GAFI - Diagnóstico regional de ciberseguridad aplicado a las UIF del GAFILAT de 2025

22

DIAGNÓSTICO REGIONAL

DE CIBERSEGURIDAD

APLICADO A LAS UNIDADES DE INTELIGENCIA FINANCIERA (UIF) DE LOS PAÍSES DEL GAFILAT DICIEMBRE 2025El GAFILAT agradece el apoyo brindado por la Superintendencia de Bancos de Guatemala en el diseño, la diagramación y corrección de estilo del presente documento. El contenido de esta publicación es completa responsabilidad del Grupo de Acción Financiera de Latinoamérica (GAFILAT). Copyright © GAFILAT. Reservados todos los derechos, queda prohibida la reproducción o la traducción de esta publicación sin permiso previo por escrito. Las solicitudes de permiso de reproducción o de traducción de cualquier parte o de la totalidad de esta publicación deben dirigirse a la siguiente dirección: Libertador 218 – piso 10 - C1001ABPBuenos Aires, Argentina – Teléfono (+54-11) 5252-9292; correo electrónico: contacto@GAFILAT.org.I. ÍNDICE

II. ACRÓNIMOS Y SIGLAS

III. INTRODUCCIÓN ............................................................................................................................................................................1

IV. OBJETIVO .........................................................................................................................................................................................2

V. METODOLOGÍA ..............................................................................................................................................................................3

A. Recopilación de la información ............................................................................................................................................3

B. Marco de ciberseguridad del NIST .......................................................................................................................................3 1. ¿Qué es el NIST y por qué es un buen referente? ......................................................................................................3

2. Las funciones del marco y su relevancia .....................................................................................................................3

3. Niveles de madurez y escala de riesgos ......................................................................................................................5

4. Aplicación del CSF en el diagnóstico ............................................................................................................................7

C. Diagnóstico ..............................................................................................................................................................................7

VI. CONCLUSIONES ...........................................................................................................................................................................12

VII. RECOMENDACIONES ..................................................................................................................................................................13

A. Función: detectar ..................................................................................................................................................................13

B. Función: recuperar ...............................................................................................................................................................14

C. Función: proteger .................................................................................................................................................................15

D. Función: responder ..............................................................................................................................................................19

VIII. REFERENCIAS ................................................................................................................................................................................20

II. ACRÓNIMOS Y SIGLAS ALA .........................Antilavado de activos CFT ..........................Contra el financiamiento del terrorismo CSF ..........................Cyber Security Framework (Marco de Ciberseguridad) ISO ..........................International Organization for Standardization (Organización Internacional de Normalización) GAFILAT ................Grupo de Acción Financiera de Latinoamérica NIST ........................National Institute of Standards and Technology (Instituto Nacional de

Estándares y Tecnología) UIF ..........................Unidad de Inteligencia Financiera TPRM ......................Third Party Risk Management (Gestión de Riesgo de Terceros) KPI ..........................Key Performance Indicators (Indicador Clave de Desempeño)1

III. INTRODUCCIÓN Los ataques cibernéticos constituyen una amenaza en constante crecimiento que ha adquirido dimensiones preocupantes a nivel global y regional. Su impacto puede ser devastador para los particulares, las organizaciones y, especialmente, para los sistemas financieros de los países, al ocasionar pérdidas económicas significativas y comprometer la integridad, disponibilidad y confidencialidad de la información. En el caso de las Unidades de Inteligencia Financiera (UIF), el riesgo es aún mayor, pues un ataque exitoso podría afectar directamente la seguridad nacional y socavar los esfuerzos colectivos de prevención y combate del lavado de activos y del financiamiento del terrorismo.

es aún mayor, pues un ataque exitoso podría afectar directamente la seguridad nacional y socavar los esfuerzos colectivos de prevención y combate del lavado de activos y del financiamiento del terrorismo. La Tercera Actualización del Informe de Amenazas Regionales en materia de Lavado de Activos 2019–2021 (Grupo de Acción Financiera de Latinoamérica, 2022), identificó un incremento relevante de las actividades de cibercrimen, como el phishing y el vishing , dentro de las tipologías de estafa y fraude, ocupando el séptimo lugar entre las amenazas regionales. En el período 2022–2023 (Grupo de Acción Financiera de Latinoamérica, 2024), esta amenaza ascendió a la cuarta posición, lo que evidencia una tendencia sostenida al alza que demanda atención prioritaria por parte de los países miembros. De acuerdo con el Allianz Risk Barometer 2025 (Allianz Commercial, 2025), una encuesta anual realizada entre más de 3.700 expertos en gestión de riesgos de 106 países, los incidentes cibernéticos se posicionan, por tercer año consecutivo, como el riesgo número uno a nivel mundial, con un 38 % de las respuestas, siete puntos porcentuales más que en la edición anterior. El estudio resalta que esta amenaza domina en todos los continentes y se mantiene como la principal preocupación en más de 20 países, evidenciando que la exposición a ataques cibernéticos se ha convertido en un factor transversal que impacta la estabilidad operativa y reputacional de las organizaciones. Además, el barómetro subraya que los riesgos cibernéticos están estrechamente vinculados con otros grandes riesgos corporativos, como la interrupción

que impacta la estabilidad operativa y reputacional de las organizaciones. Además, el barómetro subraya que los riesgos cibernéticos están estrechamente vinculados con otros grandes riesgos corporativos, como la interrupción del negocio, la gestión de datos sensibles y la dependencia tecnológica, lo que exige un enfoque estratégico e integral de resiliencia. En este contexto, las Recomendaciones del Grupo de Acción Financiera Internacional (GAFI), (especialmente aquellas relacionadas con las funciones de las UIF, la protección de la información financiera y el intercambio seguro de datos), subrayan la importancia de que las instituciones cuenten con sistemas tecnológicos sólidos y confiables que aseguren la confidencialidad, integridad y disponibilidad de la información que gestionan. La protección de los reportes de operaciones sospechosas, el acceso seguro a bases de datos sensibles y la garantía de canales de intercambio de información rápidos y seguros con contrapartes nacionales e internacionales constituyen obligaciones esenciales para el cumplimiento de los estándares internacionales. Por ello, el fortalecimiento de la resiliencia cibernética de las UIF no solo responde a una necesidad operativa, sino que es también un aspecto relevante para la efectiva implementación de las Recomendaciones del GAFI. Ante este panorama, la Presidencia Pro Tempore del GAFILAT identificó la necesidad de fortalecer la resiliencia cibernética de las UIF, reconociendo que la protección de la información que estas manejan es esencial para salvaguardar la confidencialidad de la inteligencia financiera. La exposición de datos sensibles o su acceso por actores maliciosos podría tener consecuencias graves, tanto a nivel operativo como estratégico, afectando la

salvaguardar la confidencialidad de la inteligencia financiera. La exposición de datos sensibles o su acceso por actores maliciosos podría tener consecuencias graves, tanto a nivel operativo como estratégico, afectando la confianza y la cooperación internacional. En ese sentido, la Presidencia impulsó por primera vez en el foro del GAFILAT una iniciativa específica sobre ciberseguridad para las UIF, orientada a promover la preparación, prevención y recuperación ante posibles incidentes. Este esfuerzo representa un paso inicial hacia un objetivo más amplio: extender progresivamente las capacidades de ciberseguridad a las autoridades competentes y a los sujetos obligados, fortaleciendo de manera integral la infraestructura de protección y respuesta del sistema Antilavado de Activos y Contra el Financiamiento del Terrorismo (ALA/CFT) en la región.2

IV. OBJETIVO La Presidencia Pro Tempore del GAFILAT, estableció en su Plan de Acción 2025 un eje dedicado a la ciberseguridad, con el objetivo de proporcionar herramientas a las UIF para prevenir y evitar ser víctimas de ataques cibernéticos en sus infraestructuras, y proteger sus sistemas e información.

Asimismo, se planteó como objetivo general realizar un estudio que permita visualizar las buenas prácticas y avances en materia de prevención de ataques de esta índole en un plano regional. El primer objetivo específico de este informe es contar con un diagnóstico regional de implementación de medidas de ciberseguridad en las UIF del GAFILAT, que permita establecer el nivel de madurez de los controles de seguridad con base a la información obtenida del instrumento utilizado (cuestionario), aplicando uno de los marcos de ciberseguridad de mayor aceptación,

permita establecer el nivel de madurez de los controles de seguridad con base a la información obtenida del instrumento utilizado (cuestionario), aplicando uno de los marcos de ciberseguridad de mayor aceptación, desarrollado desde el año 2013 en su primera versión y recientemente actualizado en su versión 2.0 por el Instituto Nacional de Estándares y Tecnología (NIST, por sus siglas en inglés) de los Estados Unidos de América, quien lleva más de un siglo emitiendo estándares técnicos y científicos para que sean aplicados en entidades gubernamentales y privadas con interés en la gestión de riesgos derivados de amenazas cibernéticas, sobre lo cual se desarrolla el presente informe. Así también, a partir de los resultados del diagnóstico, deriva el segundo objetivo específico dirigido a formular recomendaciones basadas en buenas prácticas estándar, que sirvan como una herramienta de apoyo para fortalecer las estrategias o políticas de ciberseguridad de las UIF de la región, contribuyendo al desarrollo de un ecosistema de protección más robusto y sostenible a corto y mediano plazo, en función de las capacidades y recursos disponibles en cada jurisdicción.3

V. METODOLOGÍA

A. RECOPILACIÓN DE LA INFORMACIÓN Para la elaboración del presente diagnóstico, se formuló un cuestionario de 41 preguntas agrupadas en tres secciones, con opciones de respuesta de selección múltiple y texto abierto, diseñado en la herramienta de Microsoft Forms, el cual fue remitido a los 18 países miembros del GAFILAT, para ser completado por funcionarios apropiados de las UIF participantes.

Se obtuvo insumos de 12 de los 18 países miembros,

cual fue remitido a los 18 países miembros del GAFILAT, para ser completado por funcionarios apropiados de las UIF participantes. Se obtuvo insumos de 12 de los 18 países miembros, siendo estos: Bolivia, Chile, Colombia, Ecuador, El Salvador, Guatemala, Nicaragua, Panamá, Paraguay, Perú, República Dominicana y Uruguay. La primera sección del diagnóstico se dirigió a conocer el perfil institucional de la UIF; la segunda, consistió en una autoevaluación para que cada UIF la realizara bajo la escala de madurez NIST según los parámetros indicados; y, la última sección tenía el propósito de conocer si la UIF deseaba formar parte de la red de expertos en tecnología de la información o ciberseguridad regional para compartir experiencias o casos sobre amenazas de ciberseguridad identificadas, y de ser afirmativo el caso, recabar los datos de contacto.

B. MARCO DE CIBERSEGURIDAD DEL NIST Como parte de la metodología aplicada para realizar el diagnóstico y emitir las recomendaciones, se utilizó el Marco de Ciberseguridad del NIST (National Institute of Standards and Technology, 2025) en su versión 2.0, internacionalmente reconocido por su aplicabilidad a todo tipo de instituciones y por su alineación con mejores prácticas certificables

(por ejemplo, ISO 27001:2022). El NIST pone a disposición gratuitamente guías, herramientas y documentación que permiten a cualquier entidad interesada fortalecer su postura de ciberseguridad, gestionar el apetito de riesgo derivado del uso de tecnologías y hacer frente al panorama creciente de amenazas cibernéticas. El Marco de Ciberseguridad (“Cybersecurity Framework”, CSF) del NIST versión 2.0 está integrado por 106 requisitos de

derivado del uso de tecnologías y hacer frente al panorama creciente de amenazas cibernéticas. El Marco de Ciberseguridad (“Cybersecurity Framework”, CSF) del NIST versión 2.0 está integrado por 106 requisitos de ciberseguridad (es decir, subcategorías o requerimientos) que toda institución debe procurar cumplir, tomando en cuenta su propio contexto: recursos, procesos, procedimientos, sistemas y redes, dado que cada UIF interactúa con otras entidades y se expone al riesgo de ataques cibernéticos dinámicos. Estos 106 requerimientos están agrupados en 23 categorías (también llamados dominios de acción), asociadas a seis funciones o áreas de focalización de esfuerzos, siendo estas: gobernar, identificar, proteger, detectar, responder y recuperar. 1. ¿Qué es el NIST y por qué es un buen referente? El NIST es una agencia estadounidense dedicada a desarrollar estándares, directrices y buenas prácticas, incluida la seguridad de la información. El CSF del NIST fue concebido para ayudar a las organizaciones a comprender, gestionar y reducir los riesgos de ciberseguridad de forma sistemática. La versión 2.0 del CSF amplía su cobertura, adopta un lenguaje más universal, incluye el nuevo componente de gobernanza y está diseñada para todo tipo de organizaciones (independientemente de su tamaño o sector) que busquen fortalecer su resiliencia frente a ciberamenazas. Para una UIF que actúa en el ecosistema regional ALA/ CFT, como es el caso del Grupo de Acción Financiera de Latinoamérica (GAFILAT), y aún en un plano internacional en cooperación con contrapartes de otras regiones,

ciberamenazas. Para una UIF que actúa en el ecosistema regional ALA/ CFT, como es el caso del Grupo de Acción Financiera de Latinoamérica (GAFILAT), y aún en un plano internacional en cooperación con contrapartes de otras regiones, este marco ofrece una estructura robusta, reconocida internacionalmente, que posibilita la comparación de su postura de ciberseguridad, la identificación de brechas, la priorización de acciones y la construcción de un plan de mejoras alineado con estándares globales.

2. Las funciones del marco y su relevancia Las seis funciones del CSF 2.0 establecen un ciclo completo de gestión del riesgo de ciberseguridad:4

Gobernar Función estratégica introducida en la versión 2.0, que exige que la organización defina claramente roles, responsables, estrategias, políticas, apetito de riesgo cibernético, y que se integre la ciberseguridad dentro de la gobernanza corporativa y de riesgo global. La estrategia, expectativas y política de gestión de riesgos de ciberseguridad de las UIF se establecen, se comunican y se supervisan. La función gobernar proporciona resultados que informan sobre las medidas que las unidades pueden tomar para lograr y priorizar los resultados de las otras cinco funciones en el contexto de su misión y las expectativas de las partes interesadas. Las actividades de gobernanza son fundamentales para incorporar la ciberseguridad en la estrategia general de gestión de riesgos de las unidades. Gobernar aborda la comprensión del contexto organizacional; el establecimiento de la estrategia de ciberseguridad y la gestión de riesgos de la cadena de suministro de ciberseguridad; los roles, las responsabilidades y las

Gobernar aborda la comprensión del contexto organizacional; el establecimiento de la estrategia de ciberseguridad y la gestión de riesgos de la cadena de suministro de ciberseguridad; los roles, las responsabilidades y las autoridades; la política; y la supervisión de la estrategia de ciberseguridad. Identificar Comprender el negocio, los activos, los riesgos, y establecer el contexto para gestionar el riesgo de ciberseguridad. Se comprenden los riesgos actuales de ciberseguridad de las unidades, los activos de las UIF (por ejemplo, datos, hardware, software, sistemas, instalaciones, servicios, personal), los proveedores y los riesgos de ciberseguridad relacionados permite a las unidades priorizar sus esfuerzos de acuerdo con su estrategia de gestión de riesgos y las necesidades de la misión identificadas en gobernar. Esta función también incluye la identificación de oportunidades de mejora para las políticas, planes, procesos, procedimientos y prácticas de la organización que respaldan la gestión de riesgos de ciberseguridad, con el fin de fundamentar las iniciativas de las seis funciones. Proteger Implementar salvaguardias apropiadas para asegurar la entrega de servicios críticos, incluyendo políticas, formación, controles de acceso, tecnología de protección, entre otros. Se utilizan salvaguardas para gestionar los riesgos de ciberseguridad de las UIF. Una vez identificados y priorizados los activos y riesgos, la función proteger facilita la protección de dichos activos para prevenir o reducir la probabilidad y el impacto de eventos adversos de ciberseguridad, así como para aumentar la probabilidad y el impacto de aprovechar las oportunidades. Los resultados que abarca esta función incluyen la gestión de identidades, la autenticación y el

el impacto de eventos adversos de ciberseguridad, así como para aumentar la probabilidad y el impacto de aprovechar las oportunidades. Los resultados que abarca esta función incluyen la gestión de identidades, la autenticación y el control de acceso; la concienciación y la formación; la seguridad de los datos; la seguridad de la plataforma (es decir, la protección del hardware, el software y los servicios de las plataformas físicas y virtuales); y la resiliencia de la infraestructura tecnológica. Detectar Establecer capacidades para identificar eventos de ciberseguridad de forma oportuna, mediante monitoreo, análisis y procedimientos de alerta. Se detectan y analizan posibles ataques y vulnerabilidades de ciberseguridad. La función detectar permite el descubrimiento y el análisis oportuno de anomalías, indicadores de vulnerabilidad y otros eventos potencialmente adversos que puedan indicar la ocurrencia de ataques e incidentes de ciberseguridad. Esta función facilita el éxito de las actividades de respuesta y recuperación ante incidentes.

FUNCIÓN DESCRIPCIÓN5

FUNCIÓN DESCRIPCIÓN Responder Desarrollar e implementar las acciones necesarias cuando se detecta un incidente, para contener su impacto, mitigar consecuencias y comunicar de forma adecuada. Se toman medidas ante un incidente de ciberseguridad detectado. La función facilita la capacidad de contener los efectos de los incidentes de ciberseguridad. Los resultados de esta función abarcan la gestión, el análisis, la mitigación, la generación de informes y la comunicación de incidentes. Recuperar Restaurar capacidades o servicios afectados por un incidente para volver a la normalidad, y mejorar la resistencia. Se restauran los activos y las operaciones afectados por un incidente de ciberseguridad. La función recuperar facilita la restauración oportuna de las

Recuperar Restaurar capacidades o servicios afectados por un incidente para volver a la normalidad, y mejorar la resistencia. Se restauran los activos y las operaciones afectados por un incidente de ciberseguridad. La función recuperar facilita la restauración oportuna de las operaciones normales para reducir los efectos de los incidentes de ciberseguridad y facilitar una comunicación adecuada durante las tareas de recuperación Tabla 1. Descripción de las funciones de NIST versión 2.0 Para una UIF, cada una de estas funciones adquiere relevancia particular, por ejemplo, la función de gobernar asegura que la confidencialidad de la inteligencia financiera esté respaldada por políticas institucionales; la función de detectar permite identificar rápidamente accesos no autorizados o anomalías; la función de Recuperar asegura que, ante un incidente, los sistemas críticos vuelvan a operar y la cooperación regional no se vea interrumpida.

3. Niveles de madurez y escala de riesgos El CSF 2.0 define los niveles de implementación para evaluar qué tan madura es la gestión del riesgo de ciberseguridad en la organización. Para una mejor comprensión de la escala de nivel de madurez, descritos a continuación: Nivel de madurez Descripción 1 - Inexistente No hay conciencia ni procesos formales de ciberseguridad. Los riesgos no se identifican ni gestionan. Ejemplo: un área de la unidad almacena datos sensibles sin cifrado y sin políticas de acceso. 2 - Inicial Los controles son reactivos y dependen de acciones individuales

(Ejemplo: un empleado resuelve un incidente de phishing sin protocolos). No hay documentación ni métricas. 3 - Repetible Existen prácticas informales basadas en experiencias pasadas

2 - Inicial Los controles son reactivos y dependen de acciones individuales (Ejemplo: un empleado resuelve un incidente de phishing sin protocolos). No hay documentación ni métricas. 3 - Repetible Existen prácticas informales basadas en experiencias pasadas (Ejemplo: se aplican parches de seguridad, pero sin un calendario fijo). Falta estandarización y supervisión de la dirección. 4 - Definido Los procesos están documentados y alineados a marcos como ISO 27001 o NIST (Ejemplo: la unidad tiene un protocolo de respuesta a incidentes y realiza auditorías anuales de cumplimiento).6 Nivel de madurez Descripción 5 - Administrado Se usan métricas para monitorear riesgos (Ejemplo: tiempo de detección de amenazas, tasa de fraudes bloqueados). La alta dirección recibe reportes periódicos. 6 - Optimizado La ciberseguridad se integra con la estrategia del negocio. Uso de IA/ML para predicción de amenazas y mejora continua (Ejemplo: análisis automatizado de transacciones fraudulentas en tiempo real). 7 - No Aplicable El objetivo de control no se aplica al área que se está evaluando. Tabla 2. Descripción de los Nivel de Madurez de NIST versión 2.0 utilizado en el cuestionario compartido. En cuanto a la escala de riesgos, el marco ayuda a una institución a alinear la evaluación de sus activos, amenazas, vulnerabilidades, impacto y probabilidad, permitiendo definir su apetito de riesgo, establecer tolerancias, priorizar acciones. A continuación, se describe la escala de niveles de riesgo: Riesgo DESCRIPCIÓN Muy Alto Prácticamente se está expuesto a múltiples amenazas debido a que, o no existen controles,

acciones. A continuación, se describe la escala de niveles de riesgo: Riesgo DESCRIPCIÓN Muy Alto Prácticamente se está expuesto a múltiples amenazas debido a que, o no existen controles, o no son los adecuados o carecen de fortaleza, por consiguiente, el riesgo es crítico ya que el no tomar acciones e implementar controles adecuados pudiera representar para la institución la paralización total o parcial de las operaciones, pérdidas económicas importantes o daños a la reputación. Alto La ocurrencia efectiva de ciertas amenazas pudiera representar pérdidas económicas significativas o una paralización de operaciones en servicios claves. Lo anterior debido a que los controles existentes no están totalmente ajustados. Medio Se está expuesto a ciertas amenazas ya que aún falta la implementación de algunos controles y entonación apropiada de los mismos, pudiendo representar trabajos adicionales debido a daños ocasionados a ciertos procesos puntuales. Bajo Se está poco expuesto a amenazas debido a que existen controles adecuados y bien implementados. Si ocurriera una amenaza, el daño para la institución se pudiera aceptar ya que existe la posibilidad de recuperación mediante una baja inversión de recursos. Muy Bajo Prácticamente no se está expuesto a amenazas ya que los controles están bien implementados y con un alto nivel de madurez. Si ocurre una amenaza el grado del daño es despreciable. Tabla 3. Descripción de los niveles de riesgo en el CSF NIST.7

4. Aplicación del CSF en el diagnóstico La adopción del NIST CSF 2.0 en el diagnóstico de las UIF de la región permite lo siguiente: • Contar con un lenguaje común y reconocido internacionalmente para evaluar la postura de ciberseguridad.

La adopción del NIST CSF 2.0 en el diagnóstico de las UIF de la región permite lo siguiente: • Contar con un lenguaje común y reconocido internacionalmente para evaluar la postura de ciberseguridad. • Comparar la situación de las UIF frente a un marco escalable y aplicable al sector público/regulatorio. • Evaluar la madurez institucional (nivel de gobernanza, recursos, procesos, tecnología) y establecer un punto de partida para mejoras progresivas. • Priorizar las áreas de mayor riesgo (por ejemplo, detección de intrusiones, protección de datos, recuperación ante incidentes) sobre la base del diagnóstico. • Promover la alineación con estándares certificados como ISO 27001, facilitando la confianza entre las autoridades del sistema ALA/CFT. En conclusión, el uso del Marco de Ciberseguridad del NIST versión 2.0 como base para el diagnóstico y las recomendaciones, proporciona un enfoque estructurado, estratégico, medible y adaptable, que respalda la necesidad de fortalecer las capacidades de las UIF en la región, garantizar la confidencialidad de la inteligencia financiera y mejorar su resiliencia ante el aumento de las amenazas cibernéticas.

C. DIAGNÓSTICO Como resultado del análisis sobre el autodiagnóstico realizado por las UIF de los países miembros de GAFILAT que participaron, fue posible identificar preocupaciones similares sobre los ciberincidentes a los que las agencias pudieran verse afectadas, a pesar de que el contexto de las UIF participantes en el diagnóstico sean diferentes en su mayoría.

Se debe tomar en cuenta que, en atención a la naturaleza altamente sensible de la información vinculada con infraestructura tecnológica, capacidades operativas y

UIF participantes en el diagnóstico sean diferentes en su mayoría. Se debe tomar en cuenta que, en atención a la naturaleza altamente sensible de la información vinculada con infraestructura tecnológica, capacidades operativas y eventuales deficiencias de seguridad, este diagnóstico no incorpora datos ni descripciones específicas por país, con el fin de resguardar información crítica cuya divulgación podría generar riesgos operativos para las UIF. En consecuencia, el presente documento expone únicamente hallazgos, tendencias y conclusiones de carácter general y regional, suficientes para comprender el nivel de desarrollo y las necesidades comunes en materia de ciberseguridad. El cuestionario permitió identificar aspectos relevantes para conocer las capacidades de respuesta y gestión de incidentes de ciberseguridad, los cuales se describen a continuación: • Naturaleza de las UIF: once de las doce UIF participantes son de naturaleza administrativa (92%) y una de tipo judicial (8%). • Estructura organizacional de la UIF: con relación a la consulta sobre a que institución se encuentra adscrita la UIF, fue identificado que el valor mayor de similitud es de tres UIF, que están adscritas al Ministerio de Hacienda de su país, seguido de dos que están adscritas a la Superintendencia de Bancos, al igual que dos UIF adscritas a la Presidencia del país. Esto permite confirmar que el contexto y riesgos pueden variar, aunque en su mayoría, aplicando la clasificación del Reporte de Verizon Data Breach Report 2025, pudieran tomarse en consideración los riesgos de ciberseguridad identificados y materializados del sector público más representativos, siendo los siguientes: el acceso no autorizado por intrusiones a sistemas, y aprovechamiento de errores de configuración en aplicaciones web, que

tomarse en consideración los riesgos de ciberseguridad identificados y materializados del sector público más representativos, siendo los siguientes: el acceso no autorizado por intrusiones a sistemas, y aprovechamiento de errores de configuración en aplicaciones web, que representan el 78% de las 946 brechas de ciberseguridad confirmadas de 1.422 incidentes de ciberseguridad registrados en dicho estudio y del sector financiero, adicional a las amenazas del sector público, se identifican las amenazas de ingeniería social como los más representativos. • Tamaño de las UIF: en promedio, la cantidad de colaboradores de las UIF que forman parte del GAFILAT es de 85. La UIF más grande est