Capacitar al personal en temas de seguridad y contar con herramientas que ayudan con el monitoreo de la red.

En este caso, es un poco difícil para mi determinar este aspecto , siendo que el departamento promueve la seguridad, realiza actividades en torno a esto , pero no es algo que se un compromiso de cada individuo lo que dificulta en avance, hay una gestión de riesgos bastante buena por parte de TI, tambien planificación y detección de los procesos de TI

Debe haber mas involucramiento por parte del personal, gestionar por departamento y por persona

Contamos con estrategias y políticas en ciberseguridad.

Cumplimos la normativa del MICITT.

Actualizar los planes y políticas.

1. Falta de Gobernanza Estratégica: Las preguntas clave de la evaluación (como la alineación estratégica y la documentación de una Política de Seguridad de la Información, o PSI) salieron en "NO". Esto es fundamental: no podemos tener seguridad robusta si la Alta Gerencia no ha definido formalmente qué y por qué proteger. La seguridad es operativa, pero le falta visión estratégica.

2. Riesgo Humano No Mitigado: Un punto débil fue la concientización. Al marcar "NO" en las capacitaciones periódicas para todos los funcionarios (no solo TI), estamos dejando la puerta abierta a riesgos como el phishing. La tecnología nos protege, ¡pero la gente necesita la formación!

3. Respuesta No Documentada: Al no tener un Plan de Respuesta a Incidentes formalizado (la respuesta fue "NO"), sabemos que si mañana tenemos un ransomware o una fuga de datos, la respuesta será improvisada y el tiempo de recuperación será mucho más largo de lo que debería.

1. Tenemos respaldo (Backups): Lo más importante es que la pregunta sobre la realización de copias de seguridad de la información crítica arrojó un SÍ. Esto es la columna vertebral de nuestra resiliencia. Si tenemos un ataque de ransomware o un desastre, la capacidad de Recuperar la información es nuestra póliza de seguro, y ya la tenemos activa.

2. Control sobre los Activos: Aunque no está perfecto, el área ya mantiene un inventario de equipos. Esto demuestra que tenemos el control básico sobre nuestra infraestructura. Ya sabemos qué proteger, y esa es la primera función clave del marco NIST: Identificar.

3. Cultura de Acceso Restringido: También realizamos el control de acceso en muchos sistemas. Operativamente, el equipo de TI intenta darle a cada funcionario solo el acceso que necesita. Esta buena práctica es un excelente punto de partida para la función Proteger; solo necesitamos formalizarla en una política institucional.

En conclusión el "cómo" (la gestión operativa de TI) funciona bien; lo que necesitamos es el "qué" y el "por qué" (la gobernanza estratégica) para llevar esas buenas prácticas al siguiente nivel de madurez.

Por consiguiente, la participación activa y el involucramiento sostenido de las autoridades competentes son cruciales, ya que esto resultará directamente en una mejora sustancial en la gestión y los resultados de las iniciativas de TIC.

En general es preocupante una vez analizado el avance del curso el nivel en el cual se encuentra la municipalidad, este tema de la seguridad en informatica cada día toma mas relevancia, sin embargo la administración municipal no toma decisiones acertadas para incorporar políticas mas agresivas en políticas y reglamentos para este fin. El nivel es 1 o muy basico.