Lo que aprendimos en LocalCiber 2026 hablando con ayuntamientos y entidades locales
Los días 17 y 18 de septiembre estuvimos en LocalCiber 2026, el primer congreso de ciberseguridad del mundo local, organizado por el Consorci Localret en el BCIN de Badalona. Fuimos junto a nuestro partner ITGLOBAL, con stand compartido y una ponencia de nuestro presales Alberto Muñoz: “Gobierno del dato y visibilidad en entornos: cómo recuperar el control de la información sensible en las administraciones públicas”.
Durante esos dos días, casi todas las conversaciones acabaron en la misma pregunta: ¿sabemos realmente dónde están nuestros datos sensibles y quién puede acceder a ellos?
Por qué los datos sensibles son un reto específico en la administración pública
Un ayuntamiento gestiona información muy delicada como el padrón, datos tributarios, expedientes de servicios sociales, datos de salud, información de menores o de personal. Hay tres factores que complican su protección.
El primero es la acumulación. Son años, a veces décadas, de documentos copiados, reenviados y guardados en carpetas compartidas, servidores de ficheros, correo y aplicaciones de gestión. El segundo son los entornos híbridos, parte de la información está en servidores propios, parte en Microsoft 365 u otros servicios cloud y parte en bases de datos de aplicaciones sectoriales, y cada entorno se gestiona por separado. El tercero son los recursos limitados. Muchas entidades locales tienen equipos técnicos pequeños que no pueden revisar permisos carpeta por carpeta.
Y mientras tanto, la normativa exige lo contrario de la incertidumbre. El Esquema Nacional de Seguridad (ENS) y el RGPD parten de que la organización sabe qué información trata, dónde la guarda y cómo la protege, y de que puede demostrarlo.
Lo que nos contaron en LocalCiber
Los responsables de ayuntamientos y entidades locales nos describieron situaciones muy parecidas, sobre lo que preocupa a los ayuntamientos de sus datos. No tienen certeza de en qué ubicaciones hay datos personales o sensibles. Los permisos se han ido acumulando con los años: personas que cambian de departamento y conservan accesos antiguos, cuentas de proveedores que siguen activas o carpetas abiertas a toda la plantilla. Falta una vista unificada de todos los entornos. Y aunque los permisos estén bien definidos, no hay una forma sencilla de ver cómo se usan esos accesos en el día a día.
A esto se suma la adopción de herramientas de inteligencia artificial. Un ayuntamiento puede establecer qué aplicaciones corporativas están autorizadas, pero resulta mucho más difícil controlar todas las herramientas de IA de terceros que los usuarios pueden utilizar para redactar un documento, resumir un expediente, analizar información o automatizar una tarea.
Y aquí aparece una pregunta que cada vez será más importante: ¿qué información está introduciendo el usuario en esas herramientas? Porque controlar la IA no consiste únicamente en decidir qué herramientas están permitidas. También implica saber si se están compartiendo datos personales, información sensible o documentación interna con servicios externos, quién lo está haciendo y en qué contexto.
El DSPM ya no es un gran proyecto
Una de las conclusiones más claras de LocalCiber fue que la percepción del DSPM ha cambiado. Hace no tanto se asociaba a proyectos grandes, caros y largos. Hoy muchas entidades entienden que se puede empezar de forma sencilla: conectar un entorno, obtener información útil rápidamente y avanzar a partir de ahí según las prioridades de cada organización.
Con Arexdata DSPM ese recorrido tiene tres fases:
- Conectar. Conectores nativos para entornos como Microsoft 365, Google Workspace, servidores de ficheros, NAS, bases de datos o AWS, sin cambios en la infraestructura y sin interrupciones del servicio.
- Descubrir. Inventario y clasificación automática de los datos, mapa de permisos y accesos, y detección de datos redundantes, obsoletos o sobreexpuestos.
- Actuar. Alertas, priorización de riesgos, remediación selectiva (manual, automática o integrada con el SIEM o el DLP) e informes de cumplimiento.
Para una entidad pública, esto permite empezar por lo que más preocupa, por ejemplo, el servidor de ficheros de servicios sociales, y demostrar resultados antes de ampliar el alcance.
DSPM, ENS y RGPD: pasar de suponer a demostrar
El ENS (Real Decreto 311/2022) y el RGPD tienen un punto de partida común: conocer y controlar la información. Sin un inventario de datos, sin clasificación y sin trazabilidad de los accesos, cumplir se convierte en un ejercicio de buena fe difícil de sostener ante una auditoría o un incidente.
Un DSPM aporta precisamente esa base. Ofrece un inventario actualizado de datos sensibles gracias a la clasificación automática de los datos, identifica la sobreexposición y los permisos excesivos, registra la actividad sobre los datos y genera evidencias para los informes de cumplimiento. Es la base de un gobierno del dato real: el equipo responsable puede presentar al equipo de gobierno una foto fiel de qué datos sensibles hay, cuáles están en riesgo y qué se va a corregir primero.
Por qué importa que la solución esté en el catálogo CPSTIC
El CPSTIC (Catálogo de Productos y Servicios de Seguridad de las Tecnologías de la Información y la Comunicación) es el catálogo del Centro Criptológico Nacional (CCN). Recoge productos con garantías de seguridad acreditadas para su uso en sistemas sujetos al ENS.
Arexdata DSPM está incluido en el CPSTIC para sistemas de categoría ENS Alta, dentro de la familia de Gobernanza y Planificación de la Seguridad. Para una administración pública esto es relevante por dos razones. Por un lado, se trata de una referencia que los equipos técnicos ya conocen y usan al seleccionar tecnología. Por otro, simplifica la justificación de la elección dentro del marco del ENS. En LocalCiber comprobamos que este punto reduce mucho la fricción a la hora de plantear un proyecto de seguridad del dato.
A esa garantía se suma la valoración de quienes ya lo usan: Arexdata es uno de los DSPM mejor valorados por sus clientes en Gartner.
