Pontevedra aprueba en ciberseguridad, pero le falta un 10% para llegar al índice de estabilidad

Los controles relevantes de ciberseguridad del Concello de Pontevedra todavía no alcanzan el nivel de madurez exigido por el Esquema Nacional de Seguridad. Esa es la principal conclusión del informe del Consello de Contas de Galicia sobre los controles básicos de ciberseguridad local, correspondiente al ejercicio 2024.

La fiscalización sitúa el índice general de madurez en el 70%, un nivel N2 considerado «repetible pero intuitivo». En la práctica, esto significa que buena parte de los controles funcionan, pero no todos están suficientemente formalizados, documentados o consolidados. El objetivo de referencia para los sistemas municipales revisados es alcanzar el nivel N3, que exige un 80% de madurez y supone que los procesos estén definidos de forma estable.

El informe destaca entre los puntos fuertes el inventario y control de dispositivos físicos, con un 85%, y el control del software autorizado y no autorizado, con un 84%. También obtiene una valoración positiva el cumplimiento normativo y la gobernanza, que alcanza el 80%.

Sin embargo, se detecta margen de mejora en áreas sensibles. La peor puntuación corresponde a las configuraciones seguras de software y hardware, con un 55%. También quedan por debajo del objetivo las copias de seguridad, con un 58%, el registro de la actividad de los usuarios, con un 60%, y la gestión continua de vulnerabilidades, con un 68%.

El órgano fiscalizador advierte, además, de que el equipo interno de informática tiene dimensiones limitadas, lo que incrementa la dependencia de proveedores externos y dificulta mantener iniciativas estructuradas de seguridad en el tiempo. También recomienda formalizar mejor los roles previstos por el Esquema Nacional de Seguridad, para evitar que las responsabilidades recaigan de forma difusa o casi exclusiva sobre el área informática.

Entre las medidas prioritarias, el Consello de Contas señala la actualización de todos los sistemas fuera de soporte, la mejora del análisis de riesgos, el refuerzo de las copias de seguridad, la formalización de un procedimiento para detectar y corregir vulnerabilidades y la asignación clara de responsabilidades en materia de seguridad.

El informe reconoce, no obstante, buenas prácticas ya implantadas. Pontevedra dispone de documentación del Esquema Nacional de Seguridad, herramientas de monitorización, un sistema SIEM gestionado por un centro externo de operaciones de seguridad y mecanismos de control de acceso a la red.

La conclusión general es que Pontevedra no parte de cero y cuenta con una base tecnológica relevante, pero necesita pasar de controles operativos a una política de ciberseguridad más madura, documentada y verificable.

Suscríbete para seguir leyendo