Metodología para el análisis y gestión de riesgos en seguridad de las Pymes considerando software OpenSource

Abstract

Las pymes del sector servicios en Colombia enfrentan dificultades para gestionar riesgos de seguridad informática debido a recursos limitados, baja madurez digital, ausencia de personal especializado y aplicación poco sistemática de referentes internacionales. Esta investigación propuso una metodología de análisis y gestión de riesgos orientada a fortalecer la protección de activos en este contexto. El diseño fue propositivo-aplicado, con enfoque mixto, y se desarrolló en cuatro fases: caracterización de referentes, selección de herramienta, instrumentación tecnológica y validación mediante prueba de escritorio. Se empleó AHP para priorizar cinco referentes internacionales, seleccionando OCTAVE-S v1.0 como base metodológica, y para evaluar herramientas de soporte, seleccionando MONARC. La metodología se instrumentó en un entorno controlado y se validó con el caso simulado “PyME Servicios Colombia”, construido a partir de patrones identificados en un instrumento diagnóstico de apoyo aplicado previamente a 72 organizaciones. Los resultados permitieron identificar activos críticos, valorar riesgos, definir tratamientos, asignar responsables y generar evidencias documentales. Se concluye que la integración de referentes híbridos y software OpenSource ofrece una alternativa viable, trazable y aplicable para pymes con baja madurez digital.

Service-sector SMEs in Colombia face difficulties managing information security risks due to limited resources, low digital maturity, lack of specialized personnel, and unsystematic application of international references. This research proposed a risk analysis and management methodology aimed at strengthening asset protection in this context. The study followed an applied-propositional design with a mixed approach and was developed in four phases: characterization of references, tool selection, technological instrumentation, and validation through a desk-based test. AHP was used to prioritize five international references, selecting OCTAVE-S v1.0 as the methodological basis, and to evaluate support tools, selecting MONARC. The methodology was instrumented in a controlled environment and validated through the simulated case “PyME Servicios Colombia,” built from patterns identified in a supporting diagnostic instrument previously applied to 72 organizations. The results made it possible to identify critical assets, assess risks, define treatments, assign responsibilities, and generate documentary evidence. It is concluded that the integration of hybrid references and OpenSource software offers a viable, traceable, and applicable alternative for SMEs with low digital maturity.