La Sindicatura de Comptes alerta al Ayuntamiento de Castelló de su fragilidad ante otro ciberataque

CASTELLÓ. La Sindicatura de Comptes alerta al Ayuntamiento de Castelló de que sigue siendo vulnerable ante un ciberataque pese a haber mejorado la seguridad a raíz del hackeo sufrido el 29 de marzo del año pasado. Aunque en su último informe sobre ciberseguridad, de fecha 31 de diciembre de 2021, admite un progreso respecto a la situación anterior, advierte que el índice de madurez de los sistemas de control municipales está lejos del 80% recomendable al haber pasado del 50,9% a solo el 58,5%.

La institución estatutaria subraya que las verificaciones básicas son "insuficientes" e insiste en la necesidad de implantar mejoras para alcanzar los niveles exigidos por el Esquema Nacional de Seguridad y, con ello, "subsanar las deficiencias observadas". En concreto, aconseja actualizar el procedimiento existente para la gestión de usuarios, finalizar el proceso en curso para renovar todos los sistemas que se encuentran fuera del periodo de soporte y reforzar el tratamiento de configuración segura.

No obstante, la Sindicatura destaca los esfuerzos realizados por el consistorio tras el virulento ataque del ransomware, que inutilizó la web municipal, noqueó los servidores y robó información encriptada. De hecho, califica de "aceptable" la gobernanza de la ciberseguridad, si bien recalca que "debe finalizar [el Ayuntamiento] las acciones iniciadas para reforzarla".

Mayor inversión municipal en seguridad

En este sentido, el presupuesto del consistorio para 2022 contempla una partida específica de más de 500.000 euros en materia de seguridad. Con ese dinero, no solo se potencian los sistemas para evitar nuevos ataques, sino que además se habilita una oficina ex profeso, con un centro de atención de incidencias al usuario. Esa cantidad se suma a otras partidas impulsadas después del hackeo, como los 100.000 euros para blindar los programas informáticos con el suministro de licencias Windows Servers 2019 Datacenter.

El  ciberataque del 29 de marzo de 2021 provocó graves afecciones. El cifrado de la información de los servidores y del resto del equipamiento informático impidió el manejo de los dispositivos, el uso de la comunicación y el acceso a las bases de datos y aplicativos de gestión. Tras la irrupción del ransomware, el equipo de gobierno activó el plan municipal de emergencias y se constituyó el Centro de Coordinación Operativa Municipal (Cecopal), que asumió todas las tareas necesarias para recuperar la normalidad.

Entre las actuaciones de urgencia, hubo que desinfectar, formatear y reinstalar todos los equipos, en un proceso minucioso y laborioso, para asegurar que el malware no se propagara a las nuevas instalaciones. Las prestaciones esenciales del Ayuntamiento restablecieron su actividad total o parcialmente 35 días después del incidente, mientras que los demás servicios se recuperaron de manera paulatina dependiendo de su prioridad. 

Robo datos de carácter personal

Además, el ciberataque tuvo como consecuencia la exfiltración de datos de los servidores municipales de diversa tipología y categoría desde el punto de vista de la protección de carácter personal, razón por la que intervino la Agencia Española de Protección de Datos al ser notificada de la brecha de seguridad. Después de la pertinente investigación, el organismo estatal archivó sus actuaciones, concluyendo que el consistorio disponía de medidas de seguridad y organizativas preventivas razonables para evitar sucesos de estas características, acordes con el nivel de riesgo, y considerando la dificultad que entraña afrontar con una infalibilidad del 100% un ataque de tipo ransomware.

Sin embargo, la Sindicatura de Comptes entiende que la fragilidad continúa siendo relativamente elevada, por lo que plantea una serie de medidas. Las más significativas son: aprobar un procedimiento unificado para la gestión del inventario y control de activos físicos, y establecer un protocolo de identificación de vulnerabilidades que se aplique de forma integral a la totalidad de sistemas municipales.