Informe de seguiment de les recomanacions realitzades en l’informe d’auditoria dels controls bàsics de ciberseguretat de l’Ajuntament d’Oriola de l’any 2019

València, 12 de gener de 2023.- La transformació digital que estan experimentant totes les administracions públiques i la seua interconnexió a través de complexes xarxes informàtiques les exposa de forma cada vegada més intensa a amenaces provinents del ciberespai. Això origina un increment dels riscos associats als sistemes d’informació que sustenten els serveis públics i, per tant, a la informació que manegen. De fet, les entitats locals han sigut un dels objectius més afectats per les onades recents de ciberatacs.

Atesa aquesta realitat, i en sintonia amb el seu actual pla estratègic, la Sindicatura de Comptes ha fet un treball de seguiment dels controls bàsics de ciberseguretat (CBCS) de l’Ajuntament d’Oriola respecte a la situació mostrada en l’auditoria de l’any 2019.

Conclusions

Encara que s’han fet canvis importants en els sistemes d’informació, determinades circumstàncies han dificultat millorar els aspectes relacionats amb la ciberseguretat.

L’índex de maduresa general dels controls bàsics de ciberseguretat és molt baix i reflecteix un nivell de risc inacceptable. L’objectiu és aconseguir un 80%, però mostra un valor del 42,0% (36,5% en 2019), és a dir, el nivell d’efectivitat en els controls analitzats continua sent molt deficient.

L’Ajuntament ha d’adoptar les mesures necessàries per a aconseguir els nivells exigits per l’Esquema Nacional de Seguretat per a la protecció dels sistemes d’informació, especialment en aquells controls que presenten deficiències significatives.

L’Ajuntament d’Oriola no té establida una adequada governança de la ciberseguretat, situació que ha de ser esmenada. Els òrgans de govern han d’aprovar normes i procediments en relació amb la seguretat de la informació aplicables a tota l’organització i reforçar el suport en forma de recursos humans i pressupostaris dedicats a la seguretat de la informació.

Cal que el comité de seguretat de la informació, òrgan imprescindible per a coordinar la seguretat de la informació en l’entitat, es reunisca regularment a fi de conéixer l’estat de la seguretat de la informació de l’Ajuntament i prendre les decisions pertinents de manera oportuna. Els rols establits en la política de seguretat de l’Ajuntament han de definir-se correctament i exercir les seues funcions de manera efectiva.

És necessària la implantació d’una cultura en matèria de ciberseguretat que afecte tots els nivells de l’organització. Aquesta cultura de ciberseguretat ha de ser impulsada per la direcció en forma de plans estratègics que definisquen objectius i mesures concrets, a més d’incloure plans periòdics de formació i conscienciació dels treballadors.

Així mateix, la nostra revisió també ha posat de manifest un grau insuficient de compliment quant a l’adequació a les normes legals relacionades amb la seguretat de la informació. L’informe assenyala diversos aspectes sobre els quals s’ha d’actuar per a esmenar-los ràpidament.

Recomanacions

També hem realitzat una sèrie de recomanacions amb el propòsit de contribuir a esmenar les deficiències observades i millorar els procediments de gestió de la ciberseguretat de l’Ajuntament, entre les quals, a més d’aprovar formalment procediments que descriguen les accions i controls implantats, recomanem la implantació de solucions per a restringir l’accés de dispositius físics no autoritzats a la xarxa corporativa, actualitzar els sistemes obsolets, l’ús d’una eina de gestió de vulnerabilitats, pedaços i actualitzacions i l’aplicació de seguretat per defecte a tots els sistemes i aplicacions crítiques de l’entitat.

Per a vore l'informe complet, feu clic ací: Informe de seguiment de les recomanacions realitzades en l’informe d’auditoria dels controls bàsics de ciberseguretat de l’Ajuntament d’Oriola de l’any 2019

NOTA

Aquest resum pretén ajudar a comprendre els resultats del nostre informe i facilitar la tasca als lectors i als mitjans de comunicació. Recomanem llegir l’informe complet per a conéixer el veritable abast del treball realitzat.