但它与许多其他在智利造成严重破坏的病原体并存。
El 勒索 这种攻击方式包括感染系统以加密数据、禁用设备或阻塞关键进程。犯罪分子会以所谓的恢复为交换条件，索要赎金（通常以加密货币支付），并经常威胁公布被盗信息。WannaCry 等全球性案例表明，此类攻击能在短短几小时内瘫痪私营企业和公共机构。
El 网络钓鱼和其他社会工程技术 它们已成为许多攻击者的首选入口点。冒充银行、快递公司、公共机构甚至直接主管的电子邮件、短信或社交媒体帖子诱骗用户提供凭证、信用卡信息或下载恶意文件，使用户误以为自己收到了合法的通信。
伞下 恶意软件 病毒、木马、间谍软件、广告软件、僵尸网络以及其他旨在入侵设备和网络的恶意代码被归为一类。它们通常伪装成合法程序、附件或看似无害的更新。一旦安装，它们就能远程控制计算机、窃取数据，或在网络中添加僵尸设备。
MGI 分布式拒绝服务 (DDoS) 攻击 他们的目标是通过攻击超出目标机构的响应能力，使其网站、电商平台或在线服务瘫痪。对企业的影响可能包括销售额下降，甚至严重损害其公众形象，尤其是在影响到公民或客户服务时。
最安静的级别是 高级持续性威胁 (APT)复杂的攻击是指一个或多个入侵者渗透到网络中，并尽可能长时间地保持隐蔽。在此期间，他们会进行观察、窃取战略信息并准备后续行动，同时尽可能减少任何可能触发防御系统的信号。
另一个相关的攻击途径是…… 人在这方面的中间人这类攻击是指攻击者将自己置于通信的两端之间——例如，用户和网站之间——拦截并操纵通信流量。利用这种技术，他们可以窃取敏感数据或冒充通信双方。
最后，角色 内部威胁心怀不满的员工、拥有过多权限的承包商、处理纸质信息时的人为错误或未受保护的设备……所有这些都可能引发与外部事件一样严重的事故，而且往往更难及时发现。
智利网络安全监管和制度框架
尽管欧盟多年来一直在构建健全的数字安全法律框架，但在 在拉丁美洲，监管发展较为不平衡。该地区的一些法案因可能影响基本权利、在网络安全的幌子下建立过度控制的结构而受到批评。
然而，智利决定采取更为平衡的策略，并通过颁布《联合国宪章》将自身置于区域前沿。 关于网络安全和关键信息基础设施的第21.663号法律该法规于 2024 年 3 月 26 日颁布，并于 4 月 8 日在官方公报上公布，被认为是该地区第一个专门针对网络攻击升级而制定的全面框架。
法律附带 2023-2028年国家网络安全政策该政策制定了国家在该领域的行动指南。这两项工具相辅相成：法律规定了义务、权力和制裁措施，而政策则阐明了战略目标、机构间合作以及中长期行动。
值得注意的是，智利已经拥有了 关于计算机犯罪的第21.459号法律该法律于2022年通过，更新了刑法，使其符合《布达佩斯公约》的标准。该法律引入了新的犯罪类型，例如未经授权访问系统或干扰数据，并加强了对网络犯罪分子的制裁范围。
与此同时，一场讨论正在进行中。 新个人数据保护法草案这项举措旨在对现有框架进行现代化改造，使其与《欧洲通用数据保护条例》（GDPR）等标准保持一致。它将要求各组织实施更严格的技术和组织措施，以保障其处理信息的隐私和安全。
除了具体的法律和政策外，智利还有 国家网络安全政策 这凸显了公私合作、人才培养和关键基础设施强化的必要性。目标是制定国家层面的应对策略，使网络安全不再是一个被忽视的问题，而成为一项共同目标。
智利第21.663号法律：内容、原则和新的制度模式
随着第21.663号法律的实施，智利将自身定位为 该地区率先拥有全面网络安全框架的国家这不仅仅是定义犯罪或列出制裁措施的问题，而是要建立一个能够有效预防、协调和应对影响基本服务的事件的制度架构。
该标准的核心要素之一是创建 国家网络安全局（ANCI）将设立一个职能明确的专门机构，负责监管、监督和执法。该机构将负责确保公共部门和提供关键服务的私营实体遵守网络安全要求。
与美国国家癌症研究所（ANCI）一起，该法律加强了……的作用 计算机安全事件响应小组（CSIRT）这些团队将作为事件管理的中央枢纽，负责传递强制性网络攻击通知，并协调必要的技术响应，以在国家和国防层面遏制、根除和恢复受影响的系统。
ANCI 和 CSIRT 的管理将由……负责。 通过高级公共管理体系任命的文职官员这确保了网络安全的专业性，并防止其局限于军事或警察部门。然而，对于需要密切合作的任务，我们计划与执法机构开展合作。
一个关键的方面是 所有提供基本服务的实体 无论公私部门，都必须采取强有力的预防、检测和应对措施。他们的义务包括及时向国家计算机安全事件响应小组（CSIRT）报告任何相关事件，这对于启动早期响应和最大限度减少损失至关重要。
在议会审议过程中，该法案因……而得到丰富。 来自工业界、学术界和专业组织的贡献这种参与式方法可以完善文本，融入国际经验，并强化整体视野，这对于网络安全这样跨领域的领域至关重要。
指导原则及与国际标准的接轨
智利法规建立在一系列……之上 指导原则 他们力求在有效保护、尊重权利和私营部门的运营可行性之间取得平衡。其目的并非制造官僚障碍，而是为所有利益相关者制定清晰的规则。
首先，该法律采纳了 基于风险的方法参考国际电信联盟 (ITU) 和美国国家标准与技术研究院 (NIST) 等组织的建议，这意味着根据每个实体的关键性和风险程度，逐步增加义务，避免给公司施加与其规模或活动不成比例的要求。
的定义 网络安全以信息安全为基础。 符合国际标准化组织（ISO）的标准。保密性、完整性和可用性仍然是技术和组织要求的三大支柱。
ANCI本身必须按照以下规定行事： 理性原则该机构采取的措施必须必要且与风险等级及潜在的社会经济影响相称。除监测和实施制裁外，该机构还有权开展公众宣传活动，加强教育宣传。
另一个关键原则是： 默认设置和设计保障安全和隐私计算机系统、应用程序和技术解决方案必须从一开始就设计成内置安全措施，使个人数据保护不是事后考虑，而是结构性要求。
该法律还规定， 违规行为将按照行业法律程序予以处罚。 相应地，ANCI需与各领域（电信、金融等）主管部门协调行动。这可以避免监管方面的重复和重叠，尤其是在信息通信技术（ICT）领域，该领域已有大量专门的法规。
最后，方案得以阐明。 合作解决事件这就要求各实体与相关部门合作，并实施遏制和损害控制措施。其理念是，当发生危及基本服务提供的攻击时，任何人都不能视而不见。
国家、私营部门和公民在网络安全中的作用
提升网络安全不能完全委托给某个部委或专门机构。 它应该成为各国政府战略议程的一部分。这与经济稳定或人身安全处于同一水平，因为如今数字维度已经渗透到生活的几乎所有领域。
各国被要求…… 制定符合国际最佳实践的国家战略培养高素质专业人才并为专门机构提供稳定的资源至关重要。此外，加强各国间合作打击跨国犯罪、共享新出现的威胁信息也至关重要。
然而，即使是高度发达的国家也无法独自保证完全的安全。 网络空间中的所有参与者都负有责任。大型企业、中小企业、服务提供商、教育机构以及每一位互联网用户都可能受到影响。供应链中的一个薄弱环节就可能造成可被利用的漏洞，从而危及更为关键的系统。
在商业领域，网络安全不再是被动的支出，而已成为一项重要的成本。 一项战略投资保护客户、员工和合作伙伴的信息，防止服务中断，以及确保符合监管规定，这些因素直接影响竞争力和市场信心。
公私合作被认为是其中之一 巨大的改进机会分享参与指标、最佳实践、工具和经验教训，可以提高平均防护水平，并更快地应对影响关键基础设施的大规模活动或事件。
智利企业的战略和最佳实践
除了遵守法律之外，智利组织还需要 将网络安全融入您的日常运营仅仅安装杀毒软件然后置之不理是不够的：我们需要一个结合技术、流程和人员的策略。
首要步骤是执行 定期风险评估了解哪些资产最关键、哪些系统最容易受到攻击以及攻击者的潜在入口点，有助于确定投资的优先顺序，并将精力集中在真正可能扰乱运营的事情上。
在技术方面，部署至关重要。 先进的防护解决方案下一代防火墙、入侵检测和防御系统、持续监控、反恶意软件解决方案以及漏洞管理工具。每个组织都需要根据自身规模和行业定制这套解决方案，但共同的目标是实现可视性和快速响应能力。
员工培训至关重要。员工是…… 第一道防线，同时也是主要入口。 如果他们没有接受过适当的培训。关于识别欺诈性电子邮件、安全密码管理、移动设备保护或处理敏感信息的培训项目可以起到至关重要的作用。
拥有一个 事件响应计划 清晰且行之有效。了解谁负责什么、谁会收到通知、哪些系统被隔离以及如何与客户、供应商和有关部门沟通，可以减少攻击发生时的混乱，并帮助组织尽快恢复正常运营。
网络安全瞬息万变： 威胁不断演变因此，政策、流程和技术的审查与更新应该是一个持续的过程，而不是每隔几年才进行一次的任务。内部审计、合规性审查和模拟攻击有助于保持系统的良好运行状态。
简单的措施，例如 保持软件最新避免使用不受支持的系统、定期更改密码、保护公司移动设备以及频繁备份仍然至关重要。虽然这些措施看似基本，但许多严重的安全漏洞恰恰源于未能满足这些最低要求。
另一个不容忽视的方面是使用 安全的Wi-Fi网络通过公开连接处理敏感信息会增加数据被拦截的风险。因此，建议尽可能使用专用网络或企业VPN等解决方案来加密通信。
最后，持续的团队培训是完成整个计划的关键。定期提醒、网络钓鱼模拟、复习课程以及开放的事件或问题报告渠道，都有助于构建一个…… 共享安全文化其中每个人都明白自己在保护组织中的作用。
智利的网络安全正处于关键时刻：一方面，该国在构建区域领先的监管和制度框架方面取得了进展；另一方面，企业和公民持续面临日益复杂的威胁环境。将数字安全融入管理，促进跨部门合作，并加强各级培训，正成为在日益互联的世界中保护权利、基本服务和经济稳定的最有效途径。
