sábado, 14 de noviembre de 2026 Análisis con inteligencia artificial propietariaCómo analizamos
Notifacto.

Donde los medios rinden cuentas

Recibir las actualizaciones
HoyPunto Ciego®MediosEstadoCerca de tiTemasCompararArchivo
HoyPunto Ciego®MediosBuscarCerca
Notifacto.

Los medios rinden cuentas.

contacto@notifacto.com
ExplorarHistorias de hoyResumen diarioPrimiciasPunto Ciego®Medios y propietariosMapa de mediosDinero público y mediosTemasComparar mediosNoticias cerca de tiArchivo de historiasBuscar en Notifacto
El Estado bajo la lupaVigilancia al EstadoSeñalesDineroInstitucionesPersonasEmpresas
NotifactoQuiénes somosMetodologíaDatos abiertosFundadorBuzón seguro: envíanos informaciónRecibir las actualizaciones Canal de sindicación
LegalCentro legalAviso legalTérminos de usoPrivacidadUso de inteligencia artificialRectificaciones y réplica
Cada pieza es analizada con inteligencia artificial propietaria de Notifacto. Puede contener errores: revisa siempre la evidencia enlazada.
ResumenSeñalesDineroInstitucionesPersonasEmpresas
InstitucionesQuién dirigeSolicitudesTransparenciaControl internoAuditoríasCongresoJusticiaCasosLista «En 29»Elecciones
El Estado bajo la lupa

Abriendo el informe…

Informes de auditoría

Dirección General de Contrataciones Públicas

Informe de Cámara de Cuentas, período 1 de enero de 2017 al 31 de diciembre de 2020, publicado el 18 may de 2023.

Informe en el sitio de Cámara de Cuentas ↗ · Ficha de la institución

Resumen

La Cámara de Cuentas evaluó los procesos, controles, funcionalidad y seguridad del área de Tecnología de la Información y los recursos tecnológicos de la DGCP, como apoyo a la auditoría financiera. Concluyó que existían debilidades importantes en la gestión y los controles de TI, incluidas fallas de seguridad, respaldo, monitoreo, gestión de riesgos y segregación de funciones, que comprometían la calidad, integridad, confidencialidad y disponibilidad de la información; el informe no cuantifica perjuicios económicos. La entidad no cuenta, según el informe, con planes institucionales adecuados de contingencia y recuperación, y varias observaciones se mantuvieron tras revisar los comentarios de la exadministración.

Hallazgos (12)

A revisar Debilidades y vulnerabilidades generales de gestión de TI

Control interno, sistemas y organización

El informe consigna carencias en evaluación tecnológica, planes de contingencia, continuidad y recuperación, metodologías de proyectos y evaluación de calidad, así como mecanismos de cambio de contraseñas y segregación de funciones. Estas deficiencias afectan la capacidad de gestionar y proteger los servicios críticos de la entidad.

«La DGCP no cuenta con planes de contingencia, recuperación de desastres y continuidad de negocio, metodología o plan de desarrollo de proyecto, evaluación de la calidad de los proyectos tecnológicos en general y segregación de las diferente divisiones o departamento que conforman la Dirección de Tecnología de la Información y Comunicación.»

A revisar Falta de herramienta o matriz de riesgos tecnológicos

Control interno, sistemas y organización

El departamento no tenía una herramienta o matriz para identificar los riesgos tecnológicos y estimar su impacto en las operaciones de TI y de la DGCP. Tampoco tenía identificadas las áreas más sensibles y las incidencias más comunes.

«En la realización de procedimientos aplicados en el mes de octubre de 2021 al Departamento TIC de la DGCP, se verificó que no cuentan con una herramienta o matriz que le permita identificar cuáles son los riesgos a los que están expuestos y el grado en que afectarían las operaciones del Departamento TIC y la DGCP a nivel general.»

A revisar Vulnerabilidades físicas y de control en el centro de datos

Control interno, sistemas y organización

La inspección consignó deficiencias en los sistemas de protección contra incendios, accesos, cableado, vigilancia y aislamiento eléctrico, además de falta de bitácora de visitas y de procedimientos actualizados. Estas condiciones exponían la infraestructura y la continuidad de los servicios tecnológicos.

«La DGCP no cuenta con un diseño y gestión adecuado en el centro de datos, el cual le permita certificar un ambiente físico y seguro en el desarrollo de las operaciones de la tecnología de la información.»

A revisar Controles insuficientes en el servidor de dominio

Control interno, sistemas y organización

El informe encontró registros de auditoría deshabilitados y debilidades en la gestión de cuentas, contraseñas y privilegios en Active Directory. La falta de trazabilidad y de revisión de accesos dificulta detectar y atender incidentes de seguridad.

«Durante los procedimientos y levantamientos de información realizados en la DGCP se evidencio ausencia de controles en los recursos que se gestionan desde el servidor de dominio de Active Directory.»

A revisar Estructura de TIC no alineada con los órganos rectores

Control interno, sistemas y organización

La estructura organizativa del departamento no estaba alineada con las recomendaciones del MAP y la OPTIC citadas en el informe. Esta desalineación afecta la definición de responsabilidades y la organización de las funciones tecnológicas.

«La Dirección de Tecnología de la Información y Comunicación de la DGCP, no cuenta con una infraestructura organizacional alineada a las recomendaciones del MAP en la resolución n.° 51-2013 y la OPTIC en la NORTIC Al del 2014.»

A revisar Falta de control y monitoreo de accesos a sistemas

Control interno, sistemas y organización

El área de seguridad y monitoreo no era responsable del control de algunos accesos; esas tareas eran ejercidas también por operaciones, administración de servicios y Recursos Humanos. La dispersión de responsabilidades debilitaba la supervisión y la trazabilidad de los accesos.

«La Dirección de Tecnología de la Información y Comunicación ha delegado funciones o permitido que otras áreas realicen funciones propias de la División de Seguridad y Monitoreo TIC.»

A revisar Ausencia de herramienta para monitorear controles de TIC

Control interno, sistemas y organización

La entidad no contaba con una herramienta que permitiera monitorear oportunamente bases de datos, servidores de archivos y otros recursos tecnológicos. El informe mantuvo la observación tras examinar los comentarios de la exadministración.

«La Dirección de Tecnología de la Información y Comunicación no posee un control o herramienta con la cual se pueda monitorear de forma oportuna la base de datos, servidores de archivos, recursos tecnológicos de la entidad.»

A revisar Debilidades en la segregación de funciones de TIC

Control interno, sistemas y organización

Se identificaron funciones ejercidas por áreas distintas a las que correspondían, incluidas tareas de seguridad, gestión de usuarios, desarrollo de bases de datos y asignación de roles. Esta combinación de responsabilidades reduce la separación de controles en procesos tecnológicos críticos.

«La división de desarrollo e implementación de sistemas realiza el proceso completo para el desarrollo de un sistema o aplicativo incluyendo el desarrollo de la base de datos, el cual se debería de realizar desde el área de infraestructura TIC.»

A revisar Debilidades en la gestión de respaldos de información

Control interno, sistemas y organización

El informe observó falta de almacenamiento externo para respaldos de infraestructura interna, planes no aprobados durante el procedimiento, pruebas no documentadas y accesos a carpetas de respaldo por usuarios ajenos a operaciones. La falta de copias externas y de controles verificables afecta la posibilidad de recuperar información.

«No se tiene contratado un lugar externo para estos fines.»

A revisar Controles insuficientes en desarrollo e implementación de sistemas

Control interno, sistemas y organización

El área no seguía una metodología de desarrollo, carecía de controles de seguridad y análisis funcional documentado, y no tenía mecanismos para que los usuarios evaluaran las etapas ni para medir su satisfacción. El informe concluyó que estas debilidades afectaban los resultados de los productos tecnológicos.

«Las debilidades y vulnerabilidades evidenciadas en el área de desarrollo e implementación de sistemas de la DGCP afectan significativamente el resultado de los productos.»

A revisar Vulnerabilidades críticas en el portal transaccional

Publicación y expedientes

El informe consignó equipos FortiGate sin actualizar a la versión vigente indicada, configuración de seguridad predeterminada en un equipo FortiADC, uso compartido de la cuenta ADMIN sin trazabilidad, accesos de usuarios no autorizados, usuarios de excolaboradores activos y contraseñas que no expiraban. También señaló que el departamento no tenía acceso al código fuente del portal.

«Los equipos FORTINET - FortiGate 500D y FortiGate 600C no se le realizaron actualizaciones al software de los equipos manteniendo la versión 5.2.6 y en la actualidad el proveedor va por la versión 5.2.10.»

A revisar Roles privilegiados sin controles suficientes en bases de datos

Control interno, sistemas y organización

Se identificaron siete empleados con rol fijo sysadmin, usuarios habilitados de un proveedor del Portal Transaccional y ocho cuentas de servicio con ese mismo rol. El informe señala que los miembros de sysadmin podían realizar cualquier actividad en el servidor, lo que representa un riesgo tecnológico alto.

«Existen siete (7) empleados con rol fijo “sysadmin”. Incluyendo colaboradores que ejercen las funciones de administradores de base de datos.»
Qué pasó despuésSegún el informe, se remitió a Contraloría General de la República.
Cómo leer estos datos

Los hallazgos son los que consignó Cámara de Cuentas en su informe; los leímos con inteligencia artificial propietaria de Notifacto, que puede contener errores, y publicamos solo los que tienen la cita comprobada contra el informe.

La «Revisión con datos públicos» de un hallazgo existe cuando alguna de nuestras reglas mira ese mismo hecho. Dice lo que muestran los datos públicos DESPUÉS del informe: no que la institución haya incumplido una recomendación. Las señales en verificación todavía se revisan. «Este dato ya era público desde…» es el primer hecho de ese tipo, en el período auditado, que muestran los datos públicos que revisamos; no quiere decir que lo viéramos antes que el órgano.

Una empresa o un proceso nombrado en un hallazgo se une al registro de proveedores y al portal de compras por su código o por su nombre; por nombre se rotula «Mismo nombre» y se muestran todas las empresas con ese nombre. El hallazgo trata de la institución auditada.

Sigue explorando · Instituciones y poderes

Todas las secciones →
  • InstitucionesCuánto compra cada una, a quién y sus señales
  • Quién dirige cada instituciónMinistros, directores y superintendentes, con su decreto
  • Solicitudes de informaciónQué pide la ciudadanía a cada institución y cómo responde
  • Transparencia de las institucionesLa nota de la DIGEIG, qué publica cada portal y cuáles responden
  • Control interno de las institucionesNota trimestral de la Contraloría frente a sus auditorías
  • CongresoLegisladores, iniciativas, asistencia y votos
  • JusticiaDecisiones de las altas cortes con el Estado como parte
  • Casos en los tribunalesFuncionarios imputados, próxima audiencia y cobertura
  • Lista «En 29»Muertes a manos de agentes del Estado que cuenta la prensa
  • EleccionesCandidaturas, electos y quién ocupa cada cargo

Fuente: Dirección General de Contrataciones Públicas y Portal Transaccional, con copia guardada por Notifacto. Las señales se detectan con inteligencia artificial propietaria de Notifacto: son motivos para mirar, no acusaciones, y pueden contener errores. La ley de cada señal, con ChatLeyes. Cómo funciona