El Centro Criptológico Nacional publica un documento destinado a mejorar la ciberseguridad de los ayuntamientos y entes locales
Se llama Informe de Buenas Prácticas BP/29 y ya es un referente en el mundo de la gestión pública local. Su contenido aporta una visión amplia de cómo mejorar las situaciones de crisis cuando un ciberincidente llama a las puertas de un ayuntamiento. En poco tiempo los entes locales han pasado de la cultura del papel a un mundo totalmente digitalizado donde también han aumentado sus vulnerabilidades.
La Federación Española de Municipios y Provincias (FEMP) ya destacó el reto que la ciberseguridad implica para los más de 8.000 ayuntamientos españoles. Los ciberataques pueden comprometer la prestación de los servicios públicos o influir en el buen desarrollo de la gestión local. Para este nuevo reto la FEMP ha colaborado con el CNI y el CCN. Se están divulgando normas de seguridad, decálogos de consejos y protocolos de respuesta rápida.
En muchos casos los ayuntamientos pequeños no disponen de recursos técnicos para afrontar ciber incidentes, por esa razón el apoyo técnico es primordial. El documento trata conceptos como la cibercrisis y el rol que deben adquirir alcaldes, tenientes de alcalde, concejales e interventores. Se abordan los protocolos básicos de actuación (identificación del incidente, puesta en marcha de un comité de crisis, seguimiento y fase final de desactivación).
Su implementación permitirá ser más eficaces y responder más rápidamente, ya que se establecen modelos de abordaje ante ataques cibernéticos. La gestión operativa y técnica del incidente, la creación de un equipo de respuesta y la interacción de un equipo de comunicación son algunos conceptos en los que se estructura.
También se introduce el concepto del “Diario del ciberataque” mediante el cual se hace un seguimiento de la evolución del día a día, que relaciona el Plan de Acción diaria con el minuto a minuto de una crisis.
Es importante que exista un gestor operativo o gestor del ciberincidente, alguien que coordinará todas las acciones encaminadas a la reparación de resultados. Finalmente se insiste en la idea de extraer lecciones aprendidas, y coordinar las acciones de análisis posteriores al incidente.
En este sistema de gestión también se introduce la figura del DPG (Delegado de protección de datos). Su función es informar y asesorar al gabinete de crisis sobre las obligaciones en materia de protección de datos.
Y como no, empoderar a los responsables de tecnologías de la información y ciberseguridad del propio ayuntamiento. Estos técnicos deben decidir en que medida gestionan el problema, bien sea con recursos propios o interactuando con los mecanismos de alerta a nivel nacional.
