RSA CYBERSECURITY POVERTY INDEX™

2015

Cybersecurity Poverty Index

2

Bienvenido al primer Cybersecurity Poverty Index™ de RSA.

El Cybersecurity Poverty Index es el resultado de una autoevaluación de consolidación anual que llevaron a cabo distintas organizaciones de diversos tamaños, sectores y geografías del mundo. La evaluación se creó mediante el Marco de trabajo de ciberseguridad (CSF) de NIST. Más de 400 profesionales de la seguridad en 61 países llevaron a cabo la evaluación del año 2015.

Las metas relacionadas con la creación y la realización de esta iniciativa de investigación global son dos. Primero, queremos proporcionar una medida de las funcionalidades de administración de riesgo y seguridad de la información de la población global. Como líder y autoridad del sector, a menudo se nos pregunta “¿por qué continúan ocurriendo incidentes de seguridad perjudiciales?”. Creemos que una de las principales causas es una brecha fundamental en la funcionalidad y esperamos que esta investigación pueda iluminar y cuantificar dicha brecha. En segundo lugar, queremos dar a las organizaciones una manera de analizar comparativamente sus funcionalidades respecto de las de los pares y brindar un estándar práctico reconocido globalmente, con la atención puesta en identificar áreas que se deben mejorar.

DESCRIPCIÓN GENERAL

Cybersecurity Poverty Index

3

METODOLOGÍALas organizaciones calificaron sus propias capacidades a través de sus respuestas a 18 preguntas que abarcaron las funcionalidades clave definidas en el CSF: Identificar, proteger, detectar, responder y recuperar.

En las calificaciones se usó una escala de 5 puntos, en la cual 1 significa que la organización no tiene capacidad en un área determinada y el 5 significa que cuenta con prácticas consolidadas en esa área.

• Negligente: clara deficiencia en las mejores prácticas de seguridad, por lo que descuida su responsabilidad de proteger sus activos de TI como corresponde

• Deficiente: brinda protección de seguridad deficiente, por lo que no cumple cabalmente con su responsabilidad de proteger sus activos de TI.

• Funcional: implementó algunas mejores prácticas de seguridad, por lo que está progresando para brindar suficiente protección a sus activos de TI.

• Desarrollado: cuenta con un programa de seguridad bien desarrollado y está bien posicionado para continuar mejorando su efectividad.

• Avanzado: posee un programa de seguridad superior y está extremadamente bien posicionado para defender sus activos de TI frente a amenazas avanzadas.

Cybersecurity Poverty Index

4

GENERAL

En los resultados generales de la encuesta, se determinó que casi el 75 % de los encuestados tiene una exposición significativa a riesgos de ciberseguridad (con funcionalidades generales que se sitúan por debajo de la categoría Desarrollado).

Solo un cuarto de los encuestados señaló que tiene estrategias de seguridad consolidadas (en la categoría Desarrollado o superior) y solo el 5 % declara tener funcionalidades en la categoría Avanzado.

Un 75 % tiene una exposición

significativa a riesgos de ciberseguridad

Un 5 % tiene funcionalidades avanzadas

Un 20 % tiene estrategias de seguridad

consolidadas

Cybersecurity Poverty Index

5

POR TIPO DE FUNCIONALIDADNaturalmente, los niveles de consolidación más sólidos informados se encontraron en el área de la protección. Esta función forma la base de la doctrina de seguridad convencional que demuestra ser cada vez menos eficaz en el transcurso del tiempo frente a campañas de ataques y ataques cibernéticos más avanzados. Respuesta, la función que, junto con detección, forma el componente principal de las actuales estrategias de seguridad eficaces, ocupó el último lugar en el nivel de consolidación.

Casi dos tercios de los encuestados se clasificaron a sí mismos como con un nivel inadecuado (bajo “Desarrollado”) en cada categoría (Identificar, Proteger, Detectar, Responder y Recuperar).

Identi�car Proteger Detectar Responder Recuperar

71 % 71% 72 % 72 %66 %

Porcentaje de encuestados con niveles de funcionalidad inadecuados

Clasi�cación promedio para la funcionalidad

Cybersecurity Poverty Index

6

POR TAMAÑO DE LA ORGANIZACIÓNAsombrosamente, los resultados indican que el tamaño de una organización no es una indicación clara de la consolidación de su seguridad.

El 83 % de las organizaciones

encuestadas con más de 10,000 empleados

no está bien preparado para las actuales

amenazas (y se sitúa por debajo de la

categoría Desarrollado en la consolidación

general).

0 %

10 %

20 %

30 %

40 %

50 %

60 %

70 %

80 %

90 %

100 %

Menos de 1,000 Entre 1,000 y 10,000 Más de 10,000

79 %68 %

83 %

6

Cybersecurity Poverty Index

7

POR CANTIDAD DE INCIDENTES

Dos tercios de los encuestados experimentaron incidentes que afectaron de manera negativa sus operaciones de negocios en los últimos 12 meses, pero se consideró que la estrategia de seguridad de solo un 22 % de ellos tenía un nivel consolidado.Esto señala una incapacidad de las organizaciones de mejorar significativamente la consolidación a fin de reducir el riesgo y confirma la capacidad continua de los adversarios de aprovecharse de las deficiencias en las estrategias de defensa convencionales.

Un 66 % resultó afectado

negativamente

Un 22 % se consideró en un nivel consolidado

7

Cybersecurity Poverty Index

8

POR CANTIDAD DE INCIDENTES

Las organizaciones que enfrentan incidentes de seguridad de manera más habitual están mucho más consolidadas que sus pares.

Es 2.5 veces más probable que las organizaciones que informaron 40 o más incidentes de seguridad en los últimos 12 meses cuenten con funcionalidades generales “Desarrolladas” o “Avanzadas” respecto de aquellas que informaron entre uno y 10 incidentes.

A pesar de este nivel de “comprobación en batalla” o “reforzamiento”, el 63 % de las organizaciones con más de 40 incidentes en la encuesta informó un nivel de consolidación inadecuado.

8

40 o más incidentes de seguridad en los

últimos 12 meses

Entre uno y 10 incidentes de seguridad en los

últimos 12 meses

36 %

11 %

Es 2.5 veces más probable que cuenten con funcionalidades desarrolladas o avanzadas

Cybersecurity Poverty Index

9

POR GEOGRAFÍALas organizaciones de APJ informaron las estrategias de seguridad más consolidadas. Un 39 % se clasificó como desarrollado o avanzado frente a un 24 % en el continente americano y a un 26 % en EMEA.

0 %

10 %

20%

30 %

40 %

50 %

Negligente De�ciente Funcional Desarrollado Avanzado

Continente americanoPací�co Asiático y JapónEMEA

Cybersecurity Poverty Index

10

0 %

10 %

20 %

30 %

40 %

50 %

60 %

70 %

80 %

90 %

100 %

Telecomunicaciones Servicios �nancieros Gobierno

US$

50 %

34 %

18 %

POR SECTOR VERTICALLos operadores de la infraestructura fundamental, el público objetivo original del CFS, deben lograr avances significativos en sus actuales niveles de consolidación.

Las organizaciones del sector de las telecomunicaciones informaron el nivel más alto de consolidación. Un 50 % de los encuestados cuenta con funcionalidades desarrolladas o avanzadas.

Los servicios financieros ocuparon lugares intermedios. Un 34 % de los encuestados logró una clasificación de desarrollado o avanzado.

El gobierno ocupó el último lugar entre los sectores en la encuesta. Solo un 18 % de los encuestados se clasificó como desarrollado o avanzado.

Cybersecurity Poverty Index

11

La funcionalidad menos desarrollada de la encuesta es la capacidad de una organización de catalogar, evaluar y moderar el riesgo. Un 45 % de los encuestados describió sus funcionalidades en esta área como no existentes o ad hoc, y solo un 21 % considera que dispone de funcionalidades consolidadas o dominadas en este ámbito.

DETALLE DE FUNCIONALIDADES INDIVIDUALES

La incapacidad de evaluar el riesgo dificulta en gran medida la asignación de prioridad a la actividad y la inversión en seguridad, una actividad primordial para cualquier organización que desea mejorar sus funcionalidades de seguridad.

IAM (“administración y control de identidades y su acceso a recursos de TI”) figuró como la funcionalidad más desarrollada. Un 38 % de los encuestados clasificó sus funcionalidades como consolidadas o dominadas.

Aunque muchas organizaciones reconocen que la identidad es uno de sus puntos de control de la seguridad pendientes, aún queda mucho por mejorar en la población en general. La identidad sigue siendo uno de los principales vectores para los ataques avanzados.

45 %

21 %

38 %

Cybersecurity Poverty Index

12

DETALLE DE FUNCIONALIDADES INDIVIDUALES

Es fundamental que las organizaciones desarrollen y consoliden la capacidad de detectar y responder a ataques. La incapacidad de responder eficazmente es una de las razones clave por la cual muchos incidentes provocan pérdidas o daños significativos.

En general, las funcionalidades para detectar amenazas, “el monitoreo de la actividad de la red, los terminales, los servidores y las aplicaciones para detectar posibles problemas de seguridad”, están menos consolidadas y desarrolladas que otras funcionalidades. Un 35 % de las organizaciones en la encuesta describe sus funcionalidades como no existentes o ad hoc.

Las funcionalidades de respuesta y recuperación de incidentes se presentaron constantemente como subdesarrolladas. Un 28 % de los encuestados en promedio clasificó sus funcionalidades como consolidadas o dominadas en la función.

La coordinación de la actividad de respuesta a incidentes fue, en general, la segunda funcionalidad menos desarrollada. Un 42 % de las organizaciones describió sus funcionalidades de coordinación internas y externas como no existentes o ad hoc.

28 %

35 %

42 %

Cybersecurity Poverty Index

13

CONCLUSIONESLos resultados hablan por sí solos. Hay trabajo por hacer para mejorar las funcionalidades de administración de riesgo y ciberseguridad, independientemente del tamaño, la geografía o el sector vertical de la empresa.

Entre la gran cantidad de datos se destacan dos hallazgos importantes. Primero, la mayor debilidad de las organizaciones encuestadas es la capacidad de medir, evaluar y moderar el riesgo de ciberseguridad, lo cual dificulta o impide la asignación de prioridad a la actividad y la inversión en seguridad.

Segundo, la encuesta demuestra que las organizaciones continúan poniendo demasiado énfasis en la protección por sobre la detección y la respuesta, a pesar del hecho de que las funcionalidades de protección/preventivas por sí solas son fundamentalmente incapaces de detener las principales amenazas cibernéticas de la actualidad. RSA considera que la capacidad de detectar y responder a los ataques cibernéticos antes de que provoquen daños o pérdidas es la funcionalidad más importante que las organizaciones deben desarrollar y perfeccionar.

El reconocimiento de la necesidad de mejorar suele ser el catalizador del cambio y las pruebas presentadas en este primer índice brindan un poderoso incentivo para que la mayoría de las organizaciones desarrolle un plan con el objetivo de mejorar.

Si completó la encuesta este año, agradecemos su participación y esperamos contar con su aporte permanente en los próximos años. Si no participó, lo animamos a completar la encuesta y a obtener un parámetro que puede ayudar a planear el reforzamiento de las funcionalidades de su organización.

Completar la encuesta hoy

EMC2, EMC, el logotipo de EMC, RSA y el logotipo de RSA son marcas registradas o marcas comerciales de EMC Corporation en los Estados Unidos y en otros países. © Copyright 2015 EMC Corporation. Todos los derechos reservados. Publicado en México. 15/04 Libro electrónico H14262

Cybersecurity Poverty Index