Diseño de un Sistema de Gestión de Seguridad de la Información (SGSI) de CYRE Colombia SAS Basado en la Norma Ntc-Iso-Iec-27001: 2022

Abstract

El presente trabajo tiene como objetivo diseñar un Sistema de Gestión de Seguridad de la Información (SGSI) para Cyre Colombia S.A.S., con base en los lineamientos de la norma ISO/IEC 27001:2022. La investigación se desarrolló a partir de la necesidad de fortalecer la protección de los activos de información de la organización, considerando su operación principalmente remota y el tratamiento de información sensible en plataformas digitales. El estudio se realizó bajo un enfoque aplicado, de tipo descriptivo y proyectivo, con un componente cualitativo apoyado en herramientas como el análisis de brechas (GAP), la revisión documental y las entrevistas estructuradas. Los resultados del diagnóstico evidenciaron un bajo nivel de madurez frente a los requisitos de la norma, así como la ausencia de controles formalizados y de una gestión estructurada del riesgo. Con base en ello, se diseñaron los principales componentes del SGSI, entre ellos el análisis del contexto organizacional, la política de seguridad de la información, los roles y responsabilidades, la metodología de identificación de activos y gestión de riesgos alineada con la norma ISO/IEC 27005:2022, la Declaración de Aplicabilidad (SOA), el Plan de Formación y Concientización en Seguridad de la Información, y los lineamientos para la evaluación del desempeño y la mejora continua del sistema. Como resultado, se presenta una propuesta integral de diseño del SGSI para Cyre Colombia S.A.S., la cual constituye una base metodológica y documental para una futura implementación, orientada a fortalecer la confidencialidad, integridad y disponibilidad de la información.

The objective of this study is to design an Information Security Management System (ISMS) for Cyre Colombia S.A.S., based on the guidelines established in ISO/IEC 27001:2022. The research was developed in response to the need to strengthen the protection of the organization’s information assets, considering its mainly remote operation and the processing of sensitive information through digital platforms. The study was conducted under an applied, descriptive, and projective approach, with a qualitative component supported by tools such as gap analysis (GAP), document review, and structured interviews. The diagnostic results showed a low level of maturity regarding the standard’s requirements, as well as the absence of formalized controls and a structured information security risk management process. Based on these findings, the main components of the ISMS were designed, including the analysis of the organizational context, the information security policy, roles and responsibilities, the methodology for information asset identification and risk management aligned with ISO/IEC 27005:2022, the Statement of Applicability (SoA), the Information Security Awareness and Training Plan, and the guidelines for performance evaluation and continual improvement of the system. As a result, this study presents a comprehensive ISMS design proposal for Cyre Colombia S.A.S., which constitutes a methodological and documentary basis for future implementation, aimed at strengthening the confidentiality, integrity, and availability of information.