La ministra del Interior, Karen Andrews. Imagen: Tracey Nearmy/Getty Images
La ministra de Asuntos Internos, Karen Andrews, presentó tres nuevos proyectos de ley al Parlamento el jueves, que cubren el plan de acción contra el ransomware del gobierno federal, la ciberseguridad crítica de la aviación y la marina, y el acceso a teléfonos móviles en las cárceles.
El primero de los tres proyectos de ley contiene reformas del derecho penal anunciadas en octubre del año pasado como parte del plan de acción contra el ransomware de Asuntos Internos para crear penas más duras para los ciberdelincuentes. La principal de estas sanciones es una pena máxima aumentada de 10 años de prisión para los ciberdelincuentes que usan ransomware y una nueva pena máxima de 25 años de prisión para los delincuentes que atacan la infraestructura crítica de Australia.
Etiquetado por el secretario del Interior, Mike Pezzullo, a principios de esta semana como el «delito» del gobierno contra las amenazas cibernéticas, el proyecto de ley también busca criminalizar a las personas que compran y venden malware con el propósito de cometer un delito informático y manejar datos robados.
El proyecto de ley, si se aprueba, también ampliaría la capacidad de las fuerzas del orden para monitorear, congelar e incautar las ganancias obtenidas ilícitamente de los delincuentes para cubrir también los activos digitales, incluidos los que están en poder de los intercambios de moneda digital.
Según Andrews, las reformas son una respuesta a la creciente amenaza de ciberataques maliciosos.
«Este proyecto de ley brinda a las agencias de aplicación de la ley australianas las herramientas y capacidades legales que necesitan para perseguir y enjuiciar a las pandillas de ransomware y la amenaza generalizada de los ataques de ransomware en Australia y los australianos», dijo Andrews.
«El gobierno de Morrison no tolerará los ataques a la infraestructura crítica de Australia, a las pequeñas empresas ni a los miembros más vulnerables de nuestra comunidad. Los ciberdelincuentes usan ransomware para causar daños reales y duraderos a los australianos».
Cuando se anunció por primera vez el plan de acción de ransomware, Andrews dijo que la legislación se ubicaría junto con un régimen obligatorio de informes de incidentes de ransomware, que requeriría que las organizaciones con una facturación de más de AU $ 10 millones por año notifiquen formalmente al gobierno si experimentan un ataque cibernético. Sin embargo, los detalles concretos del régimen de informes de ransomware aún no han salido a la luz.
El segundo proyecto de ley que Andrews presentó al Parlamento el jueves fue el Proyecto de Ley de Enmienda de Seguridad del Transporte (Infraestructura Crítica) 2022 (TSACI Bill), que según Andrews tiene como objetivo reforzar la defensa cibernética de los aeropuertos y puertos marítimos de Australia.
«Los sectores de la aviación y el transporte marítimo que respaldan nuestra economía y estilo de vida son objetivos de delincuentes, terroristas y actores extranjeros maliciosos. Es por eso que en tiempos de emergencia debemos estar preparados para proteger nuestros sectores críticos de la aviación y el transporte marítimo», dijo Andrews. .
A diferencia del par de proyectos de ley de infraestructura crítica que ya ingresaron al parlamento, el primero de ellos se convirtió en ley el año pasado, el proyecto de ley TSACI se enfoca en crear requisitos de informes adicionales para las entidades marítimas y de aviación, mientras que los otros dos proyectos de ley se redactaron para cubrir en general entidades en todo Australia. 11 sectores de infraestructura crítica designados.
El gobierno federal dijo que la aviación y el transporte marítimo críticos necesitaban requisitos de informes adicionales contra las amenazas cibernéticas debido al impacto de la pandemia de COVID-19, así como en tiempos de emergencia. Esto incluye un nuevo requisito para que las entidades marítimas y de aviación críticas informen los incidentes de ciberseguridad tanto al Ministerio del Interior como a la Dirección de Señales de Australia (ASD).
Ejemplos de incidentes de ciberseguridad son malware, phishing, denegación de servicio y secuencias de comandos entre sitios, detalla el memorando explicativo del proyecto de ley.
El nuevo proyecto de ley también clasifica como interferencia ilícita los incidentes de ciberseguridad que tienen un impacto relevante en un activo crítico de aviación o marítimo. Si la persona que creó el incidente de seguridad cibernética que tuvo un impacto relevante es condenada, podría enfrentar sanciones más severas propuestas en la legislación del plan de acción de ransomware antes mencionada. Se considerará que un incidente de ciberseguridad ha generado un impacto relevante si ha afectado a la disponibilidad, integridad, fiabilidad o confidencialidad de la información sobre el activo.
El proyecto de ley también busca crear un marco de informes de «todos los peligros» que requerirá que las entidades marítimas y de aviación críticas consideren y sean resistentes a cualquier desastre natural, vulnerabilidad cibernética e interrupciones en la cadena de suministro que puedan afectar su capacidad para proporcionar servicios.
De acuerdo con el memorando explicativo del proyecto de ley TSACI, los nuevos requisitos de informes se alinean con los requisitos de informes contenidos en el primer proyecto de ley de infraestructura crítica y funcionan junto con los requisitos de informes existentes para otros tipos de incidentes de seguridad marítima y aérea.
El último de los tres proyectos de ley es una legislación para ayudar a las autoridades de los servicios penitenciarios estatales y territoriales a identificar, investigar y prevenir la actividad delictiva ilegal de teléfonos móviles en las prisiones de Australia.
Si se aprueba, el proyecto de ley modificaría la Ley de telecomunicaciones (interceptación y acceso) de 1979 (Ley TIA) para proporcionar a las autoridades penitenciarias la capacidad de acceder a datos de telecomunicaciones para rastrear actividades ilegales de uso de teléfonos móviles en las prisiones.
«Es vital que las autoridades penitenciarias tengan los poderes que necesitan para descubrir teléfonos móviles ilícitos y acceder a sus datos de telecomunicaciones para prevenir y enjuiciar delitos penales y de seguridad nacional dentro de las prisiones de Australia», dijo Andrews.
«Los australianos esperan que nuestras autoridades penitenciarias tengan los poderes legales que necesitan para identificar y enjuiciar a un recluso o reclusos que se encuentren vinculados a teléfonos móviles ilegales, detener la actividad delictiva y evitar que los reclusos establezcan redes criminales dentro de nuestro sistema penitenciario.
Antes de que la legislación de telefonía móvil de la prisión se presentara ante el Parlamento, Andrews ya proporcionó acceso inmediato a estos poderes a Corrective Services NSW, utilizando sus poderes de declaración temporal en virtud de la Ley TIA.
