El Consello de Contas de Galicia ha detectado importantes áreas de mejora en los sistemas de ciberseguridad del Concello de Ferrol, según las conclusiones de la auditoría realizada sobre los controles básicos de seguridad informática de la Administración municipal.
El informe, correspondiente al ejercicio 2024 y aprobado por el pleno del organismo fiscalizador el pasado 20 de octubre de 2026, concluye que el nivel general de madurez de los controles analizados es insuficiente para alcanzar las exigencias del Esquema Nacional de Seguridad (ENS).
La evaluación sitúa el índice de madurez del Concello en el 51%, mientras que el nivel de referencia establecido para esta fiscalización es del 80%. El índice medio de cumplimiento, que relaciona la madurez de los controles con el nivel exigido, alcanza el 63,7%.
El documento advierte de que los ocho controles básicos examinados presentan una efectividad insuficiente, aunque también reconoce la existencia de herramientas de vigilancia de la actividad informática y un cierto grado de concienciación sobre la importancia de la ciberseguridad entre los responsables municipales.
Entre las principales deficiencias detectadas figuran la falta de políticas de seguridad formalmente aprobadas, la ausencia de un Comité de Seguridad y las limitaciones de personal especializado para desarrollar una estrategia continuada de protección de los sistemas.
Ferrol cierra las auditorías de ciberseguridad de las siete grandes ciudades gallegas
La publicación del informe de Ferrol completa la primera fase de auditorías de ciberseguridad desarrolladas por el Consello de Contas en los ayuntamientos de las siete grandes ciudades de Galicia.
Esta línea de fiscalización comenzó a impulsarse en 2023, ante la creciente dependencia de las administraciones públicas de los sistemas informáticos y los riesgos asociados a la gestión digital de los servicios públicos.
El organismo inició sus trabajos con el análisis de los controles básicos de ciberseguridad de las cuatro diputaciones provinciales gallegas, incluyendo determinadas aplicaciones relacionadas con la gestión tributaria, la recaudación y las nóminas.
Posteriormente, extendió las auditorías al ámbito municipal, comenzando por los ayuntamientos de Vigo, A Coruña y Ourense. La fiscalización continuó con Santiago de Compostela, Lugo y Pontevedra, hasta concluir con el Concello de Ferrol.
El objetivo es disponer de una evaluación de los sistemas de protección informática de las administraciones locales y detectar posibles deficiencias que puedan afectar a la seguridad de la información y a la continuidad de los servicios públicos.
En el caso de Ferrol, el Consello de Contas examinó ocho controles básicos relacionados con la gestión de dispositivos, el software, las vulnerabilidades, los permisos administrativos, las configuraciones de seguridad, los registros de actividad, las copias de respaldo y el cumplimiento normativo.
Un índice de madurez del 51%, por debajo del nivel exigido
Una de las principales conclusiones de la auditoría es que el Concello de Ferrol no alcanza el nivel de madurez requerido para los controles básicos de ciberseguridad examinados. El Consello de Contas establece un índice general del 51%, correspondiente al nivel N2, denominado «repetible pero intuitivo».
Esta clasificación significa que buena parte de los controles se realizan operativamente, pero algunos están establecidos solo parcialmente o carecen de la documentación formal necesaria. El nivel de referencia fijado en la fiscalización es el N3, correspondiente a un proceso definido, con un índice de madurez del 80%. Por tanto, existe una diferencia de 29 puntos porcentuales entre la situación evaluada y el objetivo establecido.
El informe señala que los controles analizados se encuentran en los niveles N1 o N2, sin que ninguno alcance el N3. Los datos reflejan diferencias significativas entre las distintas áreas de seguridad informática del Concello.
El mejor resultado corresponde al registro de actividad de los usuarios, mientras que la gobernanza y el cumplimiento normativo presentan la valoración más baja.
La gobernanza de la ciberseguridad obtiene la peor calificación
El apartado más desfavorable de la auditoría es el relacionado con el cumplimiento normativo y la gobernanza de la ciberseguridad. Este control obtiene un índice de madurez del 38% y un índice de cumplimiento del 47%, situándose en el nivel N1, denominado «inicial» o ad hoc.
El Consello de Contas considera que las deficiencias organizativas dificultan la implantación de un sistema eficaz de gestión de la seguridad de la información. Entre los problemas identificados figura la ausencia de una política de seguridad formalmente aprobada por los órganos de gobierno municipales.
El organismo fiscalizador advierte de que esta carencia dificulta establecer criterios claros, distribuir responsabilidades y disponer de procedimientos normalizados para gestionar los riesgos informáticos.
La falta de documentación formal también afecta a la supervisión de las medidas de protección y a la capacidad de respuesta ante posibles incidentes. Por ello, el informe considera esencial actualizar y aprobar una política integral de seguridad de la información, adaptada a la normativa vigente.
El Concello carece de un Comité de Seguridad
Otra de las conclusiones relevantes es la ausencia de una estructura organizativa formal que permita coordinar adecuadamente la ciberseguridad municipal.
Según el Consello de Contas, el Concello de Ferrol no dispone de un Comité de Seguridad y tampoco tiene definidos formalmente los roles y responsabilidades exigidos por el Esquema Nacional de Seguridad. El informe señala igualmente que no existe una formalización suficiente de las normas y procedimientos necesarios para aplicar correctamente las medidas de protección.
Estas carencias afectan a la implantación de un Sistema de Gestión de Seguridad de la Información (SGSI), cuya finalidad es organizar la protección de los datos y sistemas informáticos de una entidad.
El organismo fiscalizador recuerda que la responsabilidad de garantizar controles adecuados corresponde a los órganos superiores del Ayuntamiento y a los responsables de las funciones de secretaría, intervención y tesorería.
Aunque reconoce cierto nivel de compromiso y concienciación entre los responsables municipales, considera necesario reforzar la organización y los procedimientos internos.
La falta de personal especializado aumenta la dependencia de empresas externas
La auditoría también identifica limitaciones en los recursos humanos destinados a la seguridad informática. El Consello de Contas señala que el Concello de Ferrol dispone de un equipo interno de dimensiones limitadas, circunstancia que dificulta desarrollar iniciativas estructuradas y sostenidas en el tiempo. Esta situación incrementa la dependencia de proveedores externos para implantar y mantener soluciones tecnológicas y realizar determinadas tareas especializadas.
El informe advierte de que la disponibilidad reducida de personal también influye en la falta de documentación formal y en las dificultades para consolidar procedimientos.
Asimismo, puede limitar la aplicación sistemática y preventiva de las medidas de seguridad. El organismo considera que estas circunstancias deben abordarse para mejorar la capacidad de respuesta del Concello y garantizar una protección más eficaz de sus sistemas de información.
El Consello de Contas pide revisar los sistemas informáticos sin soporte
Entre las recomendaciones formuladas, el Consello de Contas sitúa como primera prioridad la identificación y actualización de todos los sistemas informáticos que hayan quedado fuera de su período de soporte. Esta medida aparece clasificada como de riesgo alto y coste bajo, por lo que el organismo considera especialmente importante abordarla. Los sistemas que ya no reciben actualizaciones de seguridad pueden presentar vulnerabilidades conocidas que no sean corregidas por sus fabricantes. La segunda recomendación consiste en elaborar, aprobar y difundir una Política de Seguridad de la Información.
También se plantea mejorar los procedimientos de copias de seguridad, incluyendo la aprobación formal de una política específica, la realización de pruebas de recuperación y la protección de las copias almacenadas. Estas tres actuaciones figuran entre las primeras prioridades del informe y tienen un coste estimado bajo.
Vulnerabilidades, protección de datos y cumplimiento del ENS
El documento recoge otras recomendaciones que el Consello de Contas considera necesarias para mejorar la seguridad de los sistemas municipales. Entre ellas figura la elaboración de un procedimiento específico para identificar y corregir vulnerabilidades informáticas. También propone realizar un análisis del grado de cumplimiento del Esquema Nacional de Seguridad y establecer un plan de adecuación que permita avanzar hacia la certificación.
En materia de protección de datos, el organismo recomienda garantizar el cumplimiento del Reglamento General de Protección de Datos (RGPD).
El informe también recuerda la necesidad de realizar las auditorías anuales de los sistemas vinculados a la facturación electrónica, conforme a las obligaciones legales aplicables. Estas actuaciones están clasificadas como de riesgo alto y coste medio.
El Consello de Contas propone, además, formalizar las tareas de soporte y actualización de los sistemas, elaborar procedimientos de configuración segura y establecer un sistema unificado de gestión de usuarios.
Finalmente, recomienda documentar y aplicar un procedimiento para el tratamiento de los registros de auditoría, de acuerdo con los requisitos del Esquema Nacional de Seguridad.
El informe reconoce buenas prácticas en la vigilancia de los sistemas
Pese a las deficiencias detectadas, la auditoría también identifica aspectos positivos en la gestión informática del Concello de Ferrol. El Consello de Contas destaca especialmente la existencia de herramientas destinadas a monitorizar los eventos de seguridad y los registros de actividad.
Entre ellas figura un sistema SIEM (Security Information and Event Management), que permite recopilar, analizar y gestionar información procedente de diferentes sistemas informáticos. Esta tecnología facilita la detección de posibles amenazas mediante la centralización de eventos relacionados con la seguridad.
Además, el sistema está gestionado por un Centro de Operaciones de Seguridad (SOC) externo, lo que permite al Concello mantener una supervisión especializada de los sistemas incluidos en su ámbito de vigilancia. El organismo fiscalizador considera esta herramienta una buena práctica. De hecho, el control relacionado con el registro de actividad de los usuarios es el que obtiene la mejor puntuación de toda la auditoría, con un 70% de madurez y un 88% de cumplimiento.
Sin embargo, el Consello de Contas precisa que este resultado tampoco alcanza el nivel N3 exigido como referencia.
El Concello colaboró con los auditores y recibió los resultados detallados
El informe también recoge que el Concello de Ferrol prestó la colaboración requerida durante los trabajos de fiscalización. Según el Consello de Contas, el Concello facilitó la documentación solicitada y atendió los requerimientos del equipo auditor dentro de los plazos establecidos. La entidad fiscalizadora destaca que esta colaboración permitió finalizar los trabajos de campo en el tiempo previsto. Por otra parte, el documento explica que los resultados detallados de cada control no se hacen públicos por motivos de seguridad.
La difusión de determinadas vulnerabilidades podría facilitar información sensible sobre los sistemas municipales. Por este motivo, los responsables del Concello recibieron el contenido completo de los controles revisados mediante canales cifrados y con carácter confidencial, para que pudieran adoptar las medidas correctoras oportunas.
El informe público presenta las conclusiones de forma sintética, sin revelar detalles técnicos que pudieran comprometer la seguridad informática del Concello.
Una hoja de ruta para reforzar la seguridad digital municipal
La auditoría del Consello de Contas sitúa al Concello de Ferrol ante el reto de mejorar sus procedimientos de ciberseguridad y adaptar sus sistemas a las exigencias del Esquema Nacional de Seguridad.
El informe no se limita a identificar deficiencias, sino que establece una relación de recomendaciones ordenadas según el riesgo asociado y el coste estimado de implantación. Entre las prioridades figuran la actualización de los sistemas sin soporte, la aprobación de una política municipal de seguridad, la mejora de las copias de respaldo y la formalización de los procedimientos para detectar vulnerabilidades. También considera necesario reforzar la organización interna y definir responsabilidades en materia de seguridad informática.
El Consello de Contas reconoce que el Concello dispone de herramientas de vigilancia y monitorización, pero advierte de que estas medidas deben integrarse en una estructura de gestión más completa y formalizada.
Con un índice de madurez del 51% y un cumplimiento medio del 63,7%, la fiscalización concluye que todavía existe un margen considerable de mejora para alcanzar los niveles de protección establecidos como referencia.
La publicación del informe de Ferrol completa, además, el análisis de las siete grandes ciudades gallegas dentro de una línea de trabajo con la que el Consello de Contas pretende impulsar la seguridad de los sistemas informáticos de las administraciones locales.
