Noventa agencias del gobierno mostraron deficiencias respecto a la seguridad de sus redes, lo que las hace vulnerables a ataques cibernéticos, mientras que sus procesos para recuperar datos y la interconexión con sistemas de otras agencias resultan “insuficientes”, de acuerdo con un análisis de la Oficina del Inspector General de Puerto Rico (OIG) que busca optimizar el uso de la tecnología en las entidades gubernamentales.

El examen de los sistemas de información y tecnológicos de las 90 dependencias del gobierno se hizo en coordinación con el Puerto Rico Innovation and Technology Service (PRITS), y la OIG recomendó a esta agencia, así como a los oficiales de informática de cada una de las 90 entidades, tomar acción a base de los resultados.

“Los resultados reflejan que las áreas con mayores deficiencias corresponden a la seguridad en las redes, la gestión de vulnerabilidades, los procesos de recuperación ante desastres y la interconexión de sistemas. Estas áreas alcanzaron un nivel insuficiente o moderado de cumplimiento, lo que evidencia la necesidad de establecer controles más rigurosos, actualizar las políticas internas y fortalecer las capacidades operativas de las entidades para mitigar riesgos tecnológicos y garantizar la continuidad de sus operaciones”, concluye el informe especial de la OIG (OIG-IE-26-005).

“En este esfuerzo, PRITS, como organismo rector en materia de política pública tecnológica, juega un rol fundamental para uniformar los estándares mínimos de cumplimiento y promover mejores prácticas en la gestión tecnológica gubernamental”, agrega el documento de 65 páginas, con fecha del 25 de noviembre.

El estudio sobre el cumplimiento de las normas de gobernanza tecnológica se realizó en todas las agencias bajo la jurisdicción de la OIG, que abarca las agencias y oficinas del Ejecutivo, así como las corporaciones públicas. El ente fiscalizador no tiene jurisdicción sobre las ramas Legislativa ni Judicial, ni tampoco sobre los municipios, la Universidad de Puerto Rico, la Oficina de Gerencia y Presupuesto, la Oficina de Ética Gubernamental, la Corporación del Proyecto ENLACE del Caño Martín Peña ni la Compañía para el Desarrollo Integral de la Península de Cantera.

Con la evaluación, tanto la OIG como PRITS –que se mantiene al momento sin un jefe en propiedad– buscaban, mediante un cuestionario suministrado a cada una de las 90 agencias, conocer el nivel de cumplimiento con la política pública sobre el manejo, desarrollo y coordinación de la infraestructura tecnológica e informática, así como la integración interagencial en este aspecto.

En entrevista con El Nuevo Día, la inspectora general, Ivelisse Torres Rivera, sostuvo que el análisis tenía el objetivo de “medir el riesgo que existe en cuanto a la insfraestructura tecnológica que se necesita, para poder reforzar esos elementos de seguridad”. Recalcó, sin embargo, que, “en todos lados”, incluso en la empresa privada, existe un grado de vulnerabilidad ante ataques cibernéticos.

“Hay unas agencias que pueden tener mayor vulnerabilidad que otras. Básicamente, eso puede deberse a muchos factores. Algunos de ellos, nosotros hemos recogido en informes, que puede haber, quizás, tecnología que los servidores puedan ser obsoletos o tienen más de cinco años, o no se ha actualizado lo que tiene que ver con los resguardos de contraseñas e información”, precisó Torres Rivera.

“Por darte un ejemplo, cuando tenemos problemas en los Cesco, donde existen situaciones que se comparten las contraseñas, que no hay unos accesos restringidos para el nivel de supervisor o para el nivel de empleado que no tiene una jerarquía de aprobación, pues eso hace que no solamente se pueda exponer a realizar transacciones sin autorización, sino que se abra una puerta a exponer la data a problemas de seguridad”, agregó.

El informe publicado por la OIG no detalla los hallazgos por agencia, sino que expone los resultados a base de cuántas –entre las 90– cumplen y cuántas incumplen con criterios específicos examinados. Torres Rivera dijo, sin embargo, que se puede obtener la información pormenorizada.

La gobernadora Jenniffer González ha manifestado su intención de que PRITS regrese a la Oficina de Gerencia y Presupuesto, adscrita a la Oficina del Gobernador, luego de cuatro intentos fallidos por designar un director en propiedad, en medio de señalamientos de que ninguno de los nominados ha permanecido en el puesto por supuestas presiones políticas.

A principios de mes, Poincaré Díaz Peña, quien no estuvo disponible para entrevista, fue designado como principal ejecutivo de Innovación e Información del Gobierno de Puerto Rico y director ejecutivo de PRITS. El Senado evaluará el nombramiento en vista pública el 9 de enero, anticipó recientemente el presidente Thomas Rivera Schatz.

La inspectora general no quiso comentar respecto a si PRITS debe o no permanecer como un ente gubernamental autónomo. Se limitó a decir que una oficina con la misión y función de PRITS debe existir en el Ejecutivo.

De otra parte, la Comisión Estatal de Elecciones (CEE) –consigna el informe– “no respondió al requerimiento de información emitido por la OIG, razón por la cual sus resultados fueron clasificados como incumplidos”.

Al respecto, el presidente de la CEE, Jorge Rivera Rueda, indicó, por escrito, que “la pasada administración” del ente electoral, que estuvo a cargo de Jessika Padilla Rivera, contestó el cuestionario y hubo un segundo requerimiento de información adicional que “no fue completado por la administración de ese entonces”.

El informe de la OIG indica que el cuestionario se centró en cuatro temas principales: cumplimiento con la ley que creó PRITS (Ley 75-2019), desarrollo de interfaz de programación de aplicaciones, publicaciones web y ciberseguridad. A cada renglón, se le asignó una puntuación de 0 a 100, siendo 0 a 50 insuficiente, 51 a 75 moderado y de 76 a 100 adecuado.

En términos de los resultados, fueron calificados como insuficientes en el gobierno los siguientes aspectos: evaluación de vulnerabilidad de sus sistemas (solo 39% de las agencias evaluadas cumplieron), política para retención/destrucción de datos (49%), realizar pruebas periódicas del centro (44%), plan de recuperación de desastres (37%), realiza simulacros para ejecución del plan (37%), cuenta con sistemas que se interconectan con otras agencias o entidades (43%), desarrollo de alguna interfaz de programación o API en su agencia y que esté activa (26%), cuentan los APIs con documentación siguiendo el formato estándar OpenAPI (16%), cuentan con versionamiento (16%), proceso de manejo de cambios al alterar y/o actualizar los APIs (13%), tiene un sistema de gestión de contenido (23%) y cuenta con la evaluación de accesibilidad de PRITS (50%).

El informe también abundó sobre el uso de inteligencia artificial en las 90 agencias, tecnología que, de acuerdo a la OIG, debe usarse para el “servicio de los intereses de los ciudadanos, y no limitarse su utilización al funcionamiento interno del gobierno”.

“Solo un 7% (seis de 90) de las entidades reportaron el uso de soluciones basadas en inteligencia artificial, tanto para mejorar la eficiencia de los servicios como para reducir costos operativos”, precisa el informe.

Asimismo, el análisis destaca las inversiones en tecnología realizadas por las 90 entidades gubernamentales. El mayor gasto es en licenciamiento y software, con una inversión de $70,898,957, seguido por “otros gastos de tecnología” que ascienden a $59,363,546.