Assurance and Advisory Business Services March 23, 2017 10° Relevamiento Mundial Anual de Seguridad Informática Cómo equilibrar el riesgo y el rendimiento Análisis detallado de los resultados del relevamiento 13 de noviembre de 2007

Participantes del relevamiento Assurance and Advisory Business Services Panorama general March 23, 2017 Participantes del relevamiento Por país (Encuestados totales: 1277) Cantidad Porcentaje Estados Unidos 219 17% India 114 9% México 84 7% Australia 75 6% Perú 73 Reino Unido 53 4% Finlandia 52 Canadá 45 Francia 44 3% Países Bajos Suiza 43 Italia 39 Argentina 33 Arabia Saudita 27 2% Singapur 26 China 25 España Todos los restantes 256 20%

Participantes del relevamiento Assurance and Advisory Business Services Panorama general March 23, 2017 Participantes del relevamiento Por industria (Encuestados totales: 1277) Cantidad Porcentaje Servicios Financieros 265 21% Sector industrial 188 15% Seguros 124 10% Tecnología 76 6% Sector público (gobierno, fuerzas armadas) 72 Energía y servicios públicos 71 Telecomunicaciones 53 4% Medios y entretenimiento 50 Minoristas 48 Compañías farmacéuticas 45 Salud 38 3% Servicios profesionales 37 Transporte Mayoristas y distribución 27 2% Inmobiliaria y construcción 24 Agropecuario 12 1% Aereoespacio y defensa 11 Educación Todos los restantes 88 7% * el total no equivale al 100% debido al redondeo normal

Participantes del relevamiento Assurance and Advisory Business Services Panorama general March 23, 2017 Participantes del relevamiento Por ingresos (Encuestados totales: 1277) Cantidad Porcentaje No corresponde (por ejemplo, sin fines de lucro, gobierno) 88 7% Menos de USD 100 millones 278 22% USD 100 millones - USD 250 millones 193 15% USD 250 millones - USD 500 millones 129 10% USD 500 millones - USD 1.000 millones 122 USD 1.000 millones - USD 10.000 millones 288 23% USD 10.000 millones - USD 25.000 millones 79 6% USD 25.000 millones - USD 50.000 millones 40 3% USD 50.000 millones - USD 75.000 millones 17 1% USD 75.000 millones - USD 100.000 millones 13 más de USD 100.000 millones 30 2% Por cantidad de empleados (Encuestados totales: 1277) Cantidad Porcentaje Menos de 1.000 391 31% 1,000-2,500 264 21% 2,500-10,000 282 22% 10,000-50,000 219 17% 50,000-100,000 68 5% 100,000-150,000 23 2% 150,000-200,000 8 1% más de 200.000 22 * el total no equivale al 100% debido al redondeo normal

Assurance and Advisory Business Services Organización March 23, 2017 ¿Su organización cuenta con una función de seguridad informática definida?

Assurance and Advisory Business Services Organización March 23, 2017 ¿Cómo se encuentra estructurada la función de seguridad informática dentro de su organización?

Assurance and Advisory Business Services Organización March 23, 2017 ¿Hasta qué punto la función de seguridad informática en su organización se encuentra integrada con la gestión general de riesgos?

Assurance and Advisory Business Services Organización March 23, 2017 ¿Cuál es el propulsor principal para la integración entre la seguridad informática y la gestión general de riesgos en su organización?

Assurance and Advisory Business Services Propulsores de la seguridad informática March 23, 2017 Asigne un orden de prioridad de 1 a 3 a los tres principales propulsores que afectan de forma más significativa las prácticas de seguridad informática en su organización.

Assurance and Advisory Business Services Propulsores de seguridad informática - objetivos de negocios March 23, 2017 Según su punto de vista, ¿cuán importante es la función de seguridad informática en el respaldo de los siguientes esfuerzos en su organización?

Assurance and Advisory Business Services Propulsores de seguridad informática - objetivos de negocios March 23, 2017 En su organización, ¿la función de seguridad informática formó parte de los siguientes esfuerzos en los últimos 12 meses? En caso afirmativo, ¿la naturaleza de su participación resultó más proactiva o reactiva?

Assurance and Advisory Business Services Propulsores de la seguridad informática - Reglamentos March 23, 2017 Seleccione los tres principales tipos de reglamentos o requerimientos que afectaron las prácticas de seguridad informática de su organización en los últimos 12 meses.

Assurance and Advisory Business Services Propulsores de la seguridad informática - Reglamentos March 23, 2017 Seleccione los tres principales tipos de reglamentos o requerimientos que con mayor probabilidad afectarán las prácticas de seguridad informática de su organización en los próximos 12 meses. (Encuestados totales: 1273) Puede haber más de una respuesta Cantidad Porcentaje Controles internos (por ejemplo, Sarbanes-Oxley, la Octava Directiva de la UE, J-SOX, entre otros) 604 47% Normas específicas de las industrias (por ejemplo, HIPAA (Ley de Responsabilidad y Transferibilidad de Seguros Médicos), la directiva MiFID, regla de seguridad de la FTC (Comisión Federal de Comercio) 441 35% Privacidad (por ejemplo, la directiva sobre la privacidad de la UE, Gramm-Leach-Bliley, la ley para la protección de la información personal de Japón) 429 34% Riesgo operativo (por ejemplo, Basilea II, CRD (directiva sobre requerimientos de capital), Solvencia 2) 415 33% Protección de propiedad intelectual 344 27% Requisitos de certificación de la seguridad informática (por ejemplo, exigido por los contratos de proveedores) 335 26% Porcentaje de respuestas

Assurance and Advisory Business Services Propulsores de la seguridad informática - Reglamentos March 23, 2017 ¿Existe algún proyecto de seguridad informática en curso para los siguientes reglamentos o requerimientos? (Encuestados totales: 1273) Puede haber más de una respuesta Cantidad Porcentaje Controles internos (por ejemplo, Sarbanes-Oxley, la Octava Directiva de la UE, J-SOX) 490 38% Normas específicas de las industrias (por ejemplo, HIPAA (Ley de Responsabilidad y Transferibilidad de Seguros Médicos), la directiva MiFID, regla de seguridad de la FTC (Comisión Federal de Comercio) 332 26% Privacidad (por ejemplo, la directiva sobre la privacidad de la UE, Gramm-Leach-Bliley, la ley para la protección de la información personal de Japón) 321 25% Riesgo operativo (por ejemplo, Basilea II, CRD (directiva sobre requerimientos de capital), Solvencia 2) 268 21% Requisitos de certificación de la seguridad informática (por ejemplo, exigido por los contratos de proveedores) 253 20% Protección de propiedad intelectual 191 15% Porcentaje de respuestas

Assurance and Advisory Business Services Propulsores de la seguridad informática - Reglamentos March 23, 2017 ¿Hasta qué punto está de acuerdo o en desacuerdo con las siguientes declaraciones?

Assurance and Advisory Business Services Propulsores de la seguridad informática - Preocupación por la seguridad March 23, 2017 Seleccione los tres principales problemas de seguridad que fueron identificados como preocupaciones de seguridad significativos en su organización. ¿Su organización cuándo planea darle tratamiento a las inquietudes seleccionadas?

Assurance and Advisory Business Services Propulsores de la seguridad informática - Desafíos en la entrega de proyectos estratégicos de seguridad informática March 23, 2017 ¿Cuáles de las siguientes áreas representan el mayor desafío para su organización a la hora de entregar proyectos estratégicos sobre seguridad informática?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización March 23, 2017 ¿Cómo evalúa la postura de la seguridad informática de su organización?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización March 23, 2017 ¿Qué componentes utiliza al efectuar autoevaluaciones internas de la postura de la seguridad informática de su organización?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización March 23, 2017 Seleccione las cinco principales actividades de seguridad informática según su importancia para su organización.

Assurance and Advisory Business Services Acciones de seguridad informática en su organización March 23, 2017 Seleccione las cinco principales actividades de seguridad informática en su organización según el tiempo que insumen.

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Procesos de la organización March 23, 2017 ¿Ha utilizado a un tercero en alguna de las siguientes áreas de seguridad informática o tiene previsto hacerlo?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Procesos de la organización March 23, 2017 Si ha decidido utilizar a un tercero, sírvase colocar en orden del 1 al 3 los principales propulsores con respecto a su importancia.

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Procesos de la organización March 23, 2017 En su organización, ¿con qué frecuencia se reúnen las personas encargadas de entregar servicios de seguridad informática con los siguientes grupos internos o individuos para tratar o conocer sus objetivos de negocios y necesidades de seguridad informática?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Procesos de la organización March 23, 2017 En su organización, ¿con qué frecuencia se reúnen las personas encargadas de entregar servicios de seguridad informática con los siguientes grupos internos o individuos para tratar o conocer sus objetivos de negocios y necesidades de seguridad informática? Respuestas Porcentaje de respuestas * el total no equivale al 100% debido al redondeo normal

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Procesos de la organización March 23, 2017 ¿Cómo se tratan los siguientes problemas de seguridad informática en su organización?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Procesos de la organización March 23, 2017 ¿Cómo se tratan los siguientes problemas de seguridad informática en su organización? Respuestas Porcentaje de respuestas * el total no equivale al 100% debido al redondeo normal

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Procesos de la organización March 23, 2017 Al trabajar con terceros, ¿cuáles de los siguientes elementos son necesarios como parte de su proceso de gestión de riesgos relacionados con proveedores y socios de negocios, como la tercerización de procesos de negocios, el desarrollo de aplicaciones, entre otros?

¿Usted lleva a cabo una evaluación formal de riesgos? Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Evaluación de riesgos March 23, 2017 ¿Usted lleva a cabo una evaluación formal de riesgos?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Evaluación de riesgos March 23, 2017 De las siguientes prácticas de evaluación de riesgos, califique la efectividad de las que usted desplegó. * los porcentajes se basan en la cantidad total de respuestas

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Información March 23, 2017 ¿Con qué frecuencia la función de seguridad informática informa al Directorio sobre las siguientes cuestiones?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Información March 23, 2017 ¿Con qué frecuencia la función de seguridad informática informa a los líderes de las unidades de negocios sobre las siguientes cuestiones? (Encuestados totales: 1232) Mensualmente Trimestralmente Bianualmente Anualmente Nunca Informe sobre el cumplimiento de la seguridad informática de la organización. 36% 19% 8% 9% 28% Informe de estado sobre los proyectos clave de seguridad informática de la organización. 33% 24% 12% 22% Informe sobre los incidentes de seguridad informática de la organización. 23% 21% 17% 27% * el total no equivale al 100% debido al redondeo normal Respuestas Porcentaje de respuestas

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Capacitación March 23, 2017 ¿Qué tipo de programas de capacitación y concientización de la seguridad informática les ofrece su organización a los siguientes grupos?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Normas March 23, 2017 En su opinión, ¿cuáles son los beneficios para su organización de adherirse a las normas de seguridad informática (por ejemplo, ISO 17799)?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Normas March 23, 2017 ¿Cuáles de las siguientes normas fueron adoptadas formalmente por su organización?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Convergencia de la seguridad física e informática March 23, 2017 ¿En qué estado se encuentra el tratamiento de las siguientes actividades en su organización?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Convergencia de la seguridad física e informática March 23, 2017 ¿Cuáles de las siguientes funciones también son responsabilidad del líder de seguridad informática en su organización?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Gestión de la continuidad del negocio y recuperación ante desastres March 23, 2017 De las siguientes actividades de continuidad del negocio, ¿cuáles se implementaron para desarrollar sus planes de continuidad del negocio?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Gestión de la continuidad del negocio y recuperación ante desastres March 23, 2017 ¿Sus planes de continuidad del negocio incluyen planes y preparativos específicos para una crisis regional o mundial (por ejemplo, la gripe avícola, un ataque terrorista, un huracán o tifón)?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Gestión de la continuidad del negocio y recuperación ante desastres March 23, 2017 ¿Cuándo fue la última vez que se probaron o invocaron sus planes de continuidad del negocio?

Assurance and Advisory Business Services Acciones de seguridad informática en su organización - Gestión de la continuidad del negocio y recuperación ante desastres March 23, 2017 De los siguientes elementos, ¿cuáles están cubiertos por sus planes de recuperación ante desastres?