INFORME DE AUDITORÍA TI-13-10 27 de noviembre de 2012 ...

INFORME DE AUDITORÍA TI-13-10
27 de noviembre de 2012
Oficina del Procurador del Ciudadano
Departamento de Informática
(Unidad 5382 - Auditoría 13466)
Período auditado: 10 de junio al 18 de noviembre de 2010

TI-13-10 1
CONTENIDO
Página
ALCANCE Y METODOLOGÍA ............................................................................................................. 2
CONTENIDO DEL INFORME ............................................................................................................... 2
INFORMACIÓN SOBRE LA UNIDAD AUDITADA .......................................................................... 3
COMUNICACIÓN CON LA GERENCIA............................................................................................. 5
OPINIÓN Y HALLAZGOS ..................................................................................................................... 6
1 - Falta de un centro alterno para la recuperación de las operaciones computadorizadas ................. 6
2 - Falta de un procedimiento para el manejo de incidentes de seguridad sobre los sistemas
de información ............................................................................................................................... 7
RECOMENDACIONES ........................................................................................................................... 8
AGRADECIMIENTO .............................................................................................................................. 9
ANEJO - FUNCIONARIOS PRINCIPALES DE LA ENTIDAD DURANTE EL
PERÍODO AUDITADO ......................................................................................................... 10

2 TI-13-10
27 de noviembre de 2012
Estado Libre Asociado de Puerto Rico
OFICINA DEL CONTRALOR
San Juan, Puerto Rico
Al Gobernador, al Presidente del Senado
y a la Presidenta de la Cámara de Representantes
Realizamos una auditoría de las operaciones del Departamento de Informática de la Oficina del Procurador
del Ciudadano (OPC) para determinar si las mismas se efectuaron de acuerdo con las normas generalmente
aceptadas en este campo y si el sistema de control interno establecido para el procesamiento de las
transacciones era el adecuado. Hicimos la misma a base de la facultad que se nos confiere en el
Artículo III, Sección 22 de la Constitución del Estado Libre Asociado de Puerto Rico y, en la Ley Núm. 9
del 24 de julio de 1952, según enmendada.
ALCANCE Y
METODOLOGÍA
CONTENIDO DEL
INFORME
La auditoría cubrió del 10 de junio al 18 de noviembre de 2010. El examen
lo efectuamos de acuerdo con las normas de auditoría del Contralor de
Puerto Rico en lo que concierne a los sistemas de información
computadorizados. Realizamos las pruebas que consideramos necesarias, a
base de muestras y de acuerdo con las circunstancias, tales como:
entrevistas; inspecciones físicas; examen y análisis de informes y de
documentos generados por la unidad auditada o suministrados por fuentes
externas; pruebas y análisis de procedimientos de control interno y de
otros procesos; y confirmaciones de información pertinente.
Este Informe contiene dos hallazgos sobre el resultado del examen
que realizamos de los controles internos establecidos para la
administración del programa de seguridad y la evaluación de la
continuidad del servicio.

TI-13-10 3
INFORMACIÓN SOBRE
LA UNIDAD AUDITADA
1 Anteriormente se denominaba Oficial de Enlace.
La OPC fue creada en virtud de la Ley Núm. 134 del 30 de junio
de 1977, Ley del Procurador del Ciudadano, según enmendada. La OPC
está adscrita a la Rama Legislativa y se estableció con el propósito de
garantizarle al ciudadano un trato justo, rápido, adecuado y libre de
prejuicio por parte de las agencias y los demás organismos de la Rama
Ejecutiva. A base de dicho propósito, tiene la función de intervenir para
controlar los excesos burocráticos y defender a los ciudadanos que se vean
afectados por la burocracia, o por las decisiones administrativas de dichas
agencias y organismos gubernamentales. Además, de promover el uso
óptimo de la energía y el tiempo de las agencias gubernamentales, dentro
de la complejidad administrativa gubernamental.
En la Ley Núm. 134 se dispone que el Procurador del Ciudadano tendrá
jurisdicción para investigar los casos administrativos de las agencias, y
podrá ejercer las facultades y las atribuciones que se le concedan. Dicha
Ley faculta al Procurador del Ciudadano para investigar los
procedimientos internos de las agencias de la Rama Ejecutiva y los actos
administrativos que afectan a los ciudadanos, según se definen en la
misma. Finalizada cualquier investigación, el Procurador del Ciudadano
informa a la agencia su opinión y sus recomendaciones. Si determina que
cualquier funcionario o empleado de una agencia ha faltado, sin
justificación razonable, al cumplimiento de los deberes propios de su cargo
o empleo o que ha sido negligente en el desempeño de los mismos, lo
notifica a las autoridades, los organismos o los foros administrativos
competentes para que estos procedan al respecto.
La OPC ofrece servicios desde su Oficina Central y sus siete oficinas
regionales en: Arecibo, Bayamón, Caguas, Humacao, Mayagüez, Ponce y
San Juan. Además, cuenta con un Facilitador del Pueblo 1 en cada agencia
gubernamental. Estos facilitadores tienen la encomienda de ver que se
cumpla con los requerimientos de información cursados por la OPC;

4 TI-13-10
comparecer a reuniones y a vistas en representación de la agencia
intervenida; y asegurarse de que se implanten las recomendaciones y las
medidas contenidas en los Proyectos de Acción Remediativa Especial 2 .
Mediante la Ley 432-2000, se enmendó la Ley Núm. 134 a los fines de
facultar al Procurador del Ciudadano a nombrar a los procuradores
especializados. Estos procuradores atienden reclamaciones que surgen en
áreas específicas de la gestión pública. Para cumplir con la Ley 432-2000,
según enmendada, el Procurador del Ciudadano nombró dos procuradores
especializados: uno para Asuntos Hidrológicos 3 y otro para Asuntos
Ambientales. Posteriormente, la Ley Núm. 134 fue nuevamente enmendada
mediante la Ley 454-2000 para facultar al Procurador del Ciudadano a
nombrar un Procurador de Pequeños Negocios. Este tiene a su cargo
representar a cualquier dueño de pequeño negocio durante cualquier
procedimiento de adjudicación adverso.
Mediante la Ley 97-2008, se enmendó la Ley 111-2005, Ley de
Información al Ciudadano sobre la Seguridad de Bancos de Información,
para requerir al Procurador del Ciudadano que creara el cargo de
Procurador Especializado de Sistemas de Seguridad de Bases de Datos.
Esto, para atender los casos en que ocurra una violación o irregularidad en
los sistemas de seguridad de los bancos de datos de una agencia de
gobierno o corporación pública.
Los gastos operacionales del Departamento de Informática eran sufragados
del presupuesto operacional de la OPC que para el año fiscal 2009-10
ascendió a $5,376,000.
A la fecha de nuestra auditoría, la OPC tenía una infraestructura
que contaba con 10 servidores, 116 computadoras, 1 red de área local
(LAN, por sus siglas en inglés) en la oficina central y 1 red de área amplia
(WAN, por sus siglas en inglés) que conectaba con sus 7 oficinas
2
Las entidades gubernamentales preparan y remiten un proyecto para cumplir efectivamente con las recomendaciones
de los informes o resoluciones de la OPC.
3
Mediante la Orden Administrativa 07-001 del 22 de enero de 2007, se creó la figura del Procurador Especializado de
Servicios Básicos Esenciales que derogó la figura del Procurador de Servicios Hidrológicos.

TI-13-10 5
COMUNICACIÓN CON
LA GERENCIA
regionales. El Departamento de Informática de la OPC contaba con
una sola persona para trabajar con sus sistemas de información. Esta
persona ocupaba el puesto de Especialista en Informática.
El ANEJO contiene una relación de los funcionarios principales de la
OPC que actuaron del 10 de junio al 18 de noviembre de 2010.
La OPC cuenta con una página en Internet, a la cual se puede acceder
mediante la siguiente dirección: http://www.ombudsmanpr.com. Esta
página provee información acerca de la entidad y de los servicios
que presta.
Las situaciones comentadas en los hallazgos de este Informe y varias
situaciones determinadas durante la auditoría, relacionadas con los
controles internos establecidos para la administración del programa de
seguridad; el acceso físico y lógico; la evaluación de la continuidad del
servicio; y la seguridad y la utilización de las computadoras, fueron
remitidas a la Procuradora del Ciudadano, Hon. Iris M. Ruiz Class,
mediante cartas de nuestros auditores del 3 de diciembre de 2010 y del
11 de enero de 2011. En las referidas cartas se incluyeron anejos con
detalles sobre las situaciones comentadas.
La Procuradora del Ciudadano remitió sus comentarios a los hallazgos
incluidos en la carta de nuestros auditores, por cartas del 17 de diciembre
de 2010 y del 31 de enero de 2011. Sus comentarios fueron considerados
en la redacción del borrador de este Informe.
El borrador de los hallazgos de este Informe se remitió a la Procuradora
del Ciudadano para comentarios, por carta del 18 de junio de 2012.
El 27 de junio de 2012 la Procuradora del Ciudadano solicitó una prórroga
para contestar el borrador de los hallazgos de este Informe.
El 28 de junio de 2012 le concedimos la prórroga solicitada hasta el 18 de
julio de 2012, para remitir sus comentarios. La Procuradora del Ciudadano
contestó el borrador de los hallazgos de este Informe mediante
carta del 18 de julio de 2012. Sus comentarios fueron considerados
en la redacción final de este Informe y se incluyen en la sección

6 TI-13-10
OPINIÓN Y HALLAZGOS
titulada OPINIÓN Y HALLAZGOS. Luego de evaluar dichos
comentarios y la evidencia suministrada, determinamos que la OPC tomó
las acciones correctivas pertinentes, excepto por los hallazgos que
se incluyen en este Informe.
Las pruebas efectuadas demostraron que las operaciones del Departamento
de Informática, en lo que concierne a los controles internos establecidos
para la administración del programa de seguridad; el acceso físico y
lógico; la evaluación de la continuidad del servicio; y la seguridad y la
utilización de las computadoras, se realizaron sustancialmente conforme a
las normas generalmente aceptadas en este campo, excepto por los
hallazgos 1 y 2 que se comentan a continuación.
Hallazgo 1 - Falta de un centro alterno para la recuperación de las
operaciones computadorizadas
a. Al 20 de agosto de 2010, la OPC no contaba con un centro alterno
para restaurar sus operaciones críticas computadorizadas en casos de
emergencias. Tampoco había formalizado acuerdos escritos con otra
entidad para establecer un centro alterno en las instalaciones de esta.
Criterio
Las mejores prácticas en el campo de tecnología de información sugieren
que, como parte integral del Plan de Continuidad de Negocios, deben
existir convenios donde se estipulen las necesidades y los servicios
requeridos para afrontar una emergencia. Debe incluirse, además, una
cláusula que especifique el lugar o los lugares donde podrían ser
requeridos dichos servicios. Estos lugares, de acuerdo con la capacidad de
la agencia, podrían ser los siguientes:
Una entidad pública o privada de similar configuración y tamaño
Una compañía dedicada a servicios de restauración
Un centro alterno de la propia entidad.

TI-13-10 7
Efecto
La situación comentada podría afectar las operaciones de la OPC y los
servicios del Departamento de Informática, ya que no tendrían disponibles
unas instalaciones para operar después de una emergencia o evento que
afectara su funcionamiento. Esto podría atrasar o impedir el proceso de
restauración de archivos y el pronto restablecimiento de las operaciones
normales del Departamento de Informática.
Causa
La situación comentada se atribuye a que el Especialista en Informática no
había coordinado la identificación de un lugar disponible y adecuado como
centro alterno para restaurar las operaciones críticas de la OPC en caso de
desastre o de alguna emergencia.
Comentarios de la Gerencia
En la carta de la Procuradora del Ciudadano, esta nos indicó, entre otras
cosas, lo siguiente:
La Oficina del Procurador del Ciudadano identificó un lugar para
que actúe como centro alterno para restaurar sus operaciones
computarizadas en caso de una emergencia. El centro alterno se
establecerá en la […]. [sic]
Véase la Recomendación 1.
Hallazgo 2 - Falta de un procedimiento para el manejo de incidentes
de seguridad sobre los sistemas de información
Situación
a. Al 9 de septiembre de 2010, la OPC no tenía un procedimiento o plan
para el manejo de incidentes que estableciera, entre otras cosas, una
estrategia documentada para el manejo de los incidentes, un equipo de
respuesta y la documentación de las actividades relacionadas con los
mismos.
Criterio
En las mejores prácticas en el campo de la tecnología de información
se establece que las entidades gubernamentales serán responsables
de desarrollar procedimientos para detectar, informar y responder a
incidentes de seguridad, incluidos los límites para esos incidentes en

8 TI-13-10
RECOMENDACIONES
términos de tiempo máximo y mínimo de respuesta. Además, todos los
empleados y los contratistas deberán conocer los procedimientos para
informar los diferentes tipos de incidentes.
Efectos
La situación comentada le impide a la OPC tener un control eficaz y
documentado sobre el manejo de incidentes. Además, puede provocar
duplicidad de esfuerzo y tiempo ante situaciones inesperadas, lo que
afectaría el restablecimiento de los sistemas con prontitud y aumentaría la
extensión de los daños, si alguno.
Causa
La situación comentada se atribuye a que el Especialista en Informática no
había desarrollado y remitido para la aprobación de la Procuradora del
Ciudadano las normas y los procedimientos escritos necesarios para el
manejo de incidentes.
Comentarios de la Gerencia
En la carta de la Procuradora del Ciudadano, esta nos indicó, entre otras
cosas, lo siguiente:
Como parte de la intervención de la Oficina del Contralor se
estableció […] y un procedimiento para el manejo de incidentes
de seguridad sobre los sistemas de información tomando como
base; Plan de Contingencia, Reglamentos y Evaluación de
Riesgo de la Oficina del Procurador del Ciudadano y las normas
generales de la industria. [sic]
Véase la Recomendación 2.
A la Procuradora del Ciudadano
1. Asegurarse de que se completen los procesos para que se establezca el
centro alterno y de que el mismo cuente con el equipo necesario para
restaurar las operaciones críticas de la OPC en casos de emergencias.
[Hallazgo 1]
2. Supervisar efectivamente al Especialista en Informática para
asegurarse de que prepare y remita para su aprobación, si aún no se ha
realizado, un procedimiento para el manejo de incidentes. En el
mismo se debe requerir que se documenten todos los incidentes y

10 TI-13-10
Hon. Iris M. Ruiz Class
OFICINA DEL PROCURADOR DEL CIUDADANO
DEPARTAMENTO DE INFORMÁTICA
FUNCIONARIOS PRINCIPALES DE LA ENTIDAD
DURANTE EL PERÍODO AUDITADO
ANEJO
NOMBRE CARGO O PUESTO PERÍODO
DESDE HASTA
Procuradora del Ciudadano
10 jun. 10 18 nov. 10
Lcdo. Kevin M. Rivera Medina Procurador Auxiliar 10 jun. 10 18 nov. 10
Sr. Reuel García Rivera Especialista en Informática 10 jun. 10 18 nov. 10

MISIÓN Fiscalizar las transacciones de la propiedad y de los fondos públicos, con
independencia y objetividad, para determinar si se han realizado de acuerdo
con la ley, y atender otros asuntos encomendados.
Promover el uso efectivo, económico, eficiente y ético de los recursos del
Gobierno en beneficio de nuestro Pueblo.
PRINCIPIOS PARA
LOGRAR UNA
ADMINISTRACIÓN
PÚBLICA DE
EXCELENCIA
La Oficina del Contralor, a través de los años, ha identificado principios
que ayudan a mejorar la administración pública. Dichos principios se
incluyen en la Carta Circular OC-08-32 del 27 de junio de 2008,
disponible en nuestra página en Internet.
QUERELLAS Las querellas sobre el mal uso de la propiedad y de los fondos públicos
pueden presentarse, de manera confidencial, personalmente o por teléfono
al (787) 754-3030, extensión 2124, o al 1-877-771-3133 (sin cargo).
También se pueden presentar mediante el correo electrónico
Querellas@ocpr.gov.pr o a través de la página en Internet de la Oficina.
INFORMACIÓN SOBRE
LOS INFORMES DE
AUDITORÍA
INFORMACIÓN DE
CONTACTO
En los informes de auditoría se incluyen los hallazgos significativos
determinados en las auditorías. En nuestra página en Internet se incluye
información sobre el contenido de dichos hallazgos.
La manera más rápida y sencilla de obtener copias libres de costo de los
informes es mediante la página en Internet de la Oficina.
También se pueden emitir copias de los mismos, previo el pago de sellos de
rentas internas, requeridos por ley. Las personas interesadas pueden
comunicarse con el Administrador de Documentos al (787) 294-0625 o
(787) 200-7253, extensión 536.
Dirección física:
105 Avenida Ponce de León
Hato Rey, Puerto Rico
Teléfono: (787) 754-3030
Fax: (787) 751-6768
Dirección postal:
PO Box 366069
San Juan, Puerto Rico 00936-6069
Internet:
http://www.ocpr.gov.pr
Correo electrónico:
ocpr@ocpr.gov.pr