La Contraloría de Puerto Rico emite una opinión cualificada sobre los controles para la administración de la seguridad, el acceso lógico, la continuidad del servicio, la segregación de deberes y los equipos computadorizados del Programa de Sistemas de Información de la Junta de Planificación de Puerto Rico. Una opinión cualificada se emite cuando los incumplimientos individuales o en conjunto son significativos pero no generalizados.

El Informe revela que al 16 de agosto de 2016, la Junta no había preparado un informe de análisis de riesgos ni un análisis de impacto de negocio en los sistemas de información computadorizados. Estas situaciones impiden estimar el impacto que los elementos de riesgos tendrían en los sistemas críticos para así protegerlos, y dificulta desarrollar las medidas de control, que en caso de una eventualidad, minimicen los riesgos.

La auditoría de cuatro hallazgos señala que la Junta carecía de un plan de continuidad de negocios y de un centro alterno para restaurar sus operaciones críticas en caso de emergencia. El propósito de dicho plan es lograr el pronto funcionamiento de los sistemas y restaurar las operaciones de la Junta en caso de riesgos como: variaciones en el voltaje, virus en la computadoras, ataques maliciosos a la red o desastres naturales, entre otros.

Nuestros auditores identificaron que en caso de emergencia, la Junta no puede disponer de los respaldos de información ya que no se realizaron respaldos periódicos de la información computadorizada. Además, del 1 de julio de 2015 al 5 de mayo de 2017, la Junta no utilizó un archivo de seguridad para los respaldos, que había arrendado por $7,500 a una compañía externa.

Contrario a lo establecido en la Política TIG-003 de la Carta Circular 77-05 sobre los controles adecuados en los sistemas de información computadorizados, un programador de sistemas electrónicos de la Junta, realizaba funciones conflictivas como programador y otras tareas adicionales. Esta situación se agrava ya que no existía un control alterno de supervisión por parte del director de sistemas de información.

El Informe cubre el periodo del 31 de mayo de 2016 al 13 de junio de 2017.

Vea el Informe de Auditoría TI-18-09.

Para ver otros informes publicados, visite nuestra sección de Informes de Auditoría.