AGENCIA DE SISTEMAS.

La Auditoría General de la Ciudad de Buenos Aires examinó la gestión de comunicaciones y operaciones de la Agencia de Sistemas de Información, el área que administra la infraestructura informática de todo el Poder Ejecutivo porteño, durante el año 2020. Encontró que faltan documentación y procesos definidos en temas clave como gestión de riesgos, planificación de los sistemas, control de cambios, manejo de incidentes y seguridad. También observó que no se dictan cursos de actualización para capacitar a los usuarios y que la estructura del área no favorece el control interno. La Auditoría concluye que hay que fortalecer la planificación, el control de cambios y el monitoreo, y adecuar el plan de contingencia y recuperación ante desastres, para garantizar la continuidad de los servicios tecnológicos.

• La configuración jerárquica actual, con la Dirección General de Seguridad Informática dependiente de la Dirección Ejecutiva de la Agencia, no favorece el control interno de los sistemas de comunicaciones y operaciones.
• Falta actualización en el dictado de cursos de concientización a usuarios sobre prevención de software malicioso, uso del correo electrónico y uso responsable de Internet.
• No se exhibió documentación de gestión del riesgo en los sistemas, como la definición del riesgo aceptado, los niveles de tolerancia, las métricas y los informes correspondientes.
• No se presentó documentación de planificación de los sistemas a corto, mediano y largo plazo, ni de las modificaciones en curso y terminadas, lo que atenta contra su capacidad y disponibilidad.
• No se expusieron documentos que definan un modelo de control de cambios en los sistemas, con metodología, solicitud, evaluación, priorización y procesos de control.
• No consta la definición e implementación de un proceso de administración de peticiones e incidentes por fallos en los sistemas, lo que favorece interrupciones en los servicios.

La Auditoría destaca que la Agencia provee servicios de tecnología a todo el Gobierno de la Ciudad y recomienda planificar la expansión de su capacidad y disponibilidad, mejorar el control de cambios, evaluar el costo-beneficio de los activos críticos y adecuar el Plan de Contingencia y Recuperación de Desastres. También sugiere incrementar las métricas e indicadores para evaluar el gobierno y la gestión de TI, e intensificar el monitoreo y las acciones correctivas para garantizar la cobertura de los servicios tecnológicos.

Resumen hecho con IA por Ciudad Abierta a partir del informe ejecutivo de la Auditoría. Ante cualquier duda, manda el PDF.