Señalan vulnerabilidad en los sistemas informáticos de la CFSE
El administrador de la corporación pública, Jesús Rodríguez, niega que subasta para cambiar los sistemas se haya hecho en contra de las recomendaciones y pidió una auditoría para investigar el contrato de la
pasada administración sobre la compra de equipo de almacenaje físico de información digital
Si un desastre mayor ocurriese en Puerto Rico, la Corporación del Fondo del Seguro del Estado (CFSE) podría quedarse a ciegas sobre el registro de todas sus transacciones y datos, pues desde inicios de 2017 no cuenta con el respaldo cibernético necesario que garantice la continuidad de toda su operación.
La falta, señalada por la Oficina de la Contralora desde noviembre del año pasado, toma mayor relevancia ahora que la corporación decidió mover todos sus archivos a una nube digital, contrario a las recomendaciones de sus técnicos informáticos internos. Para ello, la CFSE volvió a entrar en un proceso de subastas que levantó cuestionamientos dentro de la entidad, del mismo modo que cuando, hace unos meses, se externalizaron los servicios de farmacia a la cooperativa Coopharma en un proceso sin competencia.
El cambio a un sistema totalmente en la nube se haría mediante la contratación de un ente externo a través de un RFP a un costo de $1.7 millones, lo que es una cantidad mayor a una propuesta híbrida que la corporación tuvo ante sí para combinar la nube con un respaldo de servidores locales.
Este proceso de subasta surge luego de que este medio recibió denuncias de una fuente acerca de que la corporación pública nunca renovó la licencia de su sistema de almacenaje de información secundaria en caso de desastre luego del huracán María. Este sistema, conocido como un mainframe secundario en caso de desastres (Disaster Recovery Site), estaba ubicado en Guayama y tenía como fin resguardar todos los datos de la CFSE —pólizas e historiales de pago, entre otros— en caso de que el almacenaje principal, localizado en las instalaciones de la Junta Reglamentadora de Telecomunicaciones en Santurce, sufriera algún daño.
De acuerdo con la fuente, luego de que el sistema secundario de Guayama quedó inoperante tras el paso del huracán María, hace ya más de dos años, empleados del área de sistemas de información notificaron a la
gerencia que se debía renovar la licencia para continuar operando, pero no obtuvieron respuesta y tampoco se renovó. “No fue por olvido porque se les dio seguimiento... Se le notificó a Alex Herrera [director de la Oficina de Sistemas de Información de la CFSE] y no hizo nada”, señaló una fuente a Metro.
Herrera, por su parte, indicó no recordar dicha notificación sobre la necesidad de renovación de la licencia del sistema de Guayama. “Pudo haber sido que, en un momento dado [haya recibido notificación], pero como van como dos años de eso, en verdad, ahora mismo no tengo información”, sostuvo. Sin embargo, tanto Herrera como Jesús Rodríguez, administrador de la CFSE, reconocieron que no se renovó la licencia, ya que adoptarían un sistema de resguardo de información mediante una nube virtual. La licencia del almacenaje secundario en Guayama tenía un costo de alrededor de $100,000 anuales.
Rodríguez fue más allá y afirmó que se rechazó renovar el servicio de los servidores físicos, los que catalogó como “anacrónicos”. Pero, de acuerdo con la fuente, al no renovarse la licencia del mainframe de Guayama, la CFSE ya no puede acceder a los datos que se encontraban en ese sistema. Herrera reconoció que no utilizan el sistema de Guayama, pero justificó la movida debido a que buscan trabajar con “aplicaciones abiertas”, ya que este tipo de sistema físico solo pueden administrarlo empresas certificadas por IBM. Las licencias para el sistema de almacenamiento principal en Santurce y Guayama eran tramitadas mediante la empresa Truenorth. Rodríguez, asimismo, justificó no haber renovado la licencia debido a que ya habían comenzado a transferir la información de estos sistemas de almacenaje a sistemas internos de la agencia. Por lo tanto, negó que actualmente dependan de este sistema de almacenaje físico.
Señalamientos de Contralora
El pasado 26 de noviembre de 2018, la Oficina de la Contralora, emitió un informe de auditoría en el que señalaron que la CFSE no contaba con un plan para resguardar información en caso de desastres. El periodo de descartar estos sistemas —el de Santurce y Guayama— para finalmente moverse al sistema de almacenaje virtual de la nube. “Por todos lados, son desastres y un mal negocio, y nunca se debió hacer”, dijo Rodríguez en entrevista con Metro, y quien agregó que los equipos ubicados en Santurce y Guayama costaron cerca de un millón de dólares.
Bajo la dirección de Liza Estrada en el CFSE, se adquirieron estos dos equipos de almacenaje de información y se otorgó un contrato con la empresa Excellere Consulting Associates para que los implementara a un costo de $90,000. El contrato tenía vigencia hasta junio de 2017. Sin embargo, bajo la dirección de Rodríguez se canceló en abril de 2017. A su salida de la CFSE, Estrada catalogó la compra de estos equipos como un logro para la agencia.
Rodríguez, en cambio, defendió la cancelación del contrato e indicó que inició una auditoría interna para investigar dicho acuerdo y la compra del equipo. Según el funcionario, este equipo se adquirió con componentes “obsoletos” y se realizó en “detrimento del interés público”. “Mandamos a hacer una auditoría y voy a referir eso [el resultado] a las entidades pertinentes”, aseguró.
“Mandamos a hacer una auditoría y voy a referir eso a las autoridades pertinentes”
RFP y el cambio de sistema
Luego de que cambiaran el rumbo de la CFSE, Rodríguez insistió en la necesidad de mover toda la información de la corporación pública a una nube virtual. De acuerdo con información obtenida por Metro, personal de sistemas de información le recomendó a la jefatura de la CFSE que no adoptaran un modelo completamente en la nube debido a que conlleva riesgos en caso de que no haya sistema eléctrico —como ocurrió por varios meses tras María— o que en caso de impago, la empresa que administre no les permita acceder a los datos de la agencia. En la alternativa, recomendaron que se adoptara un sistema híbrido en el cual la nube se convierta en el resguardo secundario de información y se mantenga el sistema de almacenaje físico en Santurce.
“Si no tienes internet, no tienes sistema. Si tienes un sistema interno, sí se tiene servicio. Ahora mismo, si se cae, se puede seguir operando”, advirtió la fuente.
Según el Request for Proposal y el aviso de subasta, se
Jesús Rodríguez, administrador de
la CFSE estima que adoptar un sistema de la nube podría costar $1.7 millones. Actualmente, las propuestas están bajo revisión del comité evaluador de la Junta de Subastas.
En torno a los riesgos de favorecer la tecnología de la nube, el director de compras y subastas de la CFSE, Elliot Díaz, se limitó a responder que cuando se adjudique la subasta a la empresa ganadora, se atenderán “cada una de esas inquietudes”. Díaz comentó que el contrato podría ser a tres o cinco años.
Por su parte, el administrador de la CSFE alegó que tras el huracán María ninguno de estos equipos de almacenaje funcionó. Asimismo, rechazó que el sistema de la nube fuera más costoso y descartó los riesgos subrayados. Según dijo, lo único que puede comprometer la integridad de la nube es un ataque nuclear.
“Puedo entender que hay personas que les va a molestar esto y, claro, porque van a perder sus negocios en términos de manejo de mainframe”, dijo el administrador, sin indicar a quién se refería.
¿Privatización?
El presidente de la Unión de Empleados de la CFSE (UECFSE), Francisco Reyes, expresó que no le extrañaba el proceder de la corporación en lo que tildó de un proceso que encamina la privatización de servicios.
“Desde los inicios de esta [administración] hemos visto y denunciado patrones en los que crean la crisis para luego justificar acciones privatizadoras. Estaremos pendientes a las denuncias que se hacen y, de ser necesario, actuaremos acerca de las mismas”, sentenció el líder sindical en declaraciones escritas a este medio.
Rodríguez, por su parte, rechazó que esta movida implique una privatización de servicios o que redunde en el despido de empleados públicos.