SEGURIDAD DE LA INFORMACIÓN. Resol. 176

La Auditoría General de la Ciudad examinó, durante 2025, cómo la Dirección General de Seguridad Informática del Gobierno de la Ciudad protege sus sistemas: cómo detecta y responde a incidentes, cómo concientiza al personal y cómo clasifica la criticidad de la información que gestiona. Esa área opera las plataformas que detectan ataques, bloquean accesos indebidos y mantienen disponibles los servicios digitales del Gobierno, además del canal BA-CSIRT donde los vecinos denuncian incidentes de seguridad. La Auditoría encontró que, si bien las herramientas operaron con normalidad, la gestión presenta debilidades de organización y documentación: no está definido quién decide ante un incidente grave, no hay plan estratégico aprobado, el inventario de equipos sensibles está desactualizado y faltan planes de continuidad ante contingencias. También observó que no se acredita con documentación el cumplimiento del estándar de protección de datos personales ni que la cobertura de seguridad llegue a todas las dependencias que exige la normativa. Concluye que estas deficiencias generan riesgos concretos, porque ante un incidente real los distintos sectores podrían actuar sin coordinación y sin criterios comunes de respuesta.

• La Dirección General de Seguridad Informática carece de atribuciones operativas formalizadas para decidir ante incidentes: ningún instrumento normativo define quién aprueba las acciones críticas, quién autoriza los recursos económicos de emergencia ni qué criterios de escalamiento aplicar.
• El área gestiona la seguridad de la información sin una estrategia formalizada ni aprobada, sus iniciativas de concientización no tienen responsables ni cronogramas, y los servicios que presta carecen de definición formal y parámetros de medición.
• En las contrataciones tecnológicas no se incorporan requisitos de control de accesos ni se asignan responsables de verificar el cumplimiento de las condiciones de seguridad pactadas con los proveedores.
• El organismo no acredita con evidencia documental la aplicación de las medidas de protección de datos personales exigidas por el Estándar ES0902, la evaluación técnica de las herramientas de seguridad que incorpora ni los controles sobre sus interfaces de programación, y la información que declara no coincide con la documentación disponible.
• El inventario de recursos tecnológicos está desactualizado y sin roles de Propietario ni Custodio definidos, y las plataformas operan sin planes de continuidad, esquemas de redundancia ni procedimientos formalizados de recuperación ante contingencias.
• La gestión de ciberseguridad se realiza sin un marco normativo que regule la interacción entre los dispositivos de detección y respuesta, no se acredita que la cobertura de seguridad alcance a todas las dependencias que exige la Resolución 177/ASInf/13, y la información de incidentes registrada no se utiliza para orientar decisiones de gestión.

Aunque las herramientas de seguridad operaron con normalidad durante el período analizado, el examen identificó debilidades en la organización interna y en la documentación que respalda la gestión, las cuales generan riesgos concretos: ante un incidente real, los distintos sectores podrían actuar sin coordinación y sin criterios comunes de respuesta.

Resumen hecho con IA por Ciudad Abierta a partir del informe ejecutivo de la Auditoría. Ante cualquier duda, manda el PDF.