Contraloría señala debilidades en seguridad de la información en CETAC
(CRHoy.com) La Contraloría General de la República (CGR) señaló una serie de debilidades en el manejo de la información en el Consejo Técnico de Aviación Civil (CETAC).
Según la auditoría del órgano contralor, se detectaron debilidades en 3 ámbitos: sistema de gestión de la información, continuidad del negocio y gestión de la ciberseguridad.
La CGR explicó que el análisis sobre la seguridad de la información se hizo "con el fin de prevenir afectaciones en la prestación de los servicios, dada la relevancia de esta entidad como encargada de planificar, regular y proveer los servicios de la aviación civil en el país".
Dentro de los hallazgos más importantes se destaca:
- Falta de procedimientos para proteger la confidencialidad, autenticidad, privacidad e integridad de la información y de una clasificación de la información institucional según su criticidad y sensibilidad a la divulgación o modificación no autorizada.
- Carencia de una gestión de riesgos en la estructura de TI y de un plan institucional de concientización a los funcionarios sobre seguridad de la información, en la clasificación de activos tecnológicos.
- Ausencia de plan de continuidad de negocio institucional.
- Debilidades en los planes de continuidad y recuperación de desastres de los principales aeropuertos.
- Detección de vulnerabilidades de seguridad en el entorno web e inconsistencias en el sistema de administración de usuarios.
- Carencia de mecanismos de autenticación multifactor y debilidades en la seguridad física de los accesos a áreas restringidas de TI, así como en el proceso integral de restauración y respaldos.
Tras la auditoría, la CGR pidió a las autoridades de Aviación Civil que se elabore e implemente un Sistema de Gestión de Seguridad de la información y un Sistema de Gestión de la Continuidad del Negocio.
También se solicitó que se realice un análisis de riesgos integral sobre las debilidades en la estructura de las tecnologías de información y que se implemente un plan para atender las vulnerabilidades sobre seguridad de la información.
También se pidió que se gestionen controles para prevenir, detectar y corregir las debilidades de la seguridad de la información relacionadas con la gestión de los respaldos, seguridad física, las actualizaciones del software, gestión del antivirus; depuración y gestión en el sistema de administración de usuarios.
El informe completo se puede leer aquí.