Cultura de seguridad y gestión de riesgos ISO/IEC 27001 en la Dirección Nacional de Migraciones
DOI:
https://doi.org/10.67827/2ne9ky26Palabras clave:
seguridad de la información, gestión de riesgos, cultura organizacional, tecnologías de la información, ciberseguridad, ParaguayResumen
El presente estudio analiza la relación entre la gestión de riesgos de tecnologías de la información (TI) y la cultura de seguridad de la información en la Dirección Nacional de Migraciones (DNM) del Paraguay, con el propósito de diseñar un plan de gestión de riesgos fundamentado en la norma ISO/IEC 27001 que fortalezca las prácticas de protección de los datos migratorios. El diseño metodológico adoptado fue mixto, de tipo secuencial con preponderancia cuantitativa y alcance descriptivo: se aplicó una encuesta a una muestra probabilística de 219 funcionarios de una población de 512, se entrevistó a cinco altos directivos y se examinaron las políticas institucionales mediante una lista de cotejo alineada a la norma. Los resultados revelan una brecha entre la conciencia y la práctica: aunque el 75,2 % de los funcionarios conoce las políticas de seguridad y el 91,7 % considera muy importante cumplirlas, el 83,5 % no recibió capacitación formal en los últimos doce meses, solo el 53,2 % encuentra claras dichas políticas y el 44 % desconoce el procedimiento de reporte de incidentes. Sobre esa base se identificaron diez riesgos prioritarios asociados al factor humano mediante el método MOSLER, tres de nivel crítico, y se asignaron responsabilidades con la matriz RACI. Se concluye que la combinación de ISO/IEC 27001, MOSLER y RACI proporciona un modelo estructurado y replicable para consolidar la cultura de seguridad en instituciones públicas paraguayas.
Referencias
Arias, F. G. (2012). El proyecto de investigación: introducción a la metodología científica (6.ª ed.). Editorial Episteme.
Banco Interamericano de Desarrollo y Organización de los Estados Americanos. (2020). Reporte Ciberseguridad 2020: riesgos, avances y el camino a seguir en América Latina y el Caribe. BID; OEA. https://doi.org/10.18235/0002513 DOI: https://doi.org/10.18235/0002513
Burgos Salazar, J., y Campos, P. G. (2008). Modelo para seguridad de la información en TIC. CEUR Workshop Proceedings, 488, 234–253. https://ceur-ws.org/Vol-488/paper13.pdf
Calder, A., y Watkins, S. (2020). IT governance: An international guide to data security and ISO 27001/ISO 27002 (7.ª ed.). Kogan Page.
Cano, J. (2015). Imaginarios sociales: una herramienta sistémico-social para transformar una cultura organizacional de seguridad de la información [Ponencia académica]. ResearchGate. https://www.researchgate.net/publication/282769507
Cano, J. (2016). Modelo de madurez de cultura organizacional de seguridad de la información: una visión desde el pensamiento sistémico-cibernético. En Actas de la XIV Reunión Española sobre Criptología y Seguridad de la Información (RECSI) (pp. 24–29). Universitat de les Illes Balears. http://recsi16.uib.es/wp-content/uploads/2016/10/ACTAS-RECSI-2016.pdf
CERT-PY. (2022). Informe de Ciberseguridad en Paraguay 2022. Ministerio de Tecnologías de la Información y Comunicación. https://www.cert.gov.py/wpcontent/uploads/2024/01/Informe-Ciberseguridad-Paraguay-2022.pdf
Culot, G., Nassimbeni, G., Podrecca, M., y Sartor, M. (2021). The ISO/IEC 27001 information security management standard: Literature review and theory-based research agenda. The TQM Journal, 33(7), 76–105. https://doi.org/10.1108/TQM-09-2020-0202 DOI: https://doi.org/10.1108/TQM-09-2020-0202
Decreto N.º 7052. (2017). Por el cual se aprueba el Plan Nacional de Ciberseguridad y se integra la Comisión Nacional de Ciberseguridad. Presidencia de la República del Paraguay. https://www.cert.gov.py/wp-content/uploads/2022/07/Decreto-N%C2%B07052-17.pdf
Decreto N.º 8942. (2023). Por el cual se aprueba el Plan Nacional TIC Paraguay 2022–2030. Presidencia de la República del Paraguay. https://www.cert.gov.py/wpcontent/uploads/2023/08/Plan-Nacional-TIC.pdf
Fornerón Llano, A. R. (2025). Diseño de un plan de gestión de riesgos de TI basado en ISO 27001 para el fortalecimiento de la cultura de seguridad en la Dirección Nacional de Migraciones. Año 2024 [Tesis de maestría, Instituto Superior Vía Pro Desarrollo].
Hernández Otálora, S. J. (2019). Cultura en seguridad de la información [Trabajo de grado, Universidad Piloto de Colombia]. Repositorio Institucional. http://repository.unipiloto.edu.co/handle/20.500.12277/6436
Hernández-Sampieri, R., y Mendoza Torres, C. P. (2018). Metodología de la investigación: las rutas cuantitativa, cualitativa y mixta. McGraw-Hill Interamericana.
Instituto Nacional de Ciberseguridad. (2022). Desarrollar cultura en seguridad. INCIBE. https://www.incibe.es/empresas/que-te-interesa/desarrollar-cultura-en-seguridad
ISACA. (2009). The Risk IT Framework. ISACA.
ISO/IEC. (2022). ISO/IEC 27001:2022. Information security, cybersecurity and privacy protection — Information security management systems — Requirements (3.ª ed.). International Organization for Standardization. https://www.iso.org/standard/27001
Ley N.º 6984. (2022). De Migraciones. Biblioteca y Archivo Central del Congreso Nacional. https://www.bacn.gov.py/leyes-paraguayas/10973/ley-n-6984-de-migraciones
Paillacho Arias, S. M. (2015). Modelo de un proceso de la gestión del riesgo de la seguridad de la información en entidades gubernamentales [Tesis de maestría, Escuela Politécnica Nacional]. Repositorio Digital EPN. http://bibdigital.epn.edu.ec/handle/15000/10653
Podrecca, M., Culot, G., Nassimbeni, G., y Sartor, M. (2022). Information security and value creation: The performance implications of ISO/IEC 27001. Computers in Industry, 142, 103744. https://doi.org/10.1016/j.compind.2022.103744 DOI: https://doi.org/10.1016/j.compind.2022.103744
Resolución MITIC N.º 733. (2019). Por la cual se aprueba el modelo de gobernanza de seguridad de la información en el Estado. Ministerio de Tecnologías de la Información y Comunicación. https://www.cert.gov.py/wp-content/uploads/2022/07/ RESOLUCION_MITIC_N_733-2019_-_Modelo_de_Gobernanza-1.pdf
Romero Romero, A., Gasca Leyva, M. E., García Palmas, M. A., y Hernández Suárez, A. (2022). Aplicación de buenas prácticas, un camino hacia la cultura de la seguridad informática en las instituciones públicas. Revista Electrónica sobre Tecnología, Educación y Sociedad, 9(18). https://www.ctes.org.mx/index.php/ctes/article/view/794
Schein, E. H. (2010). Organizational culture and leadership (4.ª ed.). Jossey-Bass.
Secretaría Permanente del Consejo de Defensa Nacional. (2024). Seguridad para el Desarrollo: Plan Estratégico 2023–2028. Ministerio de Defensa Nacional del Paraguay. https://mdn.gov.py/wp-content/uploads/2024/11/Plan-Seguridad-para-el-Desarrollo2023-2028.pdf
Uchendu, B., Nurse, J. R. C., Bada, M., y Furnell, S. (2021). Developing a cyber security culture: Current practices and future needs. Computers & Security, 109, 102387. https://doi.org/10.1016/j.cose.2021.102387 DOI: https://doi.org/10.1016/j.cose.2021.102387
Vanegas Devia, G. A., y Pardo, C. J. (2014). Hacia un modelo para la gestión de riesgos de TI en MiPyMEs: MOGRIT. Sistemas & Telemática, 12(30), 35–48. https://www.redalyc.org/pdf/4115/411534000003.pdf DOI: https://doi.org/10.18046/syt.v12i30.1860
