La Sindicatura de Comptes alerta a Paterna de deficiencias en sus controles de ciberseguridad

La Sindicatura de Comptes ha instado al Ayuntamiento de Paterna a extremar, todavía más, los controles de ciberseguridad municipales. El órgano ha emitido estas conclusiones en el informe de seguimiento de las recomendaciones que se hicieron en una auditoria en el año 2019 en el que, si bien reconocen que "se han realizado determinadas acciones" se han hecho "parcialmente".

"El nivel de efectividad en los controles analizados continúa siendo insuficiente"

Según se desprende del documento de la sindicatura, "el índice de madurez general de los controles básicos de ciberseguridad, cuyo objetivo sería llegar al 80 %, muestra un valor de 50,2 %, que supone una escasa mejora respecto del 47,5 % recogido en nuestra auditoría de 2019, por lo que el nivel de efectividad en los controles analizados continúa siendo insuficiente".

"La gobernanza en ciberseguridad no es efectiva"

Según opina el órgano, el ayuntamiento "tiene que adoptar las medidas necesarias para conseguir los niveles exigidos por el Esquema Nacional de Seguridad para la protección de los sistemas de información".

Así, aunque reconocen que "hay cierto nivel de compromiso y concienciación con la seguridad por parte de los miembros del departamento TIC y de los órganos superiores; varias circunstancias indican que la gobernanza de la ciberseguridad no puede considerarse efectiva, una situación que se tiene que enmendar".

Piden reuniones del comité de la materia y definir mejor los roles

Por eso, creen que hace falta que el comité de seguridad de la información se reúna regularmente para conocer el estado de esta cuestión en el ayuntamiento y tomar las decisiones pertinentes. Además, insta a que "se definan correctamente los roles establecidos en la política de seguridad del consistorio para que ejerzan sus funciones de manera correcta".

Planes estratégicos y formación en la plantilla

Además, si algo resalta la Sindicatura de Comptes es que en Paterna hace falta implantar "una cultura en materia de ciberseguridad que afecte a todos los niveles de organización y que se impulse por la dirección". ¿Cómo se aterrizaría eso? A través de planes estratégicos con "objetivos y medidas concretas" así como formación y concienciación para los trabajadores.

Asimismo, destacan que "hay un grado muy deficiente de cumplimiento y adecuación a las normas legales, que ya advertimos en 2019 y no se han corregido todavía", recomiendan los puntos a enmendar y, en este sentido, el consistorio ya ha adjudicado en el año 2022 un contrato para solucionar estos incumplimientos.

Recomendaciones

Por último, el órgano emite unas recomendaciones para mejorar los procedimientos, entre los que se incluye "la implantación de soluciones para restringir el acceso de dispositivos físicos no autorizados en la red corporativa, actualizar los sistemas obsoletos, el uso de una herramienta de gestión centralizada de vulnerabilidades, parches y actualizaciones y la aplicación de seguridad por defecto a todos los sistemas y aplicaciones críticas de la entidad".