Santa Cruz de Tenerife contará con apoyo especializado para prevenir, detectar y responder ante incidentes de ciberseguridad mediante un convenio de cooperación con el Gobierno de Canarias.
El acuerdo articula la puesta a disposición de servicios avanzados del CSIRT-CAN —el Equipo de Respuesta a Incidentes de Seguridad Informática del Ejecutivo regional— para reforzar la capacidad municipal frente a amenazas que afectan cada vez más a las administraciones públicas, desde accesos no autorizados y suplantaciones hasta interrupciones de servicios digitales.
El texto sitúa este instrumento en línea con el Esquema Nacional de Seguridad (ENS) y con el marco de gestión de incidentes de seguridad en redes y sistemas de información, y lo equipara a modelos ya implantados en otras comunidades autónomas.
Servicios
El objeto del convenio es “poner a disposición” del Ayuntamiento los servicios del CSIRT-CAN en tres bloques: servicios reactivos, servicios preventivos y servicios de formación y concienciación, detallados en anexos.
Además, el acuerdo contempla la posibilidad de desplegar sondas en entidades locales cuando se considere necesario para detectar situaciones de riesgo lo antes posible, así como asesoramiento específico para el cumplimiento del ENS.
El documento presenta el CSIRT-CAN como un refuerzo coordinado con un Centro de Operaciones de Seguridad (SOC) corporativo del Gobierno autonómico, que mantiene la operación de seguridad sobre sistemas y redes corporativas.
El acceso a los servicios se gestionará mediante la web y sistemas de autenticación del CSIRT-CAN, y ambas administraciones se comprometen a realizar los trabajos técnicos necesarios para habilitarlo “lo antes posible”, garantizando el nivel de seguridad correspondiente.
Compromisos
El acuerdo dibuja un reparto de responsabilidades que, sobre el papel, pretende ser operativo.
Por parte del Gobierno de Canarias, a través de la Dirección General de Transformación Digital de los Servicios Públicos (DGTDSP), se asume el compromiso de aportar los medios técnicos, personales y de gestión necesarios para prestar los servicios solicitados por el Ayuntamiento, con un dimensionamiento vinculado al “tamaño del municipio” según el número de habitantes.
También se incluye la cesión a la entidad local de un “paquete de ciberseguridad” con el objetivo de reforzar los sistemas municipales, y la elaboración de planes de comunicación, difusión y formación a través del portal CSIRT-CAN.
A cambio, el Ayuntamiento asume obligaciones prácticas: debe facilitar medios técnicos y personal para coordinar la prestación, nombrar dos responsables técnicos como interlocutores diarios, ceder un espacio con condiciones adecuadas para el equipamiento cedido, y hacerse cargo de suministros y servicios de telecomunicaciones vinculados a esas instalaciones.
Además, se compromete a comunicar necesidades e incidencias por los canales del CSIRT-CAN, participar activamente en acciones de difusión y formación, y publicar el convenio en el Boletín Oficial de la Provincia.
El detalle que conviene mirar
Uno de los puntos más sensibles del convenio está en la titularidad y control del hardware y software del CSIRT-CAN durante la vigencia.
El Ayuntamiento y su personal no podrán abrir, modificar o interferir con el equipamiento, ni copiar o realizar ingeniería inversa del software. El texto también es tajante respecto a los datos y elementos alojados en esa infraestructura, que “permanecerán” como propiedad del CSIRT-CAN durante el periodo de prestación.
Sin embargo, a la finalización del período de garantía, el 31 de diciembre de 2027, los equipos y el software pasarán a ser propiedad de la corporación local donde se encuentren emplazados. Ese traspaso abre una pregunta inevitable de sostenibilidad: qué ocurrirá a partir de entonces con el mantenimiento, las actualizaciones y el nivel de servicio, especialmente si el modelo técnico depende de licencias, soporte y procedimientos especializados.
El acuerdo subraya que no supone incremento del gasto público ni para el Gobierno ni para el Ayuntamiento, y que no genera obligaciones económicas directas entre las partes.
Aun así, el propio texto deja entrever costes indirectos y obligaciones operativas: espacio, electricidad, climatización, conectividad, personal municipal dedicado, integración técnica y cumplimiento normativo.
Datos personales
Otro punto informativamente potente es el tratamiento de datos personales. El convenio especifica que la DGTDSP tratará datos conforme al RGPD y la LOPDGDD, y que adoptará medidas de seguridad alineadas con el ENS.
Además, establece que el acceso a determinados datos necesarios para la prestación no se considera cesión, sino un tratamiento como encargado, bajo instrucciones del Ayuntamiento, que actúa como responsable.
Se citan expresamente logs de navegación y direcciones IP de usuarios, y se contempla la existencia de un subencargado vinculado a la DGTDSP mediante licitación pública, financiado con Mecanismo de Recuperación y Resiliencia.
El convenio añade, además, una cláusula de interés público: el CSIRT-CAN podrá utilizar información técnica recibida y tratada, anonimizada y sin referencias a entidades o personas, para fines estadísticos, informes y mejora del conocimiento y los servicios.
Qué vigilar a partir de ahora
Si el convenio es el marco, la noticia real se jugará en la ejecución: qué servicios se activan, con qué alcance, y con qué tiempos de respuesta. También conviene observar cómo se concreta el equilibrio entre “coste cero” formal y exigencias operativas reales, y cómo se articula la protección de datos en la práctica —especialmente en lo relativo a logs, IP y subencargados—.
Finalmente, cuando el equipamiento pasa a ser municipal, será un punto de inflexión que determinará si el refuerzo de ciberseguridad se consolida como capacidad estable o se queda en una solución temporal condicionada por la financiación y el ciclo de soporte.
