Diseño de un Plan de Concientización en Seguridad de la Información para una Mediana Empresa de Tecnología, Aplicando las Recomendaciones de la Guía NIST SP800.50r1
Abstract
La investigación se desarrolla en una mediana empresa de tecnología. que, al avanzar en la implementación de su Sistema de Gestión de Seguridad de la Información, identifica al factor humano como uno de los principales vectores de riesgo, a partir de campañas de phishing, auditorías y análisis de riesgos que evidencian comportamientos que incrementan la exposición a amenazas. En un entorno donde los incidentes derivados de errores humanos o ingeniería social representan una proporción significativa de las brechas de seguridad, se hace necesario un programa estructurado de concientización alineado con estándares internacionales (Verizon, 2024). La investigación se apoya en la guía NIST SP 800-50r1, que plantea un Programa de Aprendizaje en Ciberseguridad y Privacidad como un sistema continuo, medible y orientado al cambio de comportamiento, articulado con los requisitos de competencia, concientización y capacitación de ISO/IEC 27001:2022 y con el control 6.3 de ISO/IEC 27002:2022, que exigen que el personal comprenda sus responsabilidades y actúe conforme a las políticas y controles definidos. Sobre esta base, se concluye que el aprendizaje en seguridad debe integrarse con la cultura organizacional y la gobernanza del SGSI. El estudio, de tipo aplicado y enfoque cualitativo, tiene como propósito planear, analizar y diseñar un Plan de Concientización en Seguridad de la Información (PCSI) ajustado a la realidad organizacional, mediante un análisis interpretativo de documentos internos que permite identificar brechas de comportamiento y necesidades formativas, y definir propósito, alcance, audiencias, roles, contenidos, lineamientos y métricas del plan. La hipótesis plantea que un PCSI alineado con la NIST SP 800-50r1 permite delimitar de forma clara el alcance, los objetivos, requisitos y brechas que se busca mitigar, habilitando, en etapas posteriores al alcance de esta investigación, una mejora en la capacidad de las personas para identificar amenazas (NIST, 2024, secc. 4.1–4.3).
