Jornada Internacional de Seguridad Informática ACIS 2017
Junio/2017
GSM/JCM-17 1
IX INFORME DE ENCUESTA LATINOAMERICANA DE SEGURIDAD DE LA INFORMACIÓN
GSM/JCM-17
IX INFORME DE ENCUESTA LATINOAMERICANA DE SEGURIDAD DE LA INFORMACIÓN
Jeimy J. Cano M., Ph.D, CFE
Gabriela María Saucedo Meza, MDOH, Ph.D(c)
Bogotá, Colombia. Junio 2017GSM/JCM-17
Jornada Internacional de Seguridad Informática ACIS 2017
Junio/2017
GSM/JCM-17 2
CONTEXTUALIZACIÓN
DOCUMENTOS
REFERENTES
REVISADOS
ANÁLISIS DE LA
INFORMACIÓNCONCLUSIONES
GSM/JCM-17
CONTEXTUALIZACIÓN
DINÁMICA DE LA
SEGURIDAD DE LA
INFORMACIÓN
Capital intelectual
Vista académica Incidentes
Riesgos
Presupuestos
Demografía Evidencia digital
Obstáculos
GSM/JCM-17
Jornada Internacional de Seguridad Informática ACIS 2017
Junio/2017
GSM/JCM-17 3
DOCUMENTOS REFERENTES REVISADOS GSM/JCM-17
ANÁLISIS DE LA INFORMACIÓN - Demografía
España: 1.14%
Colombia: 72.73%
176 participantes
Servicios Financieros y Banca; 20,45%
Educación; 17,61%
Consultoría Especializada; 13,07%
Otras, 11,93%
Gobierno / Sector público; 11,36%
Telecomunicaciones; 6,25%
Sector de Energía e Hidrocarburos;
5,68%
Salud; 5,11%
Construcción / Ingeniería; 2,84%
Manufactura; 2,84%
Retail / Consumo masivo; 2,27%
Alimentos; 0,57%
PAÍSES Y SECTORES PARTICIPANTES
GSM/JCM-17
Jornada Internacional de Seguridad Informática ACIS 2017
Junio/2017
GSM/JCM-17 4
ANÁLISIS DE LA INFORMACIÓN - Demografía
1000 a 5000 – 23.30%
>5000 – 17.61%
Prof. Dpto. Sistemas – 22.73%
CISO – 14.20%
o CISO – 15.20%
o Analista Seguridad de la información – 13.4%
o Analista Seguridad Informática – 12.7%
RO
LE
S
RESPONSABILIDADES SI
ROLES EN LA EMPRESA
Director de Seguridad
Informática
Director Departamento de Sist./Tecnología
2015 34.70% 13.70%
2016 43.00% 16.00%
2017 32.39% 21.59%
Empresas participantes por tamaño
GSM/JCM-17
ANÁLISIS DE LA INFORMACIÓN - Presupuestos
71.02%
Entre el 0 y el 2%
Entre el 3 y el 5%
Entre el 9 y el 11%
Más del 11%
Entre el 6 y el 8%
Alimentos 0.00% 0.00% 0.00% 0.00% 0.00%Construcción / Ingeniería 0.00% 0.57% 0.00% 0.00% 0.00%Consultoría Especializada 0.57% 1.14% 1.70% 0.57% 0.00%Educación 1.14% 0.00% 0.00% 0.00% 0.00%Gobierno / Sector público 2.27% 0.57% 0.57% 0.00% 0.57%Manufactura 0.00% 0.00% 0.57% 0.00% 0.00%Otra (Por favor especifique) 2.27% 0.57% 0.00% 1.14% 0.00%Retail / Consumo masivo 0.57% 0.00% 0.57% 0.00% 0.00%Salud 2.27% 0.00% 0.00% 0.57% 0.00%Sector de Energía e Hidrocarburos 2.84% 0.00% 0.00% 0.00% 0.00%Servicios Financieros y Banca 2.27% 2.84% 0.57% 0.57% 0.57%Telecomunicaciones 1.14% 0.00% 0.00% 0.00% 0.57%Total general 15.34% 5.68% 3.98% 2.84% 1.70%
5.11%
Entre USD$110.001 y USD$130.000
5.68%
Entre USD$20.001 y USD$50.000
7.39%
Más de USD$130.001
% Presupuesto asignado
GSM/JCM-17
Jornada Internacional de Seguridad Informática ACIS 2017
Junio/2017
GSM/JCM-17 5
ANÁLISIS DE LA INFORMACIÓN - Incidentes
> de 5001 1001-5000 501-1000 201-500 51-200 1-5018.37% 24.49% 13.27% 16.33% 15.31% 12.24%
31.8% (28%-2016)
Serv
icio
s fi
nan
cier
os
y b
anca
18
.37
%
Edu
caci
ón
15
.31
%
Otr
as 1
3.2
7%
Go
bie
rno
Co
nsu
lto
ría
10
.20
%
IDEN
TIF
ICA
DO
S -
NO
TIFI
CA
DO
S
CAPACIDAD DE IDENTIFICACIÓN POR TAMAÑO DE EMPRESA
CONDICIONES PARA INFORMAR
31.4% Canales de comunicación privados y seguros
23.6%Protocolos estrictos de aseguramiento y control
de la información
o Caballos de troya 14.4%o Instalación sw no autorizado 13.8%o Phishing 11.2%o Ransomware 7.5%o Ingeniería Social 6.1%
GSM/JCM-17
ANÁLISIS DE LA INFORMACIÓN – Evidencia digital
La organización mantiene
contactos con autoridades nacionales
e internacionales para colaborar y recibir asistencia
en casos de ciberataques o incidentes
Cuenta con un procedimiento aprobado e implementado
para la administración de la evidencia digital
La organización cuenta
con una estrategia de e - discovery o descubrimiento electrónico para soportar litigios o reclamaciones legales con solicitudes de información electrónicamente almacenada
Las organizaciones son conscientes de la
importancia de la identificación, preservación y análisis.
SITUACIÓN DE LA EVIDENCIA DIGITAL
GSM/JCM-17
Jornada Internacional de Seguridad Informática ACIS 2017
Junio/2017
GSM/JCM-17 6
ANÁLISIS DE LA INFORMACIÓN – Riesgos
SECTOR/EVALUACIONES ANUALES Una Entre 2 y 4 Más de 4 Total
Alimentos 0.00% 0.00% 0.00% 0.57%Construcción / Ingeniería 1.70% 0.00% 0.00% 2.84%Consultoría Especializada 3.98% 3.98% 0.57% 13.07%Educación 3.98% 0.57% 0.57% 17.61%Gobierno / Sector público 3.98% 1.70% 1.14% 11.36%Manufactura 1.70% 0.00% 0.57% 2.84%
Otra (Por favor especifique) 3.98% 2.27% 2.84% 11.93%Retail / Consumo masivo 0.57% 0.00% 0.57% 2.27%Salud 1.70% 1.14% 0.00% 5.11%Sector de Energía e Hidrocarburos 1.14% 1.70% 1.14% 5.68%Servicios Financieros y Banca 6.82% 7.39% 2.27% 20.45%Telecomunicaciones 2.27% 1.14% 0.57% 6.25%Total general 31.82% 19.89% 10.23%
10.6% Soluciones Anti-Malware
9.3% VPN/IPSec
9.3% Firewalls tradicionales (Hardware/Software)
8.1% Sistemas de Contraseñas
6.7% Firmas digitales/certificados digitales
MECANISMOS PROTECCIÓN
Operacionales
Económicos
Legales
Reputacionales
Transversales
33,7%
17,9%
17,9%
17,1%
11,9%
RIESGOS ASOCIADOS
GSM/JCM-17
ANÁLISIS DE LA INFORMACIÓN – Riesgos
ISO 3100029%
ISO 2700527%
SARO12%
Magerit9%
GRC ( Governance, Risk
& Compliance)8%
Otra6%
ERM(Enterprise Risk Managment)
4%
AS/NZ 43604%
Octave1%
Metodologías en materia de gestión
de riesgos
52.84%
Desarrolla procesos de evaluación de riesgos
Aplica la evaluación de riesgos
Política organizacional de SI
48.3%
47.7%
71.0%
o 61% Estándares: ISO 27000, ITIL, COBIT
o 63.8% Regulaciones o normativas: Superintendencia, SOX, COSO
GSM/JCM-17
Jornada Internacional de Seguridad Informática ACIS 2017
Junio/2017
GSM/JCM-17 7
ANÁLISIS DE LA INFORMACIÓN – Capital intelectual
COLABORADORES DEDICADOS A LA SI
TAMAÑO EMPRESAS Ninguna 1 a 5 11 a 15 6 a 10Más de
151-50 empleados 2.17% 8.70% 0.00% 0.00% 0.72%
51-200 empleados 4.35% 12.32% 0.72% 0.72% 0.72%
201-500 empleados 2.90% 11.59% 0.00% 0.72% 0.00%
501-1000 empleados 0.00% 9.42% 0.72% 1.45% 0.72%
1001-5000 empleados 0.72% 13.77% 3.62% 4.35% 2.17%
Mayor de 5001 empleados 2.17% 3.62% 2.90% 5.07% 3.62%
Total general 12.32% 59.42% 7.97% 12.32% 7.97%
65.9% + de 2 años de experiencia
GSM/JCM-17
Habilidades de comunicación
Habilidades gerenciales
Habilidades y visión de negocios estratégicos
Brech
as iden
tificadas en
los
pro
fesion
ales de
la SI
Seguridad y control en la nube
Fraude informático
Ciberseguridad
Tem
as c
lave
qu
e d
eb
e te
ne
r en
cu
enta
el r
esp
on
sab
le d
e la
SI
(50
.4%
)
Amenazaspersistentesavanzadas
Fuga de información
ANÁLISIS DE LA INFORMACIÓN – Capital intelectual - Academia
Técnica(26%)
ASESOR(22%)
SUPERVISOR(19%)
Tipo de información entregada
Riesgos(22%) Gestión
(22%)
IMPLEMENTADOR(21%)
Tipo de CISO en la organización (percepción)
CISO
Jornada Internacional de Seguridad Informática ACIS 2017
Junio/2017
GSM/JCM-17 8
El nivel de investigación en el área es escasa o insuficiente
Hay pocas (o nulas) alianzas con proveedores de tecnología de…
Existen limitados laboratorios e infraestructura para soportar los…
Están ofreciendo programas académicos de grado y/o posgrado…
La formación se limita a cursos cortos
Se han dejado desplazar por certificaciones generales y de producto
Hacen poca difusión sobre éstos temas
Hay poca motivación de los estudiantes para estudiar el tema
Los profesores tienen poca formación académica en el tema
No ofrecen programas académicos o cursos cortos en esta área
15,2%
13,1%
12,5%
12,5%
10,9%
8,9%
8,9%
7,5%
6,1%
3,8%
PERCEPCIÓN SOBRE LA LABOR DE LA ACADEMIA
ANÁLISIS DE LA INFORMACIÓN – Academia GSM/JCM-17
2015 2016 2017
Ausencia o falta de una cultura en seguridad de la información 38.7% 59.1%
Falta de colaboración entre áreas/departamentos 45.7% 30.5% 42.6%
Poco entendimiento de la seguridad de la información 33.5% 32.0% 33.5%
Falta de apoyo directivo 41.6% 32.3% 30.7%
Poca visibilidad del tema a nivel ejecutivo 35.7% 25.3% 27.8%
Complejidad tecnológica 24.0% 19.5% 18.8%
Escasa formación en gestión segura de la información 19.5% 18.8%
Falta de formación técnica 24.9% 25.6% 15.9%
Poco entendimiento de los flujos de la información en la organización 22.6% 20.1% 13.1%
Habilidades gerenciales de los CISO’s 15.8% 13.1% 13.1%
Inexistencia de política de seguridad 24.9% 20.4% 9.7%
Falta de tiempo 31.2% 19.8% 9.1%
OBSTÁCULOS PARA LOGRAR LA SEGURIDAD DE LA INFORMACIÓN
ANÁLISIS DE LA INFORMACIÓN – Riesgos GSM/JCM-17
Jornada Internacional de Seguridad Informática ACIS 2017
Junio/2017
GSM/JCM-17 9
CONCLUSIONES – Riesgos claves GSM/JCM-17
Geopolítico
La inestabilidadpolítica será la
constante a nivelglobal. El
ciberespacio será un teatro de
operaciones muyactivo.
Regulatorio
Las exigencias de cumplimiento
seguirán avanzando. Las brechas de seguridad y las
sanciones serán el reto para las empresas.
Reputación
Una mayor flujo de información entre las
empresas y losindividuos será la
mayor virtud o el peorpecado. La confianza
estará bajo fuegocruzado.
Crimenorganizado
Avanza el fortalecimiento de
los ecosistemasdigitales criminales.
Surgen nuevosstartups del crimen
digital.
Discontinuidadtecnológica
Aumenta la digitalización de productos y servicios,
sensores embebidos entodas partes, una mayor superficie de acción que genera tensiones para la
privacidad y el acceso a losdatos
Ideas tomadas de: Cano, J. (2016) Pronósticos de seguridad de la información 2017. Cinco imperativos para avanzar en un mundo digitalmente modificado. Recuperado de:http://insecurityit.blogspot.mx/2016/10/pronosticos-de-seguridad-de-la.html // Olavsrud, T. (2016) 4 information security threats that will dominate 2017. Recuperado de:http://www.cio.com/article/3153706/security/4-information-security-threats-that-will-dominate-2017.html
CONCLUSIONES – Reflexiones finales
Fortalecer la cultura organizacionalde seguridad de la información(Liderazgo visible)
Pasar de proteger y asegurar a defender y anticipar amenazasrelevantes(Entendimiento y gestión de lacomplejidad)
Comprender la resiliencia como unnuevo normal en la proteccióndel valor de la empresa(Viabilidad y supervivencia)
Mayor conocimiento de los flujos de información
Mayor brecha enhabilidades gerenciales
Mayor asignaciónpresupuestal
ENTORNO INESTABLE
GSM/JCM-17
Jornada Internacional de Seguridad Informática ACIS 2017
Junio/2017
GSM/JCM-17 10
IX INFORME DE ENCUESTA LATINOAMERICANA DE SEGURIDAD DE LA INFORMACIÓN
Jeimy J. Cano M., Ph.D, CFE
Gabriela María Saucedo Meza, MDOH, Ph.D(c)
Bogotá, Colombia. Junio 2017GSM/JCM-17