ASOBANCARIA - Estado de la ciberseguridad en el sistema financiero colombiano

Estado de la Ciberseguridad en el Sistema Financiero Colombiano Estado de la Ciberseguridad en el Sistema Financiero Colombiano Estado de la Ciberseguridad en el Sistema Financiero Colombiano DERECHOS DE AUTOR© (2020) Organización de los Estados Americanos. Todos los derechos reservados bajo las Convenciones Internacionales y Panamericanas. Ninguna porción del contenido de este material se puede reproducir o transmitir en ninguna forma, ni por cualquier medio electrónico o mecánico, total o parcialmente, sin el consentimiento expreso de la Organización. Preparado y publicado por el Programa de Ciberseguridad del Comité Interamericano contra el Terrorismo (cybersecurity@oas.org) Los contenidos expresados en este documento se presentan exclusivamente para fines informativos y no representan la opinión o posición oficial alguna de la Organización de los Estados Americanos, de su Secretaría General o de sus Estados Miembros. Luis Almagro Santiago Castro Gómez Secretario General Presidente Organización de los Estados Americanos Asociación Bancaria y de Entidades Financieras de Colombia ASOBANCARIA Farah Diva Urrutia Secretaria de Seguridad Multidimensional Mónica Gómez Villafañe Organización de los Estados Americanos Vicepresidente Asociación Bancaria y de Entidades Financieras de Alison August Treppel Colombia ASOBANCARIA Secretaria Ejecutiva Comité Interamericano conrta el Terrorismo Alejandro Vera Sandoval Organización de los Estados Americanos Vicepresidente Técnico Asociación Bancaria y de Entidades Financieras de Equipo Técnico de la OEA Colombia ASOBANCARIA Belisario Contreras Orlando Garcés Equipo Técnico ASOBANCARIA

Jorge Bejarano Ángela Vaca Bernal Kerry-Ann Barrett Jaime Rincón Arteaga David Moreno Santiago Castiblanco Hernández Diego Subero Gabriela Montes de Oca Agradecimientos Valentina Namé Consejería Presidencial para Asuntos Económicos y Mariana Cardona Transformación Digital. Jaime Fuentes Víctor Sánchez Superintendencia Financiera de Colombia. Sofía Hunter María Paula Lozano Asociación de Compañías de Financiamiento Einar Lanfranco – AFIC. Juan Sebastián Fonseca Asociación de Comisionistas de Bolsa

– ASOBOLSA.

Asociación de Fiduciarias de Colombia

– ASOFIDUCIARIAS.

Asociación Colombiana de Administradoras de Fondos de Pensiones y de Cesantía

– ASOFONDOS.

Federación de Aseguradores Colombianos

– FASECOLDA.

TABLA DE CONTENIDO 1. 2. 3.

Resumen Ejecutivo Prólogo Aportes 7 17 25 4. 4.1. Caracterización de la entidad financiera Ciberseguridad en las 4.2. Gestión de riesgos de seguridad digital Entidades del Sistema Financiero Colombiano 39 4.3. Gestión de riesgos de seguridad digital 5. 5.1. Caracterización del cliente Ciberseguridad de los Usuarios 5.2. Cultura de Seguridad Digital de Servicios Prestados por las Entidades del Sistema 5.3. Impacto de los incidentes de seguridad digital Financiero Colombiano 97 6. 6.1. Para las entidades financieras del Sistema Financiero Colombiano Recomendaciones de 6.2. Para las autoridades y organismos reguladores Ciberseguridad para del sistema financiero y las autoridades de justicia

el Sistema Financiero del Gobierno de Colombia Colombiano 125 6.3. Para los usuarios de entidades financieras del Sistema Financiero Colombiano

7. ANEXO 1. Información de la muestra de entidades 141

financieras del Sistema Financiero Colombiano Bibliografía ANEXO 2. Análisis comparativo entre sectores 144 137 del Sistema Financiero Colombiano Estado de la Ciberseguridad en el Sistema Financiero Colombiano 1. Resumen Estado de la Ciberseguridad Ejecutivo en el Sistema Financiero Colombiano Este estudio es un aporte de la Secretaría General de la Organización de Estados Americanos (OEA), que tiene como propósito brindar información fidedigna sobre el Estado de la Ciberseguridad en el Sistema Financiero Colombiano. Este documento es un esfuerzo más de la OEA en su tarea de fortalecer las capacidades y nivel de conciencia sobre las crecientes amenazas a la seguridad digital que aborda la región América Latina y el Caribe. La información analizada en el presente estudio proviene de una base de datos de 73 entidades financieras participantes del Sistema Financiero Colombiano1. Para llevar a cabo este análisis, la OEA diseñó, con el apoyo de expertos del sistema financiero, un instrumento específico de recolección e información. A partir del análisis efectuado con base en el instrumento empleado, se presentan a continuación los principales hallazgos. 7 Estado de la Ciberseguridad en el Sistema Financiero Colombiano Hallazgos significativos sobre la seguridad digital en las entidades financieras del Sistema Financiero Colombiano: • En relación con la preparación y sensibilización en seguridad digital gobernanza de la seguridad digital, en el (63%) e impulsando planes de seguridad

40% de las entidades financieras del país digital (60%) (Organización de Estados existen dos (2) niveles jerárquicos entre Americanos, 2018). el CEO y el máximo responsable de la seguridad digital. No obstante, el número • En el 97% de las entidades financieras de niveles jerárquicos que existen entre de Colombia, la junta directiva recibe el CEO y el máximo responsable de la reportes periódicos acerca de riesgos de seguridad digital (incluidos aspectos seguridad de la información (incluyendo de seguridad de la información, ciberseguridad) y fraudes ocurridos a ciberseguridad y prevención del fraude través de medios digitales, mientras el usando medios digitales) depende 55% de quienes atendieron la encuesta también del tamaño de la organización. considera que lograr que la alta dirección En referencia al número de áreas a cargo de la organización invierta en soluciones de estas temáticas, en el 23% de las de seguridad digital es medianamente entidades del sector bancario existe una o muy complejo, a pesar de la relevancia única área responsable de la seguridad que tienen las inversiones especialmente digital, valor inferior al registrado en los en materia de prevención y desarrollo de bancos de la región de América Latina y el capacidades. En este mismo sentido, al Caribe, en el cual el 74% tiene esta misma comparar el sector bancario de Colombia condición (Organización de Estados con el promedio de la región de América Americanos, 2018). Latina y el Caribe, se observa que en dicho sector, en el 100% de los establecimientos • Respecto al apoyo a la gestión del bancarios la junta directiva recibe riesgo de seguridad de la información reportes periódicos acerca de riesgos de (incluyendo ciberseguridad) por parte seguridad de la información (incluyendo

de la alta dirección de la entidad ciberseguridad) y fraudes ocurridos financiera, se destaca que un 71% del a través de medios digitales, cifra total de las entidades financieras del superior a la reportada en la región (72%) país lo demuestran aprobando mayor (Organización de Estados Americanos, presupuesto, y un 63% fomentando la 2018). concientización, educación y capacitación. Particularmente, en el sector bancario • Dentro de los marcos de seguridad de Colombia, se resalta que un 69% del y/o estándares internacionales más total de los establecimientos bancarios implementados en las entidades del país lo demuestran aprobando mayor financieras, se encuentran ISO/IEC presupuesto y un 62% aprobando / 27001:2013 - Information technology reforzando una estructura organizacional - Security techniques - Information especializada, mientras que en el sector security management systems e ISO/ bancario de América Latina y el Caribe, IEC 27032:2012 - Information technology es más común que se haga exigiendo la -- Security techniques -- Guidelines for adopción de buenas prácticas de seguridad cybersecurity (en el 85% y 60% de las (65%), fomentando la capacitación y entidades financieras, respectivamente). 8 Estado de la Ciberseguridad en el Sistema Financiero Colombiano • En materia de conformación de equipos pérdida / robo de activos de información de profesionales de seguridad de la clasificada (confidencial o sensible), ii) información (incluyendo ciberseguridad) indisponibilidad de infraestructura crítica, por cada entidad financiera en Colombia, y iii) compromiso de credenciales de se observa que éstos se componen en usuarios privilegiados. promedio de trece (13) miembros. No

obstante, este valor varía dependiendo • El 100% de las entidades financieras de del tamaño de la entidad. Colombia manifiestan que identificaron algún tipo de evento (ataques exitosos y • Se resalta que el 77% de entidades ataques no exitosos) de seguridad digital financieras encuestadas en el país en su contra. Los eventos de seguridad considera adecuado que el equipo digital más comúnmente identificados creciera en el corto plazo, lo cual es un son: i) el código malicioso o malware (75% reconocimiento a necesidades de gestión del total de entidades), ii) el Phishing, crecientes en los aspectos a su cargo. Vishing o Smishing (75% del total de Estas necesidades crecientes llevan en entidades) y iii) la violación de políticas muchos casos a requerir procesos de de escritorio limpio (clear desk) (70% del tercerización, siendo la actividad que más total de entidades). Se destaca que un 19% frecuentemente se contrata la relativa de las entidades financieras identifican a la realización de pruebas de seguridad ocurrencia de eventos de malware / análisis de vulnerabilidades con un diariamente. 78% del total, seguida de correlación de eventos con un 67% del total. • Según las entidades financieras en Colombia, el tipo de eventos (ataques • En cuanto a capacidades de detección exitosos y ataques no exitosos) y análisis de eventos de seguridad de la de seguridad digital que usan los información (incluyendo ciberseguridad), ciberdelincuentes con más frecuencia que son vitales para la gestión sistemática contra los clientes (socios, asociados o de este tipo de riesgos para proteger los usuarios) de servicios financieros son: i)

sistemas de información críticos entre el Phishing, ii) Software espía (Malware o 93% y del 90% de entidades financieras troyanos), y iii) Ingeniería social. También del país se centran en la implementación resulta importante anotar que dentro de los cortafuegos (firewalls) y las de las principales motivaciones para la actualizaciones automatizadas de virus realización de estos ataques se encuentran y sistemas. Temas como la aplicación de las económicas (75%), y mencionan que computación cognitiva, internet de las no existieron razones como asuntos cosas (Internet of Things –IoT–) o Registro de reputación personal como hacker, distribuido (Blockchain) para la detección asuntos geopolíticos o espionaje. y análisis de eventos de seguridad se encuentran aún muy incipientes con • Respecto a la gestión, respuesta niveles inferiores al 3% de entidades y recuperación ante incidentes de financieras. seguridad digital, al menos un tercio de las entidades financieras del país contaron • Los riesgos de seguridad de la con estrategias de gestión, respuesta información que las entidades y recuperación ante incidentes de financieras de Colombia consideran que seguridad de la información (incluyendo merecen mayor atención, sin importar ciberseguridad). el tamaño de la organización, son i) 9 Estado de la Ciberseguridad en el Sistema Financiero Colombiano • Como parte de las estrategias de • En promedio, el retorno sobre la gestión de riesgos de seguridad digital, inversión en seguridad de la información el 85% de las entidades financieras en (incluyendo ciberseguridad) y prevención el país realizan evaluación de madurez del fraude a través de medios digitales bajo alguna metodología de seguridad equivale aproximadamente a 10%, lo que

de la información. Aquellas entidades la mayoría considera que es un retorno de financieras que no logran hacer este alta rentabilidad. tipo de evaluaciones señalan que las principales razones son: i) falta de • El presupuesto destinado a la seguridad asignación de presupuesto (30% de digital para una entidad financiera en entidades sin evaluación), y ii) complejidad Colombia equivale aprox. al 1,76% del técnica de las soluciones requeridas (30% EBITDA del año inmediato anterior. de entidades sin evaluación). • El costo total de respuesta y de • En cuanto a la comunicación de recuperación ante incidentes de incidentes de seguridad digital, casi seguridad digital para una entidad la totalidad (96% de las entidades financiera en Colombia equivale aprox. al financieras) ofrece un mecanismo para 2,16% del EBITDA del último año fiscal. que sus colaboradores (empleados y contratistas) reporten incidentes • Con los valores obtenidos del estudio (ataques exitosos) de seguridad digital se estima que el costo total anual sufridos y el 82% cuenta con un plan de de respuesta y de recuperación ante comunicaciones que permita informar incidentes de seguridad digital de las a sus clientes de servicios financieros entidades financieras de la muestra2 en cuando su información personal se Colombia en 2018 fue de COP $ 321 mil haya visto comprometida. El 99% de las millones aproximadamente. entidades financieras reporta incidentes (ataques exitosos) sufridos ante una autoridad de regulación en Colombia. • En materia de capacitación y concientización, el 94% de entidades financieras cuenta con planes de preparación, respuesta y capacitación en asuntos de seguridad de la información (incluyendo ciberseguridad) para sus colaboradores, los cuales se ejecutan

en su mayoría de manera continua / permanente (41% de entidades). El mecanismo más efectivo a partir del cual se ha generado mayor conciencia en las entidades financieras respecto de los riesgos de seguridad digital es a través de capacitaciones internas y el uso de campañas por correo electrónico. 10 Estado de la Ciberseguridad en el Sistema Financiero Colombiano Cuadro 1. Principales resultados por tamaño de entidad financiera del Sistema Financiero Colombiano Entidades Financieras Grandes Entidades Financieras Medianas Entidades Financieras Pequeñas En el 33% existe una única área En el 85% existe una única área En el 82% existe una única área responsable de la seguridad digital responsable de la seguridad digital responsable de la seguridad digital En el 75% existen dos (2) niveles En el 80% existen dos (2) niveles En el 83% existen dos (2) niveles jerárquicos entre el CEO y el máximo jerárquicos entre el CEO y el máximo jerárquicos entre el CEO y el máximo responsable de la seguridad digital responsable de la seguridad digital responsable de la seguridad digital La mayoría de las entidades grandes La mayoría de las entidades medianas La mayoría de las entidades pequeñas (50%) cuenta con un equipo (48%) cuenta con un equipo (85%) cuenta con un equipo conformado por 16-30 miembros conformado por 1-5 miembros conformado por 1-5 miembros Son objeto de ataques de todo tipo de Son objeto de ataques de todo tipo de Son objeto de ataques de todo tipo de eventos de seguridad digital, resaltando eventos de seguridad digital, resaltando eventos de seguridad digital, resaltando identificación de todos por la mayoría identificación de todos por la mayoría identificación de todos por la mayoría de dichas entidades en el país de dichas entidades en el país de dichas entidades en el país

El 80% identifican ocurrencia de El 25% identifican ocurrencia de eventos El 13% identifican ocurrencia de eventos eventos de malware diariamente de malware diariamente de malware diariamente La mayoría (31%) detecta entre un 80% La mayoría (47%) detecta entre un 80% La mayoría (50%) detecta entre un 61% y y un 100% de eventos con sistemas y un 100% de eventos con sistemas un 80% de eventos con sistemas propios propios propios El 67% manifiestan que han sido El 19% manifiestan que han sido El 7% manifiestan que han sido víctimas víctimas de ataques exitosos víctimas de ataques exitosos de ataques exitosos El 50% realiza una evaluación de El 83% realiza evaluación de madurez y El 50% realiza evaluación de madurez y madurez y adelanta las acciones adelanta las acciones correspondientes adelanta las acciones correspondientes correspondientes El 100% ofrece un mecanismo para El 88% ofrece un mecanismo para El 73% ofrece un mecanismo para que sus clientes reporten a la entidad que sus clientes reporten a la entidad que sus clientes reporten a la entidad incidentes (ataques exitosos) sufridos incidentes (ataques exitosos) sufridos incidentes (ataques exitosos) sufridos El 100% cuenta con un plan de El 84% cuenta con un plan de El 77% cuenta con un plan de comunicaciones para informar a sus comunicaciones para informar a sus comunicaciones para informar a sus clientes de servicios financieros cuando clientes de servicios financieros cuando clientes de servicios financieros cuando su información personal se haya visto su información personal se haya visto su información personal se haya visto comprometida comprometida comprometida El 50% reporta entre el 0% y el 20% de El 42% reporta entre el 0% y el 20% de El 40% reporta entre el 0% y el 20% de

los incidentes ocurridos ante la Fiscalía los incidentes ocurridos ante la Fiscalía los incidentes ocurridos ante la Fiscalía General de la Nación o la Policía Judicial General de la Nación o la Policía Judicial General de la Nación o la Policía Judicial en Colombia en Colombia en Colombia 11 Estado de la Ciberseguridad en el Sistema Financiero Colombiano Entidades Financieras Grandes Entidades Financieras Medianas Entidades Financieras Pequeñas El 40% manifiesta que el presupuesto El 40% manifiesta que el presupuesto El 67% manifiesta que el presupuesto de seguridad digital equivale en de seguridad digital equivale en de seguridad digital equivale en promedio a menos del 1% del EBITDA promedio a menos del 1% del EBITDA promedio a menos del 1% del EBITDA del anterior año fiscal del anterior año fiscal del anterior año fiscal El presupuesto destinado a la El presupuesto destinado a la El presupuesto destinado a la seguridad digital equivale aprox. al seguridad digital equivale aprox. al seguridad digital equivale aprox. al 2,63% del EBITDA del año inmediato 2,03% del EBITDA del año inmediato 1,77% del EBITDA del año inmediato anterior anterior anterior En el 100% el presupuesto de En el 83% el presupuesto de En el 60% el presupuesto de seguridad digital aumentó en seguridad digital aumentó en seguridad digital aumentó en comparación al año fiscal inmediato comparación al año fiscal inmediato comparación al año fiscal inmediato anterior anterior anterior Destinan el 50% del presupuesto en Destinan el 39% del presupuesto en Destinan el 29% del presupuesto en Plataformas y medios tecnológicos Plataformas y medios tecnológicos (ej.: Plataformas y medios tecnológicos (ej.:

(ej.: hardware, software) hardware, software) hardware, software) Destinan el 30% del presupuesto en Destinan el 32% del presupuesto en Destinan el 40% del presupuesto en Servicios tercerizados (ej.: gestión de Servicios tercerizados (ej.: gestión de Servicios tercerizados (ej.: gestión de seguridad, externalización, soporte) seguridad, externalización, soporte) seguridad, externalización, soporte) El retorno sobre la inversión El retorno sobre la inversión El retorno sobre la inversión en seguridad digital equivale en seguridad digital equivale en seguridad digital equivale aproximadamente a un 15,00% aproximadamente a un 10,00% aproximadamente a un 3,75% El 40% manifiesta que estimó el costo El 33% manifiesta que estimó el costo El 17% manifiesta que estimó el costo total de respuesta y de recuperación total de respuesta y de recuperación total de respuesta y de recuperación ante incidentes ante incidentes ante incidentes El 100% manifiesta que el costo total El 40% manifiesta que el costo total El 60% manifiesta que el costo total de respuesta y de recuperación ante de respuesta y de recuperación ante de respuesta y de recuperación ante incidentes equivale en promedio a incidentes equivale en promedio a incidentes equivale en promedio a menos del 1% del EBITDA del anterior menos del 1% del EBITDA del anterior menos del 1% del EBITDA del anterior año fiscal año fiscals año fiscal El costo total de respuesta y de El costo total de respuesta y de El costo total de respuesta y de recuperación ante incidentes de recuperación ante incidentes de recuperación ante incidentes de seguridad digital por entidad equivale seguridad digital por entidad equivale seguridad digital por entidad equivale aprox. al 1,00% del EBITDA del último aprox. al 2,18% del EBITDA del último aprox. al 2,83% del EBITDA del último

año fiscal. año fiscal. año fiscal. 12 Estado de la Ciberseguridad en el Sistema Financiero Colombiano Hallazgos significativos sobre la ciberseguridad desde la perspectiva de los usuarios de las entidades del sector bancario en Colombia: • Los usuarios de Bancos y otros transacciones realizadas directamente establecimientos de crédito privilegian en las oficinas de las entidades los medios virtuales sobre los bancarias (33%). presenciales, lo cual concuerda con el alto grado de digitalización de los • Dentro del uso de medios para realizar servicios y el impulso a la utilización de compras por parte de usuarios de Bancos estos, ya que el 80% de los encuestados y otros establecimientos de crédito, se consulta saldos disponibles y realiza evidencia un incremento en la utilización movimientos (transacciones) usando de medios virtuales como internet con un internet, porcentaje muy superior a 68%, el cual supera al uso del datáfono que los que consultan directamente en alcanza un 55% y se posicionan de forma la oficina con un 22%, o por línea importante las aplicaciones móviles, que telefónica 30%, e igualmente prefieren ya tienen un 48% de usuarios que las usan utilizar las aplicaciones móviles con un para este propósito. 69%, mientras que lo hacen por cajero automático un 38%. • Servicios que fueron antes muy comunes, hoy se ven desplazados • Para operaciones como depósito por nuevas opciones: Para el pago de de cheques o efectivo en Bancos y obligaciones de los productos de Bancos otros establecimientos de crédito, se y otros establecimientos de crédito empieza a posicionar dentro de las se impone el uso de medios de pago opciones disponibles, medios con apoyo virtuales, siendo internet el preferido con

tecnológico como los cajeros automáticos un 59% seguido de aplicaciones móviles multifuncionales, para realizar este tipo un 46%, lo cual supera al 30% de usuarios de operaciones, con un 17% de usuarios, que aun prefieren hacerlo en oficinas de que realizan estas transacciones en los la entidad, de igual manera, para otra cajeros automáticos de las entidades que operación muy común como lo es el pago ofrecen este servicio. Otro aspecto para de servicios públicos también se prefieren destacar frente a este tipo de operaciones, los medios virtuales como internet (59%) es el importante rol que juegan los o por aplicaciones móviles (40%) , que a corresponsales bancarios, empleados por los medios físicos como corresponsales el 29% de los clientes de Bancos y otros bancarios (31%), o en oficinas (29%). establecimientos de crédito. • Respecto a los tipos de dispositivo • Los cajeros automáticos continúan empleados por usuarios de Bancos y otros siendo los canales más utilizados establecimientos de crédito, se prefiere para el manejo del efectivo, con un de interacción digital a través de teléfono 82% de los usuarios de Bancos y otros inteligente (smartphone), con un 53%, que establecimientos de crédito encuestados, supera por más del doble la preferencia de sin embargo, este tipo de transacciones uso de dispositivos como un computador también ha tomado fuerza a través de de escritorio (22%) o portátil (20%), ya sea opciones que ofrecen las entidades para realizar transacciones o consultas. financieras como los corresponsales bancarios, que con un 39%, superan en preferencia de los usuarios a las

13 Estado de la Ciberseguridad en el Sistema Financiero Colombiano • El grado de utilización de medios • Respecto a la experiencia de usuarios digitales para realizar transacciones frente a incidentes de seguridad bancarias que reflejan los usuarios de digital que han visto comprometida banca encuestados es alto, alcanzando un la confidencialidad, integridad o 88%. Solo el 12% de los usuarios manifestó disponibilidad de su información o sus no usar medios digitales para realizar recursos financieros en su Banco, el 61% transacciones, siendo la desconfianza en el afirmó no haber sufrido este tipo de entorno digital (60%) la principal motivación incidentes, mientras que el 27%, indicó que de quienes no utilizan los medios digitales sí había sido afectado y un 5% respondió para realizar sus operaciones bancarias. no saber y/o conocer el asunto. Del total de usuarios afectados,Entre los tipos • Respecto a cultura de seguridad de incidentes digitales experimentados digital solo un 43% de los usuarios más frecuentes, un 20% del total de bancarios manifestaron conocer muchas usuarios afectados señaló fraude por de las definiciones ofrecidas en la llamada telefónica, mientras el un 17% encuesta y solo un 24% conocía todas señalo que fue por fraude a través de las expresiones referidas a distintos tipos correo electrónico, y el un 13% apuntó a la de incidentes cibernéticos. Los usuarios infección con software malintencionado indicaron que se mantienen informados (virus) como la causa, y al tiempo que un principalmente a través de prensa y 7% indicó al fraude por medio de mensaje medios de comunicación (67%), así como de texto. Es de anotar que un porcentaje mediante las redes sociales (55%). Apenas alto indicó no saber la causa (58%).

un 47% de los usuarios se informan de las nuevas amenazas de ciberseguridad por Entre los tipos de incidentes digitales campañas de seguridad adelantadas por experimentados más frecuentes, un sus entidades bancarias, lo cual puede 20% del total de usuarios afectados evidenciar que aún las mismas no resultan señaló fraude por llamada telefónica, suficientes para facilitar el desarrollo un 17% fraude a través de correo de conciencia sobre las amenazas con electrónico, un 13% infección con software destino al eslabón más débil de la cadena, malintencionado (virus), y un 7% indicó al que es precisamente el usuario. fraude por medio de mensaje de texto. Es de anotar que un porcentaje alto indicó • En cuanto a las medidas de seguridad no saber la causa (58%). implementadas por los usuarios de Bancos y otros establecimientos de • La frecuencia con la que los usuarios crédito para prevenir incidentes digitales, expresan haber sido víctimas dio como la más frecuente fue la de usar antivirus resultado que en su mayoría, esto es un en sus computadores (78%), seguido por 59%, sufrió incidentes de esta naturaleza otras prácticas de seguridad relacionadas una a dos veces, mientras que un 29% con el acceso exclusivo en computadoras señaló ninguna, y solo el 7% indicó de tres confiables (76%), uso de contraseñas a cinco veces. con condiciones seguras (66%) y evitando el acceso a través de redes • Con respecto al efecto negativo de los Wi-Fi públicas (59%), la habilitación de incidentes sufridos por los usuarios de notificaciones de transacciones vía SMS Bancos y otros establecimientos de crédito, (57% o correo electrónico (55%), y el uso el de mayor impacto fue la exposición de

de tokens o medios complementarios de datos personales, con un 50%. Un 49% autenticación (37%). manifiesta que a raíz del incidente tuvo 14 Estado de la Ciberseguridad en el Sistema Financiero Colombiano pérdida de recursos financieros, un 33% se • Sobre los mecanismos de reporte, vio afectado para tener acceso al servicio, los usuarios de Bancos y otros mientras un 29% manifiesta un deterioro establecimientos de crédito entrevistados de la imagen que tenían sobre la entidad indicaron, en su mayoría, que la institución financiera y un 10% tuvo como efecto un bancaria sí ofrece un mecanismo para daño a su reputación como cliente del reportar incidentes (67%) y que en sistema financiero, como por ejemplo en efecto han reportado el incidente ante su perfil de crédito, y finalmente el mismo su banco (81%). Por su parte, se resalta porcentaje obtuvo la afectación de robo la manifestación de que, conforme a de identidad. las respuestas, un 56% no sabe de su existencia, solo el 24% afirma que en su • En cuanto al impacto económico país existe un mecanismo para reportar para los usuarios de Bancos y otros incidentes ante un ente gubernamental, establecimientos de crédito afectados mientras que un 20% indica que no existe participantes del estudio, un 40,66% y el escenario es aún menos positivo si se manifiesta que no sufrió pérdida de tiene en cuenta el bajo nivel de reporte dinero, un 13,69% perdió entre 100.001 ante autoridades policiales o judiciales, y 500.000 pesos, un 12,86% perdió dado que, de las respuestas obtenidas, de 1.000.000 a 3.000.000 de pesos y solo el 26% han elevado a estas instancias

un 11,62% de 500.001 a 1.000.000 de los incidentes que les han afectado. pesos. De la totalidad de los usuarios que efectivamente tuvieron pérdida • Respecto a la percepción de los usuarios económica, el 49% manifestó haber sido sobre la evolución de los riegos de que reparado o compensado totalmente, ocurran incidentes cibernéticos, un 64% frente a un 14% que indicó haberlo sido indica que han empeorado en el último parcialmente y un 37% que expresó año, frente a un 26% y 10% que indicó no haber recibido ningún tipo de desconocerlo o no percibir ese aumento, indemnización. respectivamente. El detalle del estudio puede apreciarse en los numerales 4 y 5 de este documento, los cuales desarrollan en profundidad los hallazgos enunciados y muchos otros aspectos que pueden resultar de interés. 15 Estado de la Ciberseguridad en el Sistema Financiero Colombiano Estado de la Ciberseguridad en el Sistema Financiero Colombiano 2. Estado de la Ciberseguridad en el Sistema Financiero Colombiano Prólogo 17 Estado de la Ciberseguri