Source: https://www.scribd.com/doc/59004598/INTECO-Estudio-Seguridad-Pymes
Timestamp: 2016-07-25 20:21:44+00:00

Document:
UploadSign inJoinBooksAudiobooksComicsSheet MusicEditors' Picks BooksHand-picked favorites from our editorsEditors' Picks AudiobooksHand-picked favorites from our editorsEditors' Picks ComicsHand-picked favorites from our editorsEditors' Picks Sheet MusicHand-picked favorites from our editorsTop BooksWhat's trending, bestsellers, award-winners & moreTop AudiobooksWhat's trending, bestsellers, award-winners & moreTop ComicsWhat's trending, bestsellers, award-winners & moreTop Sheet MusicWhat's trending, bestsellers, award-winners & moreCategoriesArts & IdeasBiography & MemoirBusiness & LeadershipChildren'sComputers & TechnologyCooking & FoodCrafts & HobbiesFantasyFiction & LiteratureHappiness & Self-HelpHealth & WellnessHistoryHome & GardenHumorLGBTMystery, Thriller & CrimePolitics & EconomyReferenceReligionRomanceScience & NatureScience FictionSociety & CultureSports & AdventureTravelYoung AdultCategoriesArts & IdeasBiography & MemoirBusiness & LeadershipChildren'sComputers & TechnologyCooking & FoodFantasyFiction & LiteratureHappiness & Self-HelpHealth & WellnessHistoryHome & GardenHumorLGBTMystery, Thriller & CrimePolitics & EconomyReferenceReligionRomanceScience & NatureScience FictionSociety & CultureSports & AdventureTravelYoung AdultCategoriesAdaptationsChildren’sCrime & MysteryFictionHumorMangaNonfictionRomanceSciFi, Fantasy & HorrorSuperheroesYoung AdultPublishersArcanaArchie ComicsBOOM! StudiosDynamiteIDW PublishingKingstone ComicsMarvel ComicsSpace Goat ProductionsTop Cow ComicsValiant ComicsZenescopeDifficultyBeginnerIntermediateAdvancedMixedInstrumentBrassDrums & PercussionGuitar, Bass, and FrettedPianoStringsVocalWoodwindsGenreClassicalCountryFolkJazz & BluesMovies & MusicalsPop & RockReligious & HolidayStandardsWelcome to Scribd! Start your free trial and access books, documents and more.Find out moreInstituto Nacional de Tecnologías de la ComunicaciónEstudio sobre incidencias y necesidades de seguridad en las pequeñas y medianas empresas españolas
La presente publicación pertenece a Instituto Nacional de Tecnologías de la Comunicación (INTECO) y está bajo una licencia Reconocimiento-No comercial 2.5 España de Creative Commons, y por ello esta permitido copiar, distribuir y comunicar públicamente esta obra bajo las condiciones siguientes: • Reconocimiento: El contenido de este informe se puede reproducir total o parcialmente por terceros, citando su procedencia y haciendo referencia expresa tanto a INTECO como a su sitio web: www.inteco.es. Dicho reconocimiento no podrá en ningún caso sugerir que INTECO presta apoyo a dicho tercero o apoya el uso que hace de su obra. • Uso No Comercial: El material original y los trabajos derivados pueden ser distribuidos, copiados y exhibidos mientras su uso no tenga fines comerciales. Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra. Alguna de estas condiciones puede no aplicarse si se obtiene el permiso de INTECO como titular de los derechos de autor. Nada en esta licencia menoscaba o restringe los derechos morales de INTECO. Texto completo de la licencia: Hhttp://creativecommons.org/licenses/by-nc/2.5/es/
Investigación sobre incidencias y necesidades de seguridad en la PYME Observatorio de la Seguridad de la Información
TÍNDICE ................................................................................................................................3 PUNTOS CLAVES ................................................................................................................5
I Análisis de la situación tecnológica en la PYME española ............................................... 5
Análisis de la situación de seguridad en la PYME española: conocimiento e II implementación de medidas. ........................................................................................................ 6 III Análisis de la situación de las incidencias de seguridad en la PYME español ............... 8
IV Análisis comparativo de la situación de la seguridad en la empresa española según su tamaño ........................................................................................................................................... 10 V VI Análisis de las necesidades de seguridad en la PYME española ................................... 10 Recomendaciones de actuación......................................................................................... 11
1.1.1 1.1.2 1.1.3 1.2 Presentación............................................................................................................... 13 El Instituto Nacional de Tecnologías de la Comunicación ......................................... 13 El Observatorio de la Seguridad de la Información .................................................... 14
Descripción del Estudio y alcance de las conclusiones .............................................. 15
Metodología ...................................................................................................................... 17 1.3 1.3.1 Elaboración de un catálogo de productos y servicios de seguridad .......................... 18 1.3.2 Fase de realización de entrevistas a expertos en seguridad informática .................. 19 1.3.3 Fase de recopilación y estudio de informes ............................................................... 21 1.3.4 Fase de encuestas a empresas ................................................................................. 21
ANÁLISIS DE LA SITUACIÓN TECNOLÓGICA EN LA PYME ESPAÑOLA .............26
2.1 Estructura de la PYME española .................................................................................... 26
Situación tecnológica actual de la PYME ...................................................................... 29 2.2 2.2.1 Disponibilidad de ordenadores personales y sistemas operativos utilizados ............ 31 2.2.2 Existencia de redes locales y de conexión a Internet ................................................ 32 2.2.3 Usos de Internet por las empresas españolas ........................................................... 35 2.2.4 Gasto de las empresas españolas en Recursos TIC ................................................. 36
3 ANÁLISIS DE LA SITUACIÓN DE SEGURIDAD EN LA PYME ESPAÑOLA: CONOCIMIENTO E IMPLEMENTACIÓN DE MEDIDAS. ...................................................40
3.1 Conocimientos de seguridad en la PYME española ..................................................... 40
Análisis de la oferta disponible y estado de implantación de productos de seguridad 3.2 para la PYME ................................................................................................................................. 46 3.3 Canales de distribución de los servicios de seguridad a la PYME ............................. 51
4 ANÁLISIS DE LA SITUACIÓN DE LAS INCIDENCIAS DE SEGURIDAD EN LA PYME ESPAÑOLA..............................................................................................................55
4.1 4.2 4.3 Análisis de las incidencias de seguridad ...................................................................... 55 Consecuencia de las incidencias de seguridad............................................................ 59 Perspectiva de evolución de los ataques de seguridad............................................... 61
5 ANÁLISIS COMPARATIVO DE LA SITUACIÓN DE LA SEGURIDAD EN LA EMPRESA ESPAÑOLA SEGÚN SU TAMAÑO .................................................................63 6 ANÁLISIS DE LAS NECESIDADES DE SEGURIDAD EN LA PYME ESPAÑOLA ...69
6.1 6.2 6.3 Necesidades en productos y servicios de seguridad en la PYME .............................. 69 Necesidades de formación y culturización ................................................................... 74 Necesidad de recursos y subcontratación .................................................................... 75
RECOMENDACIONES DE ACTUACIÓN ....................................................................77
7.1 Recomendaciones de actuación a la industria de seguridad de la información ....... 77
Recomendaciones de actuación a seguir por parte de las Administraciones 7.2 Públicas ......................................................................................................................................... 78
CONCLUSIONES.........................................................................................................80
ÍNDICE DE TABLAS ...........................................................................................................82 ÍNDICE DE GRÁFICOS.......................................................................................................83
En la actualidad hay un consenso casi generalizado en que el desarrollo de cualquier tipo de negocio y el uso de las tecnologías de la información no son hechos aislados y por lo tanto precisan interacción. De hecho, a lo largo de los últimos años el uso de las tecnologías se ha convertido en un importante factor de dinamización del crecimiento económico basado en el incremento de la competitividad y la productividad. Ello ha permitido la búsqueda de nuevas formas de negocio surgidas a raíz del acceso, cada vez más fácil, de la población a las nuevas tecnologías. No obstante, la situación en España es particularmente distinta al resto de principales países industrializados y merece una atención especial, ya que el motor principal de su economía y de la generación de empleo se centra en la pequeña y mediana empresa, cuyo volumen equivale al 99% del total de empresas (además, casi un 94% corresponde a organizaciones de menos de 10 empleados). Por ello, todas las iniciativas destinadas a fomentar el uso de las tecnologías de la información de manera que orienten el negocio hacia el éxito deben centrarse en la PYME. En este contexto, dentro de las distintas iniciativas promovidas por el sector público para conseguir la “alfabetización tecnológica” de las empresas, surge la necesidad de garantizar un uso seguro de las tecnologías en este tipo de organizaciones, permitiendo este estudio obtener una radiografía del estado de la PYME a nivel tecnológico (y concretamente en lo relativo a la seguridad informática) y lograr una información valiosa para orientar el rumbo de la implicación de la Administración Pública en la mejora del uso de las TIC.
Análisis de la situación tecnológica en la PYME española
El Estudio pone de manifiesto la existencia de atraso tecnológico en las pequeñas y medianas empresas españolas con respecto a las de mayor tamaño, así como en relación a las empresas del mismo tamaño en los principales países europeos y en EE.UU. Este retraso en el uso de las tecnologías de la información y las comunicaciones se hace patente en la ausencia de aplicación de las mismas al proceso productivo de las entidades. Así, en aquellas empresas en las que se utilizan las tecnologías de la información, éstas tienen como finalidad, generalmente, proporcionar apoyo a otras tareas productivas clave (especialmente en el caso de la conexión a Internet y del uso del correo electrónico), incluso en el caso particular de aquellas empresas de tipo industrial que cuentan con unas tecnologías avanzadas y en las que se supondría una tendencia natural más proclive al uso de nuevas tecnologías. De esta manera, se suelen descartar las tecnologías como una herramienta útil para cualquier fin más allá de la difusión de información (comercio electrónico, comunicación, etc.). Ahondando en el campo específico de la seguridad informática, podría decirse que en estos momentos la PYME no la percibe como un aspecto relevante que impida un acercamiento efectivo a la tecnología. Existe, no obstante, un cierto escepticismo sobre las
Investigación sobre incidencias y necesidades de seguridad en la PYME Observatorio de la Seguridad de la Información Página 5 de 85
medidas de protección existentes en la actualidad y se percibe el riesgo tecnológico como algo tangencial y de bajo impacto en el negocio. Como principal causa de esta situación destaca el escaso conocimiento que la PYME tiene, en general, sobre los problemas derivados del uso de la tecnología, especialmente en aspectos más alejados de los conceptos clásicos de protección asociados al uso de Internet (antivirus, antispam y cortafuegos). Este hecho provoca una demanda baja de soluciones y servicios de seguridad informática que tradicionalmente han sido aplicados en la gran empresa, tales como soluciones de backup, cifrado o cumplimiento normativo. El estudio ha permitido detectar como probables causas del atraso tecnológico las siguientes: • Desconocimiento de las tecnologías, principalmente como consecuencia de la falta de personal con la adecuada formación y capacidad de entender las necesidades tecnológicas de una empresa. Falta de concienciación respecto a la seguridad de la información. Esta situación se deriva de lo expuesto en el punto anterior. • • Sensación de que las tecnologías no son útiles para la optimización del negocio. Desconfianza en Internet como medio para la prestación de servicios, causada por la incapacidad de reaccionar ante las amenazas surgidas a raíz de la conexión a la Red de redes.
La falta de recursos de la PYME en comparación con la gran empresa agrava esta situación, lo que pone de manifiesto, cada vez más, la necesidad de la existencia de una entidad especializada que ayude a romper las barreras de entrada existentes y que influya eficazmente en la cultura y el comportamiento de la PYME desde el punto de vista de la seguridad informática.
Análisis de la situación de seguridad en la PYME española: conocimiento e implementación de medidas.
Analizando algunos de los datos obtenidos en el Estudio, puede parecer a primera vista que en la PYME existe una cierta cultura de seguridad de la información, e incluso un nivel de protección adecuado. Sin embargo, cuando se profundiza en el análisis de las respuestas obtenidas en relación al conocimiento de las incidencias de seguridad, cumplimiento normativo o valoración de las soluciones de seguridad, se percibe que existe una carencia de conocimientos específicos de los problemas existentes y de las soluciones disponibles. Las más difundidas son las principales herramientas en torno a los sistemas clásicos de protección de PC, basados en antivirus (98,9%), cortafuegos (90,9%) o antispam (85,4%). En cambio, las medidas de control en torno al cumplimiento normativo, a la copia de seguridad de los datos, a la continuidad del negocio o al cifrado de las comunicaciones siguen siendo poco conocidas y adoptadas entre la PYME.
Investigación sobre incidencias y necesidades de seguridad en la PYME Observatorio de la Seguridad de la Información Página 6 de 85
Es especialmente relevante la falta de cumplimiento normativo en lo relativo a la LOPD. Si bien el grado declarado de conocimiento de la misma es bastante elevado (79,2%), son pocas las empresas que parecen cumplir con la misma. Esta afirmación se materializa en los siguientes hechos: • Se desconocen las consecuencias del incumplimiento de la ley (el 56,2% de las empresas no conocen las sanciones previstas en la LOPD por su incumplimiento). • Sólo el 17,7% de las empresas realizan las auditorías de seguridad requeridas por la ley. Son pocos los encuestados que disponen de un documento de seguridad (23,4%) 1 .
Este hecho se agrava en la medida en que se perciben como poco necesarios, por parte de los encuestados, los servicios relacionados con el asesoramiento jurídico; sólo el 7,5% de las PYME los demandaría con frecuencia en caso de que fueran ofrecidos por una organización especializada. Dada la oferta actual de los servicios de seguridad proporcionados por el sector privado, se perciben dos problemas comunes a la mayoría de las soluciones existentes, que justifican en mayor o menor medida la escasez en la demanda por parte de pequeñas empresas y microempresas: • En primer lugar, el coste de ciertas soluciones resulta poco asequible para los recursos escasos de una pequeña empresa de menos de cincuenta empleados. • El segundo problema alude a la ausencia de asesoramiento técnico a los consumidores, lo cual les dificulta la percepción de cuáles son los servicios o productos que más les convienen.
Entre los servicios considerados de mayor utilidad para la PYME destacan: • • Formación en políticas y hábitos de seguridad. Servicios de seguridad gestionada de los sistemas y de las herramientas de monitorización. Productos relacionados con la prevención de código malicioso (antivirus, antiespías, etc.) y de filtrado de aquellos contenidos en las comunicaciones que sean susceptibles de constituir un ataque (principalmente el cortafuegos y, en
La LOPD requiere que se definan documentos donde se describan las medidas de protección sobre los datos de carácter personal. Investigación sobre incidencias y necesidades de seguridad en la PYME Observatorio de la Seguridad de la Información Página 7 de 85
menor medida, los sistemas de detección de intrusos), aunque estos no ofrezcan una protección total por sí mismos.
Análisis de la situación de las incidencias de seguridad en la PYME español
El estudio también refleja que no se debe descuidar la actitud de los propios empleados como fuente de problemas de seguridad para la empresa, ya sea por una falta de concienciación respecto a un uso responsable de los sistemas (política de contraseñas, bloqueo de ordenadores, etc.), o porque la propia falta de conocimiento hace que los trabajadores sean más vulnerables a ataques relacionados con la ingeniería social. Esta circunstancia está motivada principalmente porque no hay políticas específicas de seguridad en la PYME. En este sentido, se aprecia una incoherencia entre un hipotético aumento del volumen de ataques relacionados con nuevos fraudes a través de Internet previsto por los expertos (como el phishing o el pharming) y la escasa detección de delitos de este tipo en la muestra de empresas consultadas en el Estudio (1,9%, tanto en el caso de fraudes relacionados con tarjetas de crédito como en el que afecta a cuentas bancarias online). Esta falta de conexión entre la teoría ideal y la realidad práctica trae consigo una falta de aplicación de medidas para la detección prematura de incidentes de este tipo y, en consecuencia, deja a los usuarios en un estado de vulnerabilidad permanente que sin duda podría incrementar en el futuro el número de sucesos. En el otro lado de la balanza quedaría una amenaza clásica como el malware (virus, gusanos, troyanos y similares), de la que podría pensarse, a priori, que las empresas están razonablemente protegidas por el software disponible actualmente en el mercado (más del 90% declaran tener antivirus y cortafuegos instalados en sus sistemas). No obstante, como se confirmó en la primera oleada del Estudio sobre la Seguridad de la Información y e-Confianza de los hogares españoles de INTECO (2007), la actitud y los hábitos del usuario son fundamentales, pudiendo la protección alcanzada con las herramientas antivirus mermar su efectividad cuando no se toman otras medidas adecuadas, tales como actualización periódica del software antivirus o la negativa a ejecutar determinadas aplicaciones sospechosas, entre otros ejemplos. Posiblemente por esta falta de buenas prácticas, las empresas han puesto de manifiesto una alta frecuencia en la ocurrencia de amenazas percibidas relacionadas con el malware (77,9% en el caso de los troyanos 42,7% en el de los virus), aún siendo estas controlables si se cuenta con el software adecuado y se siguen una serie de hábitos en seguridad. Desde el punto de vista de una PYME que cuenta al menos con ciertos servicios básicos de tecnologías de la información, como el acceso a Internet y el correo electrónico, una amenaza importante son los programas espía (spyware) y el correo electrónico no deseado (spam) que, aunque no provoquen una pérdida de información, pueden llegar a interrumpir la actividad normal de trabajo y ocasionar con ello pérdidas económicas,
Investigación sobre incidencias y necesidades de seguridad en la PYME Observatorio de la Seguridad de la Información Página 8 de 85
además de una evidente incomodidad a las empresas. Es destacable el hecho de que estas dos amenazas se han manifestado de manera elevada durante el último año en los sistemas informáticos de los consultados en el Estudio (19,5% y 58,7%, respectivamente). Respecto a los intentos de intrusión puede afirmarse que, en líneas generales, la PYME no se considera, a priori, un objetivo de los ataques directos de hackers con fines maliciosos o delictivos (también conocidos como crackers). Los índices de estas intrusiones se sitúan, en todas sus tipologías, por debajo del 15%. Sin embargo, la falta de unas medidas de protección adecuadas puede convertir los sistemas de pequeñas empresas en un punto de partida de estos individuos hacia ataques a mayor escala. Este hecho podría solucionarse con el uso correcto de diferentes herramientas de seguridad y la aplicación de unos hábitos de navegación adecuados. Se percibe cierta desconfianza hacia los sistemas de seguridad, siendo una de las principales razones a las que se identifica como responsable de la ocurrencia de incidentes la ineficacia de dichos sistemas de protección, (un 19,0% de los consultados) si bien la percepción es positiva para algunos aspectos de los productos como la calidad (un 86,7% de los consultados consideran que los productos y servicios de seguridad tienen una calidad buena). Esta situación se explica por, la falta de formación de la PYME en materia de seguridad, que hace que confíe plenamente en los sistemas de seguridad y relaje sus hábitos, y por los mejorables servicios de respuesta que ofrecen las empresas de servicios de seguridad a sus clientes, tal y como constatan expertos y empresas consultadas. Las pérdidas económicas derivadas de una incidencia de seguridad son las consecuencias que más preocupan a las PYME española. Sin embargo, 9 de cada 10 (un 91,3%) de las empresas consultadas considera no haber sufrido una pérdida económica a causa de una incidencia de seguridad. La principal consecuencia a una incidencia de seguridad detectada por las empresas, es la pérdida de tiempo de trabajo (17,8%) que no es identificado por estas como una pérdida económica directa, lo que explica la escasa importancia que dan las PYME a la seguridad de la información. Este hecho se ve agravado por la falta de concienciación de aquellos usuarios que no han previsto la pérdida de información mediante una adecuada política de copias de respaldo de la información sensible. Así, una de cada tres empresas no realiza copias de seguridad de sus datos a pesar de existir en el mercado sistemas que permiten automatizar esta tarea por unas cuotas asequibles. Esta escasa percepción de ocurrencia de incidencias de seguridad se explica por: • Desconocimiento de las consecuencias a las que puede abocar un incidente grave de seguridad.
Desconocimiento de las incidencias e incapacidad para su detección temprana. Percepción de riesgo bajo en las incidencias de seguridad a causa de una falta de formación adecuada y de personal con conocimientos específicos.
Incapacidad de la PYME de cuantificar el lucro cesante. Es decir, de asociar una pérdida de tiempo, conectividad y clientes, con una pérdida económica real.
Análisis comparativo de la situación de la seguridad en la empresa española según su tamaño
Frente a las microempresas, las grandes empresas disponen de un conjunto de soluciones técnicas y servicios eficaces para la resolución de sus problemas de seguridad y desarrollan prácticas propias de seguridad dirigidas a la supervisión y mejora constante para afrontar las nuevas amenazas. En este sentido y a modo de ejemplo el perfil de incidencias de seguridad que sufren las grandes empresas parece, en primera instancia, más significativo que el de la pequeña empresa. Así, la gran empresa española sufre un mayor número de intrusiones, 16,4%, frente a 13,4% de la PYME, está más sometida a robos de información (12,8%-3,1%) y, además, es objeto de más spam, virus, y software espía. Por el contrario, un mayor porcentaje de PYME considera haber sido objeto de ataques de denegación de servicio (89,9%, frente al 19,6% de la gran empresa) y de un mayor número de infecciones de troyanos. Aunque a priori esta situación podría explicarse por un mayor nivel de exposición en la gran empresa (número de usuarios conectados a Internet, mayor uso de las tecnologías de la información, etc.), también es necesario tener en cuenta la menor protección de la pequeña empresa respecto a algunos tipos de incidentes de seguridad y la escasa formación de ésta que hace que no sean capaces de identificar convenientemente los diferentes tipos de incidencias. Esto, unido a una mayor concienciación de la importancia de la seguridad de la información para la organización, motiva que en la gran empresa el nivel de uso de medidas de seguridad y la definición de políticas adecuadas de protección sea significativamente mayor que en la PYME tendiendo ésta un comportamiento similar a los usuarios domésticos, tal y como se muestra en el Estudio sobre la Seguridad de la Información y e-Confianza de los hogares españoles de INTECO (2007).
Análisis de las necesidades de seguridad en la PYME española
Algunos expertos consideran especialmente necesarios para la PYME otro tipo de servicios que, debido a la falta de concienciación o de personal con conocimientos
Investigación sobre incidencias y necesidades de seguridad en la PYME Observatorio de la Seguridad de la Información Página 10 de 85
adecuados en la pequeña y mediana empresa, no son lo suficientemente demandados. Este es el caso de las copias de seguridad remotas, los servicios de certificación y acreditación (especialmente en lo relativo al tratamiento de datos de carácter personal en aquellas empresas que realizan alguna transacción por Internet), la obtención de información de seguridad a través de alertas de seguridad y la gestión de incidentes. En cambio, existen otros servicios que no se consideran adecuados por ser más útiles para la gran empresa, como los programas de seguridad IT o gestión del riesgo y continuidad del negocio. Aun así, la implantación de este tipo de servicios de gestión de la seguridad a nivel lógico estaría justificada en ciertas empresas según el caso, previa adaptación a las necesidades y al sector. Si existe una característica común a todas las pequeñas y medianas empresas españolas, esta es precisamente su diversidad o heterogeneidad, característica que implica unas necesidades específicas según el sector de actividad en el que se centre cada organización. En menor grado, se podrían considerar otros dos factores claves en las necesidades de seguridad: • El tamaño de la empresa (cuanto mayor sea, más probabilidades existen de que disponga de recursos humanos y económicos para dedicar a los sistemas de información, lo cual conllevaría un mayor conocimiento en seguridad). El grado de madurez de la empresa.
Las medidas de impulso para el crecimiento de seguridad de la PYME implican necesariamente el acercamiento de las soluciones de seguridad a la pequeña empresa, poniendo a su disposición personal experto y cualificado que le ayude en la adopción de las medidas de protección más efectivas y, sobre todo, en el cumplimiento normativo. Para favorecer este acercamiento, los expertos recomiendan una combinación adecuada de canal, precio y producto con soluciones dirigidas a la PYME y la industria entre las que destacan: • Adaptación, por parte de los fabricantes, de los productos de seguridad ofertados a la PYME, siguiendo criterios como la homogeneización, integración y simplificación del producto a través de paquetes de servicios específicos. Asimismo, se deberían ofrecer unos contratos dinámicos para los servicios, que reduzcan plazos y permitan redefinir las características según las necesidades puntuales del cliente. • Las PYME deberían delegar la gestión integral de la seguridad de sus equipos en proveedores tecnológicos de confianza, lo que reportaría importantes ventajas
como la reducción de costes originada por la optimización del servicio y la no necesidad de personal dedicado específicamente a la seguridad TIC, así como el acceso a la tecnología y conocimientos más novedosos del mercado en todo momento. Por otro lado, es un aspecto de común acuerdo que, en todo este proceso de adaptación de las empresas al uso seguro de las tecnologías, las Administraciones Públicas deberían jugar un papel principal en la concienciación de la ciudadanía en materia de seguridad de la información, así como en otras iniciativas que impulsen la industria de seguridad en España. Algunas de las medidas comentadas que buscan conseguir estos objetivos serían las campañas de divulgación, créditos o exenciones fiscales para la adquisición de herramientas y servicios relacionados con la seguridad, así como fomentar la posibilidad de realizar ciertos trámites burocráticos mediante tecnologías seguras a través de Internet. En última instancia, algunos expertos proponen evolucionar el marco legal relacionado con la seguridad, cubriendo algunos huecos dejados por la actual legislación y reforzando otros que han sido tratados adecuadamente por la misma. Así los expertos consultados consideran que INTECO, con la creación del Centro de Respuesta a Incidentes de Seguridad (CERT) público especializado en la PYME, puede y debe ayudar a resolver los problemas y necesidades de seguridad detectados. Este Centro ha de servir, por tanto para ofrecer servicios orientados al: • • Fomento y uso de soluciones de seguridad. Fomento de la formación y la cultura de seguridad, que junto con una política de acercamiento efectiva a la PYME, ayudaría en la generación de la demanda necesaria para el asentamiento de las prácticas de seguridad.
Este tipo de servicios permitirán: • Actuar sobre el atraso tecnológico y en materia de seguridad existente en la PYME española. • Ayudar a orientar y acercar la actual oferta de servicios y soluciones de seguridad a la PYME española. Ayudar a la PYME con recursos cualificados a cubrir y resolver sus actuales necesidades en materia de seguridad. • Lograr un acercamiento efectivo entre empresa (clientes de servicios y tecnologías de seguridad) y mercado (proveedores de servicios y tecnologías de seguridad).
En los últimos años el empleo de las tecnologías ha tomado una mayor relevancia como elemento dinamizador del crecimiento económico basado en el aumento de la competitividad y la productividad. En este sentido, son muchas las iniciativas puestas en marcha por la Administración Pública con el objetivo de contribuir a un mayor crecimiento y facilidad de acceso a dichas tecnologías por parte de los actores clave de la llamada Sociedad de la Información. Uno de los sectores en los que más se ha focalizado la inversión en I+D+i ha sido el de la pequeña y mediana empresa española (PYME). De hecho, en 2005 es en la PYME donde se produce un mayor incremento de inversión en I+D, según diversos estudios que se detallarán más adelante. Este hecho, sumado a la importancia que la PYME tiene desde el punto de vista de crecimiento económico y generación de empleo, pone de manifiesto la necesidad de apostar por una mejora clara del acceso a las TIC por parte de la pequeña y mediana empresa, especialmente desde la perspectiva de seguridad y confianza en las nuevas tecnologías. En España existen en la actualidad 3.146.281 empresas con menos de 50 empleados 2 , de las cuales más de la mitad (el 51%) no dispone de asalariados, el 43% tiene de uno a nueve empleados y el 5%, dispone de entre 10 y 50 asalariados (164.000 PYME). Por su parte, la “Encuesta de uso de TIC y Comercio Electrónico (CE) en las empresas 20052006”, publicada en noviembre de 2006 y realizada por el INE, señala que el 91,7% de las empresas españolas de entre 10 y 50 asalariados dispone de conexión a Internet. En este contexto, el presente estudio tiene por objetivo conocer las necesidades de seguridad de la información de la pequeña y mediana empresa española y detectar los medios para contribuir al fomento de la cultura de seguridad entre las mismas. 1.1.1 1.1.2 Presentación El Instituto Nacional de Tecnologías de la Comunicación
El Instituto Nacional de Tecnologías de la Comunicación (INTECO), sociedad estatal promovida por el Ministerio de Industria, Turismo y Comercio, es una plataforma para el desarrollo de la Sociedad del Conocimiento a través de proyectos del ámbito de la innovación y la tecnología.
Directorio Central de Empresas (DIRCE). Instituto Nacional de Estadística, 2006.
Su objetivo es doble: por una parte, contribuir a la convergencia de España con Europa en la Sociedad de la Información y, de otra parte, promover el desarrollo regional, enraizando en León un proyecto con vocación global. La misión de INTECO es impulsar y desarrollar proyectos de innovación relacionados con el sector de las Tecnologías de la Información y la Comunicación (TIC) y en general, en el ámbito de la Sociedad de la Información, que mejoren la posición de España y aporten competitividad, extendiendo sus capacidades tanto al entorno europeo como al latinoamericano. Así, el Instituto tiene la vocación de ser un centro de desarrollo de carácter innovador y de interés público a nivel nacional que constituirá una iniciativa enriquecedora y difusora de las nuevas tecnologías en España en clara sintonía con Europa. El objeto social de INTECO es la gestión, asesoramiento, promoción y difusión de proyectos tecnológicos en el marco de la Sociedad de la Información. Para ello, INTECO desarrollará actuaciones, al menos, en líneas estratégicas de Seguridad Tecnológica, Accesibilidad, Innovación en soluciones TIC para la PYME, e-Salud, e-Democracia. 1.1.3 El Observatorio de la Seguridad de la Información
El Observatorio de la Seguridad de la Información se inserta dentro de la línea estratégica de actuación de INTECO en materia de Seguridad Tecnológica. El Observatorio nace con el objetivo de describir de manera detallada y sistemática el nivel de seguridad y confianza en la Sociedad de la Información y de generar conocimiento especializado en la materia. De este modo, se encuentra al servicio de los ciudadanos, las empresas y las administraciones públicas españolas para describir, analizar, asesorar y difundir la cultura de la Seguridad de la Información y la e-Confianza. El Observatorio ha diseñado un Plan de Actividades y Estudios con el objeto de generar conocimiento especializado y útil en materia de seguridad por parte de INTECO, así como de elaborar recomendaciones y propuestas que definan tendencias válidas para la toma de decisiones futuras por parte de los poderes públicos. Dentro de este plan de acción se realizarán labores de investigación, análisis, estudio, asesoramiento y divulgación que atenderán, entre otras, a las siguientes estrategias: • Elaboración de estudios e informes propios en materia de seguridad de las Tecnologías de la Información y la Comunicación, con especial énfasis en la Seguridad en Internet. Seguimiento de los principales indicadores y políticas públicas relacionadas con la seguridad de la información y la confianza en el ámbito nacional e internacional.
Generación de una base de datos que permita el análisis y evaluación de la seguridad y la confianza con una perspectiva temporal. Impulso de proyectos de investigación en materia de seguridad TIC. Difusión de estudios e informes publicados por otras entidades y organismos nacionales e internacionales, así como de información sobre la actualidad nacional y europea en materia de la seguridad y confianza en la Sociedad de la Información. Asesoramiento a las Administraciones Públicas en materia de seguridad de la información y confianza, así como el apoyo a la elaboración, seguimiento y evaluación de políticas públicas en este ámbito.
Descripción del Estudio y alcance de las conclusiones
De entre los nuevos retos a los que se enfrenta la Sociedad de la Información, cabe destacar el desarrollo de iniciativas para contribuir a un mayor crecimiento y facilidad de acceso a las nuevas tecnologías. Ante esta situación y dentro de las funciones asignadas al Observatorio de la Seguridad de la Información de INTECO, se han previsto acciones de refuerzo de la seguridad y eConfianza en la red dirigidos a ciudadanos, empresas y administraciones públicas. A tal efecto, surge la necesidad de realización de un Estudio sobre incidencias y necesidades de seguridad en las pequeñas y medianas empresas españolas. En concreto, el proyecto consiste en la realización de un análisis sobre la situación de la PYME española en materia de e-confianza y seguridad de la información para lograr un doble objetivo: • Conocer las necesidades de seguridad de la información de la pequeña y mediana empresa española. Fomentar la cultura de seguridad dentro de la PYME.
El propósito final del Estudio es conocer la eficacia de las medidas de fomento de la cultura de seguridad de la información en la PYME y proponer recomendaciones de actuación dirigidas a la industria de seguridad de la información y a las Administraciones Públicas para cubrir las necesidades de este tipo en estas empresas. La ejecución del proyecto ha abordado diferentes fases de forma consecutiva, que se listan a continuación a modo de resumen: • Elaboración de un catálogo de los productos y servicios de seguridad ofertados actualmente por los distintos proveedores.
Realización de entrevistas a diferentes expertos en seguridad de la información, entre los que se encuentran los fabricantes y desarrolladores más representativos del sector.
Recopilación y estudio de informes independientes relacionados con la implantación de las TIC y de la seguridad en la PYME. Elaboración de encuestas a pequeñas y medianas empresas así como realización de auditorías de seguridad a algunas de estas organizaciones. Elaboración de un informe final con las conclusiones recabadas en las fases de recopilación de informes, realización de entrevistas y elaboración de encuestas que recoja la situación de seguridad de las PYME españolas y las medidas propuestas para su impulso.
A partir de estas fases, que se describirán en el siguiente apartado, se pretende obtener conclusiones sobre cada uno de los aspectos relevantes para la consecución de las metas del Estudio: • • • Estudio de la situación actual de la PYME en materia de seguridad informática. Análisis del mercado de seguridad destinado a la PYME. Redacción de un conjunto de recomendaciones para Administración e industria respecto al fomento de los servicios y productos necesarios para la pequeña y mediana empresa. El Gráfico 1 resume la contribución de las diferentes fases a la obtención de conclusiones:
Gráfico 1: Metodología y alcance de la obtención de conclusiones para el Estudio de INTECO
Identificación proveedores de seguridad Elaboración catálogo de servicios
SITUACIÓN ACTUAL DE SEGURIDAD EN LA PYME
ENTREVISTAS A EXPERTOS EN SEGURIDAD
Selección de expertos en seguridad Realización de entrevistas Obtención de conclusiones a expertos
ESTUDIO DE INFORMES INDEPENDIENTES
Identificación de fuentes de información Análisis de informes y extracción de datos relevantes Obtención de conclusiones a informes
ANÁLISIS DEL MERCADO DE SEGURIDAD PARA LA PYME
ENCUESTAS DE SEGURIDAD A LA PYME
Diseño de la encuesta Elaboración y captación de la muestra Lanzamiento de la encuesta y recopilación de datos Realización de auditorías de seguridad Obtención de resultados diagnóstico Obtención de conclusiones a encuestas
RECOMENDAC. PARA ADMON E INDUSTRIA
Las características inherentes a las organizaciones empresariales dificultan la realización de estudios de seguridad intrusivos, es decir, aquellos que implican una auditoría de estas en cualquier aspecto. Prueba de ello es que apenas se han publicado estudios de seguridad en empresas, estando basados los existentes en encuestas de opinión, lo que sólo permite medir la percepción de seguridad de las mismas y que incluso, debido al recelo que muestran los ejecutivos por pensar que van a se evaluados en función de sus respuestas, pueden no reflejar fehacientemente la realidad. Además, los estudios existentes se restringen a muestras pequeñas y en muchas ocasiones limitan sus conclusiones a sectores específicos. Las dificultades para la realización de este tipo de estudios aumentan a medida que se reduce el tamaño de la
empresa. En Estados Unidos, un país con más de 300 millones de habitantes y puntero en desarrollo tecnológico, uno de los estudios de referencia sobre la seguridad en la PYME 3 se ha realizado a una muestra de 455 empresas. El dato es aun más llamativo si se tiene en cuenta que en Estados Unidos las empresas se consideran pymes siempre que tengan menos de 500 empleados, cuando en Europa han de tener menos de 250 trabajadores. Las peculiaridades de la economía española en la que 9 de cada 10 empresas tienen menos de 10 empleados dificultan aun más obtención de datos fidedignos utilizando métodos de análisis tradicionales. Esta situación se pone de manifiesto en el Barómetro de Empresas realizado por Deloitte para El País, y con el que se contrastan los resultados del presente estudio, que siendo uno de los informes guía de la situación económica en España, recoge la opinión de 285 grandes empresas. Por otro lado, existen una serie de condicionantes añadidos que sesgan las respuestas de las empresas. Así, experiencias anteriores demuestran que las PYME españolas no son, en su mayoría, capaces de identificar sus necesidades ni de responder a preguntas técnicas, bien sea debido a una cultura de seguridad escasa, y/o bien a la existencia de problemas en el conocimiento de la terminología utilizada, muchas veces en inglés, para referirse a las distintas incidencias y servicios de seguridad de la información. En resumen, en vista de las dificultades identificadas se hace necesario definir una aproximación alternativa, basada fundamentalmente en un análisis cualitativo, que permita obtener resultados contrastables que posibiliten la toma de decisiones para la mejora de la seguridad en este segmento por parte de las autoridades competentes. Así, INTECO, a partir de las premisas anteriores ha definido una metodología basada en un análisis en profundidad del mercado existente, en las consultas a expertos de todos los extremos de la cadena de valor (lo que permite obtener una opinión no sesgada y real de la situación de seguridad), así como en la toma de datos de las propias empresas, permitiendo medir su cultura de seguridad por medio del contraste de sus respuestas con las necesidades identificadas por los expertos. En los siguientes epígrafes se desgrana esta metodología de manera detallada. 1.3.1 Elaboración de un catálogo de productos y servicios de seguridad
Se han analizado los proveedores de servicios de seguridad en busca de los productos y servicios ofertados actualmente. Se han buscado principalmente los servicios ofertados a la PYME de manera particular, para así conocer la situación del mercado de seguridad para este tipo de empresas.
Security survey in United States. GFI software, 2007.
En el catalogo se identifican, por tanto, los tipos de servicios ofertados y las tarifas de cada uno, de manera que puedan detectarse que servicios y productos no están cubiertos por el sector privado y que podrían ser ofertados por la Administración si se identificasen como necesidades de la PYME a las cuales esta no pudiera acceder por su restricción presupuestaria. 1.3.2 Fase de realización de entrevistas a expertos en seguridad informática
Las tareas englobadas en esta fase del proyecto han tenido como objetivo realizar y documentar las entrevistas a 42 expertos en seguridad y analizar sus resultados, destacándose las siguientes actividades concretas: • Elaboración de un guión para la realización de las entrevistas a expertos, que permita obtener información sobre: o El estado y las necesidades en materia de seguridad de las pequeñas y medianas empresas españolas. Recomendaciones para la industria y para la Administración Pública
Realización de las entrevistas propiamente dichas. Confección de un acta tras la finalización de cada entrevista que resuma las ideas más significativas sobre los aspectos citados anteriormente (necesidades de seguridad de la PYME, servicios y estrategias del Centro). Obtención de conclusiones globales a partir de las entrevistas realizadas.
Participantes En primer lugar se ha desarrollado una labor de identificación y contacto con numerosas empresas y expertos en seguridad. Así, se ha logrado entrevistar a diferentes proveedores o fabricantes de soluciones y productos de seguridad líderes en el mercado, instituciones públicas, organizaciones sin ánimo de lucro asociadas a la promoción de la seguridad en las TIC, CERTs de ámbito estatal y profesionales de referencia en el mundo de la seguridad (especialmente en el contexto académico). El listado de empresas e instituciones expertas en seguridad que han participado en las entrevistas es el siguiente: AENOR Afina Aladdin Ancert Aptivo Consulting ASIMELEC BlueCoat BT Codesyntax Comunidad de Madrid Deloitte Diasa
Expertia Fundación CTIC Fundetec Generalitat de Cataluña Goinet Hispasec Sistemas Jazztel Magirus ONO Optenet Outpost24 Contenido de las entrevistas
Panda Software Picón y Asociados Proconsi PuntoEs Quobis Networks R Redline Asesores
SIC Symantec Telefónica Terra Universidad de Deusto Universidad de Madrid X-Novo Politécnica
Rediris / IRIS-CERT Xeridia Safelayer SCR Secuware
Las entrevistas se han realizado de manera personal a técnicos y comerciales de las entidades citadas anteriormente y sobre la base de un guión previamente establecido que ha tratado aspectos relacionados con: • Actividad de la empresa o del experto entrevistado, principales productos o servicios de seguridad (si procede) y modalidad en que se ofrecen y estimación de la importancia de la PYME en su negocio. Estado de la PYME respecto a la implantación y uso de las TIC para el desarrollo de su negocio. • Valoración de los diferentes servicios y productos de seguridad ofrecidos en la actualidad e identificación de aquellos que no se ofrecen a pesar de ser necesarios. Identificación de los principales riesgos y amenazas para la PYME y modo de protegerse ante ellos. Las entrevistas han sido grabadas en audio y/o vídeo para lograr un mejor análisis de las mismas, explotando todos los detalles apuntados por los expertos.
Por último, en base al conjunto de actas de todas las entrevistas, se han recabado las conclusiones y tendencias de opinión más generalizadas entre los expertos. 1.3.3 Fase de recopilación y estudio de informes
Esta etapa ha abordado el análisis de la situación actual de la PYME en relación a la implantación de las TIC en general y la seguridad informática en particular. Para ello, se han recopilado una serie de informes de empresas dedicadas al estudio de las tecnologías de la información, a partir de los cuales se han extraído conclusiones que han conducido al conocimiento de la situación actual de la seguridad en la PYME, los riesgos y amenazas a los que se enfrenta y las necesidades y carencias en la oferta de servicios. A partir de lo anterior pueden deducirse las acciones que deben emprenderse para equiparar la pequeña y mediana empresa a las organizaciones de mayor tamaño en lo relativo al uso de las tecnologías de la información, en línea con su actividad de negocio. Fuentes de información Todos los informes referenciados en el presente estudio son propiedad de las siguientes entidades: • • AMR Research Comisión Especial de Estudio para el Desarrollo de la Sociedad de la Información • • Deloitte Foro Madrid en Red para la Sociedad de la Información (Ayuntamiento de Madrid) • • Forrester INE (Instituto Nacional de • L-SEC (Leuven Security Excellence Consortium) • • • • • • • McAfee Panda Software Red.es INTECO Revista Network World Symantec Trend Micro • ISACA (Information Systems Audit and Control Association)
Estadística) • 1.3.4 ITpolicycompliance.com Fase de encuestas a empresas
Para la realización de esta parte del Estudio se ha contado con la colaboración de 265 pequeñas y medianas empresas seleccionadas mediante un muestreo aleatorio estratificado (número de empleados y sector) con afijación proporcional según el porcentaje de uso de Internet en el sector seleccionado.
El error muestral asociado para un nivel de confianza del 95,5% es del ±6,1% lo que le confiere una representatividad suficiente para servir como apoyo y contraste con las opiniones de los expertos y a su vez posibilita la comparación con los datos extraídos de la encuesta realizada por Deloitte para la 28 oleada del Barómetro de Empresas a 282 grandes empresas españolas. Adicionalmente se han realizado auditorías de seguridad sobre los sistemas conectados a Internet en algunas de las empresas participantes en la encuesta, a fin de poder contrastar la situación declarada con la situación real de los sistemas de cada organización. Al contrario que el Estudio sobre la Seguridad de la Información y e-Confianza de los hogares españoles de INTECO (2007), no se ha podido realizar auditorías a todos los encuestados debido al, como se ha comentado anteriormente, recelo mostrado por algunos ejecutivos de las compañías, y a que algunas de las empresas analizadas, como es cada vez más habitual, tenían los servicios informáticos subcontratados a personal externo (el personal de la empresa no dispone de privilegios de administración de los ordenadores). Estas dos circunstancias aconsejan que no se realicen comparaciones estadísticas de los datos obtenidos para no dar lugar a conclusiones sesgadas. Para la captación de la muestra se han empleado las siguientes técnicas: • Contacto telefónico mediante Call Center para la presentación del Estudio y la solicitud de colaboración. Contacto intermediado por asociaciones y cámaras de comercio para la captación de la muestra. Las entidades que han colaborado en el Estudio son: o CEAJE (Confederación Empresarios). Española de Asociaciones de Jóvenes
CONFEMADERA (Confederación Española de Empresarios de la Madera). ASEIF (Asociación de Instaladores de Fontanería) - Valencia / FEMEVAL (Federación Empresarial Metalúrgica Valenciana). Federación Española de Autónomos (CEAT), Delegación de León. Cámara de Comercio de Sevilla. Cámara de Comercio de Valladolid.
En este caso la técnica de obtención de información que se ha empleado ha sido la investigación descriptiva, mediante una encuesta longitudinal a empresas con, al menos, un ordenador conectado a Internet.
Para la formalización de la encuesta se han empleado los siguientes canales: • • • Encuesta online. Encuesta telefónica. Encuesta por correo electrónic
En cuanto al análisis de datos, se han empleado dos técnicas distintas: • Análisis univariante, a través de un análisis descriptivo. Al tratarse de un cuestionario con variables no métricas, se realiza un análisis de frecuencias de las preguntas, de tal manera que las variables se estudian de forma independiente. • Análisis bivariante, a través de tablas de contingencia con datos cruzados de varias preguntas para analizar las relaciones. Mediante esta técnica se mide la posible relación o influencia significativa de las variables de estratificación (sector y tamaño de la empresa) sobre las restantes variables del cuestionario mediante la prueba chi-cuadrado. Muestra El trabajo de campo se ha desarrollado en distintas localidades de la geografía española atendiendo a criterios de representatividad nacional en función de los sectores predominantes y la implantación de las TIC en las PYME de la región El Gráfico 2 por su parte, muestra los sectores a los que pertenecen los encuestados. Destaca el sector servicios (donde se ha realizado un 27,5% de las encuestas) al ser el que mayor implantación tecnológica posee en términos absolutos y que, por tanto, obtiene una ponderación mayor al seleccionar el porcentaje de individuos en la muestra.
Gráfico 2: Distribución de empresas por sectores de actividad
Servicios Construcción y contratas Comercio Industria Finanzas, seguros y bienes raíces Transportes, almacenamiento y comunicaciones Actividades informáticas Agricultura, ganadería, minería y pesca Hostelería Educación Otras actividades sociales: Servicios personales Producción y distribución de energía eléctrica, gas y agua Actividades sanitarias 0% 3,4% 3,0% 2,3% 1,5% 1,5% 1,1% 10% 20% 30% 7,2% 6,4% 9,1% 11,7% 11,3% 14,0% 27,5%
El Gráfico 3 muestra la segmentación según el número de empleados, donde destaca por los motivos anteriormente expuestos, el número de entrevistas realizadas el grupo de microempresas (aquellas que tienen menos de 10 empleados).
Gráfico 3: Número de empleados
60% 52,8% 50%
30% 23,0% 20% 9,8% 10% 6,1% 8,3%
0% Menos de 10 De 10 a 19 De 20 a 29 De 30 a 39 De 40 a 49
Respecto a la segmentación según el volumen de facturación, Gráfico 4, destaca el hecho de que el 80% de las empresas encuestadas factura menos de 600.000€ al año, y poco más del 50% supera los 100.000€ anuales.
Gráfico 4: Distribución porcentual por volumen de facturación en euros
7,6% 19,8% 4,6%
21,8% 19,8%
Menos de 15.000 De 100.000 a 300.000
De 15.000 a 30.000 De 300.000 a 600.000
De 30.000 a 60.000 Más de 600.000
2 ANÁLISIS DE LA SITUACIÓN TECNOLÓGICA EN LA PYME ESPAÑOLA
2.1 Estructura de la PYME española
Un rasgo claramente diferenciador del tejido empresarial español con respecto al resto de países vecinos es la fortaleza de la pequeña y mediana empresa, que la Unión Europea define como ilustra la Tabla 1.
Tabla 1: Definición de la PYME según la normativa de la Comunidad Europea (en vigor desde el 1 de enero de 2005) Microempresa Número de empleados Facturación máxima (en millones de euros) Valor máximo del Activo del Balance (en millones de euros) Menos de 10 2 2 Empresa pequeña Menos de 50 10 10 Empresa mediana Menos de 250 50 43
Fuente: Recomendación C.E. (6 de mayo de 2003)
Las empresas españolas son en su mayoría organizaciones de menos de 10 empleados, también conocidas como microempresas. De hecho, según datos del Instituto Nacional de Estadística (DIRCE, Directorio Central de Empresas 2006), de los más de tres millones de empresas existentes en España en el año 2006, cerca del 94% eran organizaciones con menos de 10 asalariados o sin trabajadores en plantilla. Por su parte, el 5,17% de las empresas tenían entre 10 y 49 empleados, lo que significa que el 99% de las empresas españolas se insertan dentro de las categorías de pequeñas empresas o microempresas. Por tanto, las llamadas mediana empresa y gran empresa apenas representan en número, aunque sí lo hacen en volumen de negocio y porcentaje sobre el total de trabajadores activos, el 1% del tejido empresarial español. El Gráfico 5, ilustra este hecho y evidencia la influencia que la PYME tiene sobre la economía del país, así como sobre la sociedad en su conjunto.
Gráfico 5: Distribución de empresas españolas según el número de asalariados
De 5000 o más asalariados; 93; 0,00% De 1000 a 4999 asalariados; 658; 0,02% De 500 a 999 asalariados; 999; 0,03% De 200 a 499 asalariados; 3908; 0,12% Entre 1 Y 10 asalariados (microempresas); 1365203; 43,01% De 100 a 199 asalariados; 7367; 0,23% De 50 a 99 asalariados; 15087; 0,48%
Sin asalariados; 1616883; 50,94%
Entre 10 y 49 asalariados (pequeñas empresas); 164195; 5,17%
Fuente: INE (2006)
Entre todos los avances en el entorno empresarial en los últimos años, el más relevante ha sido, sin lugar a dudas, la implantación de las nuevas tecnologías en el proceso productivo de las organizaciones, con el objetivo de optimizar la producción y reducir costes a largo plazo. El crecimiento de Internet, por otra parte, ha sido un factor clave para explicar la evolución del modelo de ventas tradicional hacia el comercio electrónico. De esta manera, Internet se ha convertido en una herramienta imprescindible para la mejora de las comunicaciones con los clientes y proveedores, así como con la Administración Pública. Prueba de ello es que hoy en día se dan por hecho diversas ventajas de la implantación de las tecnologías de la información en las empresas 4 : • • La mejora en sus procesos de negocio. La capacidad de acceder a mayores fuentes de información por parte de las empresas y sus clientes finales. • La posibilidad de incorporación al mercado de nuevos competidores y el nacimiento de modelos de negocio.
La microempresa española en la sociedad de la información. Red.es, 2004.
En cuanto a la diferenciación por regiones se aprecia un reparto irregular de las pequeñas empresas y microempresas según la zona de España. Así, destacan por su volumen más alto de pequeñas empresas registradas las comunidades autónomas de Cataluña (18,2%), Andalucía (15,4%) y Madrid (15,0%), mientras que otras regiones como Ceuta y Melilla (0,2%) o La Rioja (0,7%), tienen, debido a su tamaño, el menor número de empresas de este tipo.
Gráfico 6: Distribución de pequeñas empresas por comunidades autónomas (%)
Cataluña Andalucí a Madrid Comunidad Valenciana Galicia Castilla y León Paí s Vasco Canarias Castilla-La Mancha Murcia Balears (Illes) Aragón Asturias Extremadura Navarra Cantabria La Rioja Ceuta y Melilla
18,2% 15,4% 15,0% 11,0% 6,1% 5,2% 5,1% 4,2% 3,9% 2,9% 2,8% 2,8% 2,2% 2,0% 1,3% 1,2% 0,7% 0,2% 0% 2% 4% 6% 8% 10% 12% 14% 16% 18% 20%
Fuente: INE. (2006)
En relación a la distribución desigual de las microempresas en España, es preciso señalar que suelen ubicarse en un entorno urbano, situándose la mayoría de ellas en ciudades de más de 100.000 habitantes, tal y como se refleja en la Tabla 2.
Tabla 2: Ubicación geográfica de la microempresa Nº habitantes Menos de 2.500 De 2.500 a 10.000 De 10.001 a 50.000 De 50.001 a 100.000 Más de 100.000 % Microempresas 14,8% 11,6% 20,4% 8,0% 45,2%
Fuente: Red.es (noviembre de 2004)
Sin embargo, no resulta fácil impulsar el nivel de desarrollo tecnológico de las PYME, ya que actualmente y según refleja el “Libro blanco y estrategia para la implantación de la sociedad de la información en la Ciudad de Madrid 2012” elaborado en 2005, no se dan
en este momento algunas de las condiciones de partida necesarias para acelerar su ritmo de implantación: • Existe un desconocimiento y una falta de interés en muchos aspectos relacionados con la sociedad de la información. • Igualmente, se da una falta de información específica y un bajo nivel formativo en nuevas tecnologías que permitan aumentar la productividad de su negocio (uso de sistemas de información, bases de datos…), así como ampliar su mercado (uso de comercio electrónico). Los dos puntos anteriores provocan en el empresario una sensación de carencia de utilidad de las tecnologías en su negocio. Esta circunstancia se produce incluso en aquellas empresas que tienen un grado mínimo de sofisticación tecnológica, que igualmente argumentan que las tecnologías de la información no se adaptan a sus necesidades. No obstante, aún existiendo ese desconocimiento, muchas microempresas son conscientes de que las nuevas tecnologías ayudan a su negocio, las hacen más competitivas y favorecen la obtención de una mayor rentabilidad.
Situación tecnológica actual de la PYME
Las empresas con mayor nivel de recursos se han aprovechado de la tendencia tecnológica que ha aportado Internet para la interconexión de sistemas y personas a nivel mundial y para la creación de nuevos modelos de negocio en la red (como el comercio electrónico). En general, podría decirse que han sabido explotar el potencial de las nuevas tecnologías, mejorando su competitividad y su rentabilidad. Sin embargo, la PYME no ha seguido el mismo camino o, por lo menos, no en la misma medida que empresas de mayor tamaño. Esta afirmación viene avalada por la opinión mayoritaria de los expertos en seguridad consultados en el presente estudio, quienes afirman que existe un evidente retraso tecnológico en las pequeñas y medianas empresas españolas en comparación con otros países europeos, motivado principalmente por la falta de confianza de los pequeños empresarios en los sistemas de información para la realización de las tareas clave de su negocio. Se detecta, asimismo, que esta confianza es menor cuanto menor sea el tamaño de la empresa, aspecto observado también en diversos estudios (como el realizado en 2003 por la Comisión para el Desarrollo de la Sociedad de la Información –en adelante, CDSI– o los datos estadísticos del INE), si bien todas las empresas (independientemente de su volumen) deberían rentabilizar aún más las tecnologías en su aplicación a los procesos productivos, comerciales y de comunicación.
Aun así, este panorama parece cambiar según el sector de negocio analizado; mientras que los muy industrializados dependen totalmente de las tecnologías de la información, en otros el tratamiento manual de los datos sigue siendo mayoritario. Adicionalmente, se han detectado algunos problemas que imponen una barrera tecnológica a las empresas con menos recursos, por ejemplo: • La naturaleza heterogénea de las PYME dificulta la integración de las TIC en sus procesos, al no poderse ofrecer una solución común a todas ellas 5 . • Faltan soluciones adecuadas al tamaño, capacidad financiera y características de la PYME 6 .
Pese a ello, los expertos destacan que la tendencia de las pequeñas empresas hacia la informatización de su negocio, aunque demasiado lenta en comparación al resto de los principales países europeos, está evolucionando de manera favorable en los últimos años. Entre los factores que contribuyen a esta situación destacan los siguientes: • Las administraciones públicas permiten, y en ocasiones imponen, la gestión informatizada de ciertos trámites burocráticos. Valga como ejemplo la necesidad que tienen ciertas gestorías fiscales y contables en algunas comunidades autónomas de declarar el IRPF de sus empresas cliente a través de Internet, utilizando tecnologías seguras y confiables. El cada vez mayor número de proveedores y el incremento de la competencia entre estos ha provocado un incremento en el número de servicios ofrecidos a las PYME. Estos factores han influido en una reducción en el coste de acceso a la Red, lo cual facilita la inclusión paulatina de Internet como una herramienta de apoyo al trabajo en la pequeña y mediana empresa. • La presión social y la publicidad han hecho de Internet un medio masivo, y su popularidad hace que se planteen nuevos retos empresariales en torno a la red: presencia en la web, promoción, venta a través de Internet…
La diferencia en cuanto al grado de implantación de las tecnologías de la información y las comunicaciones en las empresas españolas según su tamaño se hace evidente también a través de resultados analíticos. En concreto, en los siguientes epígrafes se muestran los
Informe final de la Comisión Especial de Estudio para el Desarrollo de la Sociedad de la Información. Comisión Especial de Estudio para el Desarrollo de la Sociedad de la Información (CDSI), 2003. Libro blanco y estrategia para la implantación de la sociedad de la información en la Ciudad de Madrid 2012. Foro Madrid Tecnología, 2005.
datos del INE relativos al uso de las tecnologías en las empresas españolas según su tamaño. 2.2.1 Disponibilidad de ordenadores personales y sistemas operativos utilizados
La disponibilidad de ordenadores en las empresas españolas es considerablemente elevada como se observa en el Gráfico 7. Así la penetración en el año 2006 supera el 98% en todas las empresas de 10 o más empleados. Estos porcentajes, sin embargo, se ven reducidos de manera considerable en el caso de las microempresas (60,6% en 2006 y 54,8% en 2005). El incremento en las microempresas es mucho mayor que para el resto de las empresas (5,8 puntos porcentuales -un 10,58%-) debido a las escasas posibilidades de crecimiento que tienen estas últimas.
Gráfico 7: Empresas con ordenadores disponibles (%)
60,6 54,8
98,3 97,2
Analizando la situación tecnológica de las empresas participantes en el Estudio se pone de manifiesto la elevada tasa de penetración que tienen los sistemas bajo tecnología Microsoft, que alcanza valores del 97,7%, frente a otro tipo de tecnologías (Macintosh y Unix), cada uno de ellos instalado en el 6,8% de las pymes españolas (Gráfico 8). Es decir, parte de las empresas que tienen sistemas distintos a Windows también disponen de equipos con el sistema operativo de Microsoft, bien sea en máquinas dedicadas o compartiéndola con Mac OS X o Linux.
Gráfico 8: Resumen de tecnología empleada por las PYME. Sistemas operativos
Familia Windows (NT, XP, Vista, etc.) Familia Macintosh (OS9, OSX, etc.) Familia Unix (Linux, Solaris, etc.)
Lo desconozco 0,0%
Existencia de redes locales y de conexión a Internet
El hecho de disponer de una red de área local (LAN) que interconecte los equipos de la organización refleja claramente la utilidad de las tecnologías de la información para compartir recursos entre los empleados de la empresa. Sirva como ejemplo que casi la totalidad de las empresas de más de 250 trabajadores tienen una red local (Gráfico 9).
Gráfico 9: Empresas con red de área local (%)
Así, según los datos de los dos últimos años, queda patente que, aunque se haya incrementado el número de microempresas que disponen de LAN en un 39,8% (pasando de un 13,3% a un 18,6%), las diferencias siguen siendo grandes con respecto a organizaciones de mayor tamaño e incluso se intensifican si se compara con otros indicadores. Respecto a la conexión a Internet en las PYME españolas en el periodo mencionado, se observa un incremento moderado, como se puede comprobar en el Gráfico 10. Destaca el aumento experimentado en este aspecto en las microempresas, que presentan un crecimiento de un 13,4% (pasando del 39,5% al 44,8%). Sin embargo, para este tipo de empresas, según datos del INE 7 , la presencia en Internet es aún pasiva, es decir, no se realizan apenas transacciones con el usuario final y la frecuencia de actualización de contenidos es escasa.
Gráfico 10: Empresas con conexión a Internet (%)
98,2 96,3
En cuanto a las tecnologías de acceso a Internet, la más empleada es la banda ancha ADSL, utilizada en más del 95,8% de empresas conectadas. Otras tecnologías de acceso tienen una importancia residual en las PYME; destaca la pequeña penetración que tiene la conexión mediante el móvil (3G), con un 6,4%, posiblemente a causa del todavía alto precio de esta modalidad de acceso y la escasa oferta existente para la PYME.
Encuesta de uso de TIC y Comercio Electrónico (CE) en las empresas 2005-2006. INE, 2006.
Gráfico 11: Resumen de tecnología empleada por las PYME. Tecnología de acceso a Internet
Banda Ancha: ADSL
95,8% 6,4% 4,5% 4,2% 1,5% 0,8% 0,8% 0,8% 20% 40% 60% 80% 100%
T arjeta 3G de móvil o banda ancha móvil Banda estrecha: red telefónica básica (RCT , RDSI) Banda ancha: Cable (coaxial/fibra óptica) Alguna/s red/es inalámbrica/s libre/s que se detectan desde el lugar de trabajo Banda ancha: Otros(PLC / LMDS)
Banda ancha: Ví a satellite
Otro de los datos interesantes que conviene tener en cuenta en esta parte del Estudio es el que hace referencia a la antigüedad del uso de Internet por la PYME española (Gráfico 12), ya que aporta una idea aproximada del nivel de madurez que la pequeña y mediana empresa presenta en la actualidad. En este sentido, destaca que el 100% de las empresas que han completado el cuestionario declara utilizar Internet desde hace más de un año y el 82,3% lo hace con una antigüedad superior a los cuatro años.
Gráfico 12: Antigüedad en el uso de Internet (%)
Usos de Internet por las empresas españolas
El correo electrónico se confirma como una herramienta imprescindible en las empresas haciéndose cada vez más frecuente su uso para la comunicación dentro de las actividades principales corporativas y dejando a un lado el correo tradicional (Gráfico 13). No obstante, se constata que las empresas de menos de 10 asalariados están aún lejos de asumir el correo electrónico como medio principal de comunicación, ya que su uso se ha adoptado en menos de la mitad de las mismas (42,0%), si bien es evidente su tendencia positiva (la utilización del correo electrónico en las microempresas se incrementó un 23,5% entre 2005 y 2006, pasando de un índice de penetración del 34,0% a un 42,0%).
Gráfico 13: Empresas con correo electrónico (%)
Uno de los datos que puede llegar a reflejar con nitidez el interés de las empresas por usar las tecnologías como parte activa de su negocio es la utilización de Internet como medio de difusión, ya sea a través de una página web informativa o incluso distribuyendo productos y servicios mediante el comercio electrónico. En este sentido se pone de manifiesto un retraso evidente en las microempresas en lo referente a la presencia en Internet, ya que tan sólo un 18,1% de las mismas, tal y como afirma el Instituto Nacional de Estadística, dispone de un sitio web, situación que no ha evolucionado favorablemente en el último año, en el que las empresas de menos de 10 empleados con página web han pasado del 18,5% al 18,1%.
Gráfico 14: Empresas que disponen de página web (%)
18,1 18,5
46,6 45,2
68,2 61,8
82,9 80,6
Gasto de las empresas españolas en Recursos TIC
En consonancia con los datos estadísticos observados para años anteriores, los resultados obtenidos en las encuestas a pequeñas empresas españolas en el presente estudio parecen confirmar esta lenta evolución hacia una dependencia cada vez mayor de las tecnologías de la información (Gráfico 15).
Gráfico 15: Evolución del gasto en informática con respecto al año anterior
Así, puede afirmarse que el gasto en informática en el último año (2006) se ha visto ligeramente incrementado: casi la mitad de los encuestados (49,5%) declaran haber aumentado la inversión en este campo en su empresa. Este hecho, unido a que sólo el 7,1% declara haber reducido esta inversión, pone de manifiesto que la PYME española aún no ha alcanzado un nivel de madurez adecuado en cuanto al uso de la tecnología, motivo por el cual siguen siendo significativas las inversiones en informática. Analizando más detalladamente la distribución de este gasto según la tipología de servicios y productos adquiridos durante el último año (Gráfico 16), el elemento que presenta un mayor coste para la PYME es el hardware (un 13,8% de los encuestados tienen un gasto superior a los 6.000€ en este concepto), seguido por la adquisición de software (un 9,2% gasta más de 6000€ en aplicaciones y software para la empresa).
Gráfico 16: Distribución del gasto en informática por tipología de servicios/productos
Suscripciones a servicios de información Consultoría o asesoría tecnológica Servicios externos o subcontratación de actividades informáticas Asistencia técnica Comunicaciones Hardware Aplicaciones y software de seguridad Aplicaciones y software para la empresa Otros productos 80,5% 76,8% 70,4% 51,0% 50,2% 42,9% 39,5% 39,4% 91,5% 2,0% 2,8% 1,7% 5,6% 13,8% 2,1% 9,2% 0,5%
0% No he gastado nada Entre 300 y 1.500 euros
10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Entre 50 y 300 euros Más de 6.000 euros
Menor a 50 euros Entre 1.500 y 6.000 euros
Los servicios menos demandados en el último año han sido las suscripciones a servicios de información 8 (el 80,5% no ha realizado gasto en estos servicios), la consultoría y asesoría tecnológica 9 (76,8%) y la subcontratación de servicios informáticos (70,4%), hecho que podría deberse principalmente a las siguientes causas:
Servicios mediante los cuales, pagando una cuota de suscripción, se tiene acceso a información de valor para la compañía. Gartner o Forrester son proveedores de estos servicios. Además, se incluyen en esta categoría las suscripciones a revistas y boletines, etc. Servicios prestados por un tercero experto en tecnología encaminado asesorar tanto sobre las estrategias a adoptar para el despliegue y uso de la tecnología en la empresa como para el diseño e implantación de nuevas soluciones, como puedan ser aplicaciones, bases de datos, redes de comunicaciones, etc.
Escasa especialización de la oferta de servicios de esta naturaleza en los intereses de las PYME. Desconocimiento por parte de la gerencia de los beneficios que estos servicios podrían aportar.
Sin embargo, cuando a los encuestados se les ha preguntado si disponían de algún servicio subcontratado relacionado con la informática (no solamente seguridad), más del 50% de ellos ha respondido paradójicamente de manera afirmativa, lo que pone de manifiesto la escasa cultura de seguridad de las PYME al no reconocer los servicios informáticos que necesitan y/o tienen contratados. Respecto al gasto en comunicaciones, la Tabla 3 muestra el análisis de éste desagregado por sector de actividad. Cabe destacar que más de la mitad de las empresas consultadas no invirtieron nada en comunicaciones en el último año (50,2%). Se confirma el dato previsible de que los sectores relacionados de manera directa con la informática (Actividades Informáticas) son los que realizan un mayor volumen de gasto en este aspecto. Así, menos de una de cada tres empresas de este sector (29,4%) no invirtieron en comunicaciones en 2006.
Tabla 3: Gasto en comunicaciones (%) Menor de 50 euros 0,0 0,0 0,0 0,0 0,0 0,0 0,0 4,2 0,0 7,5 0,0 0,0 0,0 2,4 Entre 50 y 300 euros 11,1 3,6 25,0 9,4 20,7 12,5 15,8 4,2 17,6 11,9 0,0 0,0 0,0 11,2 Entre 300 y 1.500 euros 55,6 25,0 25,0 15,6 27,6 25,0 0,0 4,2 11,9 16,4 0,0 50,0 25,0 17,7 Entre 1.500 y 6.000 euros 11,1 7,1 0,0 9,4 3,4 25,0 5,3 4,2 23,5 19,4 50,0 0,0 25,0 12,9 Más de 6.000 Euros 11,1 10,7 0,0 6,3 0,0 0,0 5,3 4,2 17,6 4,5 0,0 0,0 0,0 5,6
Sectores Agricultura, ganadería, minería y pesca Industria Producción y distribución de energía eléctrica, gas y agua Construcción y contratas Comercio Hostelería Transportes, almacenamiento y comunicaciones Finanzas, seguros y bienes raíces Actividades informáticas Servicios Educación Actividades sanitarias Otras actividades sociales: servicios personales TOTAL MUESTRA
Sin gasto 11,1 53,6 50,0 59,3 48,3 37,5 73,6 79,0 29,4 40,3 50,0 50,0 50,0 50,2
Otro dato significativo en cuanto al nivel de tecnología implantado en las empresas es la dedicación de recursos humanos a las tareas relacionadas con las tecnologías de la información y las comunicaciones. Según datos del año 2006, en las empresas de menos de 10 empleados la presencia de personal informático es mínima (sólo un 8,5% de estas empresa cuenta con trabajadores dedicados a funciones informáticas), evidenciándose un incremento de este concepto según crece el tamaño de la organización. De esta manera, un 67,6% de las PYME de más de 250 empleados tiene personal con funciones en el ámbito de las TIC.
Gráfico 17: Empresas con personal con funciones TIC (%)
Fuente: INE (sin datos de 2005)
3 ANÁLISIS DE LA SITUACIÓN DE SEGURIDAD EN LA PYME ESPAÑOLA: CONOCIMIENTO E IMPLEMENTACIÓN DE MEDIDAS.
3.1 Conocimientos de seguridad en la PYME española
En opinión de los expertos consultados, existe una falta de concienciación en materia de seguridad por parte de las PYME. Esta situación se ve agravada por la ausencia de un asesoramiento experto, ya que los pequeños empresarios suelen dejarse asesorar por minoristas y tiendas de informática de ámbito local que no poseen en ocasiones los conocimientos específicos suficientes. En este sentido, las empresas son normalmente conscientes de que no siempre disponen de personal adecuadamente formado en tecnologías de la información para afrontar con garantías de éxito los principales riesgos de seguridad informática y conocer y controlar las herramientas existentes para su mitigación y protección. De hecho, así se constata en la consulta realizada a las empresas, que reflejan cómo sólo un 16% de los encuestados dispone de expertos en seguridad informática en su plantilla. Sin embargo, se pueden hacer dos lecturas positivas en cuanto a la situación de conocimientos informáticos: • Más del 90% reconoce disponer de personal con conocimientos básicos de informática, llegando el porcentaje de expertos en esta materia casi al 30%. Más del 50% de los encuestados considera que el personal de sus empresas dispone de, al menos, un conocimiento básico en materia de seguridad de la información. Analizando el conocimiento declarado de las empresas de los distintos tipos de incidencias de seguridad, se percibe, en general, que las empresas consideran tener un alto grado de conocimiento de las mismas, si bien se constata que no ocurre lo mismo con aquéllas relacionadas con técnicas de ingeniería social. Así, un 84,4% de los encuestados asegura conocer o ser un experto (conocimiento medio o alto) en materia de virus, mientras que un 42,8% desconoce completamente lo que es el pharming y más de la mitad (53,8%) tienen un conocimiento bajo o nulo del phishing, como refleja en el Gráfico 18. Es destacable el hecho de que una de las incidencias de la que menos conocimiento consideran tener las pequeñas y medianas empresas españolas es la denegación de servicios (un 56,4% afirma tener un conocimiento bajo o nulo) lo que contrasta con que ésta es la incidencia que las empresas consideran sufrir más comúnmente (casi 9 de cada 10 afirman haber sido victimas de estos ataques), como se comentará en el Gráfico 33.
Esto pone de manifiesto la escasa cultura en seguridad de la información de la PYME, que no distinguen entre los diferentes riesgos que afectan a sus equipos.
Gráfico 18: Grado de conocimiento de las incidencias de seguridad
Virus 9,8% Spam Spyware 11,0% 8,7% 74,6% 67,4% 61,7% 53,0% 50,2% 47,3% 39,9% 38,6% 38,8% 39,2% 36,9% 37,9% 29,9% 20,4% 20,8% 30,8% 23,1% 42,2% 39,5% 26,1% 26,2% 34,4% 43,7% 20,9% 14,8% 16,3% 5,3% 8,7% 12,5% 13,7% 9,5% 9,9% 30,7% 12,5% 15,2% 25,5% 37,9% 42,8% 0,8%
Troyanos 8,4% Fallos técnicos 9,9% Pérdida de datos 8,8% Fraudes 6,5% Phishing Robos de información Robos de identidad 7,6% 6,5% 6,1%
Denegación de servicios 6,8% Bombas lógicas 3,8% Pharming 6,5%
0% Alto
60% Bajo
80% Nulo
Otro de los puntos analizados en el apartado de conocimientos relativos a la seguridad de la información por parte de las pequeñas y medianas empresas españolas es el relativo al conocimiento de la legislación vigente aplicable a las actividades relacionadas con las tecnologías de la información (LOPD 10 , LSSI 11 …). Así, respecto a la LSSI, más del 70% de los encuestados (71,4%) afirma desconocerla, como muestra el Gráfico 19. Este comportamiento es explicable, entre otras razones, debido al escaso número de compañías que desarrollan actividades basadas en Internet, y la limitada difusión que ha tenido la ley en empresas de tamaño reducido.
Ley Orgánica, 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal. Tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor, intimidad y privacidad personal y familiar.
Ley de Servicios de la Sociedad de Información y Comercio Electrónico: La Ley se aplica a todas las actividades que se realicen por medios electrónicos y tengan carácter comercial o persigan un fin económico. La Ley se aplica tanto a las páginas web en las que se realicen actividades de comercio electrónico como a aquéllas que suministren información u ofrezcan servicios de forma gratuita para los usuarios, cuando constituyan una actividad económica para su titular.
Gráfico 19: Conocimiento de la LSSI
Por otro lado, el 79,2% de los encuestados asegura conocer la LOPD, que parece haber conseguido un grado de penetración totalmente opuesto al de la LSSI.
Gráfico 20: Conocimiento de la LOPD
El Gráfico 21 muestra las distintas tipologías de datos que almacenan las pequeñas y mediana empresas españolas. El dato más destacado es que casi el 80% de las empresas españolas (79,5%) guarda datos de sus clientes.
Gráfico 21: Existencia de datos personales en las aplicaciones
A pesar de que los datos reflejados en los dos gráficos anteriores podrían resultar alentadores al mostrar que las empresas que almacenan datos personales conocen la LOPD, se ha puesto de manifiesto que el porcentaje de empresas que, teniendo datos de carácter personal, han realizado las auditorías requeridas por el reglamento es muy bajo, no alcanzando el 20%.
Gráfico 22: Realización de auditorías de LOPD (%)
7,2% 17,7%
Por otro lado, menos de la mitad (43,8%) de las empresas sabe cuál es el importe de las sanciones que prevé la LOPD, de lo que puede deducirse que el conocimiento que tiene gran parte del 80% de los encuestados que declaró conocer la LOPD es muy limitado (conocen la existencia de la ley, pero no los detalles de su aplicación).
Gráfico 23: Conocimiento de los importes de las sanciones de la LOPD (%)
La Tabla 4 muestra a los sectores, actividades sanitarias (100%), actividades informáticas (76,5%) y hostelería (66,7%) como los que mayor conocimiento tienen de las sanciones previstas en la LOPD. Por el contrario, en el sector transportes se da el mayor grado de desconocimiento (80,0%), junto con el de comercio con un 71,4%. Estos datos podrían explicarse por una diferente sensibilización ante esta Ley a causa de la realización de diferentes campañas de difusión en cada uno de los sectores objetivo, lo que repercute en una concienciación y grado de aplicación diferente. Sin embargo, es necesario tener en cuenta que debido al tamaño de la muestra en algunos sectores, estos datos pueden usarse solamente para ilustrar la situación de las empresas consultadas y no de la totalidad de las Pymes españolas. Cualquier conclusión estaría sesgada, al incrementarse el error muestral en segmentos de actividad empresarial con pocas empresas consultadas.
Tabla 4: Conocimiento del importe de las sanciones de la LOPD por sector (%) Sectores Actividades sanitarias Actividades informáticas Hostelería Educación Otras actividades sociales: servicios personales Finanzas, seguros y bienes raíces Servicios Agricultura, ganadería, minería y pesca Industria Producción y distribución de energía eléctrica, gas y agua Construcción y contratas Comercio Transportes, almacenamiento y comunicaciones TOTAL MUESTRA Sí 100,0 76,5 66,7 66,7 66,7 47,6 45,6 42,9 36,4 33,3 31,0 28,6 20,0 43,8 No 0,0 23,5 33,3 33,3 33,3 52,4 54,4 57,1 63,6 66,7 69,0 71,4 80,0 56,2
Se hace evidente, por tanto, un elevado desconocimiento por parte de los encuestados de los asuntos relativos a la legislación vigente en materia de seguridad de la información, tanto de la LSSI como de la LOPD, observándose al mismo tiempo un riesgo de incumplimiento de la misma bastante elevado. Es notorio, además, que el grado de cumplimiento de la LOPD se incrementa con el tamaño de la empresa. La Tabla 5 refleja cómo el porcentaje de empresas de menos de 50 empleados que han realizado las auditorías de seguridad exigidas por la LOPD (33,3%) triplica al porcentaje de empresas de menos de 10 empleados en esta situación (10,9%).
Tabla 5: Realización de auditorías de seguridad relacionadas con la LOPD por tamaño de empresa en los últimos dos años (%) Empleados Menos de 10 De 10 a 19 De 20 a 29 De 30 a 39 De 40 a 49 TOTAL MUESTRA Realizadas 10,9 13,3 43,5 23,1 33,3 17,7 No realizadas 84,5 73,4 39,1 76,9 66,7 75,1 Desconoce 4,6 13,3 17,4 0,0 0,0 7,2
Análisis de la oferta disponible y estado de implantación de productos de seguridad para la PYME
Existe cierta controversia con respecto a las herramientas y servicios de seguridad que actualmente los fabricantes ofertan para la PYME: algunos expertos consideran que existen en el mercado algunas soluciones orientadas a la PYME, siendo necesario, no obstante, optimizar las soluciones existentes con el objetivo de reducir costes sin perder funcionalidades, así como de simplificar su manejo de cara a su uso por usuarios poco expertos. En general, las empresas españolas de pequeño y mediano tamaño cuentan con un amplio abanico de soluciones de seguridad que podrían cubrir de manera óptima sus requerimientos, si bien los expertos entrevistados perciben principalmente dos problemas con respecto a ellas: • • Elevado coste de alguno de los servicios y herramientas ofertados. Desconocimiento y falta de asesoramiento técnico sobre las soluciones existentes en el mercado.
Diferentes estudios de los principales proveedores de seguridad 12 coinciden en afirmar que su gestión reside principalmente en dos pilares: la defensa ante malware en general (virus, spyware, etc.) y la realización de copias de seguridad. Las amenazas relativas al malware son de sobra conocidas y su propagación masiva en el pasado, así como la difusión generalizada del problema, han originado una concienciación positiva respecto a su prevención. Por otra parte, la realización de copias de seguridad es una tarea habitual en parte de las empresas ante el temor a la pérdida de información vital para el negocio, aunque todavía es necesario instruir a los empleados sobre la necesidad de que ciertas copias de información sensible se almacenen fuera de las instalaciones habituales de trabajo, con el fin de evitar la pérdida completa de datos en caso de que se produzca una incidencia de fuerza mayor. En este sentido, la demanda parece estar razonablemente satisfecha en opinión de los expertos consultados durante el Estudio, ya que se dispone de un amplio grupo de proveedores de seguridad que ofrecen una protección adecuada ante el malware, así como herramientas automatizadas para la realización de copias de respaldo tanto de manera local como remota. Parece existir, en general, una buena percepción de los encuestados sobre los actuales servicios y productos de seguridad (Gráfico 24). Destaca la consideración positiva de su calidad: un 86,7% considera que es buena y sólo un 1,1% la considera mala. En el lado contrario destacan, como aspectos peor valorados, la garantía (61,0%), el valor añadido
Symantec Internet Security Threat Report. Symantec (ambos semestres del año 2006); Análisis de Amenazas Globales. McAfee, 2006; Informe trimestral PandaLabs. Panda Software (abril-junio de 2006).
(64,6%) y el soporte técnico y/o la asistencia al cliente (67,7%), características especialmente relevantes para una pequeña o mediana empresa que, como se ha expuesto, carece, generalmente, de personal de seguridad especializado. Esta percepción coincide con la de los expertos, que consideran que, pese a que existe un elevado número de soluciones de seguridad, los servicios de mantenimiento y soporte técnico para el asesoramiento y resolución de incidencias técnicas para la PYME son deficientes. Por tanto, las carencias principales se encuentran en los servicios de formación, soporte técnico y respuesta a incidentes de seguridad.
Gráfico 24: Valoración de los productos y servicios de seguridad (%)
Calidad del producto Acceso a su contratación Facilidad de mantenimiento Facilidad de instalación Efectividad del producto Especialización Soporte técnico o asistencia Valor añadido Garantía 0% Bueno 10% 20%
86,7% 79,1% 78,9% 77,1% 74,2% 71,9% 67,7% 64,6% 61,0%
12,2% 18,8% 20,0% 19,8% 22,7% 25,0% 26,0% 27,1% 31,6%
1,1% 2,1% 1,1% 3,1% 3,1% 3,1% 6,3% 8,3% 7,4%
90% Malo
Los servicios tecnológicos más importantes para la PYME, según los expertos entrevistados, son el acceso a Internet y las comunicaciones electrónicas (principalmente a través del correo electrónico). No obstante, en ciertos sectores en los que la dependencia de los sistemas gestores del negocio o de la contabilidad es total, estos constituyen su principal activo para el desarrollo de sus actividades cotidianas. En el siguiente orden de prioridad y una vez que se dispone de conexión a Internet, la presencia en la Red a través de una página web es considerada de utilidad por algunos especialistas para poder competir en igualdad de condiciones con el resto de empresas. No obstante, el uso de Internet para la PYME tiene principalmente fines de promoción de marca, no percibiéndose aún las ventajas de ofrecer un nuevo modelo de negocio basado en la web. Por el contrario, la adquisición de productos y servicios relacionados con la seguridad informática, a excepción de las soluciones antivirus, parece ser escasa, dado que estos se
encuentran mayoritariamente dirigidos a la gran empresa, evidenciándose de esta manera una ausencia de especialización o de adaptación de dichas soluciones a la PYME. Un aspecto reseñable (Gráfico 25) es el grado de implantación que tienen las herramientas asociadas a la protección de la navegación en Internet (antivirus, cortafuegos, antispam y antiespía), con tasas de uso declaradas superiores al 80%, llegando incluso al 98,9% en el caso de las herramientas antivirus, lo cual coincide con la percepción de la mayoría de los expertos. En cambio, destacan como medidas menos utilizadas el cifrado de las comunicaciones (23,0%), los sistemas de control de accesos (27,1%) y la seguridad en el acceso remoto (31,3%). Es necesario destacar que estos datos corresponden a la percepción de las empresas sobre sus medidas de seguridad, no habiéndose constatado su veracidad empíricamente. Esto explica que algunas medidas, a priori, poco usuales figuren como de utilización habitual en la pequeña y mediana empresa española. Además, es necesario tener en cuenta que muchas empresas pueden considerar que algunas medidas tienen una utilidad diferente a la que realmente reportan, y por tanto afirmen disponer de una medida que no utilizan.
Gráfico 25: Medidas de seguridad empleadas
Antivirus Cortafuegos Anti-correo basura Anti-espía Bloqueo de pop-up's Actualizaciones de seguridad Copia de seguridad Backup de datos Contraseñas Eliminación de temporales/cookies Partición del disco duro Filtrado de contenidos Firma electrónica y certificados digitales Encriptación de documentos VPN para el acceso remoto Dispositivos físicos de autentificación Cifrado de comunicaciones 32,0% 31,3% 27,1% 23,0% 48,0% 46,4% 41,1% 68,0% 68,7% 72,9% 77,0% 67,6% 66,7% 66,5% 66,4% 57,3% 52,0% 53,6% 58,9% 71,2% 85,4% 81,4% 32,4% 33,3% 33,5% 33,6% 42,7% 28,8% 98,9% 90,9% 9,1% 14,6% 18,6% 1,1%
En la Tabla 6 se analiza cómo están implementadas las medidas de seguridad en los distintos sectores de actividad. Entre aquellos que no disponen de alguna de las medidas de seguridad, se han escrutado los distintos motivos posibles, alegando en la mayoría de los casos el desconocimiento de dichos sistemas de seguridad (con porcentajes
superiores, en casi todos los casos, al 50%), seguido por la consideración de que tales herramientas no son necesarias.
Tabla 6: Medidas de seguridad empleadas por sectores (%)
VPN PARA EL ACCESO REMOTO PARTICIÓN DEL DISCO DURO HERRAMIENTAS PARA BACKUP DE DATOS
PROGRAMAS DE BLOQUEO DE POPUP'S
100,0 100,0 75,0 100,0 100,0 100,0 100,0 100,0 100,0 97,3 100,0 100,0 100,0 98,9
100,0 50,0 100,0 67,6 74,2 85,7 72,2 77,3 100,0 66,7 83,3 100,0 25,0 71,2
25,0 20,7 33,3 34,3 41,9 42,9 38,9 22,7 76,5 21,4 16,7 0,0 75,0 32,0
71,4 66,7 66,7 70,3 67,7 85,7 50,0 36,4 100,0 63,8 83,3 100,0 75,0 66,5
42,9 40,0 33,3 48,6 45,2 57,1 44,4 26,1 100,0 47,8 50,0 33,3 66,7 48,0
0,0 20,0 66,7 34,3 35,5 57,1 27,8 17,4 82,4 27,5 16,7 0,0 33,3 31,3
Analizando las estimaciones de actualización de los sistemas de seguridad instalados por las empresas consultadas se considera que la frecuencia con la que se realizan estas es adecuada. Así, el 78,5% de las empresas declara comprobar dichas actualizaciones al menos una vez al mes como se observa en el Gráfico 26. Por el contrario, sólo el 5,0% declara realizar dichas actualizaciones menos de una vez al año. No obstante, la importancia de la actualización se concentra principalmente en medidas no automatizables, es decir aquellas que no pueden actualizarse automáticamente como sucede, entre otras con las herramientas antivirus. Así se explica que más de la mitad de los encuestados (55,9%) actualizan sus herramientas más de una vez al mes.
0,0 20,0 0,0 27,8 35,5 14,3 16,7 13,6 75,0 13,0 16,7 0,0 50,0
Gráfico 26: Frecuencia de actualización del software de seguridad
60% 55,9%
30% 22,6% 20%
0% Más de una vez Una vez al mes al mes Una vez cada tres meses Una vez cada seis meses Una vez al año Con menor frecuencia o nunca
Por otro lado, el Gráfico 27 muestra cómo en el 67,5% de las empresas se escanean los equipos en busca de código malicioso al menos una vez a la semana.
Gráfico 27: Frecuencia de escaneo de los ordenadores en busca de malware
40% 35% 30,9% 30% 25% 20% 14,5% 15% 10% 5,4% 5% 0% Varias veces al día Varias veces a la semana Varias veces al mes Varias veces al año Con menor frecuencia o nunca 12,6% 36,6%
Una de las pruebas realizadas durante el Estudio ha consistido en contrastar las respuestas dadas por los encuestados en cuanto a las medidas de seguridad disponibles con la situación real de protección de sus equipos informáticos. En general, y al igual que
sucede en el Estudio sobre la Seguridad de la Información y e-Confianza de los hogares españoles de INTECO (2007), en el que se escanearon más de 3.000 ordenadores personales, se pone de manifiesto que la situación real encontrada en los ordenadores escaneados en cuanto al estado de la protección de los sistemas informáticos es más deficiente, en algunas ocasiones, a la esperada por parte de sus propietarios, percibiéndose en este sentido una debilidad en cuanto a la aplicación de medidas de protección. Siguiendo con el análisis de los datos de la encuesta de seguridad, uno de los aspectos que muestran una mayor debilidad en cuanto a medidas de protección es el relativo a la documentación de procesos y controles de seguridad. Entre los controles documentados más ampliamente por parte de los encuestados destacan la protección de las comunicaciones y las copias de seguridad, si bien no superan el 43% y el 32% de los casos respectivamente. Este aspecto es de especial relevancia, ya que la documentación de los controles y medidas de seguridad de los datos es uno de los requisitos impuestos por el reglamento de medidas de seguridad de la LOPD.
Gráfico 28: Documentación de los controles de seguridad (%)
Como proteger las comunicaciones
Como dar de alta un usuario en el sistema y que tipo de acceso le permite Descripción de las medidas de seguridad sobre los datos
Como autorizar los envíos o transferencias de datos
Canales de distribución de los servicios de seguridad a la PYME
Uno de los aspectos analizados es el gasto en productos y servicios de seguridad informática durante el último año, que se ha concentrado en torno a sistemas antivirus, antispam, cortafuegos y contratos de mantenimiento. Este gasto, en comparación con años anteriores, se ha mantenido estable para un 66,5% de los encuestados, mientras que ha aumentado para el 26,7%.
Gráfico 29: Evolución del gasto en seguridad durante el último año (%)
4,0% 2,8% 26,7%
En consonancia con estos porcentajes, casi el 80% (79,3%) de los encuestados considera adecuado el gasto en seguridad en relación con el gasto de informática (Gráfico 30), lo que explica la falta de demanda de la PYME de nuevos productos y servicios de seguridad.
Gráfico 30: Gasto en seguridad respecto al gasto en informática (%)
La dificultad para localizar un producto de seguridad adaptado a la PYME ya ha sido superada en otros países. Así en Estados Unidos estas empresas se decantan por los minoristas 13 a la hora de obtener sus productos de seguridad. Estos minoristas actúan de dos formas • Como integradores de sistemas (SI, Systems Integrators) que adaptan el producto a la pequeña y mediana empresa y realizan un servicio post-venta, como puede ser el mantenimiento del sistema • Como proveedores de valor añadido (VAR, Value Added Resellers), que venden los distintos productos dando un servicio de pre-venta (asesoramiento) y post-venta (mantenimiento, configuración, etc.).ofreciendo incluso servicios de formación.
En el caso español, la información se ha obtenido a través de las empresas encuestadas donde más del 80% acude a sus proveedores locales tanto para la compra de productos hardware y software como para la contratación de servicios. En segundo lugar destaca el uso de Internet, con un porcentaje que no llega al 20% para la adquisición de software y al 15% para el hardware y los servicios. En general, casi el 90% de los encuestados considera que localizar un producto o servicio de seguridad es fácil.
Gráfico 31: Dificultad para localizar un producto de seguridad
El Gráfico 32 muestra que menos de la mitad de las PYME consideran “adecuada” la relación calidad-precio de los servicios y productos de seguridad. Teniendo en cuenta que
SMB IT Consulting Services–VARs Are Reinventing themselves. Forrester. SMB IT Channel Preferences. Forrester.
la calidad de los productos es alta, se puede concluir que los precios de los servicios y productos de seguridad son elevados para la PYME y que tienen una orientación que los hace sólo accesibles, en muchos casos, a la gran empresa.
Gráfico 32: Valoración de la relación calidad-precio de los productos de seguridad
10% Muy Mejorable
40% Mejorable
60% Adecuado
90% Muy Adecuado
No obstante y sin perjuicio de lo anterior, no se puede considerar un único canal para llegar a la PYME, tal y como reflejan los informes SMB IT Channel Preferences y Four Marketing Strategies for SMB Telecom Sales, sino que se han de tener en cuenta varias opciones. Así, a la hora de crear un servicio para la PYME hay que considerar las siguientes recomendaciones: • El servicio ha de ser dinámico, de manera que pueda ajustarse a la realidad del momento de la pequeña y mediana empresa • Los canales de comunicación juegan un papel fundamental, no siendo recomendable realizar acciones directas hacia la PYME. El fomento de campañas de promoción y publicidad específicas pueden facilitar el éxito del servicio. Por tanto, atendiendo a las afirmaciones anteriores respecto a los minoristas y a las preferencias de los consumidores a la hora de adquirir productos y servicios de seguridad, puede concluirse que la manera más adecuada para llegar a la PYME en España es la mediación con el proveedor de servicios con el que se relaciona.
4 ANÁLISIS DE LA SITUACIÓN DE LAS INCIDENCIAS DE SEGURIDAD EN LA PYME ESPAÑOLA
4.1 Análisis de las incidencias de seguridad
El análisis de las entrevistas realizadas a diferentes profesionales y especialistas en seguridad ha permitido detectar una posible falsa percepción de seguridad motivada en gran parte por el desconocimiento, la falta de concienciación y la falta de formación en este ámbito en las PYME, lo que motiva que se considere que la protección es completa con tan sólo un antivirus y un cortafuegos personal. Esta situación se constata como uno de los principales riesgos en la PYME en el que el empleado es la parte más vulnerable. En el ámbito de las pequeñas y medianas empresas no suele prestarse atención a la definición y aplicación de políticas y procedimientos específicos de seguridad, y por ello resulta frecuente que el empleado tenga acceso a toda clase de datos con independencia de sus funciones y responsabilidades dentro de la organización, o que tenga ciertos privilegios en el sistema que no son imprescindibles para el cumplimiento de su cometido. Un ejemplo habitual de este uso inadecuado de los sistemas es la pérdida de confidencialidad en las claves de usuario, originada por el empleo de usuarios genéricos por varios empleados, la cesión de un nombre de usuario y contraseña a compañeros en caso de sustitución, la conservación de las credenciales de usuario en un lugar visible en el entorno de trabajo u otras situaciones de riesgo parecidas 14 . Otro ejemplo que hace peligrar la seguridad de la información corporativa es la relativa facilidad con la que, en muchas ocasiones, algunos hackers pueden llegar a obtener información confidencial y claves de usuario a través de ingeniería social. Entre las incidencias de seguridad declaradas que han afectado a los sistemas de las empresas encuestadas (Gráfico 33), destacan los ataques de denegación de servicios, sufridos por un 89,9% de los encuestados, los troyanos informáticos (77,3%), la recepción de correo no deseado (58,7%) y los virus (42,7%). En el lado opuesto, entre las incidencias menos percibidas por las empresas se encuentran los fraudes relacionados con tarjetas de crédito y con cuentas bancarias online (ambos con incidencia en el 1,9% de las empresas consultadas) y el robo de ancho de banda Wi-Fi (1,6%). Estos datos contrastan con las respuestas de los usuarios domésticos 15 , para quienes el correo no deseado, con un 89,1%, es la incidencia que más les afecta; además, un 13,8% declaró haber sufrido robo de ancho de banda Wi-Fi. En general estas diferencias se deben a que
El estudio Taking Action to Protect Sensitive Data, realizado por ITpolicycompliance.com, corrobora esta idea en lo respectivo a los usuarios genéricos.
Primera oleada del Estudio sobre la Seguridad de la Información y e-Confianza en los hogares españoles. INTECO, 2007.
la pequeña empresa española está, en algunas ocasiones, asesorada por especialistas, pero, en general, existe una falta de concienciación elevada que no le permite identificar las incidencias sufridas. Algunas de las amenazas enunciadas por los expertos (spam y troyanos de robo de información) coinciden con el nivel de incidencia detectado en las empresas entrevistadas; sin embargo, otro tipo de incidencias que supondrían a priori un menor riesgo por efecto de los programas antivirus, como infecciones y códigos maliciosos, son un problema real para más del 42% de los encuestados. Estos datos corroboran los resultados del Estudio de Hogares anteriormente referenciado, que concluye que, si bien el uso de herramientas antivirus reduce parcialmente las incidencias de seguridad de los usuarios, no elimina completamente el problema. Los hábitos de seguridad responsables tienen una influencia mayor, reduciendo el número y la gravedad de las incidencias. Algunas de las PYME participantes en la encuesta escanearon también todos sus equipos conectados a Internet, siguiendo la misma metodología aplicada a los usuarios domésticos, confirmándose la idea de que las medidas de seguridad tradicionales no son suficientes. Así, se detectó malware en más del 40% de los equipos analizados, siendo el código malicioso de la familia de los troyanos 16 el más frecuente. El fraude online, a pesar de encontrarse entre una de las incidencias de seguridad menos percibidas por las empresas consultadas, es identificado por los expertos de seguridad como de especial relevancia. Esto se debe a que el principal riesgo de seguridad ante este tipo de incidencias se encuentra no tanto en las medidas de seguridad de las que disponga la empresa, como de la actitud de sus empleados en el uso de los equipos informáticos. Un caso particular, a destacar, en estas amenazas es el phishing 17 , todavía escasamente percibido por las empresas y para el que los sistemas antivirus actuales no resultan efectivos. El phishing tiene como objeto la obtención de información confidencial, como datos bancarios o claves del usuario. Según la metodología de este ataque, el estafador (phisher) simula ser una persona o entidad de confianza para el usuario en una falsa comunicación electrónica (habitualmente mediante correo electrónico) o por teléfono, en la cual redirige a la víctima a una página web que resulta ser una copia de la original. Un 2,7% de las empresas consultadas declara haber sido objeto de obtención fraudulenta de datos, un 1,9% de fraudes o robos a través de la tarjeta de crédito y otro 1,9% de cuentas bancarias online.
Los troyanos no se pueden considerar virus, ya que no se replican o no hacen copias de sí mismos. En realidad son programas que llegan a un ordenador de forma totalmente normal y no producen efectos realmente visibles o apreciables, al menos en ese momento. Pueden llegar acompañados de otros programas y se instalan en el ordenador del usuario. Al activarse pueden dejar huecos en nuestro sistema, a través de los cuales se producen intrusiones. Existen varios tipos de troyanos en función de lo que hagan en el sistema: puerta trasera o backdoor (permite el acceso no autorizado al equipo), downloader (descarga otros códigos en la máquina), dialers, bankers, captadores de pulsaciones, etc. Se puede encontrar más información sobre el fenómeno del phishing y otros fraudes online en el Estudio sobre usuarios y entidades públicas y privadas afectadas por la práctica fraudulenta conocida como phishing. INTECO, 2007.
En menor medida, se identifica como una amenaza difícil de gestionar el comportamiento de los hackers con fines maliciosos o delictivos (también conocidos como black hat hackers o crackers), que en muchos casos perciben a la PYME, por su escasa protección, como un huésped desde el que atacar a empresas de mayores dimensiones con un mayor nivel de seguridad (y así tratar de ocultar su rastro) o como un mecanismo de aprendizaje para perfeccionar sus técnicas de ataque. Por ello, no debe despreciarse la probabilidad de ocurrencia de intrusiones de estos individuos. Para prevenir esta situación, los permisos de los usuarios deben estar correctamente gestionados, algo que no ocurre en la actualidad 18 .
Gráfico 33: Ocurrencia de incidencias de seguridad
Denegación de servicios Troyanos Recepción de correo no deseado Virus informáticos Software espía o spyware Intrusiones remotas en su ordenador Intrusiones en su correo electrónico Intrusiones en otras cuentas de servicio Web Bombas lógicas Robos de información Obtención fraudulenta de sus datos personales Fraudes relacionados con tarjetas de crédito Fraudes relacionados con cuentas bancarias online Robo de ancho de banda Wifi 19,5% 13,4% 9,7% 4,6% 3,9% 3,1% 2,7% 1,9% 1,9% 1,6% 42,7% 58,7%
89,9% 77,3% 41,3% 57,3% 80,5% 86,6% 90,3% 95,4% 96,1% 96,9% 97,3% 98,1% 98,1% 98,4%
10,1% 22,7%
Por otro lado el Gráfico 34 muestra los comportamientos de la PYME española a la hora de resolver las incidencias de seguridad. Así el 83,0% de las incidencias son resueltas de manera casi equitativa por el proveedor de Internet, personal de la empresa o un servicio técnico externo. Por otro lado, un 7,9% de los casos es resuelto por un conocido, y sólo en el 2,3% de las ocasiones se opta por un proveedor de sistemas informáticos local, si bien es éste, como se ha comentado, a quien se acude en caso de necesitar información sobre seguridad informática. Es destacable que menos de un 30% (28,3%) de los encuestados resuelve internamente sus incidencias. Este hecho viene a reforzar la necesidad de disponer de servicios
El FBI ha registrado que el 60% de los usuarios de un sistema excede los privilegios asignados en función de la posición que ocupan dentro de la empresa. Además, según el Estudio Expert Consensus on the Top IT Controls for a Small Business de la Information Systems Audit and Control Association, Inc., el 85% de las intrusiones no deseadas se origina dentro del sistema.
especializados y accesibles que ayuden a las PYME en la resolución de sus incidencias.
Gráfico 34: Resolución de incidencias informáticas
Llamar a su proveedor de Internet
Se resuelve la incidencia por personal de la empresa
Llamar a un conocido con conocimientos en la materia Localizar a un experto de seguridad externo a la empresa Llamar a su proveedor local de sistemas informático 0%
Un análisis de estos resultados segmentado según el número de asalariados en la empresa, muestra un aumento paulatino de la capacidad de resolver por sus propios medios las incidencias cuanto mayor sea el número de trabajadores (más del 40% de las empresas con un número de empleados superior a 30 asegura ser capaz de autogestionar sus incidencias). En el lado opuesto, las empresas con menos trabajadores, suelen preferir la ayuda de un servicio técnico o de un proveedor local de informática (en torno a un 30% de las empresas de menos de 20 empleados). Por último, se han analizado cuáles han sido las causas que los encuestados identifican como fuente de los problemas (Gráfico 35). Los motivos que más frecuentemente identifican las empresas como causante de las incidencias de seguridad es la incorrecta configuración de los equipos (un 23,1%), su obsolescencia (19,8%) y la ineficacia y/o la ausencia de los sistemas de protección (ambas identificadas por un 19,0% de las empresas consultadas). Por otro lado, la falta de presupuesto aún conociendo el riesgo, con un 0,8%, es la causa menos argumentada para explicar una incidencia de seguridad. Ese hecho puede implicar que más que un problema económico, las pequeñas y medianas empresas españolas tengan una falta de formación en materia de seguridad.
Gráfico 35: Causas de las incidencias de seguridad
Sistemas mal configurados Sistemas obsoletos Disponía de herramientas pero no han sido efectivas No disponia de herramientas para prevenirla Desconocía la amenaza 15,7% 9,1% 5,8% 0,8% 15,7% 19,8% 19,0% 19,0%
Mal asesoramiento Conocía la amenaza pero no sabía como prevenirla Conocía el riesgo pero no disponia de presupuesto Otras
Consecuencia de las incidencias de seguridad
Las pérdidas económicas derivadas de una incidencia de seguridad son las consecuencias que más preocupan a las PYME española. Sin embargo, el Gráfico 36, refleja como 9 de cada 10 (un 91,3%) de las empresas consultadas considera no haber sufrido una pérdida económica a causa de una incidencia de seguridad.
Gráfico 36: Repercusión económica de las incidencias de seguridad
20% 6,4% 0% No se han sufrido pérdidas económicas Se han sufrido pérdidas económicas pero no se han calculado Se han sufrido pérdidas económicas y se han calculado
En general, PYME españolas consideran no haber sufrido, como muestra el Gráfico 37, ninguna situación de importancia a causa de las incidencias de seguridad (69,8% de los consultados). Nuevamente, son la falta de formación y de personal especializado y con experiencia en seguridad de la información los responsables de que las pequeñas y medianas empresas no asocien ninguna consecuencia a las incidencias que declaran haber identificado. La principal consecuencia a una incidencia de seguridad detectada por las empresas, es la pérdida de tiempo de trabajo (17,8%) que según los resultados mostrados en el gráfico anterior, no es identificado por estas como una pérdida económica directa, lo que explica la escasa importancia que dan las PYME a la seguridad de la información. Es decir, las pequeñas y medianas empresas no son capaces de cuantificar los costes directos e indirectos que las incidencias de seguridad suponen a sus cuentas de resultados. Esta conclusión se extrae de las diferentes consecuencias identificadas por las empresas consultadas, que, a priori, tienen relación con los parámetros económicos (pérdidas de archivos, daños en los equipos, pérdidas económicas, daños en la imagen de sus negocios).
Gráfico 37: Consecuencias de las incidencias de seguridad
Ninguna situación de importancia Pérdida de tiempo de trabajo (horas) Necesidad de formatear el ordenador Necesidad de reinstalar el sistema operativo Pérdida de archivos Daños en mi equipo (hardware) Caída de los servidores Aparecieron nuevos archivos desconocidos Pérdidas económicas Daños en la imagen de su negocio Pérdida de privilegios de usuario Multas sanciones Otros 0% 17,8% 16,3% 14,0% 7,8% 6,6% 5,8% 4,3% 2,7% 1,2% 0,8% 0,0% 2,7% 20% 40% 60% 80% 100% 69,8%
Se concluye también que otro tipo de incidentes que los expertos consideraban de una mayor preocupación para la PYME (aunque con menor nivel de importancia que la pérdida económica), como el impacto en la imagen de la empresa y las consecuencias legales o contractuales de las amenazas mencionadas, no han sido apenas advertidas por las empresas encuestadas. Incluso el incumplimiento normativo (LOPD o LSSI), a pesar de
ser un requerimiento legal y llevar asociada una sanción económica, se contempla con una amenaza con escasa importancia. Los encuestados actúan en consonancia con esta falta de concienciación, y así la ocurrencia de las incidencias de seguridad no ha supuesto un cambio significativo en sus hábitos o mejoras en sus sistemas de protección; así, el 85% de las empresas no ha realizado cambio alguno, como se observa en el Gráfico 38.
Gráfico 38: Cambio de hábitos motivado por las incidencias de seguridad
He adquirido un nuevo producto de seguridad He cam biado m is contraseñas Buscar m ás inform ación sobre la m ateria Consultar a un experto He contratado una asesoría Nada He com enzado a “encriptar” (cifrar) docum entos o datos He dejado de em plear algún servicio Cam bio de cuenta de correo electrónico Servicios online Contratar un seguro Otros 85,1% 84,6% 83,8% 89,1% 94,5% 93,0% 92,9% 95,8% 95,1% 97,9% 98,3% 91,4%
He cambiado Voy a cambiar Ni he cambiado, ni lo voy a hacer
Perspectiva de evolución de los ataques de seguridad
Como ya se ha comentado, uno de los riesgos de mayor alcance y que más va a seguir evolucionando es el relacionado con el fraude a través de la ingeniería social, materializado a través de amenazas como el phishing o el pharming. Se ha puesto de manifiesto que el problema principal de este tipo de ataque reside en la falta de concienciación de los usuarios. En consecuencia, diferentes expertos en la materia coinciden en señalar que la prevención efectiva de estos ataques precisa de una educación previa sobre seguridad en las TIC, así como la adopción de unas medidas de control efectivas sobre los sistemas (política de actualizaciones periódicas, escaneos frecuentes en busca de malware, etc.). En relación a otro de los pilares de la seguridad, la prevención del malware, es preciso matizar que aunque las herramientas actuales se encuentran en un estado avanzado de desarrollo y resultan razonablemente efectivas, últimamente han proliferado ataques más sofisticados basados en el polimorfismo y la focalización en ciertas empresas que resultan más difíciles de prevenir y que podrían crear problemas en un futuro cercano. Su
Investigación sobre incidencias y necesidades de seguridad en la PYME Observatorio de la Seguridad de la Información Página 61 de 85
evolución en forma de código malicioso requerirá sin lugar a dudas una prevención efectiva mediante el uso de software (antivirus, antispam, antiespía, etc.) convenientemente actualizado, así como el mantenimiento unos hábitos de seguridad adecuados. Por otro lado, aunque la instalación de sistemas de seguridad para la detección y eliminación de virus, troyanos y otro tipo de software malicioso evita parte de las posibles pérdidas, existen otros riesgos que no suelen tomarse en cuenta: • Robos de información por parte de hackers o empleados que vulneran su autorización de acceso a los recursos. El caso más típico sería el acceso a un sistema por parte de un empleado para el cual no está autorizado, aunque otros casos frecuentes son también la sustracción de la base de datos de clientes o el robo por parte de los empleados de la información de las tarjetas de crédito de los clientes de la empresa. • Malos usos de los sistemas por parte de los usuarios. Los usos inadecuados más comunes son la instalación de software sin licencia o el almacenamiento de información no permitida como música pirata, juegos… No obstante, también se engloban en esta categoría otras acciones entre la que se incluye la comisión de delitos desde el ordenador del trabajo (actividades de hacking, pornografía infantil…) • Desastres medioambientales imprevistos como la inundación de las instalaciones informáticas por lluvias torrenciales o fallos y deterioros en los equipos provocados por rayos. Problemas asociados a los soportes de información, entre los que se incluyen la rotura de discos, el deterioro de las copias de seguridad o las pérdidas de memorias USB. En todo caso, teniendo en cuenta lo anterior, la única manera eficaz de evitar pérdidas de datos parece ser la realización de copias de seguridad periódicas de la información crítica de la empresa, prestando atención a la custodia en un lugar lejano y seguro de las copias realizadas.
5 ANÁLISIS COMPARATIVO DE LA SITUACIÓN DE LA SEGURIDAD EN LA EMPRESA ESPAÑOLA SEGÚN SU TAMAÑO
Comparando los datos obtenidos del análisis de las 265 PYME españolas realizado en este estudio con los del Barómetro de Empresas de mayo de 2007 realizado por Deloitte, en el que participaron 282 grandes empresas con una facturación conjunta superior al billón de euros y un total de más de 900.000 empleados, es posible analizar, de forma cualitativa, las principales diferencias y similitudes existentes entre la PYME y la gran empresa española en el ámbito de la seguridad. En el Gráfico 39 se comparan los datos correspondientes a la ocurrencia de las principales incidencias de seguridad en la PYME con los de la gran empresa. En él se aprecia que el perfil de incidencias de seguridad que sufren las grandes empresas parece, en primera instancia, más significativo que el de la pequeña empresa. Así, la gran empresa española sufre un mayor número de intrusiones, 16,4%, frente a 13,4% de la PYME, que considera estar más sometida a robos de información (12,8%-3,1%) y, además, es objeto de más spam, virus, y software espía. Por el contrario, un mayor porcentaje de las PYME considera haber sido objeto de más ataques de denegación de servicio (89,9%, frente al 19,6% de la gran empresa) y de un mayor número de infecciones de troyanos.
Gráfico 39: Comparativa de incidencias de seguridad
Recepción de spam Virus informáticos Software espía o spyware Troyanos Denegación de servicios Bombas lógicas Intrusiones externas Fraudes Robos de información 0,0% 19,6% 3,9% 16,4% 13,4% 16,4% 1,9% 12,8% 3,1% 20,0% 40,0% 29,3%
80,4% 58,7% 66,2% 42,7% 57,0% 19,5% 39,3% 77,3% 89,9%
Esta situación se explica, básicamente, por un mayor nivel de exposición en la gran empresa (número de usuarios conectados a Internet, mayor uso de las tecnologías de la
Investigación sobre incidencias y necesidades de seguridad en la PYME Observatorio de la Seguridad de la Información Página 63 de 85
información, etc.) y por la menor protección de la pequeña empresa respecto a algunos tipos de incidentes de seguridad (como ya se ha comentado, existe un uso deficiente de las políticas de contraseñas y permisos en las pequeñas y medianas empresas españolas que redunda en una mayor exposición al riego). Se podría decir, por tanto, que, en general, las amenazas no distinguen entre tamaños de empresas y por ello el riesgo que es necesario gestionar, salvando las diferencias, puede ser el mismo. Otro de los aspectos analizados es el nivel de implantación de las medidas de protección en los distintos tipos de empresas (Gráfico 40). La utilización de medidas de protección más tradicionales, tales como antivirus y cortafuegos, se mantiene en magnitudes muy similares en los distintos tipos de empresas (98,4%-98,9% en el caso de los antivirus y 90,3%-90,9% en el de los cortafuegos). Donde se aprecia una diferencia más significativa es en el uso de herramientas como sistemas de copias de seguridad (99,6% para la gran empresa y 66,7% para la PYME), o sistemas de control de acceso (98,4% frente a 66,4%), así como de otras medidas como el filtrado de contenidos o la encriptación y cifrado de comunicaciones. Estas diferencias pueden explicarse en base al menor conocimiento de la PYME de dichas medidas.
Gráfico 40: Comparativa entre las medidas de seguridad utilizadas por PYME y gran empresa
Antivirus Cortafuegos Antispam Software de Evaluación de vulnerabilidad Copia de seguridad Autenticación de usuarios Seguridad de contenido VPNs / Encriptación Cifrado de comunicaciones
98,4% 98,9% 90,3% 90,9% 97,6% 85,4% 82,3% 67,6% 99,6% 66,7% 98,4% 66,4% 91,6% 46,4% 93,2% 31,3% 89,2% 23,0% 20,0% 40,0% 60,0% 80,0% 100,0%
En general se aprecia que en las grandes empresas el uso de las distintas medidas de seguridad está muy difundido (más del 80% de los casos); en cambio, en la PYME se observa una situación dispar en cuanto al uso de sistemas de protección. Teniendo en cuenta que el nivel de exposición al riesgo puede ser similar, el punto de partida de la
Investigación sobre incidencias y necesidades de seguridad en la PYME Observatorio de la Seguridad de la Información Página 64 de 85
PYME para hacer frente a los problemas de seguridad presenta un mayor retraso, a causa, probablemente, de los siguientes factores: • En la gran empresa existe una mayor cultura de seguridad en cuanto al uso de las TIC. • La gran empresa dispone de más recursos y personal dedicado a la implantación y mantenimiento de dichas medidas de seguridad. Para la gran empresa, la oferta de productos y servicios de seguridad es más accesible desde el punto de vista económico. En el Gráfico 41 se comparan los principales desencadenantes de los incidentes de seguridad, que la gran empresa identifica con la existencia de una débil cultura de seguridad (51,6%), opinión compartida sólo por el 15,7% de las PYME analizadas. La explicación de este hecho es que en la gran empresa, uno de los aspectos clave para la implantación de la seguridad es la participación de los empleados en la protección efectiva de los activos, estando muchos de los problemas ligados a una falta efectiva de concienciación. La PYME no implica, generalmente, a todos sus empleados y por eso no percibe la falta de concienciación como un problema grave y detonante de las incidencias de seguridad.
Gráfico 41: Comparativa de los motivos que originan las incidencias de seguridad en la PYME y en las grandes empresas
Débil cultura de seguridad en la organización
51,6% 15,7%
Fallos de la herramientas de seguridad
32,3% 23,1%
Falta de inversión en medidas de seguridad
26,6% 19,0%
Falta de calidad en los productos, soluciones o servicios TIC
17,7% 19,8% 20,0% 40,0% 60,0%
Las PYME encuestadas consideran como principal causa de los incidentes los fallos en las herramientas informáticas de protección. Por otro lado, en factores tales como la falta de
Investigación sobre incidencias y necesidades de seguridad en la PYME Observatorio de la Seguridad de la Información Página 65 de 85
inversión (26.6% y 19,0%) y la obsolescencia de los sistemas (17,7%-19,8%), los resultados son más parejos para los distintos tipos de empresas. Uno de los aspectos clave que diferencian la situación de la seguridad entre la pequeña y la gran empresa es el cumplimiento normativo. En el Gráfico 42 se compara el grado de cumplimiento de ambos tipos de empresa mediante la realización de las auditorías de seguridad requeridas por la legislación. El cumplimiento normativo en cuanto a la LOPD ha sido en los últimos años el principal catalizador de la adopción de medidas de seguridad efectivas en el mundo de la gran empresa. Esto ha provocado que muchas entidades adoptasen tanto medidas organizativas como técnicas que les permitiesen cumplir la ley de la forma más efectiva (buscando el equilibrio coste vs. beneficio) y se ha traducido en que, en la actualidad, el índice de encuestados del Barómetro de Empresas que ha realizado las auditorías de seguridad supere el 80%. En cambio, entre las PYME parece ser una asignatura pendiente, pues han sido realizadas por menos del 20% . Este hecho se agrava desde el momento en que existe un 7% de pequeñas y medianas empresas que desconoce el tema sobre el que se está preguntando.
Gráfico 42: Porcentaje de PYME y grandes empresas que realizan auditorías de seguridad
Lo desconozco 7,2%
No 75,1%
Si 17,7%
La predisposición a la realización de las auditorías exigidas en la LOPD se encuentra muy ligada al grado de adopción de políticas efectivas para la protección de la información. En el Gráfico 43 se compara este punto en los distintos tipos de empresas.
Se observa que en la gran empresa se han definido políticas de protección de la información en más del 80% de los casos. En cambio, en la PYME el máximo superior se corresponde con la política sobre cómo proteger las comunicaciones donde apenas se sitúa ligeramente por encima del 40%.
Gráfico 43: Porcentaje de empresas que tienen políticas de seguridad según su tamaño
96,8% 42,7%
100,0% 31,4%
Dar de alta un usuario en el sistema y que tipo de acceso le permite Descripción de las medidas de seguridad sobre los datos
96,8% 24,9%
92,4% 23,4%
Autorizar los envíos o transferencias de datos
82,3% 20,5% 20,0% 40,0% 60,0% 80,0% 100,0%
La definición de la política de seguridad responde, generalmente, a la existencia de una motivación por parte de la dirección de la empresa que, conocedora de los riesgos que implica el uso de la tecnología, marca una serie de directrices que han de tenerse en cuenta para gestionar eficazmente los riesgos. El hecho de no adoptar una política de protección de la información, en muchos casos, se debe a una falta de concienciación o de implicación de la gerencia de la empresa en la protección de sus activos informáticos. Otro de los factores por los que se define una política de seguridad en las grandes empresas es, tal y como se comentó anteriormente, el elevado grado de cumplimiento normativo que se da en ellas. El reglamento de medidas de seguridad de la LOPD requiere que se definan documentos de seguridad donde se describan las medidas de protección que se aplican sobre los datos de carácter personal. Muchas empresas, tomando este punto de partida, van más allá y determinan cómo deben protegerse sus activos informáticos, al considerarlos elementos críticos para el desarrollo de su negocio. Como conclusión, se observa que existen dos aspectos diferenciales de la situación de seguridad en la que se encuentran las PYME respecto a empresas de mayor tamaño. El primero de ellos es que en la gran empresa parece existir una mayor preocupación por el cumplimiento normativo, especialmente en lo relativo a la LOPD, notándose un alto nivel
de adaptación a la misma. Por otro lado, la gran empresa se encuentra más afectada por las incidencias de seguridad que la PYME, y por lo tanto parece tener una mayor necesidad de protección. Esto, unido a una mayor concienciación de la importancia de la seguridad de la información para la organización, motiva que en la gran empresa el nivel de uso de medidas de seguridad y la definición de políticas adecuadas de protección sea significativamente mayor que en la PYME. En muchos casos, el cumplimiento normativo ha permitido a las empresas desarrollar grupos expertos en seguridad informática, dedicados en exclusiva a definir, implantar y supervisar los distintos sistemas de protección. Estos grupos permiten retener un conocimiento valioso para la gestión de los riesgos tecnológicos y desde un punto de vista de negocio, apreciar un retorno de la inversión significativo en cuanto a la adopción de medidas de protección. Por lo tanto, el problema al que se enfrenta la PYME en cuanto a la gestión de sus riesgos tecnológicos se ve agravado al no disponer de esos recursos expertos y tener que buscar soluciones en el mercado que, como ya se ha puesto de manifiesto a lo largo del Estudio, son, en mucho casos, poco adecuadas para su casuística de negocio.
6 ANÁLISIS DE LAS NECESIDADES DE SEGURIDAD EN LA PYME ESPAÑOLA
Diferentes expertos han destacado una carencia significativa en servicios técnicos asociados a la gestión de la seguridad. Asimismo, se echan en falta servicios para configurar y mantener adecuadamente las herramientas de seguridad y la gestión de incidencias (servicios gestionados o externalización de las labores de gestión de la seguridad). Los expertos identifican a la PYME de forma mayoritaria como un nicho de mercado por explotar, en el que las soluciones de seguridad se verían aceptablemente cubiertas con las soluciones que actualmente ofertan los fabricantes, si bien el servicio de soporte/asesoramiento técnico a la PYME se valora en la mayor parte de los casos como “deficiente” y casi “inexistente”. Esta consideración estaría motivada, entre otras razones, por la percepción de los agentes implicados con respecto a: • La elevada complejidad asociada a la creación de un centro de resolución de incidencias para la PYME. La dificultad en articular un mensaje comercial homogéneo y único para la PYME que rentabilice acciones comerciales destinadas en exclusividad a este tipo de clientes. • El elevado coste frente al beneficio que podría derivarse de la prestación de un servicio de soporte. La heterogeneidad de la PYME en España.
Las necesidades identificadas a continuación podrán ser cubiertas mediante una adecuada política de concienciación y educación, tarea que podría ser impulsada desde un Centro de Respuesta orientado a la PYME.
Necesidades en productos y servicios de seguridad en la PYME
Las necesidades y deficiencias en cuanto a la seguridad informática tienen diferentes características, según los siguientes aspectos de este tipo de empresas: • Tamaño de la PYME. En líneas generales, cuando la empresa alcanza un determinado número de empleados suele incorporar a su plantilla una o varias personas con conocimientos técnicos, mientras que en empresas de pocos empleados no se dispone de personal con los mínimos conocimientos técnicos necesarios para encargarse de aspectos TIC.
Sector de la PYME. En función de la actividad de la organización cobran relevancia unos u otros requerimientos de seguridad. Este aspecto es, por tanto, un punto crítico que debe ser valorado en la estrategia de difusión y divulgación un Centro de Respuesta dependiente de la Administración.
Grado de madurez de la PYME. A medida que la empresa adquiere madurez, las necesidades relativas a seguridad se incrementan, al aumentar la capacidad de acceso, comunicación, operatividad y la interconectividad entre sedes.
Los productos y servicios informáticos considerados más necesarios (Gráfico 44) por las empresas son los programas de detección de malware (el 96,5% lo considera “muy necesario”), los sistemas de control de correo basura (92,2%), así como los servicios de realización de copias de seguridad (89,9%) y los programas cortafuegos (89,5%). Por el contrario, los servicios menos valorados son también los más desconocidos por la pequeña y mediana empresa española; así, poco más de un 60% de los usuarios considera “muy necesario” el cifrado del disco duro o de las comunicaciones, mientras que un 10% desconoce completamente el servicio, lo que refuerza la idea de la importancia que tiene la formación en seguridad.
Gráfico 44: Valoración de la necesidad de servicios de seguridad
Sistemas de antivirus, spyware y malware en general Sistemas de antispam Realización de copias de seguridad Cortafuegos Control de acceso a aplicaciones y ordenadores Securizar el ordenador Uso de certificados digitales y firma electrónica Cifrado del disco duro Cifrado de las comunicaciones 0% 10% 20% 68,6% 68,4% 63,6% 63,4% 30% 40%
96,5% 92,2% 89,9% 89,5% 87,0%
Los expertos coinciden en que existen ciertas necesidades no cubiertas por ningún producto, destacando entre ellas las de cifrado y protección en el acceso a Internet. Es decir, existen soluciones de seguridad que no son ofertadas por ninguna compañía, no porque no sean necesarias, sino probablemente porque el desconocimiento de las mismas
por parte de la pequeña y mediana empresa hace el mercado poco atractivo para las compañías de seguridad. Adicionalmente, se han evidenciado carencias significativas en otro tipo de herramientas de gestión y asesoramiento especializado en temas relacionados con el cumplimiento normativo (LOPD, LSSI, etc.). En este sentido, destaca especialmente el escaso uso de herramientas de control de contenidos, que limiten el acceso a determinados servicios. En último lugar, se identifica una alta dependencia por parte de la PYME del tramo final de la cadena de distribución de soluciones y productos de seguridad (distribuidores locales), siendo este uno de los puntos en los que es necesario realizar una mayor labor de formación y especialización por parte de los fabricantes. Entre los servicios considerados de mayor utilidad para la PYME destaca el servicio de seguridad gestionada, si bien la falta de concienciación en materia de seguridad y la insuficiente adaptación de este servicio a las necesidades de estas empresas hacen que no se encuentren suficientemente demandado. Los productos de seguridad de control del código malicioso (antivirus, antiespías, etc.), se perciben muy completos y maduros, además de ser fácilmente accesibles para la PYME. Por contra, los especialistas en seguridad indican que no ofrecen una protección total contra los problemas de seguridad existentes. Sin embargo, de los servicios propuestos a los expertos durante las entrevistas, aquellos que se han considerado menos interesantes para la PYME son los programas de seguridad IT, gestión del riesgo y continuidad del negocio y certificación y acreditación, lo cual resulta coherente con la dotación presupuestaria que las empresas consultadas están dispuestas a destinar a dichos servicios (Gráfico 45). Los expertos opinan que estos servicios son de mayor utilidad para la gran empresa y para la Administración Pública, pero son poco útiles y de escaso interés para la pequeña y mediana empresa. No obstante, existen opiniones divergentes que aseguran que es necesario implantar en la PYME servicios de estas características, previa adaptación de los mismos a las necesidades específicas de la empresa y del sector en el que opera. Es destacable la opinión de los expertos respecto a las servicios forenses y de recuperación de datos que, si bien tienen un alto porcentaje de éxito, son considerados como de escasa demanda y uso por parte de la PYME debido al desconocimiento de los mismos y a que se trata de servicios especialmente costosos para el presupuesto de una empresa de tamaño pequeño.
Gráfico 45: Dotación presupuestaria que destinarían a servicios de seguridad
Análisis forense Monitorización de sistemas Continuidad de negocio y servicios de recuperación Auditorías de seguridad Asesoramiento jurídico Resolución de dudas / consultas de seguridad. Asesoramiento Tecnológico Gestión de vulnerabilidades de seguridad Análisis de riesgos Servicio de alertas de seguridad Formación Gestión de incidencias de seguridad Gestión de herramientas de seguridad Otros servicios
81,6% 78,8% 76,3% 74,6% 73,9% 72,6% 72,2% 71,8% 71,5% 70,1% 69,9% 69,1% 66,4% 94,8% 40% 50% 60% 70% 80%
18,0% 20,4% 21,6% 24,6% 25,6% 25,6% 27,3% 26,9% 25,9% 27,0% 27,6% 28,8% 31,1%
0,8% 2,1% 0,8% 0,5% 1,8% 0,5% 1,3% 2,6% 2,9% 2,5% 2,1% 2,5%
5,2% 90% 100%
Desde el punto de vista de servicios especializados (Gráfico 46), destaca como el más demandado el de auditoría y diagnóstico de seguridad (revisiones periódicas de la seguridad de los ordenadores de la empresa), que considera “muy necesario” el 88,7% de las empresas encuestadas, seguido por el asesoramiento legal para el cumplimiento de la LOPD (75,2%) y los servicios de prevención, mantenimiento y resolución de incidentes de seguridad, todos valorados como “muy necesarios” por más del 70% de los encuestados.
Gráfico 46: Valoración de la necesidad de servicios especializados de seguridad
Revisiones periódicas de la seguridad de los ordenadores de la em presa Asesoría para el cum plim iento de la Ley Orgánica de Protección de Datos Servicios de m antenim iento de seguridad Servicios de solución de incidentes de seguridad Servicios de gestión de prevención de fallos de seguridad Asesoría técnica para la instalación de herram ientas de seguridad Asesoría especializada para la gestión de incidencias Inform ación especializada en seguridad Form ación especializada de seguridad 0% 10%
88,7% 75,2% 74,9% 74,6% 72,9% 72,2% 72,0% 71,5% 64,3% 20% 30% 40% 50% 60%
8,9% 19,4% 17,8% 18,4% 18,8% 21,6% 22,2% 24,2% 29,1% 70% 80% 90% 100%
Investigación sobre incidencias y necesidades de seguridad en la PYME Observatorio de la Seguridad de la Información Página 72 de 85
A la vista de estos datos se puede concluir que, si bien las necesidades básicas de seguridad están cubiertas por empresas privadas, existe un amplio nicho de mercado en la respuesta a incidentes de seguridad y servicios especializados en la PYME, al que no se dirige ninguna empresa privada por su complejidad y posible falta de rentabilidad. La Administración Pública consciente de esta situación ha creado un Centro de Respuesta a Incidentes de Seguridad (CERT) para la pequeña y mediana empresa, que en el caso de los ciudadanos se complementa con la implantación de la Oficina de Seguridad del Internauta. Los servicios que actualmente presta el INTECO-CERT son: 1. Servicios de información sobre Actualidad de la Seguridad a través de la web y teletexto: • • • 2. Suscripción a boletines, alertas y avisos de seguridad. Información de Actualidad, noticias y eventos de relevancia. Avisos sobre nuevos virus, vulnerabilidades y fraude. Estadísticas.
Servicios de información, concienciación y formación sobre múltiples aspectos de seguridad y legislación vigente aplicable para Pyme y ciudadanos: • • • • Campañas y actuaciones de concienciación específicas Publicaciones y contribuciones en prensa escrita, radio y televisión. Guías, manuales, cursos online y otros recursos. Bases de datos históricas de Virus y Vulnerabilidades, con características y detalles de cada uno, actualizadas diariamente.
Servicios de Protección y prevención • Catálogo de herramientas y útiles de seguridad gratuitos con características y análisis detallado de cada uno. Catálogo de actualizaciones de software para sistemas operativos y aplicaciones. • Desarrollo de herramientas de seguridad, tanto para uso propio como para libre distribución.
Red distribuida de sensores: más de 150 sensores instalados en entidades colaboradoras externos que proporcionan información sobre amenazas y seguridad.
Servicios de Respuesta y Soporte: • Gestión y soporte a incidentes de seguridad: recepción, gestión y soporte ante incidentes de seguridad reportados por los usuarios. Gestión de código malicioso (malware) y análisis: recepción de ficheros de código malicioso (malware) y análisis automático y/o manual en el laboratorio del INTECO-CERT. • Lucha contra el fraude electrónico: recepción, coordinación y respuesta ante casos de fraude electrónico. Asesoría Legal en materia de seguridad en las tecnologías de la información: recepción y resolución de consultas. • Foros de Seguridad.
Necesidades de formación y culturización
Otro de los servicios que ha sido valorado positivamente, desde el punto de vista de utilidad e importancia para la PYME, es la formación en seguridad. En opinión de los expertos, es preciso cubrir la falta de concienciación existente en materia de seguridad en este ámbito. Sin embargo, no se alcanza un consenso en cuanto a la manera de abordarlo ya que, como se ha comentado, las necesidades de cada sector hacen recomendable e incluso necesario, que la formación sea específica y que esté impartida por especialistas en el sector objetivo. Atendiendo a la demanda de utilización segura de los sistemas de información empresariales, se percibe la necesidad de realizar actividades destinadas a la promoción de la seguridad TIC en diferentes ámbitos, especialmente desde el sector público. Existe la opinión generalizada de muchos expertos en seguridad de que la educación y la concienciación, junto con la formación en seguridad IT para los empleados 19 , es la
IT Controls for SMB. ISACA.
base fundamental para poder comprender y aplicar las herramientas y metodologías seguras en el uso de las tecnologías de la información. En otros países, como en Australia, Austria, Canadá, Finlandia, Francia, Alemania, Italia o Estados Unidos, se ha optado por la creación de un Centro de Respuesta a Incidentes de Seguridad para paliar este problema, como se analiza en el Anexo 1. Esta parece una solución adecuada si se orienta el Centro a las necesidades de la PYME, para de esa forma conseguir el resultado esperado 20 . Otra de las tareas impulsoras de la seguridad tecnológica, esta vez en el ámbito europeo, es la iniciativa de la Comisión Europea en relación al establecimiento de unas directrices sobre seguridad informática aprobadas en julio de 2002 (2002 Security Guidelines). Esta normativa centra su interés en los siguientes aspectos de mejora: • • • • • Creación de concienciación en materia de seguridad. Promoción de buenas prácticas en seguridad. Alertas y respuesta a incidentes de seguridad. Promoción del uso de estándares. Mejora de la interconexión de redes globales.
En base a dichas directrices, se espera que los gobiernos de la Unión Europea promocionen una cultura de seguridad a través de la educación y el desarrollo de actividades que permitan aumentar el grado de concienciación al respecto. Los diferentes países de la UE han puesto en marcha esta iniciativa mediante la creación de nuevas políticas o la adaptación de las ya existentes destinadas a la protección de los sistemas de información y las redes, desde un planteamiento más activo 21 .
Necesidad de recursos y subcontratación
Cabe destacar que las limitaciones de la PYME (especialmente microempresas de menos de 10 empleados) en cuanto a personal especializado en los sistemas de información y recursos económicos, suelen impedir una gestión adecuada de la seguridad en su infraestructura tecnológica. Por ello, muchas pequeñas empresas (y algunas de mayor tamaño) optan por delegar la gestión integral de la seguridad de sus equipos en proveedores tecnológicos de confianza, los cuales asumen la gestión completa de los sistemas e informan periódicamente a los clientes sobre los incidentes ocurridos y la salud
Inventory and best practices guide on Member states, EEA Countries and Accession states activities in the field of network and Information security. Deloitte (para la Comisión Europea) Op. cit y Op. cit. .
de sus sistemas. Diversos estudios identifican la subcontratación de servicios de seguridad como una manera adecuada para reducir costes, optimizar el servicio y conseguir el acceso a la tecnología más novedosa en todo momento, además de permitir a la empresa concentrarse en el negocio en el que es experta 22 . Paradójicamente, la situación en España respecto a la subcontratación de servicios de seguridad es opuesta a la situación ideal expuesta en las líneas anteriores. Tiene un porcentaje muy reducido entre los encuestados (sólo el 16% de ellos reconoce contar con este tipo de servicios). Si se contrasta este bajo ratio de empresas que externalizan ciertos servicios de seguridad con la estratificación por número de empleados de las empresas en relación al gasto en informática (no solamente en seguridad), se observa una clara tendencia hacia una mayor subcontratación de servicios a medida que aumenta el tamaño de la empresa. De esta manera puede observarse en la Tabla 7 como mientras que el 70% de las empresas de menos de 10 empleados no subcontratan ningún servicio, casi la mitad (45,4%) de las que tienen entre 40 y 49 empleados si lo hacen.
Tabla 7: Subcontratación de servicios de informática (%) Menos de 50 euros 0,0 1,7 4,0 0,0 0,0 0,8 Entre 50 y 300 euros 6,2 10,3 0,0 0,0 4,5 6,1 Entre 300 y 1.500 euros 16,3 6,9 12,0 15,4 18,2 13,8 Entre 1.500 y 6.000 euros 4,7 5,2 16,0 7,7 4,5 6,1 Más de 6.000 Euros 1,6 0,0 0,0 7,7 18,2 2,8
Empleados Menos de 10 De 10 a 19 De 20 a 29 De 30 a 39 De 40 a 49 TOTAL MUESTRA
Sin gasto 71,2 75,9 68,0 69,2 54,6 70,4
Estudio de L-SEC (Leuven Security Excellence Consortium).The benefits of outsourced security management. AMR Research, 2004.
7 RECOMENDACIONES DE ACTUACIÓN
Las medidas de impulso para el crecimiento de seguridad de la PYME implican necesariamente el acercamiento de las soluciones de seguridad a la pequeña empresa, poniendo a su disposición personal experto y cualificado que le ayude en la adopción de las medidas de protección más efectivas y, sobre todo, en el cumplimiento normativo.
Recomendaciones de actuación a la industria de seguridad de la información
Se ha puesto de manifiesto la necesidad de adaptar los productos y servicios de seguridad existentes en el mercado actual a las necesidades concretas de la PYME. Así, la clave 23 para hacer llegar un producto de seguridad a la pequeña y mediana empresa de manera satisfactoria es una combinación adecuada de estrategias de canal, precio y producto, que a juicio de los expertos consultados se concreta en las siguientes medidas: A nivel de producto: • • Simplificar y rediseñar el producto para ajustarlo a lo que la PYME necesita. Favorecer la labor de homogenización, integración y simplificación de las soluciones existentes de manera que puedan ser útiles para la PYME, ante la ausencia generalizada de especialización de las herramientas de seguridad. Algunos expertos apuntan las soluciones “paquetizadas” como una vía de personalizar los diferentes productos a las necesidades de la PYME, atendiendo a dos de sus requerimientos principales: o Cubrir de manera global todas las necesidades TIC de seguridad, en todos los niveles: datos, aplicación, conexión, etc. Simplificar los procesos de adquisición e instalación de soluciones.
A nivel de canal: • Mejorar los modelos de compensación a empresas del canal de distribución, por su esfuerzo en la penetración en el mercado PYME. Valorar el uso de las tiendas minoristas ya existentes para promocionar los servicios de seguridad a través de elementos como paneles informativos, demostraciones, etc.
Four marketing strategies for SMB Telecom Sales. Forrester.
Por último, los expertos recomiendan incidir en el factor precio, a través de la creación de unos contratos dinámicos para los servicios de seguridad que favorezcan la implantación de medidas en la pequeña y mediana empresa. Estos contratos habrán de caracterizarse por incluir una escala de precios atractivos y la posibilidad de ser modificados (duración, ámbito de actuación, recursos destinados…) si las condiciones de las empresas contratantes varían.
Recomendaciones de actuación Administraciones Públicas
Observando los distintos informes consultados 24 respecto a la seguridad de las tecnologías de información y comunicación, la idea más reiterada es la necesidad de una mayor implicación por parte de las administraciones en el apoyo a las TIC. Uno de los aspectos que inciden en la interacción de la Administración y las empresas es, como muestra el Gráfico 47, que a medida que aumenta el tamaño de las mismas se incrementa el porcentaje de gestiones telemáticas con la Administración.
Gráfico 47: Empresas que realizan transacciones telemáticas con las Administraciones Públicas
67,2 67,2 34,6 34,0 59,1 57,2 82,1 82,4 93,0 95,1 0 10 2005 20 30 40 50 60 70 2006 80 90 100
Se considera imprescindible agilizar los mecanismos de comunicación entre la empresa y la Administración Pública, especialmente en el caso de la PYME. Ello implicaría la posibilidad de realizar gestiones tributarias de manera telemática (como ya se está haciendo en algunos casos), con la ventaja del consiguiente acercamiento de la
PYME a las tecnologías de la información. La respuesta mediante leyes y acciones, en lo referente a las TIC y la seguridad de sus sistemas, es capaz de crear verdaderos vínculos de interés por ambas partes. Por tanto, el diseño de un marco legislativo que fomente el uso de las tecnologías de la comunicación contribuirá a la reducción de la brecha digital existente en la pequeña y mediana empresa española. En relación a la seguridad en las TIC, la necesidad de que exista una educación previa es evidente, aunque con anterioridad debería existir una educación en las TIC impulsada por la Administración Pública en todos los ámbitos y desde un punto de vista global. Adicionalmente, se deduce que las zonas más desfavorecidas necesitan un impulso para que no exista tanta desigualdad. Por último, los expertos consultados han valorado positivamente la creación por parte del Ministerio de Industria, Turismo y Comercio a través del Instituto Nacional de Tecnologías de la Comunicación de un Centro de Respuesta a Incidentes en Tecnologías de la Información orientado a la PYME. Los expertos consideran que para garantizar el éxito del proyecto se ha de: • Mejorar y evolucionar el marco normativo vinculado a temas de seguridad informática, ya que, según algunos expertos, es un tanto difuso y complejo; es decir, la creación de leyes explícitas relativas al uso de las TIC y su seguridad, aparte de las ya existentes (LOPD, LSSI, etc.). Favorecer mediante la concesión de créditos o exenciones fiscales la implantación de las soluciones necesarias para garantizar la seguridad informática. Establecer o reforzar aquellos puntos de confianza ya identificados por la PYME (cámaras de comercio, ferias sectoriales, etc.) que sirvan como canal de presentación del propio CERT. Concienciar a la PYME sobre los riesgos reales vinculados a las posibles vulnerabilidades de los sistemas de información.
La Administración Pública, a su vez, se vería indirectamente recompensada por este tipo de actuaciones dado que, al generar una conciencia de seguridad en el usuario de la PYME, se estaría concienciando de manera paralela al ciudadano representado por este tipo de usuarios, provocando de este modo un impulso de la e-Administración: (identidad digital, tramitación telemática segura, etc.).
En los apartados anteriores se ha realizado un análisis exhaustivo tanto de la situación actual como de las necesidades de seguridad de la PYME, lo que permite establecer el punto de partida adecuado para la definición y adopción de medidas efectivas a la hora de cubrir adecuadamente las necesidades identificadas. El estudio concluye que existen importantes riesgos a la seguridad de la información que las PYMES no tienen en cuenta: • Robos de información por hackers o empleados que vulneran su autorización de acceso a los recursos. Malos usos de los sistemas por parte de los usuarios. Desastres medioambientales imprevistos. Problemas asociados a los soportes de información.
A lo largo de los últimos años, se ha generado un importante mercado de seguridad de la información con productos y servicios orientados a las grandes empresas españolas que les ha permitido: • Disponer de un conjunto de soluciones técnicas y servicios eficaces para la resolución de sus problemas de seguridad. Desarrollar prácticas propias de seguridad con recursos dedicados a la supervisión y mejora constante para hacer frente a las nuevas amenazas. Sin embargo, se ha detectado una carencia de servicios para configurar y mantener adecuadamente las herramientas de seguridad y la gestión de incidencias y que los existentes no son atractivos para la pequeña y mediana empresa. Así, existe un nicho de mercado en relación a la seguridad de la información en la PYME, con especial relevancia de los servicios de asesoramiento técnico. Existen una serie de razones que hacen que el mercado de seguridad en la PYME no esté suficientemente desarrollado y que pueden concretarse en: • Heterogeneidad de la PYME española que se materializa en su diversidad de tamaño, sectores de actuación y el grado de madurez de cada uno de ellos. • • Dificultad para rentabilizar acciones comerciales exclusivas para la PYME. Elevado coste en relación al beneficio de prestar este tipo de servicio de soporte.
Para paliar estos problemas y necesidades se han identificado una serie de medidas y recomendaciones destinadas a la Industria y a las Administraciones Públicas, que pueden resumirse en las siguientes: • Medidas para la industria de seguridad de la información: o o o • Ofrecer servicio postventa y asesoramiento previo a la venta. Mejorar los modelos de compensación a empresas distribuidoras. Simplificar y rediseñar los productos de seguridad.
Medidas para las Administraciones Públicas: o o Realizar campañas de divulgación. Impulsar mediante la concesión de créditos o exenciones fiscales la implantación de las soluciones necesarias para garantizar la seguridad informática. Fomentar el uso seguro de Internet para la realización de trámites burocráticos (e-Administración). o Impulsar un marco legal acorde con la situación actual de la seguridad.
Tabla 1: Definición de la PYME según la normativa de la Comunidad Europea (en vigor desde el 1 de enero de 2005)..............................................................................................26 Tabla 2: Ubicación geográfica de la microempresa.............................................................28 Tabla 3: Gasto en comunicaciones (%)...............................................................................38 Tabla 4: Conocimiento del importe de las sanciones de la LOPD por sector (%) ...............45 Tabla 5: Realización de auditorías de seguridad relacionadas con la LOPD por tamaño de empresa en los últimos dos años (%)..................................................................................45 Tabla 6: Medidas de seguridad empleadas por sectores (%) .............................................49 Tabla 7: Subcontratación de servicios de informática (%)...................................................76
Gráfico 1: Metodología y alcance de la obtención de conclusiones para el Estudio de INTECO ...............................................................................................................................14 Gráfico 2: Distribución de empresas por sectores de actividad...........................................21 Gráfico 3: Número de empleados........................................................................................21 Gráfico 4: Distribución porcentual por volumen de facturación en euros ............................22 Gráfico 5: Distribución de empresas españolas según el número de asalariados ..............24 Gráfico 6: Distribución de pequeñas empresas por comunidades autónomas (%) .............25 Gráfico 7: Empresas con ordenadores disponibles (%) ......................................................28 Gráfico 8: Resumen de tecnología empleada por las PYME. Sistemas operativos ............29 Gráfico 9: Empresas con red de área local (%)...................................................................29 Gráfico 10: Empresas con conexión a Internet (%) .............................................................30 Gráfico 11: Resumen de tecnología empleada por las PYME. Tecnología de acceso a Internet.................................................................................................................................31 Gráfico 12: Antigüedad en el uso de Internet (%)................................................................31 Gráfico 13: Empresas con correo electrónico (%) ...............................................................32 Gráfico 14: Empresas que disponen de página web (%) ....................................................33 Gráfico 15: Evolución del gasto en informática con respecto al año anterior......................33 Gráfico 16: Distribución del gasto en informática por tipología de servicios/productos.......34 Gráfico 17: Empresas con personal con funciones TIC (%)................................................36 Gráfico 18: Grado de conocimiento de las incidencias de seguridad..................................38 Gráfico 19: Conocimiento de la LSSI...................................................................................39 Gráfico 20: Conocimiento de la LOPD.................................................................................39 Gráfico 21: Existencia de datos personales en las aplicaciones .........................................40
Gráfico 22: Realización de auditorías de LOPD (%) ...........................................................40 Gráfico 23: Conocimiento de los importes de las sanciones de la LOPD (%).....................41 Gráfico 24: Valoración de los productos y servicios de seguridad (%)................................44 Gráfico 25: Medidas de seguridad empleadas ....................................................................45 Gráfico 26: Frecuencia de actualización del software de seguridad ...................................47 Gráfico 27: Frecuencia de escaneo de los ordenadores en busca de malware..................47 Gráfico 28: Documentación de los controles de seguridad (%)...........................................48 Gráfico 29: Evolución del gasto en seguridad durante el último año (%) ............................49 Gráfico 30: Gasto en seguridad respecto al gasto en informática (%) ................................49 Gráfico 31: Dificultad para localizar un producto de seguridad ...........................................50 Gráfico 32: Valoración de la relación calidad-precio de los productos de seguridad ..........51 Gráfico 33: Ocurrencia de incidencias de seguridad ...........................................................54 Gráfico 34: Resolución de incidencias informáticas ............................................................55 Gráfico 35: Causas de las incidencias de seguridad...........................................................56 Gráfico 36: Repercusión económica de las incidencias de seguridad ................................56 Gráfico 37: Consecuencias de las incidencias de seguridad ..............................................57 Gráfico 38: Cambio de hábitos motivado por las incidencias de seguridad ........................58 Gráfico 39: Comparativa de incidencias de seguridad ........................................................60 Gráfico 40: Comparativa entre las medidas de seguridad utilizadas por PYME y gran empresa...............................................................................................................................61 Gráfico 41: Comparativa de los motivos que originan las incidencias de seguridad en la PYME y en las grandes empresas ......................................................................................62 Gráfico 42: Porcentaje de PYME y grandes empresas que realizan auditorías de seguridad .............................................................................................................................63 Gráfico 43: Porcentaje de empresas que tienen políticas de seguridad según su tamaño.64
Gráfico 44: Valoración de la necesidad de servicios de seguridad .....................................67 Gráfico 45: Dotación presupuestaria que destinarían a servicios de seguridad..................69 Gráfico 46: Valoración de la necesidad de servicios especializados de seguridad.............69 Gráfico 47: Empresas que realizan transacciones telemáticas con las Administraciones Públicas ...............................................................................................................................75
INTECO Estudio Seguridad Pymes by Pablo Solano16 viewsEmbedDownloadRead on Scribd mobile: iPhone, iPad and Android.Copyright: Attribution Non-Commercial (BY-NC)Download as PDF, TXT or read online from ScribdFlag for inappropriate contentMore informationShow less

References: resolución 
 resolución 
 resolución 
 Resolución 
 resolución 
 Resolución 
 resolución 
 resolución 
 resolución 
 Resolución