ASF encuentra control deficiente de tecnología, equipos obsoletos y servidores vulnerables

Sin adecuado control, manejo, evaluación, supervisión y validación del inventario de equipos de cómputo, sistemas operativos obsoletos y vulnerabilidades en los servidores es lo que encontró la Auditoría Superior de la Federación (ASF) sobre el cumplimiento a Tecnologías de Información y Comunicaciones (TIC).

La auditoría realizada a la tecnología del gobierno federal se basó en un universo de “2,251,506.6 miles de pesos corresponde al total de pagos ejercidos en los contratos relacionados con las Tecnologías de Información y Comunicaciones (TIC) en el ejercicio fiscal 2019”.

La muestra se conforma de tres contratos para prestar los servicios integrales de aprovisionamiento de cómputo y el servicio de comunicación segura para el acceso a internet, con pagos ejercidos por 658 mil 351.6 pesos, que representan el 29.2 % del universo seleccionado.

También se revisó la función de TIC en Petróleos Mexicanos (Pemex) en 2019, relacionada con la ciberseguridad y continuidad de las operaciones, detalla la ASF.

En sus conclusiones, la Auditoría subraya que se “carece de un adecuado control, manejo, evaluación, supervisión y validación del inventario de equipos de cómputo”.

Esto debido a que la ASF encontró diferencias en el control de inventarios determinadas durante la

auditoría y por la falta de evidencias del soporte documental que deje constancia de las revisiones o

cambios para acreditar el detalle de los equipos pagados mensualmente.

También se advirtió que hay servidores y equipos de cómputo con sistemas operativos obsoletos que ya no cuentan con soporte por parte del fabricante.

En el caso de Pemex, la ASF señaló que la vulnerabilidad de los servidores Microsoft SharePoint que estaban expuestos a la web y que fue explotada por el hacker en el incidente de seguridad informática del 10 de noviembre de 2019, había sido corregida por el fabricante seis meses antes del ataque.

“Sin embargo, debido a la falta de gestión de actualizaciones de seguridad (parches), entre otros controles, la vulnerabilidad no fue remediada por Pemex, lo que contribuyó para que los equipos de cómputo hayan sido secuestrados”.

vcr