Mejorarán la seguridad informática del Estado

A diario "hay situaciones que amenazan la seguridad informática de organismos del Estado", una situación que el gobierno pretende revertir con un plan de "mejora" que abarcará a varias reparticiones.

Para ello, la Agencia de Gobierno Electrónico y Sociedad de la Información (Agesic) convocó a una licitación pública que tiene como objetivo contratar servicios de consultoría. Las ofertas se abrirán el 12 de julio.

A su vez, también se plantean optimizar los contenidos de los portales estatales. Con ese objetivo, Agesic efectuó un llamado a expresiones de interés para incluir en su registro a consultoras que puedan efectuar un diagnóstico del contenido de las webs de entre seis y diez organismos de la administración pública. Dentro de las tareas previstas, deberán diseñar una "nueva arquitectura", presentar un proyecto y llevarlo adelante. Para ello, se estima un presupuesto de US$ 100.000 IVA incluido.

"24 HORAS". El pasado 25 de abril un habilidoso hacker logró violar la seguridad de la página web del Ministerio del Interior. Poco antes, en marzo de este año, le tocó al portal del Ministerio de Turismo, que ya había sido violentado en octubre de 2009. En ese entonces, las eliminatorias para el Mundial de fútbol de Sudáfrica estaban en su fase final; el hacker dejó un mensaje que decía: "Vamos - Argentina - Carajo" además de un video de YouTube con imágenes ganadoras de la selección de fútbol del vecino país.

La web de la cartera debió ser dada de baja como consecuencia de la "violación". Autoridades del Ministerio dijeron en aquella oportunidad a El País que el hecho había causado "un daño importante" ya que se estaba en plena promoción de la temporada.

En 2008 el hacker argentino Iván Velázquez, quien se encontraba en Uruguay tramitando asilo político, interceptó mails de unas 600 cuentas de correo de políticos y empresarios argentinos y obtuvo la contraseña de 50 cuentas de políticos e instituciones uruguayas.

Dentro de sus objetivos se encontraba interceptar otras 300 cuentas de internautas uruguayos entre los que se destacaban dirigentes del Frente Amplio y periodistas de medios de prensa afines a la izquierda. Velázquez utilizaba el phishing (clonación de una página web de correo) para obtener la contraseña de un usuario.

Este tipo de situaciones preocupan a la Agesic. Fuentes de ese organismo dijeron a El País que los hacker "trabajan 24 horas y son eficientes en su labor". De allí que la agencia tenga "la obligación de reforzar la seguridad informática de la administración pública".

"Diariamente hay situaciones que amenazan la seguridad informática de organismos del Estado. Cada ciudadano recibe en su correo spam, virus o mails de bancos que no existen. Hay situaciones que están previstas y hay otras para detectar. Cuando esto se da en una red más grande, como la del Estado, se está más expuesto. Por eso necesitamos estar constantemente capacitados y alertas", aseguró la fuente.

La consultoría se hará en entre cinco y ocho organismos. El presupuesto estimado es de un máximo de $ 4.000.000, según la convocatoria.

La tarea implica relevar los activos de información con los que cuenta cada organismo. Deberán además "identificar riesgos, amenazas y vulnerabilidades" y asegurar "controles de seguridad y mecanismos de contingencia para mitigar posibles riesgos", de acuerdo al pliego. También estará dentro de las tareas del adjudicatario "implantar el proceso para la gestión de incidentes".

A su vez, tendrán que "analizar el marco normativo/legal vigente sobre protección de datos personales y acceso la información pública". Sobre este último punto Agesic pide especialmente "identificar posibles incumplimientos" y proponer nuevos controles para garantizar que se sigan las normas.

El País intentó ayer obtener información sobre qué organismos públicos comprenderá la iniciativa y otros puntos, pero desde Agesic señalaron que estaban imposibilitados de brindar más detalles.

Generales. Agesic elaboró directivas generales sobre la seguridad de la información de la Administración Pública, que deberán ser presentadas por quien gane el llamado a la dirección de cada organismo.

En concreto cada repartición deberá establecer objetivos anuales, desarrollar un proceso de evaluación y tratamiento de riesgos en seguridad, clasificar y proteger la información y establecer que todo el personal es responsable de registrar y reportar las violaciones a la seguridad, sospechadas o confirmadas.

"La seguridad de la información se consigue implantando un conjunto adecuado de controles, tales como políticas, procedimientos, estructuras organizativas e infraestructuras. Estos controles deberán ser establecidos para asegurar los objetivos de seguridad del organismo", detallan.

Además, tendrán que designar un responsable de seguridad de la información. Las políticas sobre este tema tienen que estar integradas a las normas básicas. Deberán establecer sanciones por incumplimiento, según detalla el pliego del llamado.

Bases del gobierno electrónico

En octubre de 2009 el gobierno encabezado por Tabaré Vázquez aprobó tres decretos que establecen el marco para la uniformización de los sistemas informáticos del Estado y fijan pautas para la seguridad de sus activos de información.

Las disposiciones tenían como objetivos fortalecer el denominado "gobierno electrónico" y facilitar el acceso a la información y a los trámites de los ciudadanos.

Uno de los decretos establece que la Agencia para el Desarrollo del Gobierno de Gestión Electrónica y la Sociedad de la Información y Conocimiento (Agesic) será la encargada de promover el uso de las tecnologías de la información y la comunicación y de la coordinación de los proyectos en el área del gobierno electrónico.

Se encomendó al Centro Nacional de Respuesta a Incidentes de Seguridad Informática (CERTuy) la seguridad de los sistemas informáticos públicos, la prevención de incidentes y la recuperación de eventuales daños en los sistemas estratégicos de información del Estado.

Agesic es el encargado del control del cumplimiento de normas en tecnología de la información en los organismos de la administración central y la adopción de políticas de seguridad informática.