CyberTrack 360: una guía de autodiagnóstico para pymes basada en ISO/IEC 27001

Abstract

La creciente dependencia de los sistemas digitales ha incrementado la exposición de las microempresas a riesgos relacionados con la seguridad de la información. Aunque existen marcos reconocidos internacionalmente como ISO/IEC 27001, ISO/IEC 27002 y NIST Cybersecurity Framework, su complejidad dificulta su adopción en organizaciones con recursos limitados. En este contexto, el objetivo de la investigación fue diseñar y evaluar un producto mínimo viable (MVP) denominado CyberTrack 360, orientado a facilitar el diagnóstico inicial de madurez en seguridad de la información y la adopción progresiva de controles esenciales en microempresas colombianas. La investigación se desarrolló bajo un enfoque mixto, alcance descriptivo y diseño no experimental transversal, apoyado en la metodología Design Science Research Methodology (DSRM). Se aplicó una encuesta a 50 propietarios y cargos gerenciales de microempresas para identificar necesidades, barreras y percepciones relacionadas con la ciberseguridad. Los resultados evidenciaron que el 82% de los participantes considera que la pérdida de acceso a la información tendría un impacto alto o muy alto en sus operaciones, mientras que solo el 28% percibe una alta probabilidad de sufrir incidentes. Asimismo, se identificaron bajos niveles de adopción de controles básicos, predominando barreras asociadas a la falta de conocimiento técnico (72%), desconocimiento sobre cómo iniciar (68%) y percepción de altos costos (54%). A partir de estos hallazgos se desarrolló CyberTrack 360, una plataforma web basada en cuestionarios por roles, evaluación de madurez, generación de recomendaciones priorizadas, gestión de evidencias y políticas básicas de seguridad. Los resultados obtenidos respaldan la hipótesis de que las microempresas requieren herramientas prácticas, comprensibles y accesibles para facilitar la adopción de controles de seguridad. Se concluye que CyberTrack 360 constituye una alternativa viable para reducir la brecha entre el conocimiento de buenas prácticas y su implementación efectiva, promoviendo una cultura de mejora continua en organizaciones con recursos limitados.

The increasing reliance on digital systems has heightened microenterprises’ exposure to risks related to information security. Although internationally recognized frameworks such as ISO/IEC 27001, ISO/IEC 27002, and the NIST Cybersecurity Framework exist, their complexity makes them difficult to adopt in organizations with limited resources. In this context, the objective of this research was to design and evaluate a minimum viable product (MVP) called CyberTrack 360, aimed at facilitating the initial assessment of information security maturity and the progressive adoption of essential security controls in Colombian microenterprises. The research was conducted using a mixed-method approach with a descriptive scope and a non-experimental cross-sectional design, supported by the Design Science Research Methodology (DSRM). A survey was administered to 50 owners and managerial personnel of microenterprises to identify cybersecurity needs, barriers, and perceptions. The results revealed that 82% of participants considered the loss of access to information to have a high or very high operational impact, while only 28% perceived a high probability of experiencing a cybersecurity incident. Additionally, low levels of adoption of basic security controls were identified, with the main barriers being lack of technical knowledge (72%), uncertainty about how to begin (68%), and perceived implementation costs (54%). Based on these findings, CyberTrack 360 was developed as a web-based platform incorporating role-based questionnaires, maturity assessment, prioritized recommendations, evidence management, and basic security policies. The results support the hypothesis that microenterprises require practical, understandable, and affordable tools to facilitate the adoption of information security controls. It is concluded that CyberTrack 360 represents a viable alternative to reduce the gap between awareness of best practices and their effective implementation, promoting a culture of continuous improvement in organizations with limited resources.