Ciberseguridad Analisis Mercado

CIBERSEGURIDAD
ANÁLISIS DE MERCADO
Enero 2018, ProMéxico ®
www.promexico.mx
Marco Erick Espinosa Vincens, Jefe de Unidad

Claudia Esteves Cano, Directora Ejecutiva de Estrategia
José Manuel Cortés, Coordinador de Innovación y Gestión del Conocimiento
Julio S. Rodríguez, Consultor Senior
Luisa Regina Morales Suárez, Diseño Editorial
Imagenes descargadas de:

unsplash.com / pixabay.com / pexels.com
Iconos descargados de:
flaticon.com
Autor:
C O NT ENID OS
RESUMEN EJECUTIVO 4
REVOLUCIÓN DIGITAL 6
DELITOS CIBERNÉTICOS 14
LA CIBERSEGURIDAD EN EL MUNDO 22
PANORAMA REGULATORIO 27
MEJORES PRÁCTICAS 30
TENDENCIAS DIGITALES EN MÉXICO 37
CRIMEN CIBERNÉTICO EN MÉXICO 40
CIBERSEGURIDAD EN MÉXICO 45
RESUMEN DE LA CIBERSEGURIDAD EN MÉXICO 55
APÉNDICE 63
RESUMEN
EJECUTIVO
4
RESUMEN EJECUTIVO
Este análisis refuerza la importancia de la industria de seguridad cibernética en general, así como la perspectiva que
existe de su crecimiento, a nivel mundial y con un enfoque particular en México. Se destacan algunas áreas específicas
de mejora. Los principales hallazgos son los siguientes:
- Debido a la creciente conectividad en los entornos personales, corporativos y urbanos, está aumentando la dependencia de la
tecnología y, por lo tanto, también de las vulnerabilidades y riesgos de ciberataques. Asimismo, los ciclos de innovación tecnológica
están acortando la adopción de medidas de ciberseguridad y los tiempos de reacción.
- Las mega-tendencias que están incrementando su relevancia a nivel mundial, tales como las soluciones de big data y aplicaciones
en la nube, internet de las cosas (IoT), industria 4.0 y el desarrollo de ciudades inteligentes continuarán siendo los principales impul-
sores de la industria.
- Mientras mayores sean los niveles de transformación digital en una compañía, mayores serán las vulnerabilidades de sus disposi-
tivos y sistemas. El cibercrimen ha tenido un impacto estimado de 575 MMD al año en la economía internacional, representando el
0.5 % del PIB mundial. El principal motivo detrás de los ciberataques continúa siendo financiero; por ello, las industrias más expues-
tas son aquellas relacionadas con los servicios financieros y algunas ramas del sector público.
- A nivel global, la demanda de mercado en México es bastante alta: existen varias compañías internacionales y nacionales que se
benefician del crecimiento de la industria. Hay una clara necesidad por un incremento en la oferta de productos (especialmente para
pymes) y por el desarrollo de más competencia en el sector. Los clústeres dedicados a TIs podrían ser una solución para el desarrollo
de productos y servicios de ciberseguridad a costos reducidos.
- Existen varios pilares de la industria que continuarán permitiendo su desarrollo: por ello, se establecieron las bases del entorno
legal y normativo; en México se definió la Estrategia Nacional de Ciberseguridad, de este modo es posible dar el paso a las mejoras
necesarias en la ejecución de nuevas leyes y regulaciones secundarias.
- A nivel nacional, las universidades están incrementando su oferta educativa sobre ciberseguridad, pero no al mismo ritmo de la
evolución tecnológica, y los costos de las certificaciones necesarias siguen siendo relativamente altos. Todos los grados académicos
pueden tener un curso de conciencia de seguridad cibernética e inversión en comunicación de ciberseguridad.
- La creación de una conciencia general y la capacitación para las empresas y las personas sobre las buenas prácticas para minimizar
los riesgos en materia de ciberseguridad son clave para que la comunidad de usuarios opere en el entorno digitalizado y conectado
en la actualidad y en el futuro.
5
REVOLUCIÓN
DIGITAL
6
L A T R A N S F O R M A C I Ó N D I G I TA L E S TÁ TO M A N D O C A D A V E Z
M AY O R I M P O R T A N C I A E N E S T R A T E G I A S D E N E G O C I O S
65%
De las grandes empresas son negocios basados en la información
Para el 2020
33% de los CEOs tendrán al menos 5 años de experiencia
en algún tipo de liderazgo tecnológico.
Transformación digital
En la mente de los Prioridad de los CEOs:

CEOs: Tecnología Evolución Ciberseguridad
Tecnológica
Una de las 3 principales prioridades de Los CEO reconocen que hay trabajo por
los CEOs para los próximos 3 años es hacer para proteger su organización: un
implementar tecnologías disruptivas, y 58% de CEOs no se sienten completamente
el 47% está preocupado acerca de si su preparados para una vulnerabilidad cibernética.
organización se mantiene al día con las
nuevas tecnologías. El 30% de los CEOs clasifica los cibercríme-
nes como uno de los 5 principales riesgos en
41% de los CEOs dice que su compañía su empresa para los próximos 3 años.
va a transformarse significativamente en
los próximos 3 años. El 56% de los CEOs están preocupados por
los datos e información sobre los que basan
74% de los CEOs dice que su compañía sus decisiones.
se está esforzando por ser el agente
disruptor de su sector.
Fuente: análisis de KPMG Con información de IDC y del Global CEO Outlook 2017.
7
PA N O R A M A T E C N O LÓ G I C O
EVOLUCIÓN DE LA TECNOLOGÍA
La evolución tecnológica ha tenido hitos clave en la historia, como la creación de la primera computadora o del internet;
sin embargo, en los últimos años ha experimentado cambios más rápidos, profundos y complejos, transformando rutinas
e incluso interacciones humanas.
1940-1970 1980’S 1990’S 2000 2010
COMPUTADORA
COMERCIO
CENTRAL PC/SERVIDORES INTERNET DIGITAL
ELECTRONICO/NUBE
(MAINFRAME)
La primera computadora Las computadoras se Se creó la World Wide A través de las páginas web, Los centros de datos se
funcionaba con un sistema pueden personalizar con Web y todas las empresas se crearon empresas de dis- volvieron virtuales y glo-
binario y un tubo de vacío. software. buscaban una conectivi- tribución que permitieron el bales, siendo cada vez más
dad rápida a internet y comercio electrónico. eficientes y más baratos.
Más tarde, las computadoras Las computadoras perso- operaciones ininterrum-
podrían reprogramarse y nales (PC) aparecieron en pidas. Aumentaron los mercados Las empresas utilizaron
funcionar con transistores; el mercado que lidera el en línea, permitiendo a los big data para almacenar,
permitiendo que fueran más boom de la industria de los Crecieron las salas de clientes comparar precios y analizar y monetizar la in-
baratas, rápidas y pequeñas. microordenadores. servidores, lo que requería reseñas sobre productos. formación de sus negocios,
instalaciones más grandes, haciendo de la “datifica-
Los miniordenadores Se desarrollaron sistemas por lo que el servicio del Se estaban desarrollando ción” una tendencia.
aparecieron en los años 60 de archivos de red simi- “centro de datos” se hizo servicios de infraestructura
con el teclado y el monitor, lares al almacenamiento popular. y almacenamiento en línea, Aparecieron en la indus-
aumentando su confiabilidad local, lo que permite a los un predecesor de los servi- tria la conexión constante
y reduciendo el consumo de usuarios de los equipos Internet permitió una cios basados en la nube. y la comunicación con
energía. de un cliente acceder a los conectividad más rápida hiperconectividad.
archivos en una red. y eficiente con acceso a Aparecieron los primeros
información y empresas de teléfonos inteligentes en el Aumento de capacidades
Se instalaron bancos todo el mundo. mercado, permitiendo el ac- profesionales para labores
de servidores en varias ceso a internet en tu mano. digitales.
compañías para crear salas
de datos. Inteligencia artificial.
Fuente: análisis de KPMG con información Dublin City y Forbes.
8
TENDENCIAS TECNOLÓGICAS
La fuerza y la velocidad con la que se mueven las innovaciones tecnológicas a través de la economía está creando un
punto de inflexión en los negocios.
MEGA-TENDENCIAS DE TECNOLOGÍAS CYCLO DE SOBREEXCITACIÓN PARA TECNOLOGÍAS EMERGENTES

EMERGENTES (HYPER CYCLE)
En términos tecnológicos, existen tres tendencias prin-

cipales que aglutinan las mejoras esperadas que robus- Hogar conectado
tecerán las capacidades de negocios: Asistentes virtuales Aprendizaje profundo La meseta se alcanzará en:
Aprendizaje automático Menos de dos años
Plataformas IoT Vehículos autónomos
INTELIGENCIA ARTIFICIAL POR DOQUIER: Robots inteligentes Electrónica nanotubular
2 a 5 años
Computación de frontera Cómputo cognitivo 5 a 10 años
Deep Learning Taxonomía empresarial Descubrimiento de Cadena de bloques Más de 10 años
Aprendizaje de refuerzo profundo Gestión de ontología datos aumentado
Drones
Espacio de trabajo inteligente
Inteligencia artificial general Aprendizaje Automático Convetional
Interfaz User Interfaces
Vehículos autónomos Polvo Inteligente cerebro-computadora
Asesores cognitivos expertos
Volumetric
Drones comerciales Robots inteligentes Cómputo Displays
Interfaz de usuario conversacional Espacios de trabajo inteligente cuántico Digital Twin
Serverless PaaS
EXPERIENCIAS TRANSPARENTEMENTE INMERSIVAS
Expectativa
5G
Impresión 4D Perfeccionamiento humano Human
Hardware Augmentation
Realidad aumentada Electrónica nanotubular neuromórfico Taxonomía empresarial
Deep Reinforcement Gestión de ontología Realidad virtual
Interfaz cerebro-computadora Realidad virtual Learning
Software-Defined
Hogar conectado Exhibidores volumétricos Security
Impresión 4D
Artificial General Realidad
Intelligence aumentada
PLATAFORMAS DIGITALES Data
Inteligente
5G Hardware Neuromórfico Julio 2017
Gemelos digitales Cómputo cuántico Gatillo de Culmen de Pendiente de Meseta de la

Computación de frontera PaaS libre de servidores innovación expectativas Desilusión la ilustración productividad
Cadena de bloques (Blockchain) Seguridad basada en software
Plataformas IoT Tiempo
Fuente: análisis de KPMG con información de 1) Gartner 2017, 2) Gartner 2017 Hype Cycle for Emerging Technologies.
9
TENDENCIAS TECNOLÓGICAS ESTRATÉGICAS – CIUDADES

INTELIGENTES E INDUSTRIA 4.0
En el ámbito estratégico para el desarrollo tecnológico, se están promoviendo dos tendencias principales como el nivel
más alto de digitalización: Ciudades inteligentes dentro de un enfoque gubernamental/público e industria 4.0 para las
empresas privadas.
CIUDADES INTELIGENTES 1 INDUSTRIA 4.0 2
Una Ciudad Inteligente es una ciudad innovadora que a tra- La industria 4.0 es la nueva revolución industrial
IDEA PRINCIPAL
vés de las tecnologías de información y comunicación (TIC) que introduce la transformación digital en las
y otros medios integra de manera efectiva los sistemas fí- industrias.
sicos, digitales y humanos para mejorar la calidad de vida, La industria 4.0 aborda la digitalización de ca-
la eficiencia de la operación y de los servicios urbanos y la denas de valor complejas, apuntando a futuros
competitividad, al tiempo que garantiza la satisfacción de modelos inter-industriales con un alto uso de
las necesidades presentes y futuras. tecnologías digitales integradas.
Manufactura Integración
HABILITADORES aditiva
Ciberseguridad
de procesos
TECNOLÓGICOS
CLAVE
Redes y Datos Sistemas operativos Simulación Realidad
Robótica
comunicaciones Abiertos urbanos y prototipos Aumentada
HABILITADORES
TECNOLÓGICOS
COMPARTIDOS
Integración Cómputo Internet de las
de procesos en la nube cosas (IoT)
Fuente: análisis de KPMG con información de 1) Department for Business Innovation & Skills y el IEEE 2017 2) Gartner 2017 y el IEEE 2017.
10
TENDENCIAS TECNOLÓGICAS ESTRATÉGICAS– INTERNET DE LAS COSAS
La conectividad IoT se ha consolidado a medida que las carteras de los proveedores se han hecho más grandes. Se espera
que el mercado de IoT crezca anualmente a un 17.8% anual de 2017 al 2025, permitiendo soluciones inteligentes en las
principales industrias.
DISPOSITIVOS CONECTADOS DE IOT 1 EN 2017

TAMAÑO DE MERCADO
Y SU TCAC ESPERADA
Dispositivos conectados a IoT 1 en 2017 TCAC

IoT (1) base instalada, mercado global Miles de millones de dispositivos 2015-2025
(miles de millones de dólares)
Consumidor 8.00 16%
PRONÓSTICO
$76
Comunicaciones 6.00 9%
+17.8% $62
Industrial 3.60 28%
$51
$43
Computadoras 1.70 2%
$36
$31
$27 Médico 0.32 18%
$20 $23
$18
$15
Automotriz 0.20 22%
Militar y aeroespacial 0.01 13%

2015 2016 2017 2018 2019 2020 2021 2022 2023 2024 2025
NUESTRAS PERSPECTIVAS
A medida que maduran las soluciones big data y cómputo en la nube, surgen nuevas aplicaciones para soluciones IoT, lo que impulsa el creci-
miento de esta industria. En términos globales, el mantenimiento predictivo, la agricultura inteligente y las ciudades inteligentes se consideran
factores clave para la industria de la IoT.
Para 2020, se espera que 50.000 millones de dispositivos se conecten a través de IoT. Se espera que se crezca de 2 dispositivos conectados por
persona alcanzados en 2010 a los 7 dispositivos por persona en el 2020, lo que representa un crecimiento de 13% de TCAC.
Los principales desafíos para el crecimiento son la seguridad y escalabilidad de los nuevos dispositivos conectados y el cumplimiento con están-
dares abiertos para facilitar el monitoreo a gran escala de diferentes sistemas.
En términos de personas y no de empresas, se espera que IoT para usos médicos, hogares conectados y tecnología portátil sean las principales tendencias.
Nota: (1) IoT (del inglés Internet of Things): es la red de objetos físicos que contienen tecnología incorporada para comunicarse y detectar o interactuar con sus estados internos o el entorno externo.
Fuente: Análisis de KPMG con información de Universidad de Maryland University College (UMUC), Cisco IBSG y IHS.
11
TENDENCIAS TECNOLÓGICAS ESTRATÉGICAS– CÓMPUTO EN LA NUBE
El rápido crecimiento en el mercado de cómputo en la nube se puede atribuir a la mayor confianza de los clientes en la tec-
nología, impulsada principalmente por modelos de prestación de servicios personalizados y ofertas de productos rentables.
Mercado global del cómputo en la nube Estructura del mercado global de cómputo en la nube
Miles de millones de dólares
SaaS PaaS IaaS
PRONÓSTICO (software como servicio) (plataforma como servicio) (infraestructura como servicio)
270
+30.0%
Soluciones Clave
208 Soluciones de software Sistema operativo para Almacenamiento de da-
hospedadas en la nube desarrollar y ejecutar tos físicos en diferentes
159 que se ofrecen a los clien- software. ubicaciones.
122 tes a través de internet.
95 Plataforma que conecta Infraestructura (por
73 Mantenimiento, almace- el software del cliente ejemplo, redes, servido-
namiento e instalación de con el software de la res).
software. base de datos.
Mantenimiento y admi-
nistración.
2015 2016 2017 2018 2019 2020
Inversión /escala de operación requerida Alto
Se espera que el mercado de la computación en la nube casi se cuadruplique en términos de valor entre 2015 y 2020, alcanzando los 270 mil
millones de dólares.
El principal beneficio de las soluciones en la nube es que es una solución libre de gastos de capital, flexible y escalable a la que se puede acceder
desde cualquier ubicación, sin tener que realizar tareas de mantenimiento. El crecimiento en la adopción se debe principalmente a una mayor
sensación de seguridad (empresas confiables), soluciones personalizadas y menores costos para las empresas :
• Las preocupaciones de seguridad, privacidad y regulación en el uso de la nube han llevado al crecimiento de las soluciones de la nube. Esto ayu-
da a acomodar industrias tradicionalmente conservadoras como la salud, el sector público y los servicios financieros..
• Los servicios en la nube están cambiando de una solución de “talla única” a un modelo comercial más flexible para satisfacer las necesidades de
las empresas individuales (por ejemplo, volumen de capacidad, mantenimiento y niveles de servicio).
• A medida que los centros de datos aumentan de tamaño, los costos de la solución en la nube disminuyen rápidamente, lo que la hace asequible
y atractiva para las empresas.
• Los desafíos clave para el crecimiento giran en torno a la confiabilidad y el acceso en tiempo real de la red (por ejemplo, minimizar el impacto del
tiempo de inactividad de mantenimiento).Security, privacy and regulatory concerns in cloud usage have led the growth of Cloud solutions. This
helps accommodating traditionally conservative industries such as Healthcare, the Public sector and Financial services.
En términos de personas y no de empresas, la nube sigue siendo una tendencia disruptiva utilizada principalmente para fines de almacenamiento individual y comunicación a
través de aplicaciones basadas en la nube.
Fuente: Análisis de KPMG con información de KPMG Alemania e investigaciones de Market Media.
12
TENDENCIAS TECNOLÓGICAS ESTRATÉGICAS– SISTEMAS OPERATIVOS URBANOS (SOU)
Se espera que el mercado global de sistemas urbanos inteligentes alcance los 400 mil millones de dólares en el 2020. Los
beneficios de esta tecnología son varios, pero deben compararse con el costo de los posibles ataques.
Definición: Áreas clave:

Sistemas integrados de mejora de servicios urbanos alimentados por Mercado electrónico de movilidad del transporte para viajes optimi-
información generada en una red especializada de sensores. zados, proyecto SMART “Future Mobility”; el camino a la movilidad
urbana futura; estimar el bienestar social de los sistemas de informa-
ción de tráfico.
UOS platform: Redes para la coordinación del movimiento y control por visión de
Proporcionan una de las plataformas para el IoT. Crean ciudades vi- vehículos aéreos y terrestres no tripulados; diseño resiliente de sis-
vas y comunicación de aprendizaje automático (M2M - basado en temas de infraestructura en redes: modelos, validación y síntesis.
machine learning). Uso de sensores y minería de datos, por ejemplo, minería de big data
para vincular la política de vivienda asequible con la mitigación de la
Benefit of UOS: congestión del tráfico (Beijing, China).
• Acceso al buzón en todas partes de la ciudad, Sistemas urbanos y regionales, por ejemplo, un algoritmo de optimi-
• Una transformación completa de la venta al por menor y el ocio, zación basado en simulación para problemas dinámicos de transpor-
• Un turismo mejorado, te urbano a gran escala.
• Soluciones para el transporte,
• Salud y seguridad pública,
• Facilitar la industrialización de internet, Retos:
Comunicación, seguridad, disponibilidad, resiliencia, eficiencia ener-
Limits: gética, ancho de banda de red, enfoque en los ciudadanos, big data y
Alto costo, poca capacidad de servidores y falta de cobertura. estándares internacionales.
Principales empresas que ofrecen sistemas operativos urbanos: Inversión:
Para el año 2020, se espera que el mercado global de sistemas inteli-

gentes urbanos alcance los 400 mil millones de dólares.
Se espera que la conectividad, el nuevo plan de movilidad urbana y la estrategia de seguridad sean las principales tendencias.
Fuente: Análisis de KPMG con información de la Universidad de Sheffield, MIT unidad Civil y Medioambiental, y el IEEE.
13
DELITOS
CIBERNÉTICOS
14
TENDENCIAS Y AMENAZAS GLOBALES
RIESGOS CIBERNÉTICOS MUNDIALES
Mientras mayor sea el nivel de digitalización de una compañía, mayores serán las vulnerabilidades de sus sistemas.
Los delitos cibernéticos representan un costo de 575 miles de millones de dólares al año, el equivalente al 0.5% del PIB mundial.
NORUEGA
.64%
IRLANDA
.20% 1.6% ALEMANIA
.17% CANADÁ REINO
UNIDO
.16%
.64% ARABIA
.11% SAUDITA
EEUU .17%
MÉXICO FRANCIA .04% MALASIA

.17% ITALIA .18%
.11%
COLOMBIA .14% EMIRATOS Á

NIGERIA .08%
RABES UNIDOS
BRASIL .01% .41% SINGAPUR
.32%
KENIA
.14% .19%
ZAMBIA
SOUTH AFRICA
Los ataques cibernéticos se clasifican dentro de los 10 principales riesgos mundiales en términos de probabilidad de ocurrencia, junto con even-
tos climáticos extremos, migración involuntaria a gran escala, desastres naturales y ataques terroristas. En términos de impacto, los ataques
cibernéticos se ubican por encima del promedio de los riesgos evaluados, que incluyen armas de destrucción masiva, eventos climáticos extremos
y crisis de agua.
El aumento de la “ciberdependencia”, debido a la creciente interconexión digital de las personas a diversas redes de infraestructura, está aumen-
tando el alcance de las fallas sistémicas.
Fuente: Análisis de KPMG con información de CYBERCRIME LOSS AS A PERCENT OF GDP (McAfee 2014) y The Global Risk Report (WEF2017).
15
DIAGNÓSTICO DE LA SEGURIDAD CIBERNÉTICA MUNDIAL
EVOLUCIÓN DE LOS CIBER ATAQUES
Desde 2005 hasta 2017, se han robado 5.3 mil millones de identidades y datos personales. La información financiera
personal representó casi el 40% de estos robos.
2006: El departa- 2010: Centro de 2012: Zappos, 2014: Yahoo, UPS,

mento de asuntos 2008: Utah Hos- salud y hospital JP bancos iraníes, Go- 2016: MySpace,
2002: Según Target, Sony, New
veterinarios de EE. pitales y Clínicas, Morgan de la ciudad bierno de Carolina Banner Health, An-
información de Sha- York Taxis, Japan
UU., T-Mobile, AOL, Universidad de Mia- de Nueva York, del Sur, 7-Eleven, them, Dailymotion,
dowCrew, diversas Airlines, Home
robaron información mi, Ministerio de Administración de Linkedin, gobierno Telegram, detalles
compañías pudieron Depot, Ebay, Gmail,
criminal de ciudada- Defensa del Reino créditos educativos, griego, Drop-box, bancarios, usuarios,
extraer 45 millones información per-
nos alemanes de alto Unido, robaron da- Feria de apuestas, información per- contraseñas, infor-
de datos de tarjetas sonal de pacientes,
perfil y se perdió un tos de la seguridad robaron datos de sonal de Apple de mación personal.
de crédito y débito. datos de tarjetas
servidor con infor- social, médicos, tarjetas de crédito y pacientes, datos de de crédito, rutas de
mación sensible. y financieros. registros personales. tarjetas de crédito. GPS.
Datos e identidades robadas (millones) 2005-2017

1,500 1,252.3
1,000 913.0
704.5 601.0
429.0 506.3
500 256.8 229.0
70.3 156.3 130.0 16.1
44.2
0
2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016 2017
2007: TK /TJ Maxx, 2011: Washington 2013: Yahoo Japan, 2015: Voter Data-
2005: AOL, Citi- 2009: Virginia Dept.
UK Revenue, TD post, Tricare, Sutter Vodafone, Tumblr, base, US Office of
group, soluciones Of Health, US
Ameritrade, cadena Medical Foundation, Snapchat, NMBS, Personnel Manage- 2017: Deloitte hack
de 3 tarjetas de Military,
de supermercados Sony PSN, robo de Living social, Kissin- ment, Mspy, British al menos 350
crédito vendidas a Rock you, Heart-
Hannaford Bro- cuentas de usuario, ger cables, Everno- Airways, datos de cuentas clave
spammers y fraudes land registros de
thers, robo de datos correo electrónico, te, Adobe, datos votantes, datos comprometidas.
realizados con tarje- pacientes, pago de
sobre personas datos del paciente, personales, registros personales (color de
tas de crédito. incentivos, cuentas
y sus tarjetas de datos personales, diplomáticos. ojos, amigos, etc.)
de usuario.
crédito y débito. datos de la tarjeta
de crédito.
Fuente: Análisis de KPMG con información de Symantec v 22 y TheftCentreandDataBreaches.net.
16
ATAQUES CIBERNÉTICOS MUNDIALES (1/3) – TECNOLOGÍAS AFECTADAS
Además de los perjuicios causados a instituciones y personas, la tecnología afectada también determina el verdadero alcance
del daño de un ataque. Proteger una empresa no es suficiente si los dispositivos del usuario siguen siendo vulnerables.
Patrón Acción Activos
En términos de patrones de clasificación de in- El hacking y el malware han crecido en los últi- User devices were clearly the main target in ter-
cidentes, los ataques a aplicaciones web, ciber mos 10 años con un claro patrón exponencial. ms of security incidents.
espionaje y el uso indebido de privilegios repre-
sentan más del 50%.
Hacking
De las infracciones presentadas, el
Incidentes de seguridad por tipo de activo 62% Incidentes de seguridad por tipo de activo
81% fue hacking por contraseñas
Porcentaje robadas o débiles
2.4%
0.3% Mal uso de privilegios Dispositivos 6,769
14% Infracciones que implicaron el uso
de usuario
3.8% indebido de privilegios
4.6%
Malware Servidores 3,426
8.0% Más de la mitad de las infracciones
29.5% 51% incluyeron malware. Los ransomwa-
10.7% re representaron la mitad de los in-
cidentes de malware. Medios 1,637
11.5% 14.9% Social

43%
Ataques sociales Personas 1,181
14.3%
Errores
14% Los errores fueron causales del 14%
Ataques a aplic. web Otros de las fugas de información Terminales 121
Ciber espionaje Clonación de tarj. de pago Daño material
Mal uso de privilegios Robos y pérdidas físicas 8% En el 8% de las infracciones existie-
ron acciones físicas Redes 20
Errores varios Crimeware
Punto de venta Negación de servicio (DoS)
Fuente: Análisis de KPMG con información de 2017 Data Breach Investigations Report Verizon
17
ATAQUES CIBERNÉTICOS MUNDIALES (2/3) – PRINCIPALES ACTORES
No se trata sólo de filtrar amenazas, sino también de la capacidad de aprendizaje de los atacantes; porque mientras los
interesados tengan conocimiento, motivos y entradas, los ciberataques seguirán siendo un riesgo para los países, las
empresas y las personas.
Stakeholders Detrás de las brechas de seguridad
Los ciberataques mostrarán diferentes patrones y resultados dependiendo Externos

de las partes interesadas detrás de ellos. 75% El 75% de las infracciones fueron perpetradas
por personas externas.
Hay varios grupos que atacan por razones específicas.
Grupos criminales organizados
51% El 51% de las infracciones involucraron a
grupos criminales organizados.
Grupos
Actores interesados internos
25% El 25% de las brechas involucraron a actores
Estados y naciones: internos
-Guerra cibernética.
-Espionaje cibernético.
Grupos de interés afiliados al estado
Crimen organizado, criminales individuales o “hacktivistas”: 18% El 18% de las infracciones fueron realizadas por
actores afiliados al estado.
-Inadvertidamente o deliberadamente.
Multipartidistas
En estos ataques, muchas veces está involucrado el crimen organizado y algunas 3% 3% de las infracciones presentaban grupos
veces trabaja en conjunto con otros grupos como: multipartidistas.
-actores internos.
-socios. Socios
2% 2% de las violaciones involucraron a socios
-personas externas.
-grupos multipartidistas.
Fuente: Análisis de KPMG con información de 2016 Data Breach Investigations Report, Verizon
18
ATAQUES CIBERNÉTICOS MUNDIALES (3/3) – PRINCIPALES IMPULSORES
Los ciberataques seguirán existiendo mientras el beneficio o los motivos sigan superando a los riesgos. Si bien los motivos
financieros han impulsado los ataques durante muchos años, otras razones han ganado importancia, como el poder que
brinda la información obtenida por el espionaje.
Motivaciones de los atacantes
Otros
Existen diferentes motivos que pueden desencadenar un
ciberataque, por ello, se requiere segmentarlos para reali-
zar un análisis más específico y encontrar los motivos clave. 11.0%
Cada una de las siguientes categorías presenta un motivo

principal y subcategorías o ejemplos para explicar dicho Financieros
motivo.
Espionaje 26.0%
63.0%
Ideológico
Financiero Diversión
Protesta /
Dinero. Curiosidad.
Influencia de la
Soborno. Retos.
justicia.
Robo de Adrenalina.
Generar caos /
identidad.
vulnerabilidades.
Durante los últimos cuatro años, el espionaje ha ganado par-

ticipación de mercado en términos motivacionales para la
ejecución de un ataque cibernético, llegando a superar el 15%
Espionaje Resentimiento
de los incidentes y colocándose detrás de los motivos finan-
Coerción. Inmovilizar la
Otros cieros.
Motivos competencia.
militares Venganza
Aunque hay un crecimiento del espionaje como motivo, la
perspectiva del mercado muestra que los motivos financieros
seguirán siendo el factor más importante de los ciberataques.
19
INDUSTRIAS AFECTADAS
Dependiendo de la naturaleza de una empresa y del sector en el que opera, una compañía está expuesta a su propio conjunto
de riesgos cibernéticos.
Porcentaje de infracciones de datos Industrias más afectadas

por sector
Financiero 24.3%
Salud 15.3% Las instituciones financieras y el sector salud son las indus-
trias más expuestas en términos de riesgos cibernéticos, no
Público 12.4% sólo por la cantidad de infracciones de datos que se han pro-
ducido sino también por la sensibilidad de los mismos y el im-
Alojamiento 10.4% pacto de cada pérdida, que fluctúa entre daños económicos y
daños a la integridad física.
Manufactura 6.4%
Otros servicios 6.3%

Los sectores de energía, servicios públicos, transporte y tele-
comunicaciones se están convirtiendo en industrias clave en
Información 5.8% términos de riesgos cibernéticos debido a la sensibilidad de
los datos y la severidad de los posibles resultados.
Profesional 5.6%
Un ataque o incidente cibernético importante que involucre a
Ventas 4.8% una empresa de energía o servicios públicos podría provocar
una interrupción significativa del servicio, daños físicos o in-
Educación 3.8% cluso la pérdida de vidas, mientras que una guerra cibernética
entre dos países podría interrumpir los servicios de internet
Desconocido 3.5% en todo el mundo.
Administrativo 1.4%
20
EL COSTO REAL DE UN DATO ROBADO
Debido a la sensibilidad de la información, los datos tienen distintos valores según el tipo de industria. En promedio, el
costo por dato robado es de 141 dólares; sin embargo, para la industria de la salud el costo promedio por dato robado es
de 380 dólares, y para el sector público este costo se calcula hasta en 80 dólares.
Costo promedio por dato robado según el sector Reducción de costos de cada dato robado con implementación de medidas
(dólares americanos) de ciberseguridad
(dólares americanos)
Salud 380
141
Financiero 245
Servicios 223 -19
Equipo de respuesta a incidentes

Educativo 200 -16
-13 -74%
-11
Capacitación de empleados
Ciencias de la vida 188
-8
Gestión de continuidad
-7
Encriptación de datos
Tecnología 165
Compartir amenazas
-6
del negocio (BCM)

-6 37
pérdida de datos
-5
-5
Prevención de
de información
Ventas 154
Analíticas de
Clasificación
Participación
de directivos
seguridad
seguridad
seguridad
Oficial de
de datos
Seguros
Jefe de
Comunicaciones 150
Manufactura 149
Energía 137 210

Incremento de costo de cada dato robado
Consumidor 132 (dólares americanos) 11
9
8 +49%
Hospitalario 124 3 6
141 2
Transportes 123
Dispositivos perdidos o robados
Extensiva migración en la nube

Uso de plataformas móviles
Participación de terceros
Medios 119
Provisión de protección
Fallas de cumplimiento
Involucrar consultores
Obligación a notificar
Investigación 101
de identidad
Público 71
Fuente: Análisis de KPMG con información de 2017 Cost of Data Breach Study: Global Analysis Ponemon Institute/ IBM.
21
LA CIBERSEGURIDAD
EN EL MUNDO
22
PA N O R A M A M U N D I A L D E L A C I B E R S E G U R I D A D
TAMAÑO DE MERCADO DE LA CIBERSEGURIDAD
Se estima que el mercado mundial de ciberseguridad crecerá a una TCAC de 18% para alcanzar 203 mil millones de dó-
lares para el 2021. Sin embargo, es poco probable que su crecimiento sea lineal. La falta de incidentes reportados y la
naturaleza cambiante de la industria dificulta las proyecciones.
Miles de millones
de dólares
$172 $203
+18.1%
$146
$124
$105
$89
$75
2015 2016 2017 2018 2019 2020 2021
Se espera que el crecimiento de la industria de seguridad cibernética sea impulsado principalmente por 3 factores: el aumento de la conectividad
de las personas, los cibercrímenes y las tendencias digitales.
Las necesidades de protección contra los delitos cibernéticos impulsarán la industria de ciberseguridad. Se espera que el costo de los daños cau-
sados por delitos cibernéticos se duplique en 6 años y alcance 6 billones (trillion) de dólares.
El rápido desarrollo de los dispositivos IoT y la adopción de la nube plantean muchos cambios que actuarán como impulsores importantes para la
industria de ciberseguridad, por ejemplo, la lucha por mantener la seguridad de las infraestructuras digitales a medida que se vuelven “inteligen-
tes y conectadas”. Conforme aumenta el número de dispositivos conectados a una red corporativa, la seguridad se aleja del perímetro corporati-
vo hacia los dispositivos de uso final, incluidos los dispositivos IoT, lo que aumenta la vulnerabilidad de la red.
El uso de la nube conduce a disminuir el hardware en sitio, cambiando la dinámica de lo que se necesita asegurar en el entorno digital de una
organización.
Fuente: Análisis de KPMG con información de Cyber Security market report q4 2016 y Gartner.
23
EVOLUCIÓN DE LA CIBERSEGURIDAD (1/2)
La revolución digital se ha producido a un ritmo acelerado, lo que ha impulsado un importante crecimiento de la ciberse-
guridad, obligando a proveedores y clientes a evolucionar y reaccionar ante las amenazas.
1940-1970 1980’S 1990’S 2000 2010
GESTIÓN DE RIESGO DÉCADAS DE DESARROLLO ACTITUD DE RESILIENCIA RESILIENCIA, ENFOQUE REACTIVO
Primera recuperación Choques globales de

Negocios en línea. fenómenos terroristas,
de desastres en
Proceso para respuesta a una falla climáticos y políticos.
Aparición de una Servicios tercerizados (por
gestionar un desastre del sistema. industria antivirus. ejemplo, la nube).
natural. Ciberespionaje y
Protección contra virus. ciberdelitos patrocinados
Aumento de la conectividad. por el estado
Hardware: SIEM,
Hardware: cortafuegos. AntiDDoS-DoS
Hardware: cortafuegos Red: red corporativa Capacidad: escasez
Red: IAM (1)
para las empresas privada, contraseña. Datos: capas, cifrado. de profesionales de
más grandes. Datos: en capas seguridad calificados,
Red: contraseña, token. Software: parches, ac- Software: Cifrado, DLP, departamentos de TI
Desarrollo de Software: firma de antivi- y departamentos de
tualizaciones. HIPS, Virtual SIEM, red
cifrado moderno. rus. forense. ciberseguridad.
Estándar: BS 7799, 2 Estándar: ISO/IEC 27001,
Estándar: BS 7799, 1 ISO/IEC 27005 Estándar: ISO/IEC
Capacidad: 27003:2010
Costo de ataques: 455
departamento de TI millones de dólares
en 2002
COMPUTADORAS
PC/SERVIDOR INTERNET E-COMMERCE/CLOUD DIGITAL
CENTRALES
Nota: (1) Gestión de acceso e identidad (identity and access management, por sus siglas en inglés).
Fuente: Análisis de KPMG con información de Cisco, The Wall Street Journal, MITRE, Graham, CSI/FBI 2002 Computer Crime and Security Survey, Juniper Research,
Speakers of BlackHat y Gartner.
24
EVOLUCIÓN DE LA CIBERSEGURIDAD (2/2)
La defensa de ciberseguridad adaptativa está abordando las nuevas amenazas inteligentes. Durante los próximos 10
años, se espera que las tendencias de ciberseguridad se centren en proteger información valiosa y mitigar esas amenazas.
2020-2027
ENFOQUE PRO-ACTIVO, HOLÍSTICO Y BASADO EN EL RIESGO
La era digital necesitará una fuerte seguridad y ética sobre la experiencia del usuario.
Hardware: cortafuegos, trampas de engaño, sistemas de protección contra amenazas, soluciones de orquestación.
Red: red corporativa privada (derecho de usuario), tecnología de reconocimiento, IDaaS (2), cortafuegos de red, puerta de enlace
web segura (SWG) y plataformas de cortafuegos de aplicaciones web (WAF), nSIEM UBA / UEBA.
Datos: Capas, cifrado, visibilidad SSL, IOC, reglas de YARA, SDN, NFV.
Software: tecnologías de aprendizaje automático y de inteligencia artificial, actualización, sistemas de inmunización empresarial,
monitor de integridad de archivos, soluciones proactivas de detección de riesgos y guías estratégicas.
Estándar: ISO IEC 27032, UL 2900-1
Capacidad: suficientes profesionales de seguridad calificados, departamento de ciberseguridad.
Política: política de seguridad cibernética.
DISRUPCIÓN DIGITAL
Note: (2) Identidad como servicio ( Identity-as-a-Service, por sus siglas en inglés).
Fuente: Análisis de KPMG con información de Cisco, The Wall Street Journal, MITRE, Graham, CSI/FBI 2002 Computer Crime and Security Survey, Juniper Research,
Speakers of BlackHat y Gartner
25
RESUMEN DE LA INDUSTRIA GLOBAL
Las tendencias digitales aumentan la vulnerabilidad del sistema, los riesgos cibernéticos y la evolución de la ciberseguridad.
Digital
La transformación digital se está

convirtiendo cada vez más en una
tendencia para las estrategias co-
merciales impulsadas por los requi-
sitos del entorno.
Riesgos cibernéticos
Cuanto mayor es el nivel de digitali-

zación de una empresa, mayor es la
vulnerabilidad de sus sistemas.
Análisis del país
El desarrollo legal, técnico, organi-

zativo, de la capacidad y la coope-
ración son un pilar clave para desa-
rrollar y fortalecer la industria de
seguridad cibernética.
26
PANORAMA
REGULATORIO
27
DIAGNÓSTICO MUNDIAL DE LA CIBERSEGURIDAD
ANÁLISIS GLOBAL
Extender el estado de derecho al ciberespacio es un paso fundamental para crear un entorno confiable para las personas y
las empresas. Sin embargo, muchos países de América Latina se están quedando atrás de los más avanzados como Singapur
y Estados Unidos.
Ley de protección de datos en todo el mundo: Ley de infraestructura crítica
regulación y aplicación 2017
La infraestructura crítica (1) es una de las principales preocupaciones del go-
bierno; los nuevos ataques, como botnets, se están volviendo prevalentes en
2017. Un activo de inhabilidad o destrucción podría tener un efecto en la segu-
ridad, como en los ataques de 2016 en Ucrania e Israel.
Las leyes de datos personales y las obligaciones del sistema / infraestructura no

se encontraban integradas o conciliadas en 2017.
En 2017, el presidente Trump firmó una orden ejecutiva sobre “Fortalecimien-

to de la ciberseguridad de redes federales e infraestructura crítica” y en 2016,
la Comisión Reguladora de Energía Federal (FERC) desarrolló la Protección de
Infraestructura Crítica (CIP), uno de los estándares de ciberseguridad para la
red eléctrica de los Estados Unidos. El Consejo de Normas Energéticas de Amé-
Fuerte Robusto rica del Norte (NAESB) también ha aprobado varios estándares de ciberseguri-
dad para diversos segmentos de la industria de la energía
Limitado Moderado
Reglamentación logística de datos de comercio electrónico Convención de Budapest
Las ventas minoristas de comercio electrónico alcanzaron 1.915 Sirve como una guía para muchos países, 56 países firmaron el trata-
billones (trillion) de dólares en 2016, lo que representa el 8.7% del do en el 2017.
gasto minorista total en todo el mundo. Se espera que alcancen los
4.058 billones (trillion) de dólares en 2020 (14.6% del total de la ven- A través del acuerdo de Budapest (vigente desde el 2004) existe una
directriz internacional para ayudar a los países a cumplir con sus re-
ta minorista en el mismo período).
quisitos contra los ataques cibernéticos.
Las leyes nacionales han sido influenciadas por las Naciones Unidas
mediante el Derecho Mercantil Internacional (CNUDMI), la Ley Mo-
delo de la Comisión sobre la Firma Electrónica (2001) y las Comunica-
ciones Electrónicas en los Contratos Internacionales (ECC) (2007). En
realidad, “la confianza y la seguridad” siguen siendo un desafío.
Nota: (1) Infraestructura crítica: energía, transporte, servicios financieros, salud, servicios financieros y cadena de suministro de alimentos.
Fuente: Análisis de KPMG con información de DLA Piper, eMarketer y G20.
28
ANÁLISIS REGIONAL
Todas las regiones del mundo han tenido un país líder involucrado en un programa avanzado sobre ciberseguridad en
2017, la dificultad para ellos es encontrar un orador representativo y coordinar una estrategia común.
MEDITERRÁNEO Y
EUROPA ASIA AMÉRICA ÁFRICA
MEDIO ORIENTE
Directiva sobre seguridad de

redes y sistemas de información
REGLAMENTO
CIBERNÉTICO
(Directiva NIS).
Y LEYES
Directiva sobre ataques contra Sin regulación Sin regulación Sin regulación Sin regulación
los sistemas de información global. global. global. global.
2013/40 / UE.
Reglamento general de
protección de datos.
- Convención de Budapest.
COOPERACIÓN
- Convención de Budapest. - Naciones Unidas (Resoluciones

- Naciones Unidas 55/63 y 56/121). - Convención de Budapest. - Convención de Budapest. - Convención de Budapest.
(Resoluciones 55/63 y 56/121). - ENISA. - Naciones Unidas (Resoluciones - Naciones Unidas (Resoluciones - Naciones Unidas (Resoluciones
- La Agencia Europea de -Centro de Colaboración 55/63 y 56/121). 55/63 y 56/121). 55/63 y 56/121).
Seguridad de las Redes y la Cibernética de ASEAN (ACCC) - Red G-8 24/7. - Red G-8 24/7. - Red G-8 24/7.
Información (Reglamento -Grupo de trabajo de telecomunica-
460/2004) (ENISA). ciones e información de APEC.
- Red Interpol / G-8 24/7. OTAN (Centro de excelencia de

- Red Interpol / G-8 24/7.
CIBER DELINCUENCIA
- OTAN (Centro de excelencia de defensa cibernética).

- Lineamientos OCDE (ICCP:
RESPUESTA A LA
defensa cibernética). - Grupo de trabajo de APEC para

Política de computadoras y - Lineamientos OCDE
- Centro de ciber crímenes telecomunicaciones e informa- - Red Interpol / G-8 24/7.
comunicaciones, WPISP: Equipo (ICCP y WPISP).
europeos de Europol (EC3). ción (TELWG). - Equipos de respuesta a
de trabajo para la seguridad y - Red Interpol / G-8 24/7.
- Equipo permanente de - Lineamientos OCDE (ICCP y incidentes de seguridad
privacidad de la información). - Equipos de respuesta a
respuesta a emergencias WPISP). computacional para Sudáfrica
-Equipos de respuesta a inciden- incidentes de seguridad com-
informáticas de instituciones - Red Interpol / G-8 24/7. y Túnez.
tes de seguridad computacional putacional para Omán e Israel.
europeas (CERT-EU). -Equipos de respuesta a inciden-
-Agencia de defensa para Japón y Singapur.
tes de seguridad computacional
europea (EDA). Observatorio de la ciberseguridad
para Estados Unidos y Canadá
Fuente: Análisis de KPMG con información de la Comisión Europea, “Observatorio de la ciberseguridad en América Latina y en el Caribe”, BID, 2017, ITU GCI and bases de datos gubernamentales.
29
MEJORES PRÁCTICAS
30
SELECCIÓN DE PAÍSES
Con base en el Índice Global de Ciberseguridad, seleccionamos 4 países cuya situación general de madurez en términos
de ciberseguridad representa un ejemplo para la comprensión de hitos clave y el desarrollo a fin de fortalecer su mercado.
LEGAL TÉCNICO CREACIÓN DE

ORGANIZATIONAL CAPACIDADES COOPERACIÓN
• Legislación de delitos • Equipos de respuesta a • Estrategia. • Cuerpos de • Cooperación intra-estatal.

cibernéticos. incidentes cibernéticos: estandarización.
• Agencia responsable. • Acuerdos multilaterales.
• Regulación de la - Nacional • Buenas prácticas.
ciberseguridad. - Gubernamental • Métricas de ciberseguridad. • Participación en foros
- Sectorial • Programas de I+D. internacionales.
• Entrenamiento en
ciberseguridad. • Estándares para • Campañas de • Asociaciones
organizaciones. sensibilización pública público-privadas.
• Estándares y certificaciones • Cursos de entrenamiento • Alianzas interinstitucionales.

para profesionales. profesional.
• Protección en línea para • Programas nacionales

menores. de educación y planes de
estudios académicos.
• Mecanismos de incentivos.
• Industria de ciberseguridad
para hogares.
Fuente: Análisis de KPMG con información de ABI e ITU,
31
PAÍSES MÁS COMPROMETIDOS EN CIBERSEGURIDAD
Singapur con un aumento reciente en el ranking, Estados Unidos como líder, Malasia y Omán como un posible modelo de futuro
para los países vecinos, fueron algunos de los mejor calificados en términos del Índice Global de Ciberseguridad 2017.
Singapur Estados Unidos

1er lugar 2º lugar
Puntuación
Puntuación 1
1 0.9
0.9 0.8 Legal
Cooperación
0.8 0.7
Cooperación Legal
0.7 0.6
0.6 0.5
0.5
Creación de
Creación de Técnico
capacidades
Técnico
capacidades
Organizacional
Organizacional
Malasia
Omán
5° lugar
3er lugar
Puntuación Puntuación
1 1
0.9 0.9
Cooperación 0.8 Legal Cooperación 0.8 Legal
0.7 0.7
0.6 0.6
0.5 0.5
Creación de Creación de
Técnico Técnico
capacidades capacidades
Organizacional Organizacional
Fuente: Análisis de KPMG con información de ABI e ITU.
32
REGULACIÓN DE CIBERSEGURIDAD (SINGAPUR)
Singapur adoptó en 2017 un régimen regulatorio estricto, centrado en acciones de resiliencia. Debido al rápido creci-
miento de la cantidad de dispositivos conectados y la falta de programas adecuados en las universidades, construyeron
su propia academia para temas de ciberseguridad.
Experiencia legal y regulatoria:

• 2005 - Plan maestro de ciberseguridad.
• 2014 - MAS 2014: publica una directiva sobre la contratación de
• 2008 – 2° plan maestro de ciberseguridad.
terceros para la evaluación de vulnerabilidades.
• 2011 – MAS (1) emite directiva de tercerización de TI.
• 2015 – MAS emite una directiva de detección temprana de incidentes.
• 2013 - Plan maestro de ciberseguridad nacional 2018.
• 2016 – Estrategia de ciberseguridad.
• 2013 – Guía: las Directrices de gestión de riesgo tecnológico.
Marco de control: marco detallado de controles, alineado con el estándar ISO 27001/27002
Fortaleza principal: los proveedores de internet de Singapur y los proveedores de servicios de acceso a internet se pueden licenciar según la Ley de Radiodifusión y deben
cumplir con el Código de Prácticas de internet para proteger a los niños en línea. Todos los proveedores de servicios han sido legalmente obligados a ofrecer servicios de
filtrado con subscripciones en internet y a informar a los consumidores cuando se suscriban o renueven.
Agencias para enfrentar el delito cibernético: Agencia de seguridad cibernéti-

ca (2015), Autoridad de seguridad de la tecnología de Singapur Infocomm (SIT- Colaboración industrial: los proveedores de contenido de internet y los
SA), con el informe de incidentes del equipo de respuesta de emergencia infor- proveedores de servicios de acceso a internet están obligados a cumplir
mática de Singapur, detallando la gestión de incidentes, incluida la notificación con el Código de Prácticas de Internet para proteger a los niños en línea.
obligatoria de incidentes al MAS. Serie RAFFLES de ejercicios de resistencia
de mercado cruzado.
La cooperación internacional organizó la Semana Cibernética Internacional de Sin- Entrenamiento | Certificación: Alianza de la academia CSA
gapur y fue sede de la II Conferencia Ministerial de la ASEAN sobre Ciberseguridad. (Cyber Security Agency of Singapore) con FireEye.
Nota(1): Autoridad Monetaria de Singapur (MAS, por sus siglas en inglés).
33
REGULACIÓN DE CIBERSEGURIDAD (ESTADOS UNIDOS)
Liderando la clasificación en términos de entorno legal y desarrollo de capacidades, Estados Unidos establece un punto
de referencia importante para otros países. La intención de coordinar la ciberseguridad entre todos sus estados es una
de las iniciativas clave de este país para la industria de seguridad cibernética.

• 2001 – Ley Patriota.
• 1984 - primera ley efectiva como la Ley de fraude
y abuso informático (CFAA). • 2002 - Ley de mejora de la seguridad cibernética (CSEA).
• 1996 - La Ley de protección de la infraestructura nacional de información (NIIA). • 2003 - Ley de correo no deseado.
• 1998 - Ley de derechos de autor digital del milenio (DMCA). • 2005 - Ley anti-suplantaciones.
• 1999 - Ley de seguridad electrónica del ciberespacio. • 2009 - Informe y política de ciberseguridad publicados.
• 2010 - Ley de seguridad cibernética.
Marco de control: el marco NIST vio un crecimiento en la adopción y comenzó a superar ISO
Fortaleza principal: visión para coordinar la seguridad cibernética entre todos los estados: creación del Centro de Recursos para la Ciberseguridad Estatal, que ofrece mejores prácticas, herramientas y
lineamientos. Creación de alianzas interinstitucionales y acuerdos de intercambio de información de seguridad entre gobiernos. El Acuerdo Multilateral de Información Compartida (MISA, por sus siglas
en inglés) obliga a las agencias gubernamentales de defensa, salud, justicia, comunidad de inteligencia y energía a trabajar en colaboración para evitar el intercambio de información sobre ciberseguridad.
Colaboración industrial: en 2008 se realizó la segunda conferencia anual Cyber

Agencias para enfrentar el delito cibernético: FBI, NIPC 2, NWCCC 3, IFCC 4, delitos
Storm, que involucró a 9 estados, 4 gobiernos extranjeros, 18 agencias federales
informáticos y sección de propiedad intelectual del Departamento de Justicia (DoJ),
y 40 compañías privadas, ICANN 1 firmó un acuerdo con el Departamento de
Unidad de piratería informática y propiedad intelectual del DoJ, y Equipo de prepara-
Comercio de los Estados Unidos en 2009. En 2010 se llevó a cabo la National
ción para emergencias informáticas / Centro de coordinación (CERT / CC).
Cyber Security Aliance, campaña de sensibilización pública. Se animó a los pro-
Informes de incidentes: intercambio de información entre empresas privadas y el go-
veedores de servicios de internet a luchar contra el delito cibernético. En 2015,
bierno federal a través de FS-ISAC (Centro para Analizar y Compartir la Información
el Consejo Federal de Examen de Instituciones Financieras (FFIEC) emitió una
– Servicios Financieros), una legislación de intercambio de información aprobada por
herramienta de evaluación de ciberseguridad.
el Congreso.
Cooperación internacional: Estados Unidos firmó y ratificó el Convenio de Bu- Entrenamiento | Certificación: varias iniciativas privadas, NICCS Educa-
dapest (regulación de la Unión Europea) y participó en G8 / OECD / APEC / tion, Free Government Cybersecurity Training, el programa National Cen-
OAS / U.S. Reuniones de China (resultados por firmar). ters of Academy Excelence (CAE), ICS-CERT.
Nota: (1) ICANN: the internet Corporation for Assigned Names and Numbers, (2) National Infrastructure Protection Center, (3) National White Collar Crime Center, (4) Internet
Fraud Complaint Center
Fuente: Análisis de KPMG con información de ITU and US government.
34
REGULACIÓN DE CIBERSEGURIDAD (MALASIA)
Liderando la clasificación en términos de instituciones técnicas y desarrollo de capacidades, Malasia establece un punto
de referencia importante para otros países. La creación del Organismo de Certificación de Seguridad de la Información,
que administra la certificación de seguridad de la información, es uno de los principales diferenciadores de Malasia.

• 2005 - NISER se estableció como una entidad separada bajo la le-
• 1997 - operación del equipo de respuesta de emergencia informática de Malasia. gislación del Ministerio de Ciencia, Tecnología e Innovación (MOST).
• 1997 - Ley de Firma Digital, Ley de Derechos de Autor (Enmienda), Ley de • 2008 - Ley de Transacciones Electrónicas.
Delitos Informáticos
• 2007 - Ciberseguridad Malasia.
• 1997 - 1998 - Ley de Comunicaciones y Multimedia. • 2009 - Centro de investigación de malware de Malasia.
• 2001 - Centro Nacional de Seguridad de las TIC y Respuesta a • 2010 - Ley de Protección de Datos Personales.
Emergencias (NISER).
Marco de control: La Política Nacional de Seguridad Cibernética (NCSP) está tomando la Infraestructura de Información Nacional Crítica, certificada bajo el Sistema de
Gestión de Seguridad de la Información (ISMS), ISO | IEC 27001
Fortaleza principal: puntaje de 100 en el desarrollo de capacidades debido a una gama de iniciativas en ese pilar. Cibersecurity Malasia, la entidad gubernamental responsa-
ble de la seguridad de la información en el país, ofrece capacitación profesional a través de instituciones de educación superior en Malasia. Malasia también mantiene el sitio
web Cyberguru, dedicado a la capacitación de seguridad profesional.
Agencias para enfrentar el delito cibernético: Cybersecurity Malasia en virtud de

Colaboración industrial: CSM-ACE anual (evento de asociación de la comu-
la legislación del Ministerio de Ciencia, Tecnología e Innovación (MOSTD), Equipo
nidad público-privada), “Directiva de Consejos de Seguridad Nacional No.
de respuesta a emergencias informáticas de Malasia (MyCERT), CyberDEF.
24: Política y mecanismo de gestión para crisis cibernéticas a nivel nacional.
Informes de incidentes: Centro de ayuda de Cyber999.
Entrenamiento / Certificaciones: Esquema MyCC, basado en el Common

Cooperación internacional: colaboraciones regionales entre equipos de respues-
Criteria ISO / EC 15408, Esquema CSM27001, basado en Sysmen de admi-
ta ante emergencias informáticas (CERT) como APCERT y el equipo de respuesta
nistración de seguridad de la información (ISMS) ISOIEC27001.
de emergencia informática de la Organización de Cooperación Islámica OIC-
Malaysia Trustmark, basado en las Pautas WTA, Programa de desarrollo
CERT, equipo de respuesta de emergencia informática de Asia Pacífico (APCERT).
profesional de seguridad cibernética.
Fuente: Análisis de KPMG con información del reporte anual de ciberseguridad de Malasia 2015 y el gobierno de Malasia.
35
REGULACIÓN DE CIBERSEGURIDAD (OMÁN)
Durante los últimos 15 años, Omán desarrolló una estrategia de seguridad de alto nivel, un plan maestro y una hoja de ruta que
le permitió evolucionar de ser un país objetivo de ciberataques a uno preparado para protegerse y responder oportunamente.

• 2002 - Ley de Telecomunicaciones.
• 2008 - La Ley de Transacciones Electrónicas.
• 2011 - La Ley de Delitos Cibernéticos.
Marco de control: La Autoridad de Información Tecnológica de Omán tiene un marco oficial de ciberseguridad basado en la norma ISO 27001.
Fortaleza principal: el establecimiento del marco eGovernance, un conjunto de estándares / mejores prácticas y sistemas de gestión de procesos, mejora la prestación de ser-
vicios gubernamentales en alineación con la misión de e.oman (iniciativa de Omán de gobierno digital). El marco eGovernance detalla las reglas y procedimientos que garanti-
zan ese gobierno. Por otro lado, los proyectos y sistemas de TI son sostenibles y cumplen con las estrategias y objetivos de la Autoridad de Tecnologías de la Información (ITA).
Agencias para enfrentar el delito cibernético:

Colaboración industrial: intercambio de información sobre
seguridad cibernética.
Equipo de preparación para emergencias informáticas de Omán.
Entrenamiento / Certificaciones: Oman National CERT con colaboraciones

Cooperación internacional: ITU, FIRST, APWG, Malware Alliance, estratégicas como ISC, SANS y EC - Council, 350 profesionales del sector pú-
GGG CERT / OIC CERT. blico certificados, 7 agencias del gobierno y del sector público certificadas.
Fuente: Análisis de KPMG con información de ITU del gobierno de Omán.
36
TENDENCIAS DIGITALES
EN MÉXICO
37
T E N D E N C I A S D I G I TA L E S Y S U I M PA C TO E N M É X I C O
PENTRACIÓN DE INTERNET EN MÉXICO
El número de usuarios de internet en México ha crecido a una TCAC de 9.8% en los últimos 5 años, debido principalmente
a la generación millennial. El incremento en la conectividad ha estimulado el crecimiento de la economía digital mexicana.
Usuarios de internet en México Usuarios de internet en México por grupo de edad

Porcentaje de la población total Porcentaje
6 a 11 años 53%
+9.8% 60%
12 a 17 años 85%
46% 46% 47%
41% 18 a 24 años 83%
25 a 34 yaños 71%
34 a 44 años 56%
45 a 54 años 42%
55 + años 18%
2012 2013 2014 2015 2016
La penetración de internet se desarrolló de un 5% de la población en 2000 a casi un 60% en 2016. En los últimos cinco años, los usuarios de in-
ternet en México han crecido a una TCAC de dos dígitos.
Hoy, el 75% de los celulares son teléfonos inteligentes, debido a sus bajo costo y el incremento en la funcionalidad y conectividad. Conforme in-
crementa la conectividad, también aumenta la vulnerabilidad a un ataque, dado que cada teléfono inteligente se convierte en objetivo potencial
de un ciber ataque.
En general, las personas entre 18 y 24 años usan el internet con mayor frecuencia, aunque también existe una penetración muy importante entre
las generaciones entre los 12 y 34 años. En promedio, los usuarios mexicanos de internet pasan 7 horas diarias conectados. Este número repre-
senta un aumento de una hora respecto al año anterior.
En 2014, se desarrolló un programa promovido por el Gobierno Federal: “Mexico Conectado”, con el objetivo de incrementar el acceso libre de
los usuarios a conexiones de banda ancha. Este programa busca reducir las brechas digitales en el país mediante el desarrollo de mas de 100,000
espacios públicos con internet.
Fuente: Análisis de KPMG con información del INEGI, CISCO, FMI y OCDE.
38
T E N D E N C I A S D I G I TA L E S Y S U I M PA C TO E N M É X I C O
PENETRACIÓN CELULAR EN MÉXICO
La adopción de teléfonos inteligentes ha aumentado conforme a la evolución tecnológica. Mientras que en el 2015 el to-
tal de conexiones a internet por teléfonos inteligentes fue del 50%, se espera que este numero exceda el 70% para 2020.
Penetración celular en México

Porcentaje de la población
Penetración celular
100 100 (% de conexiones
16.0% No suscrito
90 90
31.0% Suscriptores 3G + 4G
80 40.0% 80
Suscriptores 2G
70 70
67.0% Sólo suscriptores a servicios de voz
60 60
88.0% 7.0%
50 36.0% 63.0% 50
12.0%
40 40
30 30
11.0%
20 41.0% 20
33.0% 8.0%
10 22.0% 10
12.0% 13.0%
0 0
2000 2005 2010 2015 2020
En los últimos años, los usuarios mexicanos se han convertido en clientes leales de los teléfonos inteligentes, creciendo a un ritmo de 3 dígitos de
TCAC, ya que presenciaron la evolución tecnológica en estos dispositivos. La expectativa de crecimiento en cuanto al uso de estos dispositivos
es de 7% anual hasta el 2020.
El tipo de uso que dan los clientes a esta tecnología ha tenido diferentes etapas, evolucionando en los últimos años. No sólo se espera que los
usuarios que no cuentan con algún tipo de suscripción sea menor al16% del total de la población, también se prevé que los usuarios suscritos a
3G + 4G (o superior) sean la base más nutrida, esperando alcanzar mas del 60% de la audiencia móvil para el 2020.
Fuente: Análisis de KPMG con información de GSMA Intelligence y la OCDE.
39
T E N D E N C I A S D I G I TA L E S Y D I S R U P C I Ó N E N M É X I C O
PANORAMA DE IOT EN MÉXICO
Las tecnologías de IoT han ganado importancia no sólo a nivel de países sino en regiones enteras. Se prevé que el tamaño
de mercado de IoT en México exceda los 4 mil millones de dólares en 2017.
Tamaño de mercado IoT Tamaño del mercado IoT

Porcentaje Miles de millones de dólares
+26.0%
4.16
+73.7%
28.6% 3.30
Estados Unidos
43.3% Latinoamérica
México
1.90
China
0.4%
Otros países 1.2%
26.5%
2015 2016 2017
Ciberataques en México
El tamaño de mercado de IoT en Latinoamérica representa casi el 2% de la industria a nivel internacional. El mercado mexicano de IoT representa
más de una cuarta parte de la cuota latinoamericana.
Se espera que el mercado de IoT en México crezca a una tasa de 26% de TCAC del 2016 al 2017, alcanzando 4.16 mil millones de dólares para el
final del año. Este crecimiento se dará por el incremento del interés en tecnologías de IoT para las industrias.
La inversión en tecnología IoT será impulsada principalmente por las industrias más vulnerables a ciberataques, incluidas las aplicaciones de
transporte, fabricación y energía.
Fuente: Análisis de KPMG con información de IDC
40
CRIMEN CIBERNÉTICO
EN MÉXICO
41
CIBERCRIMEN EN MÉXICO
VULNERABILIDADES DE MÉXICO
El 58% de los CEOs mexicanos no se sienten seguros sobre su preparación para la seguridad cibernética. Los incidentes
de ciberseguridad que impactan en la economía mexicana superaron los 3 mil millones de dólares en 2016.
México es el segundo país en Latinoamérica con más ciberataques por año.
Se prevé que los ataques cibernéticos a México incrementarán por la combinación de su situación económica y crecimiento de IED y PIB. Por otro
lado, su posición estratégica y sus vínculos con América del Norte, convierten a México en un objetivo atractivo para los grupos de espionaje.
Las elecciones presidenciales de México en el 2018 pueden servir como un blanco de ciber ataques contra sitios web de partidos políticos .
Los millennials son considerados como un grupo de alto riesgo en cuanto a datos confidenciales en el trabajo ya que ellos representan el 39% del
total de la población y no usan seguridad adicional para bloquear sus dispositivos móviles (83%), mientras que la mayoría guarda una gran canti-
dad de información personal en sus teléfonos inteligentes u otros dispositivos conectados.
Riesgo de fugas y ataques en información confidencial o sensible en lugares de trabajo

2017
55% 18 a 34 (millennials) 39%
25% 35 a 50 (gen X) 26%
20% 51 a 69 (baby boomers) 10%
Mayor riesgo por grupo de edad Porcentaje de la población
Fuente: Análisis KPMG con información de CANIETI , PONEMON, INEGI, LexisNexis Millennials y Karspersky.
42
CIBERCRIMEN EN MÉXICO
PANORAMA DEL CIBERCRIMEN EN MÉXICO
Hoy en día, informar un incidente no sólo no está relacionado con soluciones reales, sino que también puede implicar una
demostración de debilidad pública.
Total de incidentes máximos por día (1)

Cibercrímenes más comunes en el 2016
Septiembre 2017
33.0%
Correo no deseado 1,401,135
26.0%
Ataques a la red 730,735
20.0% Monitoreo bajo
demanda 454,477
Infección local 276,564
Amenaza web 43,525
Correo infectado 12,603
Vulnerabilidades -5,307
Robo de Robo de Correo electrónico Botnets 21

dispositivo móvil contraseñas hackeado
Ciberataques en México
Impulsado por el hecho que la regulación actual y las instituciones tienen áreas de oportunidad para generar planes de reacción, hoy en día re-
portar un incidente no está relacionado con soluciones reales, también implica demostrar debilidad, por lo tanto se estima que el numero real de
ataques sea mayor que el que las cifran han mostrado.
En 2016, 39.1% de los usuarios de computadora fueron afectados por malware, los 10 países más seguros tienen un promedio de 16%.
Los ciberataques en México no sólo se han vuelto más frecuentes, también se han vuelto más costosos.
Fuente: Análisis de KPMG con información de CANIETI, PONEMON, INEGI, Norton, LexisNexis Milenials y Karpersky, (1) Información obtenida para clientes base de Kasrpersky.
43
CRIMEN EN MÉXICO
CIBERCRIMEN FINANCIERO EN MÉXICO
Los fraudes financieros en línea están en constante incremento en México con una TCAC de 70.3% en los últimos cinco
años, esto representa alrededor de 65 millones de dólares de costo financiero.
Total de ciberataques Reclamaciones totales por fraudes ciber financieros Fraudes ciber financieros
Porcentaje por industria, 2017 Porcentaje por industria , 2017 Miles
3,341
21.0% +22.4%
2,672
24.0% 1,678
5.0% 39.0% 56.6%
5.0% 837
8.6% 1,684
15.0% 0.2% 1,490
15.0% 10.5% 1,349 304
188
233
1,835 1,763
Financiera Seguros Minoristas por internet Operaciones por internet 1,303 1,379 Cibernéticos
1,116
Telecomunicaciones SIC Operaciones personales Pagos por teléfono celular Tradicionales
Minoristas Otros Banca celular
2013 2014 2015 2016 2017
En 2017, el 100% de los millennials se han visto preocupados por el robo de identidad, otro 91% por robo de información de tarjetas de crédito y
otro 91% tiene una fe muy limitada en las instituciones financieras para proteger sus datos.
De $ 64.94 millones de dólares reclamados por fraudes en línea, las operaciones minoristas en línea representaron el 50%. Hubo un gran aumento
de casos de fraude cibernético en 2017, con una TCAC de 70.3% en los últimos 5 años.
Las instituciones financieras mexicanas recibieron entre un 60% y un 70% de amenazas de extorsión y se estima que el 15% las pagó. En México,
los bancos perdieron 150 millones de pesos debido a los ataques en el período 2015 - 2017.
Fuente: Análisis de KPMG con información de CANIETI, CONDUSEF, PONEMON, INEGI, LexisNexis, Arbor Networks y la Comisión Nacional Bancaria y de Valores (CNBV).
44
CIBERSEGURIDAD
EN MÉXICO
45
CIBERSEGURIDAD EN MÉXICO
MARCO REGULATORIO GENERAL LEGAL
En 2017, no había un incentivo especifico para mejorar las medidas de ciberseguridad en las compañías, pero cuando
éstas cumplen un esquema de autorregulación, las autoridades pueden ser más comprensivas al momento de imponer
sanciones por brechas de seguridad.
Autoridades Código Penal Federal

Contiene un capítulo específico relacionado con las amenazas cibernéticas que sanciona penalmente a aquellas per-
Creación del Centro Especializado en Respuesta sonas que usan, reproducen, distribuyen, almacenan, venden o arriendan, entre otras conductas, material protegido
Tecnológica de México CERT-MX bajo la supervi- por derechos de autor, de forma maliciosa, buscando ganancias financieras y sin la correspondiente autorización.
sión de las fuerzas armadas mexicanas, respon-
sables de proteger la infraestructura crítica,ges- El Código Penal Federal regula como delito de sabotaje el daño, la destrucción o el daño a las carreteras, los servicios
tionando la repuesta ante ataques cibernéticos, públicos o los servicios estatales; industrias básicas, acerera y eléctrica; centros de producción o distribución de ar-
investigar crímenes electrónicos, analizar la mas, municiones o equipos militares, con el objetivo de alterar la economía o afectar la capacidad de defensa nacional.
evidencia y responder a amenazas digitales que
podrían afectar la integridad de las redes.
Comité de Seguridad Especializado en Información

Ley de instituciones crediticias
Sanciona diversas acciones que afecten cualquier instrumento financiero (por ejemplo, tarjetas de débito o crédi-
El Instituto Federal de Acceso a la Información
to) o la información contenida en ellas. Esto podría terminar en 3 a 9 años de prisión y una multa monetaria.
y Protección de Datos (IFAI) y la Secretaría de
Economía.
División Científica de la policía Federal para

operar los laboratorios forenses y de criminología Ley Federal de Protección de Datos Personales en Posesión de Particulares
en coordinación con la agencia de inteligencia Es regulado por el Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particula-
nacional aunado a monitorear e investigar el ciber- res. Cada grupo, individuo u organización que procesa información confidencial tiene la obligación de nombrar un
crimen,en particular detectar robo de identidad, oficial de protección de datos.
pornografía infantil, ciber fraudes y suplantación
de identidad. La regulación se aplica cuando el controlador de datos se encuentra en territorio mexicano o en manos de un con-
trolador de datos mexicano, esto como consecuencia de la adhesión de México a tratados internacionales y usa
Coordinación para la Prevención de Delitos Elec- medios localizados en México para procesar los datos personales (a menos que dichos medios se usen sólo para
trónicos, para monitorear y proteger la infraes- fines de tránsito). Ésta aplica a personas físicas o morales que procesan datos personales, y no al gobierno.
tructura critica.
Las violaciones a la ley podrían resultar en penas monetarias o encarcelamiento de 3 meses a 5 años.
El Instituto Nacional de Transparencia, Acceso a
la Información y Protección de Datos Personales
(INAI), que está a cargo de resolver cualquier con-
troversia derivada del uso de datos personales. Ley de Telecomunicaciones
Los titulares de licencias de telecomunicaciones deberían poder gestionar las solicitudes de información, localiza-
ción geográfica y vigilancia de la comunicación privada.
Fuente: KPMG con análisis con información de dlapiper-dataprotection, consejo Europeo y reportes de expertos
46
EL MERCADO MEXICANO DE CIBERSEGURIDAD TECHNICAL
Durante los últimos 5 años, el mercado de seguridad cibernética se ha fragmentado más con la participación de nuevos
competidores. Actualmente, ni una sola empresa mexicana se encuentra entre los líderes en el mercado donde las princi-
pales soluciones son llevadas a cabo por multinacionales.
Compañías de Hardware y Software Consultoría de riesgos

• Cisci Talos • KPMG Cárdenas Dosal,S.C.
Servicios Tecnológicos
• Intel Security (McAfee) • PrincewaterhouseCoopers
• IBM
• BlackBerry • Deloitte
• Dell (SecureWorks)
• Nokia • Accenture
• Microsoft
• ZeroFOX • Atos Origin
• Symantec
• Arbor Networks
• Trendmicro
• Guideance Software
• Tata Consultancy Services
• TrapX Administración de Seguridad
• Trustware
• Darktrace • Scitum
• Nuix • FireEye
• Kio Networks
• MetricStream • WhiteHat security
• Bestel
• T-systems
• Verizon • Axtel
• Accessdata
Hardware Software Servicios Principales Soluciones 11

Product commodity Lideres en innovación SCADA/ICS seguridad
Nota: (1) Hardware puede incluir: centro de datos, enrutadores, servidores; software relacionado con email, malware, protección de intrusos, VPN y servicios de administración
Fuente: KPMG análisis con información de Gartner y expertos en ciberseguridad.
47
PRINCIPALES EMPRESAS DE CIBERSEGURIDAD EN MÉXICO
TECHNICAL
IBM ha invertido en dos centros de datos en México y Microsoft seguirá los mismos pasos. Los servicios, digitales y en
general, son los nuevos productos (nube, SaaS, etc.) en los que se enfocan estas compañías.
Cisco Talos Intel Security
HQ: Ciudad de México y Reynosa ( fábricas). HQ: Ciudad de México y Jalisco (fábricas).
Ventas netas en México (dólares): 7,459.07m (2015). Ventas netas en México(dólares): 24.99m (2017).
Aumento en los ingresos en 2016: 3%. Aumento en los ingresos en 2016: N/D.
No. de empleados: 130. No. De empleados: 350.
- Visión: 4 mil millones es el valor de la expansión en México entre el 2016 Visión: Intel vendió en el 2017 una participación mayoritaria en McAfee
y el 2018. Ésta debería de crear 270 empleos directos y 77 indirectos. para permitir a la compañía poder usar más tiempo en áreas centrales
mientras retiene una participación en el mundo de la ciberseguridad.
Microsoft IBM
HQ: Ciudad de México y un centro de innovación en Nuevo León . HQ: Ciudad de México, Monterrey y campus Guadalupe.
Ventas Netas (dólares): 211.56m (2013). Ventas netas en México (dólares): 549.9m (2013).
Aumento de los ingresos en 2016: N/D. Aumento en los ingresos en 2016: -14.5%.
No. De empleados: 505. No. de empleados: 4,500.
- Visión: En 2017, adquirieron Hexadite, un proveedor de tecnología Visión : En 2017, IBM cambiará sus productos centrales hacia productos
de respuestas automáticas contra ciberataques y la compañía creó un de la nube, ciberseguridad y análisis de datos para mitigar el descenso en
nueva instalación para combatir el cibercrimen en América Latina con un ventas en hardware y software.
nuevo centro de ciberseguridad en México.
Aún si el mercado está ocupado por jugadores como Cisco and Symantec, nuevas compañías como Palo Alto Networks, Fortinet, Proofpoint y FireEye continua-
rán creciendo en el sub-segmento de SaaS.
Hay 4 compañías de seguros cibernéticos en México: Zurich / XL, Chubb, AIG y GNP. Ellas cubren principalmente el daño directo: pérdida de ingresos, reem-
plazo de activos digitales y chantaje. También tienen daños en la tercera parte que cubren: datos robados, responsabilidad civil en el contenido web, gastos por
incumplimiento de seguridad y legal.
Fuente: Análisis de KPMG con información de Nexis, Factiva y su reporte anual.
48
ESTRATEGIA GUBERNAMENTAL (1/2) O R G A N I Z AT I O N A L
El crecimiento y la complejidad de los ataques cibernéticos en los últimos años han obligado a los gobiernos y organiza-
ciones a ser más proactivos en materia de ciberseguridad y comprometerse con éste como un elemento clave dentro de
sus procesos de seguridad para la transformación digital.
Programa para la Seguridad Nacional 2014 - 2018
- El presidente Enrique Peña Nieto inició en el 2013 el Plan Nacional de Desarrollo 2013-2018.
Se creó el Comité Especializado de Seguridad de la Información con el propósito de redactar la Estrategia Nacional de Seguridad de la Información.
El programa se centra en proteger y promover los intereses nacionales. Las principales promesas son :
Promover acciones para prevenir y combatir los ciberataques.
Fortalecimiento de mecanismos para prevenir incidentes en los sitios ejecutivos federales.
Mantener el cumplimiento y el desarrollo de procedimientos para evaluar y fortalecer el desempeño de los equipos de respuesta ante incidentes.
Mejora de las habilidades de capital humano y la infraestructura tecnológica para hacer frente a los incidentes de seguridad cibernética.
Establecer una cooperación internacional en materia de ciberseguridad y ciberdefensa, en particular con los países de América del Norte, para prevenir y abordar los ataques a
los sistemas informáticos del país..
Ley Fintech
- El sector de Fintech no estaba preparado para recibir ataques, era necesaria una nueva regulación. La mayoría de Fintech gestiona la privacidad de los
datos de sus clientes, como nombres, direcciones, teléfonos móviles, firmas y cuentas que los convierten en un objetivo perfecto.
La nueva Ley Fintech tiene como objetivo regular las plataformas de pago habilitadas por crowdfunding y otras tecnologías financieras. Ayudará a los
bancos y crowdfunders a reducir sus costos operativos, las startups tendrán el mandato de reportar sobre la información crediticia de sus clientes. El
objetivo será brindar al banco y a los clientes más transparencia, formalidad e información para poner fin al fraude bancario y el lavado de dinero.
Fuente: Análisis de KPMG con información de OAS, Wilson Center, el gobierno Mexicano y BBVA.
49
ESTRATEGIA GUBERNAMENTAL (2/2) ORGANIZACIONAL
La Estrategia Nacional de Ciberseguridad es el primer documento desarrollado para crear un marco legal en respuesta a
la evolución de la tecnología y la dinámica social a corto, mediano y largo plazo.
Estrategia Nacional de Ciberseguridad (ENCS) para 2030
ENCS, publicada en noviembre de 2017, es una estrategia cruzada que se articula en el Plan de Desarrollo 2013-2018, Programa de Gobierno Cercano y Moderno
(Programa Gobierno Cercano y Moderno 2013-2018), Programa Nacional de Seguridad Pública (Programa Nacional de Seguridad Pública 2014-2018) ) y Programa de
Seguridad Nacional (Programa para la Seguridad Nacional 2014-2018).
El propósito es fortalecer la cooperación internacional, la economía, la sociedad, el gobierno y la seguridad nacional. El documento está dirigido a la sociedad civil, uni-
versidades, sector privado y las instituciones públicas.
El gobierno Mexicano tendrá el comité Inter-Americano contra el terrorismo (CICTE) de la OEA.
Se formularon varias recomendaciones para la estrategia: establecer los objetivos de alto nivel, apoyar al nivel más alto del gobierno, establecer un marco institucional
claro, incluir la aplicación de la legislación federal y estatal sobre ciberdelincuencia y promover la educación sobre ciberseguridad.
La estrategia de ENCS para alcanzar sus objetivos considera 5 metas estratégicas, cuyo desarrollo requiere 8 ejes cruzados basados en 3 principios principales.
Ejes cruzados 3 principios
• Cultura de ciberseguridad. • Expectativas en derechos humanos.

Instituciones
• Capacidad de desarrollo. • Enfoque en gestión de riesgo.
públicas
• Coordinación y colaboración. • Colaboraciones multidisciplinarias y con varios actores.
• Investigación y desarrollo en TIC.
• Criterios y técnicas estandarizadas.
Tareas del regulador del subcomité de ciberseguridad:
• Marco legal y autorregulación.
• Monitoreo y mediciones. Economía e
• Aprobar y publicar las estrategias. Seguridad nacional
• Dar seguimiento y coordinar su implementación. innovación
• Impulsar el marco de cooperación inter-institucional.
5
• Promover la cooperación entre la sociedad civil, el Metas
sector privado, la comunidad técnica y las universidades.
estratégicas
Derechos de Seguridad
la sociedad publica
Fuente: Análisis de KPMG con información de la OEA y del gobierno mexicano.
50
INFRAESTRUCTURA DE CIBERSEGURIDAD EN MÉXICO (1/3)
ORGANIZACIONAL
AT & T hizo un movimiento importante hacia México en 2015, al comprar Iusacell y Nextel. Están construyendo una red
LTE-M en México, la cual reforzará la infraestructura y aumentará las opciones de conectividad.
Panorama de las telecomunicaciones móviles del 2015 al 2021 Tasa de crecimiento anual de la conexión de banda ancha fija no resi-
Miles de suscriptores dencial por tecnologías en 2015
Porcentaje de crecimiento
Forecast
106%
52%
120,000
+9.5%
100,000 -3%
80,000 Modelo (coaxial Fibra óptica DSL (cobre)
60,000
109,895
92,986 99,774 105,062 Adopción de computadoras e internet por empresa en 2014
40,000 83,847
74,730
63,600 10 empleados 11 a 50 empleados 51 a 250 empleados 251 o más empleados
20,000
20% 86% 94% 96%
0
2015 2016 2017f 2018f 2019f 2020f 2021f
16% 81% 92% 94%
Usuarios de redes 3G & 4

Computadoras internet
La geografía de México dificulta la implementación de infraestructura y la inversión en áreas rurales; sin embargo, el crecimiento se mantiene en el país debido a
la inversión en expansión de redes, liderada por AT&T.
Se espera que el mercado móvil termine el 2021 con 109 millones de suscriptores, con un 9.5% de TCAC. El principal motivo es el incremento de suscriptores a
redes y servicios 3G & 4G.
En 2014, en México hubo una relación directa entre la adopción de las TIC y el tamaño de las unidades económicas (número de empleados); pero la falta de
políticas en las pequeñas empresas podría conducir a incidentes de seguridad.
Fuente : Análisis de KPMG con información del INEGI, IFT, Euromonitor y BMI
51
INFRAESTRUCTURA DE CIBERSEGURIDAD EN MÉXICO(2/3)
ORGANIZACIONAL
Con la perspectiva de una serie de incertidumbres con respecto al mercado estadounidense y sus políticas futuras, Mé-
xico podría ver oportunidades para la creación de un centro regional para ofrecer servicios de terciarización, centros de
datos y computación en la nube.
Total de computadoras fabricadas en México 2009 al 2021 Total de componentes electrónicos fabricados en México 2009 al 2021
Miles de millones de pesos Miles de millones de pesos
Forecast Forecast
+3.0% +3.0%
$26.34 $28.82 $10.48 $11.47

$27.14 $27.97 $10.80 $11.13
$25.56 +9.8% $10.18
$24.07 $24.81 $9.58 $9.87
+10.0% $21.92
$8.09
$7.22 $7.49
$6.83
$6.55
$15.24 $15.29 $5.47
$13.61 $13.65 $13.39
2009 2010 2011 2012 2013 2014 2015 2016 2017 2018 2019 2020 2021 2009 2010 2011 2012 2013 2014 2015 2016 2017 2018 2019 2020 2021
Exportaciones de computadoras Exportaciones de componentes electrónicos

Fabricación de computadoras para consumo nacional o almacenamiento Componentes electrónicos para consumo nacional o almacenamiento
Se espera que la fabricación de computadoras crezca un 3% de TCAC durante el período 2016 – 2021, debido a la popularización de tabletas y portátiles de bajo
costo. Sin embargo, las ventas de servicios deberían aumentar un 6.87% en el mismo período, impulsadas por las aplicaciones en la nube. En general, se espera
una perspectiva positiva de 2017 a 2021, respaldada por el incremento de ingresos en la clase media y un desarrollo del bono demográfico de la población entre
15 a 64 años, con una tasa de crecimiento anual del 1.4% entre 2018 y 2021.
De acuerdo al pronóstico al 2020, el crecimiento de la industria vendrá de la mano de la computación en la nube, siendo el mayor inhibidor el costo de la banda
ancha; sin embargo, una salida de los Estados Unidos del TLCAN sería un duro golpe a la industria electrónica mexicana.
Otros inhibidores del crecimiento continuo incluyen desafíos logísticos (para la distribución de componentes físicos de computadoras, tabletas, teléfonos inteli-
gentes), comercio minorista informal y problemas de economía y seguridad.
Source: KPMG analysis with information from INEGI, Euromonitor and BMI
52
INFRAESTRUCTURA DE CIBERSEGURIDAD EN MÉXICO (3/3)
ORGANIZACIONAL
Impulsado por el sector privado y las iniciativas del sector público como Prosoft 3.0 (1) implementado en 2014, el merca-
do de las TIC alcanzará los 58 mil millones de dólares en 2024.
Ventas totales de software en México del 2015 al 2021 Ventas totales de servicios en México del 2015 al 2021
Miles de millones de pesos Miles de millones de pesos
Pronóstico Pronóstico $158.78

$104.79
+8.3% $143.56
+9.4% $94.75
$129.45
$85.82
$119.69
$78.32 $111.82
$72.49 $104.38
$67.42 $98.34
$61.16
2015 2016 2017f 2018f 2019f 2020f 2021f 2015 2016 2017f 2018f 2019f 2020f 2021f
Las empresas mexicanas experimentarán un fuerte crecimiento en temas como análisis de datos y ciberseguridad. Los fabricantes están buscando compensar
las pérdidas en venta de hardware, aumentando la demanda de software y servicios. De 2015 a 2021, se estima que la TCAC en industrias de software crezca
un 9.4%.
El aumento de la dependencia en la información de los sectores público y privado generará una demanda general de integración y consultoría. Además, la com-
putación en la nube y la IoT acelerarán dicho crecimiento de mercado.
Nota : (1) PROSOFT busca apoyar a las empresas de TI para desarrollar su competitividad a nivel nacional e internacional e impulsar su crecimiento en el largo plazo.
Fuente: Análisis de KPMG con información del Euromonitor y BMI.
53
ENTRENAMIENTO EN CIBERSEGURIDAD EN MÉXICO CREACIÓN DE

C A PA C I D A D E S
Actualmente, se requieren alrededor de 157.934 profesionales capacitados para cubrir puestos de trabajo asociados con
tecnologías de la información, específicamente relacionados con redes y operaciones de ciberseguridad; un número que
debería reducirse ligeramente para 2019, aunque todavía podrían existir cerca de 148,052 vacantes.
Educación y entrenamiento en 2017 Certificaciones de ciberseguridad más importantes en México
Entidad educativa Carrera/ grado Institución Certificación
Instituto Politécnico Nacional Maestría en Ingeniería en ISACA CISA, CISM, CRISC

Seguridad y Tecnologías de la Conocimiento
Información general en seguridad ISC CISSP
Universidad La Salle Maestría en Ciberseguridad CompTIA CompTIA A+,

Security+
Universidad Autónoma Licenciatura en Seguridad en
CompTIA
de Nuevo León Tecnologías de Información
Network+
Maestría en seguridad de Especialista SANS
UNITEC
tecnología de información GIAC,GPEN, GWAPT
SEC-Council:
UNAM Diplomado en Ciberseguridad
CEH, CHFI
Escuela de Inteligencia para la CISCO
Seguridad Nacional del Centro CCSP, CCNP, CCIP,
Varios
de Investigación y Seguridad Producto / Marca CCDP
Nacional (ESISEN)
RSA
Universidad Internacional Maestría en Seguridad Varios
de la Rioja (UNIR) Informática (Online)
Universidad Internacional de Maestría en Seguridad

Valencia Informática (Online)
Instituto Tecnológico y de Estudios Ingeniería en seguridad
Superiores de Occidente informática y redes
Un desglose de los motivos sobre la escasez de trabajadores en este sector permite destacar los siguiente: por un lado, el personal calificado es difícil de encontrar; el
liderazgo no entiende los requisitos adecuados; las condiciones comerciales no pueden soportar personal adicional; los trabajadores de seguridad fueron difíciles de
retener; y, por último, no siempre se proporcionó información clara para una carrera profesional en ciberseguridad.
El principal puesto de trabajo de ciberseguridad requerido en Latinoamérica es el “especialista en gestión de incidentes y amenazas y análisis forense“, en un 63% de los casos.
En América Latina, el costo de capacitación a menudo recae en el empleado, representando el 44% del costo total, mientras que en América del Norte es sólo del 22%.
Fuente: Análisis de KPMG con información de IDC, CISCO, 2017 y Global Information Security Workforce Study (GISWS).
54
CERTIFICACIONES DE CIBERSEGURIDAD EN MÉXICO CREACIÓN DE

C A PA C I D A D E S
En 2016, los factores principales que motivaron a las empresas para buscar una certificación fueron la necesidad de adhe-
rirse al cumplimiento de requisitos contractuales y la mejora de la percepción positiva por parte del cliente. Las empresas en
tecnologías de la información mostraron el mayor interés en obtener dichas certificaciones.
Certificaciones registradas en México del 2006 al 2016 Participación global de la certificación ISO27001 EN 2016
Cantidad Porcentaje
327
4.5%
3.5%
221
2.8%
16.0%
+43.2%
134
104
96
80
75
70 94 73.3%
56
49
31
9 13 98
2 28 8 Tecnologías de la información
2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016 Otros servicios
ISO 27001 Transportes, almacenamiento y comunicación

ISO 20000 Equipo eléctrico y óptico
ISO 22301
Intermediación financiera, bienes raíces, rentas
ISO 27001 (NMX-I-27001-NYCE-2015 Norma equivalente Mexicana) es un estándar internacional, con reconocimiento mundial, que establece los requisitos para el
establecimiento de un sistema de gestión de seguridad de la información. Se aplica a cualquier tipo de organización, sin embargo, su implementación y certificación es
opcional. El costo puede variar de 200,000 a 1 millón de pesos.
ISO 20000 es el primer estándar mundial creado específicamente para la gestión de servicios de TI (ITSM), estableciendo métricas para administrar los servicios compa-
tibles con TIs. NMX-I-20000-1-NYCE-2012 es la norma mexicana equivalente.
ISO 22301 determina amenazas potenciales para una organización, impactos que podrían afectar las operaciones de la empresa y proporciona un marco para desarrollar la
capacidad de reacción de la organización de manera eficiente en caso de eventualidades no deseadas. NMX-I-22301-NYCE-2015 es la norma mexicana equivalente.
Para la certificación principal, la TCAC fue del 43.2%. Otras certificaciones están disponibles para empresas en México, tales como PCI-DSS (estándar de seguridad de
datos para la industria de tarjetas de crédito) y PROY-NMX-I-27032-NYCE-2017 (lineamientos y técnicas para la ciberseguridad). Adicional a estas normas, la legisla-
ción de la Ley Sarbanes-Oxley (también conocida como la Ley de Protección de Inversión y Reforma de Contabilidad de Empresas Públicas) debe ser observada por las
compañías nacionales que deseen invertir en el mercado bursátil estadounidense.
Las principales certificaciones de honorarios profesionales (ISACA, CISSP) tienen un costo en México de aproximadamente 500 a 650 dólares, con un costo renovable.
Fuente: Análisis de KPMG con información de ISACA, ISO y expertos varioS.
55
RESUMEN DE LA
CIBERSEGURIDAD
EN MÉXICO
56
RESUMEN DE LA CIBERSEGURIDAD EN MÉXICO
VISIÓN GENERAL
México debe realizar varias mejoras en términos de estructuras institucionales dedicadas, como una agencia especializa-
da del sector público, certificada bajo estándares reconocidos internacionalmente.
También se debe trabajar en la creación de capacidades.
Regulaciones y otras experiencias:

• 2014– Conferencia para la adhesión de la convención de Budapest
• 1990– Código Penal Federal (CPF) contiene un capitulo sobre: robo, fraude, en cibercrimen, donde México organizó un taller de América Latina.
falsificaciones, delitos relacionados con menores, divulgación de secretos, así
como en una publicación posterior daños a computadoras y sistemas, violación • 2014 – Ley de Telecomunicaciones estipula diferentes prácticas y
de derechos de autor. retención de datos.
• 1990– Ley de instituciones de Crédito en relación con el uso ilegal del sistema • 2014- Programa de seguridad nacional para: fortalecer la coopera-
de pagos, transferencia ilegal de fondos, intervención de comunicaciones privadas. ción internacional; identificar, prevenir, contener riesgos y amenazas
a la seguridad nacional; mejorar las habilidades de capital humano y
• 2010– Creación del equipo de Respuesta a Emergencias Informáticas –CERT- la infraestructura tecnológica para abordar los incidentes de ciberse-
MX, a cargo de quejas ciudadanas y de incidentes que puedan dañar otros países. guridad.
• 2017– Primer foro “Fortaleciendo la ciberseguridad para la estabi-
• 2010 – Ley Federal de protección de los datos personales. lidad del Sistema Financiero Mexicano” para ciberseguridad bancaria.
Marco de control general (no obligatorio): Marco de ciberseguridad basado en ISO 2700, ITIL y Cobit
Logro: En 2012 se creó el Comité Especializado de Seguridad de la Información, a cargo de la Estrategia Nacional de Seguridad de la Información. México tiene una legislación especí-
fica sobre protección infantil: Ley para la Protección de Niños, Niñas y Adolescentes. Sinaloa fue el primer estado en regular y sancionar el delito cibernético en la República Mexicana.
Agencias: el departamento militar está inscrito en la ciberseguridad nacional.

Colaboración de la Industria: CERT-Mx estableció comunicación y coope-
CERT-Mx está involucrado en la protección de la infraestructura crítica .
ración directa con instituciones privadas.
La Policía Federal es responsible de investigar los cibercrímenes mediante la La Dirección General de Economía Digital de la Secretaría de Economía tam-
unidad policial cibernética. Otras entidadas privadas que pueden responder bién forma parte del Grupo Directivo de Comercio Electrónico de APEC.
son UNAM-CERT y Scilum-CSIR. La Comisión Federal de Telecomunicaciones (Cofetel) es parte del Grupo
de Trabajo de Telecomunicaciones e Información de APEC (APECTEL).
Reportes de incidentes mediante informacón compartida.
Capacitación / certificación: varias certificaciones están disponibles a tra-

Cooperación Internacional: México es miembro de la PEC, CICTE (2) y OEA. CERT- vés del sector privado.
Mx es un componente clave del foro global para equipos de respuesta de inciden- Entrenamiento especializado del Sistema de Desarrollo Policial de México
tes (FIRST): México se quedó como observador en la convención de Budapest. (SI-DEPOL) y UNAM-CERT.
Nota: (1) No existe una legislación específica sobre ciberseguridad, pero está incluida en el CPF. (2) Comité Interamericano contra el Terrorismo.
Fuente: Análisis de KPMG con información de Ciberseguridad: estamos preparados en América Latina y el Caribe.
57
ENCUESTA Y ENTREVISTAS
Los ataques cibernéticos siguen siendo un tema delicado dentro de las organizaciones. Todos los profesionales entrevis-
tados buscan formas de reforzar la ciberseguridad en México, y la mayoría cree que existen oportunidades para mejorar
la ciberseguridad para las pymes.
Encuesta de compañías Participación en la encuesta de la Industria

Porcentaje de sector Porcentaje del sector
Academia
Público / Gobierno
Consultores independientes
8.0%
12.0% 8.0%
44.4% Bancario
Interno
16.0%
(KPMG)
Energético
22.2% 11.1%
36.0% Minorista
20.0% 22.2%
Industria Telecomunicaciones
Empresas especializadas (1)
Se entrevistaron 24 especialistas de 22 entidades. Siete de los entrevistados tienen puestos de alta gerencia y el resto son expertos técnicos.
La selección sectorial se basó en la cantidad de ataques que reciben los sectores. Se eligieron algunas empresas especializadas adicionales (locales y transnacio-
nales) debido a su conocimiento de tecnología y servicios. Además, se realizaron entrevistas con expertos, universidades e instituciones públicas.
Todos los expertos y directores estaban trabajando en CDMX, debido a la concentración de la sede central de las compañías. La mayoría de los candidatos pidie-
ron permanecer en el anonimato debido a las políticas de confidencialidad.
Los nombres de compañías que pueden revelarse son: IPN, La Salle, Kolibërs, KPMG, Axtel, CNBV y Banorte.
El análisis de las entrevistas permitió generar pautas para la creación de un análisis FODA.
Nota: (1) Se refiere a las compañías que trabajan sólo en asuntos de ciberseguridad.
58
ANÁLISIS FODA DE LA CIBERSEGURIDAD EN MÉXICO
Actualmente, existe una demanda de 157,934 profesionales capacitados para ocupar puestos de trabajo asociados con tecnologías de
la información, específicamente aquellos relacionados con redes y operaciones de seguridad cibernética. Este número debería reducir-
se ligeramente en el 2019, donde se espera que aún existan 148,052 puestos vacantes.
Fortalezas / Mantener F Debilidades / Resolver D
L - La regulación actual cubre los ejes relevantes O - Iniciativas estratégicas de estanda- L - La ley no se aplica y los crímenes no son pena- O - Falta de autoridad especializada para defi-
de ciberseguridad, lo cual es un buen punto de rización entre diferentes estados. lizados. nir y liderar los problemas cibernéticos.
partida para un mayor desarrollo regulatorio. C – Existen cursos de capacitación L - Las leyes tienen muchos elementos clave que C - Escasez de especialistas en ciberseguridad.
C - Oferta débil de carreras en especialización
L - Regulación de protección infantil en línea bien tanto presenciales como en línea. son opcionales, no obligatorios. cibernética.
establecida. I - La ciberseguridad se percibe como L - El desarrollo y la modificación de las leyes toma C - Obtener un certificado en ciberseguridad
T - CERT / CRIT / CSIRT nacionales, gubernamen- una prioridad y, por ello, se están co- mucho tiempo. lleva mucho tiempo.
tales y sectoriales. menzando a tener foros dedicados. T -Uso de productos y servicios de TI desactuali- C – Gran parte de la sociedad mexicana desco-
T –Se establecieron los estándares y requisitos I – Está en proceso el desarrollo de un zados. noce los problemas de ciberseguridad.
profesionales de ciberseguridad. Consejo de Ciberseguridad. T-Falta de tecnología avanzada de ciberseguridad. C - Pocos centros de investigación de ciberse-
T - Actualmente se está estableciendo un Consejo T-Falta de estándares nacionales definidos de guridad.
C - El personal general de las empresas está
de Ciberseguridad. ciberseguridad (protección de datos, etc.). poco capacitado en cuestiones cibernéticas.
O - Reciente publicación de la nueva estrategia de T - Poca velocidad de innovación para las nuevas C - Falta de presupuesto para invertir en ciber-
ciberseguridad (Estrategia Nacional de Ciberse- tecnologías en comparación con la sofisticación seguridad.
guridad 2017). del ciberataque. I - En su mayoría, no se informa de los inciden-
T – Largo tiempo de detección de ataques. tes de seguridad.
O - No hay responsabilidad por el seguimiento de I - Bajo nivel de coordinación entre el gobier-
incidentes de ciberseguridad. no, el sector privado y la academia.
Oportunidades / Aprovechar O Amenazas / Proteger A
L - Entorno activo para establecer nuevas regulaciones. O - Entorno abierto derivado de la L - Ataques internacionales que no pueden ser O - Ataques internacionales más
L - Se requieren estándares de seguridad cibernética reciente publicación de la Estrategia penalizados por la ley mexicana. frecuentes.
para transacciones comerciales con algunos países. Nacional de Ciberseguridad. L - Industrias que generan históricos de datos O - La estrategia publicada reciente-
T - Progreso internacional en productos y servicios C – El público mexicano es susceptible personales. mente se desarrolló para un nivel muy
tecnológicos. a campañas de concientización. T - Mayor dependencia de la tecnología. general y está sujeta a interpretaciones.
T- Mercado transparente con espacio para nuevos C – Inversión en investigación y T – Existen servicios de cibercrimen. C – Muchas pymes todavía no pueden
participantes. comunicación para fomentar alianzas T - El auge de la transformación digital en todos costear las herramientas de protección
T – Rápida evolución tecnológica y un incremento en internacionales. los ciclos de vida de las industrias y del cliente. para ciberseguridad.
los requisitos solicitados por clientes. C - México es un país atractivo para la T - Alto costo de protección / eslabón más débil. C - Ciberataques políticos.
T - El país está experimentando un aumento en la pe- inversión extranjera (cerca de 30 mil T - Tendencias de cibercrímenes personalizados. C - Cibercrimen organizado y presu-
netración del comercio electrónico, incrementando millones de dólares al año). T - El cibercrimen se vuelve cada vez más complejo. puestado.
la relevancia y demanda de los productos y servicios I - Tendencia a participar en foros de I - México se considera como una Plata-
cibernéticos. cooperación internacional. forma de entrada en los Estados Unidos.
T –Tendencias para desarrollar seguros sobre ciberse- I - Alianzas entre sectores público y
guridad. privado.
59
FORTALEZAS - MANTENER
Legal Técnica Organizacional Creación de capacidad Cooperación
Aumentar la oferta específica

de carreras de cibersegu-
ridad, así como los títulos
legales en ciberseguridad.
Sanciones / multas / prisión.
Implementar mejores México debe adherirse a
Construir un esquema de Universidades que ofrezcan a
servicios de centro de los acuerdos de coopera-
sanciones aplicables de los estudiantes la posibilidad
operaciones de seguridad ción internacional.
acuerdo con otros países Promover la Estrategia de fortalecer sus títulos de TI
(SOC) para optimizar el Incluir temas de
con los que México Nacional de Ciberseguridad con un posgrado o comple-
tiempo de respuesta seguridad cibernética
tiene un tratado. en diferentes industrias, mento en ciberseguridad.
a incidentes. dentro de la agenda de
incluidos sus hitos clave.
reuniones del INADEM
Crear una unidad policiaca Hacer que las certificaciones
Usar PROSOFT 3.0, como la para fortalecer la visión
dedicada a ciberseguridad sean más asequibles y se
plataforma de ciberseguridad empresarial de
para enfocarse en los ajusten mejor a las
para reforzar los diferentes ciberseguridad de los
crímenes relacionados necesidades de México.
clústeres de TI. participantes.
con la industria.
Desarrollar un software
abierto de bajo costo dentro
de las universidades.
60
DEBILIDADES - SOLUCIONAR
Se requieren compañías Carreras y estudios enfo-

de software sin excesivos cados en la resolución de
controles, medidas de problemas, no en productos
Crear una institución seguridad y reglas de específicos: entrenamiento
responsable de apoyar a carácter obligatorio. Comprender que compar- integral con visión empresa-
los jueces involucrados en tir información es un paso rial y capacidad técnica.
juicios cibernéticos con el fin Desarrollar herramientas imprescindible para lograr
de apoyar su conocimiento y de seguridad cibernética una mejor velocidad de Definir licenciaturas y maes-
comprensión sobre la para dispositivos móviles, respuesta. trías mucho más centradas
industria y facilitar la toma detección y monitoreo de en la industria. Se deben
de decisiones. amenazas y mecanismos de Generar políticas y controles considerar esfuerzos con los
respuesta. apropiados para lograr una líderes de la industria para
Definir controles más estric- alineación con el ISO 27001. establecer programas que Participar en
tos para los segmentos de la Es necesario crear servicios traigan talento a las empre- regulaciones conjuntas
regulación que actualmente que integren diversas medi- La estrategia empresarial sas y fomenten la investiga- que permiten
no son obligatorios (es decir, das que garanticen una so- debe integrar software, ción para mejora. a los países cumplir,
seguimiento de la vulnerabili- lución de ciberseguridad de cortafuegos de nueva gene- cooperar y monitorear.
dad / pruebas de estrés). extremo a extremo en lugar ración, personal capacitado y Incluir un fuerte componente
de enfocarse en incidentes a un equipo de seguridad de seguridad cibernética en Establecer un sistema
Establecer patrocinadores corto plazo. dirigido por un oficial de el currículo de todas las ca- de entrenamiento por
o defensores para el sector seguridad de la información. rreras tecnológicas, principal- aquellos que están
privado para alinear infor- Implementar herramientas mente para desarrolladores. más avanzados en
mación e intereses antes de avanzadas como inteligencia Establecer un equipo de ciberseguridad y
reunirse con los reguladores. artificial para comprender ciberseguridad alineado con Incrementar la oferta de aprender de
mejor las amenazas a la las decisiones comerciales maestrías relacionadas con sus experiencias.
Identificar las tecnologías y seguridad. centrales y respaldado por las necesidades comerciales
tendencias emergentes para ejecutivos de alto nivel. y el desarrollo de la industria
acelerar los cambios Incrementar la regulación de ciberseguridad.
regulatorios requeridos o los incentivos para que Este equipo debe ser inde-
en el futuro. los operadores de telefonía pendiente del departamento Asignar más recursos (ini-
móvil mejoren sus áreas de de sistemas para garantizar ciativa pública y privada) a la
Se necesita una regulación actividad y se responsabilicen un alcance universal en lugar investigación. Unir esfuerzos
sobre la infraestructura, en la reducción de amenazas. de un esfuerzo aislado. (Esta para el desarrollo de centros
software y aplicaciones. recomendación no depende de investigación.
Aumentar la conciencia en del tamaño del negocio, pues
las empresas para mejorar se aplica a todas las pymes.) Proporcionar capacitación a
su infraestructura, a menudo todos los empleados sobre
obsoleta, y actualizarse con los riesgos y acciones para la
una mejor protegida. mitigación de riesgos.
61
OPORTUNIDADES - APROVECHAR
Existe la oportunidad de
intercambiar conoci-
Desarrollar la tecnología mientos especializados
Incentivar a las empresas a
de datos biométricos para con otros países.
construir una estrategia de
incrementar las medidas de
seguridad cibernética
seguridad y acceso. Alianzas entre los secto-
empresarial, independiente- Ofrecer cursos de
res público y privado.
mente de su industria y riesgos concientización universitarios
Diseñar iniciativas para apoyar
cibernéticos actuales. sobre el impacto de la
proyectos públicos y privados Incrementar esfuerzos
ciberseguridad y la relevancia
Proporcionar más detalles en el espacio relevante de con otros países de
Realizar un análisis FODA de los ataques.
sobre la estrategia nacional fabricación, impulsando el LATAM. Aprovechar la
interno para identificar los
conregulaciones aplicables desarrollo tecnológico interno. oportunidad de trabajar
principales riesgos, debilidades Brindar cursos de
a México. con Brasil y establecerse
y amenazas, a fin de definir su sensibilización mejorados para
Desarrollar un “equipo de como líder en América
presupuesto de inversión para empresas y particulares.
Analizar los principales asentamiento” con conoci- Latina.
proteger sus activos digitales.
socios comerciales para miento técnico y de lenguaje
Aumentar la comunicación del
priorizar primero las leyes y para beneficiarse completa- Alianzas entre univer-
Dirigir la evolución de la mensaje sobre la importancia
los acuerdos con esos países. mente de las soluciones inter- sidades de otros países
estrategia hacia prevención, de la inversión en
nacionales de ciberseguridad. para compartir infor-
detección y reacción. ciberseguridad.
mación / aprendizaje /
Desarrollar servicios de perspectivas de carrera.
Alinear la estrategia comercial Foros y eventos para
consultoría para respaldar las
con las tendencias de ejecutivos de alto nivel con el
herramientas, dado que, por Promocionar iniciativas
transformación digital, fin de aumentar su conciencia
sí mismas, éstas no ofrecen públicas y privadas a
considerando los planes de sobre la ciberseguridad.
suficiente protección. través de eventos y foros
mitigación de riesgos para las
conjuntos.
principales tecnologías, tales
Ofrecer pólizas de seguro de
como IoT y servicios de nube.
ciberseguridad.
62
AMENAZAS- PROTECCIÓN
Desarrollo de costos efecti-

vos SaaS para pymes ya que
Fortalecer la regulación de la la mayoría de las soluciones Datos y análisis como insu-
protección de datos, especial- comerciales siguen siendo mos para herramientas de
Crear informes creados
mente para las industrias que costosas. ciberseguridad que preven-
por la propia industria
generan históricos de datos gan ataques sofisticados.
para compartir entre
personales. Desarrollo de derechos de
empresas e instituciones
propiedad intelectual y mar- Ejercicios cibernéticos
de manera obligatoria y
Definición de requisitos cos replicables. con equipos rojos, azules y
Ejecutar simulaciones de ata- generar conocimiento y
regulatorios por sector, morados para mejorar su
ques / pruebas de phishing / alianzas para lidiar con el
centrándose en los más Asegurarse de que los entrenamiento de respuesta
hacking ético. crimen organizado.
afectados pero también en productos y servicios de a incidentes.
los que experimentarán un nueva generación incluyan la
TI debe definir
número creciente de ataques interrupción por los ciberata- Desarrollo de la estrategia
procedimientos dentro de las Buscar la colaboración
en el futuro. ques y, por lo tanto, incluyan de pymes que cubra al menos
empresas para proteger su y el intercambio de
soluciones mejoradas para los requisitos mínimos de
integridad de ciberseguridad información entre em-
Desarrollar normatividad enfrentar eventualidades. seguridad para sus clientes /
al penalizar los errores. presas a nivel nacional e
internacional y acuerdos que datos clave más grandes.
internacional.
permitan perseguir delitos Los contratos de terceros
Organizar eventos y foros
cibernéticos en México deben incluir cláusulas que Desarrollar y ofrecer progra-
que buscan acercar aquellos Apoyo del gobierno a las
originados en otro país / cubran infracciones de segu- mas de concientización de
sectores que aún no han sido pymes en términos de
geografía. ridad, sanciones relacionadas seguridad.
una prioridad para el apoyo financiero
y requisitos mínimos.
delito cibernético. y evaluación del
Armonizar las leyes federales Automatizar los procesos de
conocimiento.
y estatales, garantizando Apoyar el desarrollo de la gestión de seguridad dentro
la protección de los datos industria cibernética y la de las empresas y los marcos
personales y fomentando el infraestructura en México necesarios para generar res-
intercambio de información. con el fin de no compartir in- puestas automáticas para las
formación local fuera del país amenazas identificadas.
sólo porque las soluciones se
desarrollen en el exterior.
63
CONCLUSIONES
La transformación digital y el incremento en la conectividad de las industrias y aplicaciones convierte a la ciberseguridad en una in-
dustria clave, por su relevancia y expectativa de crecimiento. Debido al aumento en ciberataques, se requiere una mejor protección
de los usuarios y las empresas; sin embargo, México enfrenta cierta falta de conciencia e incentivos para invertir en ciberseguridad.
Impulsores Inhibidores
Mayor segmentación de las empresas y las agencias Fraude de seguridad cibernética Las pymes carecen de incentivos para invertir, mientras
gubernamentales por parte de los atacantes cibernéticos. (2013- 2017) TCAC: 70.3% que los ciberataques se centran principalmente en las
Inversión de alrededor del 2 o 3%
grandes empresas. Alto costo de inversión en ciber-
del presupuesto de TI en 2017 (2)
Mayor participación del estado en las políticas de ciber- Establece la ENCS (1) y puede seguridad más allá de los medios de la mayoría de las
seguridad a través del cumplimiento y las directivas de ser actualizada pequeñas y medianas empresas.
requisitos reglamentarios.
Amplia disponibilidad de software pirateado no seguro y 2017, usuarios de Windows 7: la
Expansión regional de ciudades inteligentes y proyectos Iniciativa Guadalajara Smart dependencia continua en dispositivos viejos y sin protección. cuota de mercado fue 43.5%
de infraestructura digital. Connected City
Oportunidades Desafíos En 2017, faltan 157.934

profesionales capacitados
Las pólizas de seguro de ciberseguridad podrían ser Los productos están disponibles Escasez de profesionales de ciberseguridad.
una nueva compañía aseguradora de productos con una en el extranjero (2)
conciencia mínima sobre el riesgo. Impulsar el desarrollo Los consumidores y las pymes continúan sin conocer la
tecnológico interno. sofisticación de las ciberamenazas. La confianza en el hardware
más que en la conciencia
Curso(s) de concientización en todos los grados uni- Solo los títulos especializados tenían Cualquier cosa que se pueda conectar puede ser hackeada.
versitarios sobre el impacto de la ciberseguridad y la conciencia de ciberseguridad (2)
relevancia de los ataques. La creciente adopción de servicios y aplicaciones basados
en la nube significa los proveedores de servicios pueden TCAC de la nube esperado
Proporcionar más detalles sobre la estrategia nacional con aplicar medidas de ciberseguridad y no dejarlas a los de 2015 a 2021: 21.22%
regulaciones específicas aplicables a México y fortalecer las Las principales universidades usuarios finales.
leyes y los acuerdos con los principales socios comerciales. son: IPN, UNAM, La Salle
La proliferación de proyectos de ciudades inteligentes
En 2016, 8 millones de
Alentar a las empresas a construir una estrategia de dará lugar a un ciclo de reemplazo de dispositivos y puede
dispositivos en IoT
seguridad cibernética empresarial. acelerar los cambios regulatorios requeridos en el futuro.
Empresas mexicanas desinformadas
Crear más asociaciones entre los sectores público y privado.
sobre ciberataques (2)
Nota: (1) ENCS: Estrategia Nacional de Ciberseguridad, (2) datos de entrevistas.

Fuente: Análisis de KPMG con información de la UIT, el IMC, la OCDE y expertos.
64
APÉNDICE
65
PRINCIPALES HABILITADORES DE LAS TENDENCIAS TECNOLÓGICAS (GENERAL)
Las tendencias tecnológicas no están alineadas con un solo marco de tiempo. Para poder alcanzar el éxito de TI es vital
entender la diferencia entre las tendencias estratégicas / a largo plazo, la tecnología táctica / de planificación y los habili-
tadores tecnológicos de la organización.
ESTRATÉGICOS TÁCTICOS ORGANIZACIONALES
Desaparición de centros de datos TI impulsada por los negocios Gestión de dispositivos remotos
Telas de interconexión DCaaS-IT (Data Center as a Ambientes computacionales

Service) ofrecen servicios, no micro y de frontera
Contenedores, microservicios y infraestructura
secuencias de aplicaciones Nuevos roles en TI
Capacidad trenzada
Ciudades inteligentes
Sistemas operativos urbanos
Industría 4.0
Los 3 niveles mencionados anteriormente traerán intrínsecamente beneficios, desafíos y riesgos; por lo tanto, será crucial la comprensión del potencial y del efecto de
cada tendencia para administrar ciudades conectadas, industrias conectadas y personas conectadas.
Fuente: Análisis KPMG con información de Gartner.
66
PRINCIPALES ATAQUES CONOCIDOS DE CIBERSEGURIDAD EN EL MUNDO
En 2017, 25% de las oportunidades comerciales y 30% de los ingresos de las empresas se perdieron debido a ciberataques.
1998: X Solar Sunrise, 2000: DDos 2004: Worms, Titan Rain, los 2011: Fishing, Epsilon, 2016: X, Tsar team and
un ataque cibernético MafiaBoy, empresas hackers pudieron infiltrarse en los objetivos de los Francy bear, hackeron
sistemático lanzado en con altos niveles de varias redes de ordenadores, hackers fueron las al FBI, CIA y DHS para
los EE. UU. Que tomó seguridad fueron incluidas las de la NASA; abrió el direcciones de correo influir en la elección
el control de más de hackedas, incluyendo camino para que otros hackers electrónico del gigante presidencial de los
500 sistemas informá- los gigantes como Dell, se infiltraran en sus sistemas de marketing (tanto del Estados Unidos; ellos
ticos gubernamentales Yahoo, Amazon, Ebay, cuando dejaban puertas traseras personal como de los robaron a la agencia
y privados. Fifa.com and CNN. en estas máquinas. clientes) que luego se mundial de antidopaje
usaron para una información de las
variedad de pruebas de drogas de
actividades delictivas. los atletas.
Pronóstico
Estimación del impacto financiero mundial durante 2000-2017, hasta 2021
$6,000.0
6,000 (miles de millones de dólares)
$3,669.8
$2,100.0
2,000 $1,673.2
1,000 $815.0 $1,129.8
$445.0
$1.2 $40.0 $226.0 $56.0 $7.0 $11.1 $24.7 $0.1 $40.6 $2.5 $6.0 $111.3 $2.7 $0.7
$0.3
0
2000 2001 2002 2003 2004 2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016 2017 2018 2019 2020 2021
1999: Virus, Melissa virus, 2002: Sniffer, wardriving, 2006: Troyano, Operation 2017: Ransomware, 2017: Ransomware, Petya,
infectó documentos de ShadowCrew, Shady Rat, golpea al menos Back- door, Spearphishing, golpeó particularmente
Microsoft Word y se envió pudo obtener 45 millones a 72 organizaciones en malware (1), Wanna- la infraestructura
automáticamente como un de información sobre todo el mundo, incluido el Cry, bloquean todos los ucraniana, interrumpiendo
archivo adjunto por correo tarjetas de crédito y débito Comité Olímpico Interna- archivos en una computa- las compañías eléctricas,
electrónico a los usuarios. de casi 4000 usuarios. cional (COI), las Naciones dora infectada y le piden al los aeropuertos, el trans-
Unidas y varios contratis- administrador del equipo porte público y el banco
tas de defensa global. que pague para recuperar central, sólo la última de
el control de ellos. una serie de ataques
cibernéticos contra el país
Nota: (1) Malware (software malicioso) incluye spyware, keyloggers, virus verdaderos, gusanos, caballo de Troya, secuestrador del navegador, Rootkit, Malvertising. Fuente: Análisis
de KPMG con información del volumen 22 de Symantec, informe anual de Cisco 2017, informe de cibercrimen de impacto económico de McAfee y CSIS de 2014 y varios artículos.
67
INHIBIDORES DE LA CIBERSEGURIDAD EN MÉXICO
En 2017, existe software antiguo y poco seguro en el panorama empresarial mexicano, lo que lleva a un entorno digital
inseguro para las empresas y la adopción de tecnología por parte del Gobierno Federal.
Versiones de mercado de Windows para escritorio en 2017 Percepción de probabilidad de robo de datos digitales en 2017
(en porcentaje) (distribución de frecuencias)
Win7 43.5% Muy alta probabilidad 10%
Win10 38.0%
Probabilidad alta 28%
Win8x 15.2%
Probabilidad media 47%
WinXP 2.9%
Otros 0.4% Baja probabilidad 15%
Los consumidores y las pymes continuarán sufriendo una falta de conocimiento sobre la sofisticación de las ciberamenazas, la mayoría de ellos
tienen la percepción de que los datos digitales podrían tener una alta y mediana probabilidad de ser robados.
El ataque reciente de WannaCry explotó las debilidades en dispositivos Windows XP más antiguos y la tasa de penetración relativamente alta de
los dispositivos con XP.
Enterprise, tenía una inversión insuficiente en software antivirus para computadoras de escritorio y portátiles, así como más dispositivos portá-
tiles como teléfonos inteligentes y tabletas que podrían amplificar el efecto de un ciberataque específico.
La falta de profesionales calificados fue un inhibidor para la completa adopción de la tecnología en empresas y gobierno.
Fuente: Análisis KPMG con información de CANIETI, BMI y CISCO.
68
CIBERSEGURIDAD
ANÁLISIS DE MERCADO
69

Ciberseguridad Analisis Mercado

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Ciberseguridad Analisis Mercado

Cargado por

Copyright:

Formatos disponibles

CIBERSEGURIDAD

Marco Erick Espinosa Vincens, Jefe de Unidad

Imagenes descargadas de:

TENDENCIAS DIGITALES EN MÉXICO 37

CRIMEN CIBERNÉTICO EN MÉXICO 40

RESUMEN DE LA CIBERSEGURIDAD EN MÉXICO 55

En la mente de los Prioridad de los CEOs:

1940-1970 1980’S 1990’S 2000 2010

Fuente: análisis de KPMG con información Dublin City y Forbes.

MEGA-TENDENCIAS DE TECNOLOGÍAS CYCLO DE SOBREEXCITACIÓN PARA TECNOLOGÍAS EMERGENTES

En términos tecnológicos, existen tres tendencias prin-

Gemelos digitales Cómputo cuántico Gatillo de Culmen de Pendiente de Meseta de la

TENDENCIAS TECNOLÓGICAS ESTRATÉGICAS – CIUDADES

CIUDADES INTELIGENTES 1 INDUSTRIA 4.0 2

DISPOSITIVOS CONECTADOS DE IOT 1 EN 2017

Dispositivos conectados a IoT 1 en 2017 TCAC

Militar y aeroespacial 0.01 13%

Definición: Áreas clave:

Principales empresas que ofrecen sistemas operativos urbanos: Inversión:

Para el año 2020, se espera que el mercado global de sistemas inteli-

RIESGOS CIBERNÉTICOS MUNDIALES

MÉXICO FRANCIA .04% MALASIA

COLOMBIA .14% EMIRATOS Á

EVOLUCIÓN DE LOS CIBER ATAQUES

2006: El departa- 2010: Centro de 2012: Zappos, 2014: Yahoo, UPS,

Datos e identidades robadas (millones) 2005-2017

Fuente: Análisis de KPMG con información de Symantec v 22 y TheftCentreandDataBreaches.net.

Patrón Acción Activos

11.5% 14.9% Social

Stakeholders Detrás de las brechas de seguridad

Los ciberataques mostrarán diferentes patrones y resultados dependiendo Externos

Motivaciones de los atacantes

Cada una de las siguientes categorías presenta un motivo

Durante los últimos cuatro años, el espionaje ha ganado par-

Porcentaje de infracciones de datos Industrias más afectadas

Otros servicios 6.3%

EL COSTO REAL DE UN DATO ROBADO

Servicios 223 -19

Equipo de respuesta a incidentes

del negocio (BCM)

Energía 137 210

Dispositivos perdidos o robados

Extensiva migración en la nube

TAMAÑO DE MERCADO DE LA CIBERSEGURIDAD

2015 2016 2017 2018 2019 2020 2021

EVOLUCIÓN DE LA CIBERSEGURIDAD (1/2)

1940-1970 1980’S 1990’S 2000 2010

GESTIÓN DE RIESGO DÉCADAS DE DESARROLLO ACTITUD DE RESILIENCIA RESILIENCIA, ENFOQUE REACTIVO

Primera recuperación Choques globales de

EVOLUCIÓN DE LA CIBERSEGURIDAD (2/2)

ENFOQUE PRO-ACTIVO, HOLÍSTICO Y BASADO EN EL RIESGO

Estándar: ISO IEC 27032, UL 2900-1

Capacidad: suficientes profesionales de seguridad calificados, departamento de ciberseguridad.

Política: política de seguridad cibernética.

RESUMEN DE LA INDUSTRIA GLOBAL

La transformación digital se está

Cuanto mayor es el nivel de digitali-

Análisis del país

El desarrollo legal, técnico, organi-

Las leyes de datos personales y las obligaciones del sistema / infraestructura no

En 2017, el presidente Trump firmó una orden ejecutiva sobre “Fortalecimien-

Reglamentación logística de datos de comercio electrónico Convención de Budapest

Directiva sobre seguridad de

- Convención de Budapest. - Naciones Unidas (Resoluciones