Al igual que la Secretaría de la Defensa Nacional (Sedena) –que esta semana entregó de manera extemporánea al Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) un reporte en el que asegura que el hackeo que sufrió sólo afectó su correo electrónico institucional y no todas sus bases de datos–, otras instituciones federales tienen graves debilidades en sus estrategias de seguridad informática.
La Secretaría de Gobernación (SG), por ejemplo, en respuesta a una solicitud de información, reveló que no posee una estrategia de ciberseguridad y que su personal no se encuentra capacitado para la implementación del Protocolo Nacional Homologado para la Gestión de Incidentes Cibernéticos.
En un documento fechado el 23 de junio y obtenido a través de la Plataforma Nacional de Transparencia (PNT), el coordinador de Planeación de Tecnologías de la Dirección General de Tecnologías de la Información y Comunicaciones (DGTIC), Erick Ramón Puignau, responde a una serie de preguntas sobre la seguridad informática de Gobernación y señala que “actualmente la SG no cuenta con una estrategia de ciberseguridad”.
Entre otros puntos, agrega que “actualmente el personal de la DGTIC no se encuentra capacitado para la implementación del Protocolo Nacional Homologado para la Gestión de Incidentes Cibernéticos” y añade que la SG no tiene “un modelo o sistema de comunicación para informar a la sociedad en general sobre los eventos o incidentes de seguridad en la institución”.
Afirma que, no obstante, “no se han presentado brechas de ciberseguridad desde 2015 a la fecha” y que periódicamente se actualizan las medidas de ciberseguridad.
También expone que se encuentra en proceso de implementación de un programa de gestión de vulnerabilidades, un sistema de gestión de seguridad de la información, un equipo de respuesta a incidentes y seguridad de la información, entre otros puntos.
La Secretaría de Bienestar contestó en respuesta a otra solicitud de información que entre otras carencias no cuenta con un sistema de gestión de seguridad informática.
En un documento fechado el 5 de julio y firmado por la directora de Análisis e Información Institucional, también obtenido vía la PNT, indica que la DGTIC de la Secretaría de Bienestar “no cuenta con un plan para recuperación ante desastres” de ciberseguridad.
Añade que “no ha recibido capacitación en la implementación de Protocolo Nacional Homologado para la Gestión de Incidentes Cibernéticos” y que “la Dirección General no cuenta con un marco o sistema de gestión de seguridad de la información”.
Aparte, en respuesta a una solicitud de información más, la Secretaría de Economía reportó que ha sido objeto de al menos dos tipos de ciberataques de 2018 a la fecha: phishing vía correo electrónico y ransomware, que causaron afectaciones como la suspensión de trámites y servicios electrónicos.
