O Consello de Contas de Galicia presentou este venres o informe de fiscalización dos controis básicos de ciberseguridade do Concello de Lugo en 2024, un documento que conclúe que o nivel global de madurez é insuficiente e que a gobernanza municipal debe reforzarse para cumprir plenamente coas esixencias do Esquema Nacional de Seguridade (ENS).
A análise, elaborada a partir dos indicadores da guía CCN-STIC-824, sitúa o índice de madurez xeral no 55%, o que equivale a un nivel N2, definido como “repetible pero intuitivo”. En termos prácticos, isto implica que a maioría dos controis se aplican de forma operativa, pero con carencias na súa formalización documental e con ámbitos nos que é necesario implantar melloras estruturais. O índice de cumprimento, que compara o nivel acadado co mínimo esixido —fixado no 80% para esta fiscalización—, evidencia que o Concello aínda está lonxe do estándar requirido.
Ningún dos oito controis básicos analizados acada o limiar do 80%. O mellor resultado corresponde ao rexistro da actividade dos usuarios, cun 65% de madurez e un índice de cumprimento do 81%, aínda que aínda sen chegar ao nivel N3, no que os procesos deben estar estandarizados, documentados e acompañados de accións formativas.
[FOTO: Imaxe relacionada co desenvolvemento dos acontecementos]
Os detalles da nova
No extremo contrario sitúanse o proceso continuo de identificación e remediación de vulnerabilidades e as configuracións seguras de software e hardware, ambos cun 45%. O inventario de dispositivos físicos queda no 55%, o control de software no 58%, o uso de privilexios administrativos no 64 %, as copias de seguridade no 58 % e o cumprimento normativo e a gobernanza no 49 %.
O órgano fiscalizador advirte ademais de que a actual estrutura de gobernanza non garante a correcta implantación dun Sistema de Xestión de Seguridade da Información que asegure a ciberresiliencia da entidade. Aínda que durante a auditoría se constatou un certo grao de concienciación por parte dos responsables municipais, o informe identifica carencias relevantes. Entre elas, o reducido tamaño do equipo interno encargado da seguridade, o que dificulta o desenvolvemento de iniciativas sostidas no tempo e aumenta a dependencia de provedores externos para a implantación e mantemento de solucións tecnolóxicas. Esta limitación de recursos repercute na falta de documentación formal, na debilidade dos procedementos e na aplicación non sistemática de medidas preventivas.
O Consello tamén sinala como unha das principais debilidades a ausencia dunha política de seguridade actualizada e formalmente aprobada, o que impide establecer criterios claros, responsabilidades definidas e procedementos normalizados para a xestión de riscos. Tampouco existe un Comité de Seguridade nin están formalmente definidos os roles e responsabilidades en materia de seguridade esixidos polo ENS, o que dificulta unha implantación coherente das medidas e unha resposta estruturada ante incidentes.
[FOTO: Fotografía do lugar mencionado na nova]
Mirando ao futuro
En canto ao cumprimento normativo, o informe aprecia un nivel razoable de adecuación en materia de seguridade da información, aínda que advirte de aspectos que deben corrixirse para garantir o seu cumprimento efectivo. Entre as recomendacións formuladas figuran a actualización dos sistemas que estean fóra de soporte, a revisión e difusión da Política de Seguridade da Información, a mellora do proceso de copias de seguridade —incluíndo probas periódicas de recuperación—, a formalización dun procedemento específico para a xestión de vulnerabilidades e a actualización do plan de adecuación ao ENS con vistas a obter a certificación.
Así mesmo, o órgano fiscalizador insta ao Concello a aprobar un procedemento unificado de xestión de usuarios, formalizar as actuacións de soporte e actualización, revisar o procedemento de configuración segura de sistemas aplicando criterios de seguridade por defecto e mínima funcionalidade, realizar auditorías anuais conforme á normativa de factura electrónica e documentar adecuadamente o tratamento dos rexistros de auditoría conforme aos requisitos do ENS.
A pesar das deficiencias detectadas, o informe tamén recolle avances no eido técnico. O Concello dispón de ferramentas de monitorización, entre elas un sistema de xestión de eventos e información de seguridade (SIEM) xestionado por un centro de operacións de seguridade externo, que permite centralizar e analizar eventos para detectar posibles ameazas. Ademais, despregou un sistema de control de acceso á rede baseado no estándar 802.1X, que autentica de forma dinámica os dispositivos antes de permitir a súa conexión á rede corporativa.
En conxunto, o Consello de Contas conclúe que, aínda que existen mecanismos técnicos relevantes, o Concello de Lugo debe reforzar a súa estrutura organizativa, formalizar procedementos e elevar o nivel de madurez dos seus controis para cumprir plenamente cos estándares esixidos e garantir unha protección eficaz dos seus sistemas de información.
[FOTO: Vista panorámica da zona onde se desenvolven os feitos]
Un pouco de historia
