II Encuesta Nacional de Seguridad Informática ACIS 2002 Jeimy J. Cano, Ph.D Coordinador Académico II Jornadas Nacionales de Seguridad Informática

ACIS All rights Reserved2 Agenda Introducción Segurinfo – Lista de Seguridad Informática Contexto General de la Encuesta Consideraciones Generales Resumen de Resultados Resultados de la Encuesta Reflexiones Discusión y Análisis

ACIS All rights Reserved3 Introducción Es un esfuerzo de la Asociación Colombiana de Ingenieros de Sistemas, a través de su grupo de interés SEGURINFO Busca establecer un parámetro general sobre el estado actual de la seguridad en COLOMBIA Busca convertirse en un referente de comparación y mejoramiento de las organizaciones con relación a la seguridad informática Orientar y promover mejores prácticas de seguridad informática Ejercicio sano y necesario para mirar al futuro y volver a crearlo!

ACIS All rights Reserved4 SEGURINFO Lista Colombiana de Seguridad Informática, creada en el año 2000 Características: Lista Moderada por administrador de ACIS y Coordinador de lista Se nutre de la participación de sus suscriptores, los cuales son profesionales, estudiantes, investigadores o interesados en los temas de seguridad informática A la fecha con más de 380 participantes: Colombia, Bolivia, Guatemala, Honduras, México, Argentina, Peru, Costa Rica, entre otros En promedio se tramitan 4 a 5 correos diarios Temas: Hacking, seguridad en redes, detección de intrusos, Seguridad en sistemas operacionales, alertas de seguridad, entre otros Planes: Estructurar documentación técnica de seguridad de alta consulta y referencia Desarrollar ciclos de conferencias temáticas con expertos

ACIS All rights Reserved5 Consideraciones Generales El año anterior se adelantó este mismo ejercicio via una página WEB Se envió la notificación de participación excluisvamente a la lista de seguridad informática – SEGURINFO A comparación del año anterior, este año se incorporaron más preguntas y tópicos

ACIS All rights Reserved6 Contexto General de la Encuesta Se diseñó un cuestionario con 20 preguntas dividido en los siguientes temas: Demografía Presupuestos Fallas de seguridad Herramientas y prácticas de seguridad Políticas de seguridad Se envió el cuestionario vía correo a la base de datos de direcciones electrónicas de ACIS. Fecha envío: 24 abril de 2002 Fecha final: 24 de mayo de 2002 Respuestas totales recibidas : 104

ACIS All rights Reserved7 Resumen de Resultados Demografía Sectores con mayor participación Industria informática Educación Gobierno Por tamaño de la organización 1 a 100 empleados 101 a 250 empleados 1001 a 2500 empleados Personal dedicado Tiempo Completo a Seg.Infg 1 a 10 personas Dependencia organizacional de la Seg. Inf Departamento de Sistemas Dirección de Seguridad Informática Cargos que participaron respondiendo la encuesta Profesionales de Sistemas Directores/Vicepresidentes Jefe de Operaciones/Gerentes de proyectos

ACIS All rights Reserved8 Resumen de Resultados Presupuestos Generalmente se incluye el rubro de seguridad informática La inversión en seguridad se concentra en: Protección de los datos críticos de la organización Protección de la red Proteger almacenamiento de datos de los clientes Monto de la inversión en seguridad informática Mas de 10 millones de pesos Menos de 1 millón de pesos Entre 2 y 4 millones de pesos

ACIS All rights Reserved9 Resumen de Resultados Fallas de seguridad Violaciones de seguridad Virus Acceso no autorizado al WEB Pérdida de información Cómo se enteran? Análisis de registros en FW/WEB Datos alterados Alertados por cliente/proveedor A quién notifica? No se denuncian Equipo de atención de incidentes Asesor legal Por qué no se denuncia? Pérdida de imagen Vulnerabilidad ante la competencia Leyes vigentes no funcionan, no se sabe dónde denunciar Existe consenso sobre la necesidad de la existencia de un Centro Nacional de Reporte de Incidentes de Seguridad Informática - CENRIS

ACIS All rights Reserved10 Resumen de Resultados Herramientas y prácticas de seguridad informática Pruebas de seguridad Entre 2 y 4 al año Ninguna Una al año Dispositivos de seguridad utilizados Contraseñas Firewalls Proxies Notificación de fallas de seguridad Lectura de artículos especializados en seguridad Notificación de colegas Notificación de proveedores

ACIS All rights Reserved11 Resumen de Resultados Políticas de seguridad informática Se cuentan con ellas? Actualmente en desarrollo Políticas formales Obstáculos para contar con adecuada seguridad Inexistencia de políticas de seguridad Falta de tiempo Falta de apoyo directivo Actualmente se verifica un control de acceso de los empleados al WEB. Control de contenidos. Actualmente la mayoría de las empresas que respondieron la encuesta no cuentan con contactos nacionales o internacionales para apoyar el seguimiento de un intruso.

ACIS All rights Reserved12 Resultados de la Encuesta Demografía - Participantes

ACIS All rights Reserved13 Resultados de la Encuesta Demografía – Tamaño de las empresas

ACIS All rights Reserved14 Resultados de la Encuesta Demografía – Personal dedicado a Seg.

ACIS All rights Reserved15 Resultados de la Encuesta Demografía – Jerarquía de la Seguridad

ACIS All rights Reserved16 Resultados de la Encuesta Demografía – Cargos que contestaron

ACIS All rights Reserved17 Resultados de la Encuesta Presupuestos – Incluye Seg. Informática

ACIS All rights Reserved18 Resultados de la Encuesta Presupuestos – Inversión de Seg. Informática

ACIS All rights Reserved19 Resultados de la Encuesta Presupuestos – Inversión en Millones de pesos

ACIS All rights Reserved20 Resultados de la Encuesta Fallas de seguridad – Por tipos

ACIS All rights Reserved21 Resultados de la Encuesta Fallas de seguridad – Cómo se entera

ACIS All rights Reserved22 Resultados de la Encuesta Fallas de seguridad – Notificación del incidente

ACIS All rights Reserved23 Resultados de la Encuesta Fallas de seguridad – Motivos de No denuncia

ACIS All rights Reserved24 Resultados de la Encuesta Fallas de seguridad – Existencia Centro de Reporte de Incidentes

ACIS All rights Reserved25 Resultados de la Encuesta Herramientas y prácticas de seguridad – Pruebas de seguridad

ACIS All rights Reserved26 Resultados de la Encuesta Herramientas y prácticas de seguridad – Mecanismos de protección

ACIS All rights Reserved27 Resultados de la Encuesta Herramientas y prácticas de seguridad – Cómo se informa de las fallas de seguridad

ACIS All rights Reserved28 Resultados de la Encuesta Políticas de seguridad – Se tienen?

ACIS All rights Reserved29 Resultados de la Encuesta Políticas de seguridad – Dificultades comunes

ACIS All rights Reserved30 Resultados de la Encuesta Políticas de seguridad – Control de acceso al WEB

ACIS All rights Reserved31 Resultados de la Encuesta Políticas de seguridad – Contactos Nal e Internal

ACIS All rights Reserved32 Reflexiones La seguridad informática ha ganado terreno en los presupuestos de las organizaciones Los virus y los accesos no autorizados al web son las más grandes vulnerabilidades presentes en las empresas La cultura de la No denuncia es la que prevalece ante un incidente de seguridad informática No existe un ente donde notificar la existencia de un incidente de seguridad Se considera que las leyes no son suficientes para abordar y procesar los incidentes de seguridad informática La gran mayoría de las empresas inician hasta ahora su proceso de elaboración de políticas de seguridad informática La falta de tiempo, de apoyo directivo y la inexistencia de políticas de seguridad se muestran como los factores críticos para una adecuada seguridad informática

ACIS All rights Reserved33 Discusión y Análisis - DEBATE

II Encuesta Nacional de Seguridad Informática ACIS 2002 Jeimy J. Cano, Ph.D Coordinador Académico II Jornadas Nacionales de Seguridad Informática