Modelo de gestión de riesgos de seguridad de la información para PYMES peruanas

Abstract

Hoy en día, las empresas tratan de proteger su activo muy valioso, la información, para lo que recurren a la gestión de sus riesgos, tratando de evitar situaciones negativas tales como pérdidas financieras significativas, violación de la confidencialidad de información sensible, pérdida de integridad o disponibilidad de datos confidenciales. En organizaciones como las PYMES no se implementan modelos de gestión de riesgos debido a que estas organizaciones no consideran relevante la seguridad de la información, ya que no se encuentra dentro de lo presupuestado. Existen diferentes enfoques de riesgos, pero, generalmente dirigidos a grandes empresas; para las PYMES es más adecuado emplear un enfoque cualitativo. Este trabajo presenta un modelo de gestión de riesgos basado en la metodología OCTAVE-S y la norma ISO/IEC 27005, consta de las 3 fases de OCTAVE al que se le añade la lista de vulnerabilidades y escenarios en la fase 1, además el cálculo y tratamiento del riesgo de la ISO/IEC 27005 en la última fase. Asimismo, el modelo adopta un enfoque cuantitativo que permite calcular el riesgo residual con base en la efectividad de los controles otorgados, de este modo se logra brindar un modelo adecuado para las organizaciones. El modelo propuesto fue implementado en el proceso de ventas de una PYME peruana del sector cerámicos, demostrando un fácil uso, y logrando identificar los controles necesarios para reducir el riesgo, cuya implementación podría reducir el riesgo en un 53%.

La información como activo estratégico y de valor para las organizaciones

“…En ese sentido, puede considerarse que la información es un activo estratégico muy importante que permite garantizar la continuidad de la operatividad a corto, mediano y largo plazo (Gallardo-Vázquez & Valdez Juárez, 2022). Esto hace necesario, que se tomen todas las medidas para garantizar la seguridad y disponibilidad de la información a través de la identificación de vulnerabilidades y amenazas para corregirlas o minimizarlas (García Porras et al, 2018).…”

Análisis de riesgos y fortalecimiento de la seguridad de la información en el Centro de Capacitación y Actualización Profesional de la Universidad Católica de Cuenca

“…Las Instituciones de Educación Superior -IES, dentro de sus procesos manejan información delicada, personal e importante, que de ser vulnerada puede poner en riesgo el normal funcionamiento de la institución y la confiabilidad de todos los involucrados en estos procesos, como lo corrobora Castro-Maldonado & Villar-Vega (2021), "…las instituciones de educación superior deben manejar de forma responsable la información de los actores que en ella se interrelacionan, como son los estudiantes, docentes y personal administrativo" (p. 46). Para Zevallos (2019), todo tipo de organización que tenga procesos digitalizados está expuesta a riesgos informáticos, su investigación ofrece una visión completa sobre la gestión de riesgos, el autor menciona la importancia de utilizar las normas o metodologías de manera eficiente adaptándola a las situación que presenta cada organización con el fin de analizar y tratar los riesgos que están presente.…”

Security Operations Center, como modelo de gestión de ciberseguridad para el Hospital Especialidades de Portoviejo, Manabí-Ecuador.

“…Para la aplicación de dicho control es necesario tomarlo como modelo de gestión, para brindar un enfoque estructurado y sistemático que permita planificar, organizar, dirigir y controlar los recursos y procesos de una organización con el objetivo de lograr sus metas y objetivos de manera efectiva y eficiente, además de precautelar la seguridad de la información (Morales, 2019). Éstos proporcionan una guía para la toma de decisiones y la implementación de acciones que permitan el logro de los resultados deseados.…”