Muchos ayuntamientos se toman a la ligera la ciberseguridad. No tienen conciencia de su importancia cuando ya es algo que está siendo tomado muy en serio por muchas empresas y, cada vez más, por personas particulares que quieren protegerse, a toda costa, de posibles ataques informáticos como son el robo de datos personales o corporativos.

En octubre de 2015, no hace siquiera un año, dos empresas de seguridad informática quisieron analizar los niveles de ciberseguridad de las páginas web de los 77 municipios mayores de 100.000 habitantes. Los resultados obtenidos son terribles: el 96% de los municipios analizados suspendían en la seguridad que deben aportar a sus ciudadanos, presentando grandes vulnerabilidades en sus protocolos de cifrado.

Un ciberdelincuente, mínimamente espabilado, le sería muy sencillo robar los datos personales que enviamos a los ayuntamientos a través de los servicios online de sus webs: Nombre, apellidos, dirección postal, email o teléfono. Y, más, si el contribuyente o ciudadano está usando el formulario para pagar el IBI de forma telemática en el que se ofrecen datos bancarios.

En el estudio, los autores se centraron exclusivamente en un aspecto muy concreto: analizar la seguridad del cifrado SSL y TLS, porque son medidas de seguridad básicas que cualquier página web, y más un ayuntamiento, debe tener.

Para ello, usaron una herramienta pública que provee la firma de seguridad Qualys, y que se puede usar libremente. Esta puntúa de la A (muy seguro) a la F (completamente inseguro) el cifrado implementado en las páginas web. La letra ‘T’ es nota aparte: ‘Trustable’. Quiere decir que el certificado digital no es confiable pero que no es necesariamente malo, simplemente el navegador no reconoce el certificado firmado por la Fábrica Nacional de Moneda y Timbre, aunque debe solventar problemas.

Sorprende ver en el estudio que grandes ciudades como Barcelona, Bilbao, Gijón o Pontevedra obtienen la peor nota posible, la F. En el caso de Madrid, obtiene una T. Tan solo Girona obtiene una A y Valladolid una B.

Uno suele pensar que a mayor tamaño (y presupuesto) en una ciudad, se protegen mejor estas cosas, pero parece ser que, en este caso, no es así.

¿Y qué pasa con la protección en ciberseguridad que ofrece la página web de Pozuelo de Alarcón?

Podéis comprobar vosotros mismos introduciendo la dirección web del Consistorio en el enlace de arriba y veréis que el Ayuntamiento obtiene una C. Sacar esta nota implica tener una protección mediocre tirando a suspenso.

No sé qué narices han hecho los concejales encargados del tema, durante este año de legislatura (han sido tres: De Aristegui, Rivas y Oria), sobre este importante y delicado tema pero desde luego no se han preocupado mucho sobre la protección de nuestros datos personales y bancarios. Y eso tendría que ser la prioridad absoluta de este gobierno por muy necesarios que sean la reducción de los recursos que utilizamos.

Los pozueleros (y cualquier ciudadano de otro municipio) merecemos la máxima protección frente a ataques informáticos y minimizar riesgos que puedan robarnos información sensible al pagar nuestro IBI a través de la administración electrónica.

Afortunadamente, esto se podría arreglar en pocos días ya que se tratan de fallos de seguridad que no requieren en absoluto de grandes inversiones para solucionarlos. Incluso, con simples actualizaciones de servidores quedan solventadas. A lo mejor deberían contactar con el Ayuntamiento de Girona o con el de Chiclana de la Frontera que es pionero en ciberseguridad para que les pongan al día.

Es cierto que con esta laxitud no cometen ninguna ilegalidad. No tener la protección máxima al día no es delito. Solo cumplen con la Ley de Protección de Datos (LOPD). El problema es que la ley está redactada de una forma que no especifica el grado de seguridad que deben cumplir.

Caso práctico: ¿Adivináis por qué fue fácil hackear el bufete de abogados Mossak Fonseca y gracias a eso se destaparon miles de millones de dólares que estaban ocultos?

El Maquinista