El ayuntamiento que guarda tu acta de nacimiento no tiene antivirus
Por Osvaldo Hernández Olivera
Abogado en Derecho Informático | Opinión Legal sobre Tecnología y Futuro.
Los municipios mexicanos administran los registros más sensibles de la vida civil: nacimientos, matrimonios, defunciones, catastro, agua. Y no existe ninguna ley que les obligue a protegerlos con estándares mínimos de ciberseguridad.
Hay algo que quizás no ha pensado nunca: el documento más importante de su vida jurídica —su acta de nacimiento, la que necesita para todo, desde una beca hasta un pasaporte— existe, en su versión original o en su respaldo digital, en un servidor municipal que muy probablemente nunca ha sido auditado, que puede estar corriendo software sin actualizar desde hace años, y cuyo responsable técnico, si es que existe, atiende también el sistema de pagos de agua y el correo del presidente municipal. Eso no es una caricatura. Es la realidad de la mayoría de los dos mil 469 municipios de México.
El eslabón que nadie refuerza porque nadie lo vigila.
Cuando se habla de ciberseguridad en México, la conversación gira casi siempre hacia las grandes instituciones federales: el IMSS, la Secretaría de Defensa, Pemex, la CNH. Son los casos que generan titulares, los que tienen consecuencias políticas visibles, los que obligan a conferencias de prensa; los municipios no generan titulares. Sus hackeos, cuando ocurren, se resuelven con silencio administrativo y en el mejor de los casos, con una llamada al sobrino que sabe de computadoras.
Y sin embargo, los municipios son el nivel de gobierno que más datos civiles concentra de manera directa. El Registro Civil municipal es la fuente primaria del acta de nacimiento de cada ciudadano mexicano; el catastro guarda la escritura de cada propiedad; los sistemas de cobro de agua registran domicilios, patrones de pago y datos económicos de los hogares. Todo eso, en la mayoría de los municipios, corre sobre infraestructura tecnológica que nadie audita, con personal que nadie capacita y sin que ninguna ley obligue a nada de lo anterior.
El vacío legal que convierte la negligencia en regla.
La Ley General del Sistema Nacional de Seguridad Pública contempla la coordinación en materia de seguridad informática, pero sus disposiciones están orientadas al combate al delito, no a la protección de infraestructura civil. La Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados —que aplica a los entes públicos, incluidos los municipios— exige medidas de seguridad razonables para los datos que tratan. Pero «razonables» es un estándar que cada municipio interpreta como puede o como quiere, sin supervisión efectiva de la Secretaria de Anticorrupción y Buen Gobierno o de sus equivalentes estatales.
No existe en México ninguna norma que establezca qué software mínimo debe correr un servidor municipal, con qué frecuencia debe actualizarse, cómo deben respaldarse los registros civiles, o qué protocolo debe activarse cuando el sistema es comprometido. En materia de ciberseguridad municipal, el silencio normativo es total, y el silencio normativo en este contexto no es neutralidad: es permiso implícito para la negligencia.
Lo que se rompería si un ransomware alcanza el registro civil.
Imagine un ataque de ransomware exitoso contra el sistema de Registro Civil de un municipio mediano de Puebla: los archivos digitales, cifrados, los respaldos inexistentes o igualmente comprometidos, los expedientes en papel dispersos en bodegas sin índice. El resultado no es solo un inconveniente administrativo: es la interrupción de la emisión de actas para trámites de salud, herencias, inscripción escolar, pensiones. Es la imposibilidad temporal de probar, ante cualquier institución, que usted nació donde nació, que su hijo es su hijo, que su padre murió cuando murió. La identidad civil de miles de personas, suspendida por un ataque que un parche de software podría haber evitado.
La solución no requiere que cada municipio construya un centro de operaciones de seguridad propio: requiere que el Estado mexicano —a través de la Secretaría de Gobernación, de Anticorrupción y Buen Gobierno o del mecanismo que se diseñe— establezca estándares mínimos obligatorios, financie la capacitación del personal municipal en materia digital y cree un esquema de auditoría periódica con consecuencias reales para quien no cumpla, cosas que existen en decenas de países y que en México todavía son solo una buena intención sin reglamento.
El municipio que guarda su acta de nacimiento no tiene la obligación legal de tener antivirus actualizado; cuando ese servidor caiga —y algunos ya cayeron— descubrirá que su identidad civil dependía de la misma infraestructura tecnológica que el sistema de facturación del mercado municipal.
