SOFTWARE "PIRATAS" Y REITERADOS INCUMPLIMIENTOS DE LA MUNICIPALIDAD EN EL ÁREA INFORMÁTICA, DETECTA LA CONTRALORÍA

Así lo consigna el INFORME FINAL de la Contraloría Nº 4/2019 y que dejamos a disposición de nuestros lectores.

OBJETIVOS

La fiscalización tuvo por objeto practicar una auditoria y examen de cuentas a los sistemas informáticos administrados por la Municipalidad de Algarrobo, entre el 1 de enero y el 30 de noviembre de 2018. La finalidad de la revisión fue constatar los aspectos que se relacionan con el suministro de información, las políticas, normas, prácticas y procedimientos de control que emanan de dichos procesos. Asimismo, verificar su confiabilidad, seguridad, integridad y disponibilidad de los datos, como la interoperabilidad de los sistemas. 

También se evaluó el cumplimiento de la normativa relacionada con las TIC, de conformidad con lo dispuesto en los decretos Nos 83, de 2004, del Ministerio Secretaría General de la Presidencia, que Aprueba Norma Técnica para los Órganos de la Administración del Estado sobre Seguridad y Confidencialidad de los Documentos Electrónicos; y 181, de 2002, que Aprueba Reglamento de la Ley N° 19.799, sobre Documentos Electrónicos, Firma Electrónica y la Certificación de dicha Firma, del entonces Ministerio de Economía, Fomento y Reconstrucción, actual Ministerio de Economía, Fomento y Turismo. 

CONCLUSIONES 

• Se comprobó que en los equipos computacionales administrados por la Municipalidad de Algarrobo se encontraban instalados los software Microsoft Office 2010, 2013 y 2016, en circunstancias que esa entidad no ha efectuado la adquisición de las respectivas licencias, situación que vulnera lo establecido en la letra b), del artículo 22, del artículo primero, del decreto N° 83, de 2004, por lo que el municipio deberá regularizar el uso de los software no licenciados, informando la adquisición de los mismos en el plazo de 60 días hábiles, vencido el cual, sin que ello se haya comprobado, esta Sede Regional procederá a efectuar la denuncia respectiva conforme al artículo 66, de la resolución N° 20, de 2015, de esta Entidad de Control, acorde a lo previsto en el literal a), del artículo 79 de la ley N° 17.336, sobre Propiedad Intelectual. Sin perjuicio de ello, corresponde que se instruya un proceso disciplinario. 

• Se verificó que esa Municipalidad no cuenta con manuales que regulen, controlen y establezcan formalmente la descripción de cargos y funciones del encargado de informática, situación que incumple los Nos 45 al 47, de la referida resolución exenta N° 1.485, debiendo confeccionar el citado documento. 

• En lo que respecta a la inexistencia de un Comité de Gestión de Seguridad de la Información, lo que no se aviene a lo precisado en la sección 4.1.1., del capítulo 4, de la norma NCh2777, de 2003, sobre Gestión de Seguridad de la Información, del INN; y a la falta de algún documento formalizado que precise los procedimientos sobre la Seguridad de la Información, lo que no se condice con lo expresado en el artículo 11, del artículo primero, del decreto N° 83, de 2004, esa entidad deberá accionar lo comprometido en su respuesta. 

• En cuanto a la falta de un Encargado de Seguridad TIC y a la inexistencia de un plan de contingencia institucional, lo que transgrede lo dispuesto en el precitado decreto N° 83, de 2004; y la carencia de un procedimiento o registro, que regule los incidentes de los sistemas críticos municipales, según lo establece el artículo 37, letra a), numeral III, del artículo primero, de la misma reglamentación, corresponde que ese organismo efectúe el nombramiento del citado encargado y plasme sus funciones en el manual de descripción de cargos, como asimismo, contemple el plan de contingencia e incidentes críticos en el protocolo de seguridad TIC, todo lo cual será verificado en el seguimiento. 

• En lo que concierne a la omisión de la placa o código que permita la singularización de los bienes informáticos, situación que incumple lo establecido en los artículos 14, 15 y 16, del decreto supremo N° 577, de 1978, corresponde que el municipio aporte el manual de activo fijo a implementar, y asimismo, procede que proporcione la documentación que da cuenta que los bienes informáticos mantienen un código o placa que los singularice. 

• Se comprobó que los equipos computacionales administrados por la Municipalidad de Algarrobo, no se encuentran sujetos a un Dominio, quedando expuestos a potenciales ataques internos que ponen en riesgo la integridad, confidencialidad y/o disponibilidad de su información, vulnerando lo señalado en las letras a), b) y c), del artículo 33, del artículo primero, del decreto N° 83, de 2004, por lo que corresponde que dicha entidad edilicia adquiera el servidor comprometido, como también, que este sea implementado para los fines señalados. 

• En lo relativo a la inexistencia de un documento que contenga las instrucciones sobre las obligaciones, prohibiciones, recomendaciones e indicaciones para la selección y uso de contraseñas, situación que no se aviene a lo establecido en el artículo 28, del artículo primero, del decreto Nº 83, de 2004; al otorgamiento de una primera clave al usuario, la cual no puede ser modificada por medio del sistema informático perfilado; y a la falta de una exigencia de un mínimo de 8 caracteres para la creación de contraseñas de ingresos temporales y definitivos, situación que podría facilitar el acceso no autorizado a los sistemas informáticos, lo que transgrede el artículo 28, letra g), del artículo primero, del anotado decreto N° 83, de 2004, el ente fiscalizado deberá disponer de un procedimiento reglado respecto a la creación de cuentas y contraseñas, al uso de las mismas, caracteres obligatorios, frecuencia de modificación, entre otros, lo cual será recogido en el protocolo de seguridad informática comprometido. 

• En lo que respecta a la duplicidad de ingreso de datos en el sistema informático de Contabilidad, y en la eliminación de registros del módulo “Recepción Órdenes de Ingreso”, del sistema de Tesorería, situaciones que no se avienen con lo establecido en el N° 51 de la resolución N° 1.485, de 1996, de este origen, el municipio debe informar las medidas implementadas por la empresa CAS Chile, en conjunto con la aplicación de multas a dicho proveedor por las fallas señaladas, en el caso que procediere. 

• En cuanto a las diferencias en los desembolsos mensuales pagados por el municipio a la empresa CAS Chile por los sistemas informáticos puestos a disposición, los cuales difieren de lo estipulado en la convención firmada entre las partes, ese ente edilicio deberá aclarar el valor de las aludidas prestaciones y efectuar las modificaciones que correspondan. 

• En lo concerniente a la inutilización de los sistemas denominados “Adquisiciones”, “Gestión y Emisión de Certificados de Obra” -el cual es parte del sistema “Soluciones para el Departamento de Obras Municipales”- y “Conciliación Bancaria”, situación que no se ajusta a los principios de eficiencia y eficacia dispuestos en los artículos 3°, 5° y 11 de la referida ley N° 18.575, corresponde al municipio dar uso efectivo a los anotados programas informáticos contratados con el proveedor CAS Chile, lo que será verificado en la próxima acción de seguimiento.

DESCARGAR INFORME COMPLETO