Informe de seguimiento de las recomendaciones realizadas en el informe de auditoría de los controles básicos de ciberseguridad del Ayuntamiento de Orihuela del año 2019 

València, 12 de enero de 2023.- La transformación digital que están experimentando todas las Administraciones públicas y su interconexión a través de complejas redes informáticas las expone de forma cada vez más intensa a amenazas provenientes del ciberespacio. Esto origina un incremento de los riesgos asociados a los sistemas de información que sustentan los servicios públicos y, por tanto, a la información que manejan. De hecho, las entidades locales han sido uno de los objetivos más afectados por las recientes oleadas de ciberataques.

Atendiendo a esta realidad, y en sintonía con su actual plan estratégico, la Sindicatura de Comptes ha realizado un trabajo de seguimiento de los controles básicos de ciberseguridad (CBCS) del Ayuntamiento de Orihuela respecto a la situación mostrada en la auditoría del año 2019.

Conclusiones

Aunque se han realizado cambios importantes en los sistemas de información, determinadas circunstancias han dificultado mejorar los aspectos relacionados con la ciberseguridad.

El índice de madurez general de los controles básicos de ciberseguridad es muy bajo y refleja un nivel de riesgo inaceptable. El objetivo es alcanzar un 80%, pero muestra un valor del 42,0% (36,5% en 2019), es decir, el nivel de efectividad en los controles analizados sigue siendo muy deficiente.

El Ayuntamiento debe adoptar las medidas necesarias para alcanzar los niveles exigidos por el Esquema Nacional de Seguridad para la protección de los sistemas de información, especialmente en aquellos controles que presentan deficiencias significativas.

El Ayuntamiento de Orihuela no tiene establecida una adecuada gobernanza de la ciberseguridad, situación que debe ser subsanada. Los órganos de gobierno deben aprobar normas y procedimientos en relación con la seguridad de la información aplicables a toda la organización y reforzar el apoyo en forma de recursos humanos y presupuestarios dedicados a la seguridad de la información.

Es preciso que el comité de seguridad de la información, órgano imprescindible para coordinar la seguridad de la información en la entidad, se reúna regularmente con objeto de conocer el estado de la seguridad de la información del Ayuntamiento y tomar las decisiones pertinentes de forma oportuna. Los roles establecidos en la política de seguridad del Ayuntamiento deben definirse correctamente y ejercer sus funciones de manera efectiva.

Es necesaria la implantación de una cultura en materia de ciberseguridad que afecte a todos los niveles de la organización. Dicha cultura de ciberseguridad debe ser impulsada por la dirección en forma de planes estratégicos que definan objetivos y medidas concretas, además de incluir planes periódicos de formación y concienciación de los trabajadores.

Asimismo, nuestra revisión también ha puesto de manifiesto un grado insuficiente de cumplimiento en cuanto a la adecuación a las normas legales relacionadas con la seguridad de la información. El informe señala diversos aspectos sobre los que se debe actuar para su pronta subsanación.

Recomendaciones

También hemos realizado una serie de recomendaciones con el propósito de contribuir a subsanar las deficiencias observadas y mejorar los procedimientos de gestión de la ciberseguridad del Ayuntamiento. Entre ellas, además de aprobar formalmente procedimientos que describan las acciones y controles implantados, recomendamos la implantación de soluciones para restringir el acceso de dispositivos físicos no autorizados a la red corporativa, actualizar los sistemas obsoletos, el uso de una herramienta de gestión de vulnerabilidades, parches y actualizaciones y la aplicación de seguridad por defecto a todos los sistemas y aplicaciones críticas de la entidad.

Para ver el informe completo, haga clic aquí: Informe de seguimiento de las recomendaciones realizadas en el informe de auditoría de los controles básicos de ciberseguridad del Ayuntamiento de Orihuela del año 2019

NOTA

Este resumen pretende ayudar a la comprensión de los resultados de nuestro informe y facilitar la labor a los lectores y a los medios de comunicación. Recomendamos leer el informe completo para conocer el verdadero alcance del trabajo realizado.