Sistemas e infraestructura informática del Ente Regulador de Servicios Públicos de la Ciudad Autónoma de Buenos Aires.

La Auditoría de la Ciudad examinó en 2021 los sistemas informáticos y la infraestructura tecnológica del Ente Regulador de Servicios Públicos, el organismo que controla la calidad de los servicios públicos porteños. Encontró que faltan herramientas básicas de gestión: no hay una política para analizar los riesgos tecnológicos ni un manual de políticas de seguridad física y lógica, y las bases de datos no están registradas como exige la ley de Protección de Datos Personales de la Ciudad. Además, la información se guarda en carpetas compartidas sin reglas claras sobre quién responde por cada dato ni cómo clasificarla, y no existen planes de contingencia para recuperar los sistemas ante fallas graves. Aun así, la Auditoría reconoce una mejora respecto de lo observado en 2011, con sistemas e instalaciones más seguras, y recomienda formalizar el mantenimiento de los equipos, crear un área de seguridad informática y establecer un marco normativo para que la tecnología apoye los objetivos del Ente.

• No se exhibe una Política de Análisis de Riesgos tecnológicos que promueva la identificación, evaluación y reducción de los riesgos vinculados con la tecnología, y el desconocimiento del apetito de riesgo impide establecer acciones preventivas.
• Si bien el organismo cuenta con diversas herramientas de seguridad, no evidencia un manual de Políticas de Seguridad física y lógica que garantice que los incidentes se mantengan dentro de los niveles de riesgo aceptados.
• No se incluyó el responsable ni el proceso de inscripción de las bases de datos utilizadas, según lo establecido en la ley porteña de Protección de Datos Personales, lo que no garantiza la protección de los datos sensibles y la intimidad de las personas.
• Los activos de información se encuentran en carpetas de SharePoint sin una política de gestión de activos, sin identificar al propietario del dato, usuario y custodio, y sin procedimientos de evaluación y clasificación de la información según su integridad, criticidad, disponibilidad, confidencialidad y privacidad.
• Falta establecer una metodología que evalúe si las solicitudes de nuevos desarrollos o adecuaciones de los sistemas están alineadas con los objetivos estratégicos del ente, ya que la ausencia de un enfoque estándar en la gestión de proyectos no asegura el cumplimiento de los requisitos solicitados.
• Pese al proceso de backup y al ingreso controlado al edificio, no se incluyó un Plan de Contingencia ni un Plan de Recuperación de Desastres, y falta identificar las áreas críticas, confeccionar un manual de ingreso a las mismas y capacitar al personal, lo que no garantiza la continuidad de los servicios.

Respecto del seguimiento realizado para el período 2011, la Auditoría evidencia una mejora y expansión de los sistemas informáticos, con instalaciones e infraestructura más seguras que dan soporte al control de la calidad de los servicios públicos. No obstante, concluye que es necesario establecer un marco normativo dinámico con enfoque holístico que separe el gobierno de la gestión de TI, documentar y formalizar el mantenimiento de las UPS y el servicio de telefonía fija, asegurar la continuidad de los servicios y crear un área de seguridad informática que dependa jerárquicamente de las máximas autoridades del organismo.

Resumen hecho con IA por Ciudad Abierta a partir del informe ejecutivo de la Auditoría. Ante cualquier duda, manda el PDF.