Estudio de Seguridad Informática en Grandes Empresas (Junio  2005)

A partir de la integración a redes, el compartir información con grupos de trabajo y el acceso a mayor cantidad de información clave almacenada en formato digital, como así también el constante cambio de empleados en puestos importantes de una compañía, la Seguridad Informática adquiere relevancia estratégica para las empresas. En el marco de esta realidad, el Estudio de Seguridad Informática tiene el objetivo principal de conocer las Soluciones de Seguridad Informática que actualmente poseen las "Grandes Empresas".

En este contexto, Prince & Cooke ha finalizado un estudio con el fin de conocer el status actual  y potencial de las grandes empresas en relación a la temática de seguridad informática.

Sobre un total de 139 empresas el informe está segmentado en término de empleados bajo la siguiente categorización:

·         Entre 200 a 500

·         Entre 500 y 1000

·         Más de 1000

La información se analiza para el conjunto de empresas relevadas, y por tamaño de compañía.

Tabla de Contenidos

Ficha Técnica del Estudio

Objetivo y metodología

Metodología

1.1            Aclaraciones previas

1.2            Introducción

1.3            Emergentes principales:

2    Composición de la muestra

2.1            Empleados totales

2.2            Empleados de oficina

2.3            Empleados de sistemas

3    Conocimiento espontáneo de empresas dedicadas a Seguridad Informática

4               Conocimiento espontáneo de empresas dedicadas a “Servicios” de Seguridad Informática

4.2            Adopción de políticas formales para Seguridad Informática

4.3            Nivel de importancia que le asigna la Gerencia General y/o Financiera a Seguridad Informática

4.4            Reuniones con otras áreas gerenciales para evaluar la Seguridad Informática de la compañía

4.5            Periodicidad con que la Gerencia General recibe reportes sobre Seguridad Informática

4.6            Responsable específico de Seguridad Informática

4.7            Existencia de un departamento dedicado a Seguridad Informática

4.8            Presupuesto específico para el área de Seguridad Informática

4.9            ¿Considera que el conocimiento de los encargados/ personal a cargo de seguridad informática es suficiente para responder a los sofisticados ataques actuales?

4.10           Motivos que llevaron a la empresa a invertir en Seguridad Informática (Lista predefinida de motivos)

4.11           Incidentes significativos de seguridad en los últimos 12 meses

4.12           Percepción según quien tiene más conocimientos

4.13           Implementación de planes de concientización con respecto a la problemática de Seguridad Informática en la empresa

4.14           ¿Desde el punto de vista de la Ley 25.326 (Habeas Data), tiene clasificada la información contenida en sus bases de datos en “confidencial, critica, importante, informativa, etc.”?

4.15           Certificaciones en seguridad bajo el estándar ISO 17.799/BS7799

5      Normas extranjeras por las que se ve alcanzada la empresa

5.1            Normas implementadas

5.2            Normas en procesos de implementación

5.3            A comenzar en breve

5.4           ¿Tiene un tratamiento diferente la informaron critica de la que no lo es?

5.5            Preferencia de tener un único proveedor o de diversos proveedores para una solución de seguridad de arquitectura

5.6            Adopción de algún mecanismo de autenticación de acceso a la red

5.7            Preocupaciones inmediatas en cuanto a seguridad informática (lista predefinida)

5.8            Utilización de herramientas que le permitan correlacionar todos los eventos, información de consolas, reportes, logs, etc. De los distintos dispositivos de seguridad en su compañía, de manera de entender que esta pasando realmente cuando se tiene un incidente de seguridad

5.9            Disposición de contratar a un Hacker para testear la seguridad de la compañía

6    Soluciones de Seguridad Informática

6.1            Antivirus

6.2            Firewall

6.3            Autenticación de usuarios/ Control de acceso

6.4            VPN’s /Encriptación

6.5            Antispam

6.6            Sistemas de detección de intrusos

6.7            Seguridad de Contenido

6.8            Sistema de prevención de intrusiones

6.9            Evaluación de las vulnerabilidades

6.10           Herramientas de administración “centralizada” de seguridad

6.11           Encriptación de archivos/ Discos

6.12           Encriptación de mail

6.13           PKI

6.14           Gestión de Identidades

7     Servicios de consultoría contratados vinculados a seguridad informática

7.1             Evaluación de riesgos/ diagnóstico de seguridad

7.2             Revisión, diseño de políticas y procedimientos

7.3             Servicios asociados a planes de contingencias/ Disaster Recovery

7.4             Pruebas de intrusión

7.5             Diseños de arquitectura de seguridad

7.6             Capacitación en seguridad

7.7             Asesoría en el cumplimiento de regulaciones y normativas

7.8             Asesoría en la adopción del sistema de gestión en seguridad, según las ISO 17.799/ BS 7799

7.9             IRT/ Análisis forense

8    Otros servicios de Seguridad Informática contratados

8.1            Adopción de mantenimiento y soporte técnico

8.2            Adopción de actualizaciones

8.3            Adopción de implementación de sistemas de seguridad

8.4            Adopción de implementación de sistemas de seguridad

8.5            Adopción de migración de sistemas de seguridad

8.6            Soluciones adicionales que poseen los sistemas de prevención de intrusos

8.7            Conocimientos espontáneo de marcas/ empresas de equipos multifunción (Firewalls, IPS, VNS’s)

8.8            Empleados que utilizan Notebook’s o PDA’s

8.9            Adopción de un método de control de acceso a la red que verifica la seguridad de notebook’s y PDA’s al conectarse

8.10          Sistema operativo para Desktop considerado más vulnerable

8.11          Cantidad de horas promedio que pasa un Server fuera de operación por actualización de parches

Adopción de herramientas de gestión de parches

8.12           Futura adopción de herramientas de gestión de parches

8.13           Adopción de redes Wireless

8.14           Sistema operativo más utilizado en las compañías

8.15           Cuentas de correo electrónico

8.16           Cantidad de usuarios Web

8.17           Adopción de Intranet

Ficha Técnica

Cobertura: Nacional. Capital Federal, GBA e Interior del país.

Período de relevamiento: Junio 2005.

Tamaño de la muestra: Ciento treinta y nueve (139) empresas.

Metodología utilizada: Entrevistas telefónicas.

Perfil del encuestado: Responsable de seguridad informática, Gerente y/o Jefe de sistemas/ tecnología.

Tipo de estudio: Encuestas telefónicas utilizando un cuestionario estructurado con preguntas cerradas, semiabiertas y escala de valoración.

Aclaraciones

La adquisición del estudio da derecho al uso interno sólo en la empresa adquiriente. No habilita a su reproducción total ni parcial, ni a la difusión a personas ajenas a la empresa. Los grupos empresarios que deseen adquirir otros ejemplares para su uso en empresas vinculadas o controladas recibirán una bonificación progresiva por cada ejemplar adicional.