i

UNIVERSIDAD SIMÓN BOLÍVAR

DECANATO DE ESTUDIOS DE POSTGRADO
MAESTRÍA EN INGENIERÍA DE SISTEMAS

TRABAJO DE GRADO

MODELO DE MADUREZ PARA LA GESTIÓN Y ADMINISTRACIÓN

DE LA SEGURIDAD INFORMÁTICA EN LAS UNIVERSIDADES

Por

Marianella Villegas

Octubre, 2008
 ii

UNIVERSIDAD SIMÓN BOLÍVAR

DECANATO DE ESTUDIOS DE POSTGRADO
MAESTRÍA EN INGENIERÍA DE SISTEMAS

MODELO DE MADUREZ PARA LA GESTIÓN Y ADMINISTRACIÓN

DE LA SEGURIDAD INFORMÁTICA EN LAS UNIVERSIDADES

Trabajo de Grado presentado a la Universidad Simón Bolívar por

Marianella Villegas

Como requisito parcial para optar al grado de

Magíster en Ingeniería de Sistemas

Con la asesoría del Profesor

Orlando Viloria Esculpi

Octubre, 2008
iii
iv
 v

DEDICATORIA

A Dios todopoderoso, por regalarme el derecho de vivir y la gracia de luchar por mis metas.

A mi Madre Juhdy, por su amor, enseñanzas e incentivarme a seguir progresando

académicamente, eres mi modelo a seguir.

A mi abuela y también madre Eva, que a pesar no estar físicamente siempre confió en mí, me
crió, enseñó a ser constante y que no existe limitación alguna para lograr lo que uno desea en
la vida. Siempre te recordaré.

A mis familiares y en especial a mis Tías: Tania, María, Gladys, Yelitza, por su confianza e
incentivarme a no dejar esta meta sin cumplir.
 vi

AGRADECIMIENTO

A Dios y mi madre por siempre acompañarme.

A mi tutor Orlando, Marina, Rómulo, José Miguel, Pilar, Walter, Susana, por sus consejos,
sugerencias de mejora y ayuda en la construcción de mi tesis.

A Miguel, Neyra, por ayudarme en la validación del instrumento de medición.

A los encargados de la seguridad de la información en las universidades de la región capital

por su ayuda y en especial a la Universidad Simón Bolívar.
 vii

RESUMEN

El objetivo de esta investigación fue el de diseñar una propuesta de un Modelo de Madurez

Organizacional con respecto a la Administración y Gestión de la Seguridad de la Información
(MMAGSI), para Universidades Venezolanas ubicadas en la Región Capital. La metodología
aplicada para el logro de este objetivo es una investigación de campo, de carácter exploratorio;
además se aplicó el método Delphi para validar el modelo de madurez construido a través de
las entrevistas realizadas a personal experto y consultores en Seguridad de la Información. Por
otra parte, se diseñó un instrumento de medición con la finalidad de determinar en qué nivel
de madurez está ubicado una universidad en el modelo MMAGSI. El mismo fue validado por
el juicio de expertos y aplicado a una muestra piloto, la cual estuvo conformada por todas las
Universidades, ubicadas en la Región Capital. Igualmente fue validado nuevamente por esta
misma muestra de trabajadores del conocimiento, encargados de la seguridad en las
universidades. Esta propuesta permite establecer un modelo conceptual de madurez MMAGSI
que ayudará a comprender y a estructurar el problema de inseguridad en las universidades
venezolanas, lo cual facilitará todo el proceso de planificación estratégica bajo una perspectiva
de Seguridad de la Información (SeI), así como diagnosticar el estado en que se encuentra la
SeI. El modelo MMAGSI quedó estructurado en cinco niveles: inicio, crecimiento, desarrollo,
madurez e inteligencia organizacional y cada uno de ellos tiene a su vez características que se
deben cumplir para estar ubicado en el nivel deseado.

PALABRAS CLAVES: gestión, seguridad de la información, madurez, nivel.

 viii

ÍNDICE GENERAL

Pág.
APROBACIÓN DEL JURADO i
DEDICATORIA iii
AGRADECIMIENTO iv
RESUMEN v
ÍNDICE GENERAL vi
ÍNDICE DE FIGURAS vii
INTRODUCCIÓN 1
CAPÍTULO I: PLANTEAMIENTO DEL PROBLEMA 4
1.1. Planteamiento del Problema 4
1.2. Justificación e Importancia del Tema Tratado 9
1.3. Objetivos de la Investigación 12
1.3.1. Objetivo General 12
1.3.2. Objetivo Específicos 12
CAPÍTULO II: MARCO REFERENCIAL 13
2.1. La Seguridad 13
2.2. Seguridad de la Información 14
2.3. Seguridad Física 15
2.4. Seguridad Lógica 15
2.5. Controles 16
2.6. Amenazas y Ataques 17
2.6.1. Amenazas 17
2.6.2. Ataques 18
2.7. Riesgo 19
2.8. Servicios de Seguridad 19
2.9. Mecanismos de Seguridad 20
2.10. Políticas de Seguridad Informática (PSI) 21
2.11. Normas Aplicables en la Seguridad de la
23
Información
2.12. La Gestión de la Seguridad de la Información 27
2.13. Sistema de Gestión de la Seguridad de la
27
Información (SGSI)
2.14. Análisis y Gestión de Riesgo 29
2.15. Metodologías de Análisis de Riesgo 31
2.16. Modelos Organizacionales 34
2.16.1. Modelo de Anthony 34
2.16.2. Modelo de Blumenthal 35
2.16.3. Modelo de Anthony-Blumenthal 36
2.17. Modelos Organizacionales de Madurez 38
2.17.1. Modelo de Nolan 40
2.17.2. Modelo CMM 43
2.17.3. Modelo CMMI – SI 45
2.17.4. El Modelo de Madurez de la Seguridad para PYMES 47
2.17.5. El Modelo de Madurez de la Seguridad (MMS) 48
 ix

2.17.6. Otro Modelo de Madurez de la Seguridad 49

2.17.7. Modelo de Madurez para la Administración y el Control de los
51
Procesos de TI (COBIT)
2.17.8. Cuadro Comparativo de los Modelos de Organizacionales de Madurez 53
CAPÍTULO III: METODOLOGÍA 55
3.1. Tipo de Estudio 55
3.2. Diseño de Investigación 56
3.3. Población y Muestra 56
3.3.1. Población y Muestra Piloto para Validar el
56
Instrumento de Medición y el Modelo
3.4. Sistemas de Variables e Indicadores 60
3.5 Técnicas e Instrumentos de Recolección de Datos 63
3.5.1. Técnicas e Instrumentos de Recolección de 64
Datos del Modelo
3.5.2. Técnicas e Instrumentos de Recolección de
64
Datos
3.6. Validación y Modificaciones del Modelo MMAGSI e
67
Instrumento de Medición
3.6.1. Validación y Modificaciones del Modelo
67
MMAGSI
3.6.2 Validación y Modificaciones del Instrumento
68
de Medición
3.7. Procedimiento 73
3.7.1. Procedimiento de la Construcción del Modelo 73
3.7.2. Procedimiento de Elaboración del 75
Instrumento de Medición
3.8. Problemas Presentados en la Investigación 76
3.8.1. Problemas Presentados en la Investigación
76
al Construir el Modelo
3.8.2. Problemas Presentados en la Investigación
77
al Aplicar el Instrumento de Medición
CAPÍTULO IV: CONSTRUCCIÓN DEL MODELO 79
4.1. MMAGSI: Modelo de Madurez de Administración y Gestión de la Seguridad de la 81
Información para las Universidades de la Región Capital
4.2. Nivel de Inicio 82
4.3. Nivel de Crecimiento 85
4.4. Nivel de Desarrollo 90
4.5. Nivel de Madurez 97
4.6. Nivel de Inteligencia Organizacional 101
CAPÍTULO VI: CONCLUSIONES Y RECOMENDACIONES 106
5.1. Conclusiones 106
5.2. Recomendaciones 108
REFERENCIAS BIBLIOGRÁFICAS 110
ANEXOS 115
Anexo A. Cuestionario Inicial 116
Anexo B. Cuestionario 123
 x

ÍNDICE DE FIGURAS

Figuras Pág.
2.1. Políticas de Seguridad 23
2.2. Norma ISO 17799 24
2.3. Estructura de la Gestión de la Seguridad 28
2.4. Modelo de la Gestión de la Seguridad 29
2.5. Modelo de MAGERIT 31
2.6. Metodología de la Seguridad de la Informática 33
2.7. Modelo de Anthony 35
2.8. Modelo de Blumenthal 36
2.9. Modelo Anthony-Blumenthal 37
2.10. Modelo Organizacional de Madurez 39
2.11. Modelo de Nolan (4 Etapas) 41
2.12. Modelo de Nolan (6 etapas) 43
2.13. Modelo CMMI – SI (Niveles de Madurez) 46
2.14. Modelo de para la Administración y el Control de los Procesos de TI (COBIT) 54
3.1. MMAGSI: Modelo de Madurez de Administración y
Gestión de la Seguridad de la Información para las 74
Universidades Venezolanas de la Región Capital
4.1. Descripción del Modelo Conceptual 83
4.2. Aprendizaje en el Nivel de Inicio 85
4.3. Aprendizaje en el Nivel de Crecimiento 87
4.4. Nivel de Crecimiento 90
4.5. Aprendizaje en el Nivel de Desarrollo 92
4.6. Nivel de Desarrollo 96
4.7. Nivel de Madurez 101
4.8. Nivel de Inteligencia Organizacional 105
 1

INTRODUCCIÓN

Una organización que adquiere, desarrolla y mantiene Sistemas de Información (SI) y

aplicaciones, Bases de Datos (BD), herramientas de las Tecnologías de la Información y
Comunicación (TIC), entre otro si no implanta medidas de salvaguarda para proteger las
vulnerabilidades inherentes a estos activos contra amenazas potenciales internas y externas,
facilitará el desarrollo de ataques hacia los activos informáticos, en consecuencia provocará un
posible daño al patrimonio, por la pérdida de información y/o equipos, además de afectar
negativamente la eficiencia y efectividad de los procesos, factores críticos de éxito, más los
consiguientes daños económicos.

En el caso de las universidades venezolanas, éstas como organizaciones tampoco están

exentas de situaciones de riesgo que afecten su seguridad, por lo que requieren comprender el
problema de inseguridad de la información, e instrumentar algún esquema de Seguridad de la
Información (SeI), alineado a un plan estratégico que permita a la institución defenderse de
eventuales ataques. Asimismo la operacionalización del Plan Estratégico bajo una perspectiva
de la seguridad es un factor crítico de éxito, que permite el diagnóstico la SeI, además de la
formulación de estrategias que contribuyan a proteger las vulnerabilidades en los sistemas y
reducir el riesgo.

En virtud de lo anterior, el objetivo de esta investigación es diseñar un modelo de madurez

organizacional con respecto a la administración y gestión de la SeI.
 2

En este mismo orden de ideas, el modelo facilita la elaboración de un instrumento

psicométrico que permite ubicar la universidad evaluada o los subsistemas que la integran, en
un nivel del modelo. La información recabada facilitará a la institución, el diagnóstico de qué
tan madura es la universidad para manejar sus problemas actuales y futuros de Seguridad de la
Información. Por lo anterior, se espera que este modelo contribuya a la comprensión del
problema de inseguridad en las universidades, reducir la incertidumbre y establecer las
estrategias para subir a otro nivel de aprendizaje en el modelo.

El trabajo está dividido en seis capítulos:

Capítulo I: corresponde al planteamiento del problema y los objetivos del trabajo, la

fundamentación teórica y justificación de la importancia del estudio en relación a la Seguridad
de la Información en las universidades venezolanas y se delimita la extensión del mismo.

Capítulo II: corresponde al marco referencial, incorpora una descripción conceptual de la

universidad, tecnologías de la información y la comunicación, planeación estratégica, la
seguridad de la información y las metodologías de análisis de riesgo, los modelos
organizacionales y un resumen de los modelos de madurez que sirvieron de antecedentes al
presente trabajo.

Capítulo III: explica todo lo concerniente al aspecto metodológico utilizado: (a) tipo de
investigación, (b)el diseño de la investigación, (c)la población y muestra tomada, (d)sistema
de variables e indicadores, (e)la técnica e instrumentos para la recolección de los datos,
(f)validación y modificaciones del modelo MMAGSI e instrumento de medición, (g)el
procedimiento a seguir y (h)los problemas presentados en la investigación.
 3

Capítulo IV: se describe el modelo de madurez de gestión y administración de la Seguridad

de la Información de las Universidades Venezolanas de la Región Capital.

Capítulo V: corresponde a las conclusiones y recomendaciones de la investigación.

 4

CAPÍTULO I
PLANTEAMIENTO DEL PROBLEMA

En este capítulo se describe el problema objeto de esta investigación, las ideas con relación a
la problemática planteada en esta tesis. Además contiene la justificación, contextualización y
planteamiento del problema, importancia y los objetivos de la investigación.

1.1 Planteamiento del Problema

Las organizaciones como sistemas, colectividad o agrupaciones humanas se caracterizan por

un ambiente extremadamente cambiante, Scott y Etzioni, P., (1983) señalan que, “debido a
esta condición dinámica, las organizaciones se encuentran en un estado de complejidad e
incertidumbre ante los cambios que se generan aceleradamente” (pp. 33). Mientras que
Bartoli, A., (1991) expresa que la organización es “un conjunto estructurado de componentes e
interacciones del que se obtiene características que no se encuentran en los elementos que la
compone” pp. 17. Por lo que Vásquez, J., (2003) explica que

Las organizaciones son entidades sociales compuestas por dos o más individuos
con la finalidad de cumplir metas y objetivos. Existe una diversidad de tipos de
organizaciones, por ejemplo: universidades, empresas de servicios, colegios,
institutos armados, clubes sociales, la familia, etc. Cada uno con sus características
específicas que apuntan a una meta a cumplir (pp. 45)

En este momento, gran número de organizaciones consideran a la información como un

activo esencial que les proporciona posicionamiento y competitividad. Es por ello, que
 5

constituye un bien intangible que la gerencia privilegia dentro de su estructura organizativa;

así como las organizaciones almacenan información relevante durante años a través de una
serie de procesos, que deben resguardarse para su procesamiento, acceso, uso y conservación.
Esto trae consigo que la información se convierte en la materia prima que le da forma al
conocimiento organizacional en sus distintas facetas y áreas.

Las universidades son también sistemas complejos, que funcionan como organizaciones que
tienen como finalidad: ”crear, asimilar y difundir el saber mediante la investigación y
enseñanza a los estudiantes para completar la formación integral iniciada en los ciclos
educacionales anteriores, formar los equipos profesionales y técnicos que necesita la Nación
para su desarrollo y progreso” (Ley de Universidades, 1970). Las universidades están
obligadas a que se hagan efectivos los cambios que permitan su adaptación al entorno y
cumplir su misión social a cabalidad. Igualmente, funcionan como sistemas abiertos inmersos
en un entorno altamente cambiante y necesitan convertirse en organizaciones de aprendizaje
para mantenerse en un ambiente competitivo en sus funciones académicas, investigativas, de
creación y extensión.

Las universidades venezolanas como sistemas abiertos no son una excepción, ellas
requieren, necesariamente, un proceso de adaptación que les permita evolucionar y realizar los
cambios indispensables que van a permitir desenvolverse de manera eficiente ante las
exigencias de la sociedad actual, llamada sociedad de la información, para unos y sociedad del
conocimiento para otros. Vásquez, J., (2003)

Ciertamente, el contexto universitario ofrece la posibilidad de crear, gestionar y producir la

información que es uno de los activos más representativos para el avance de la ciencia y la
tecnología, contribuyendo a desarrollar planes y proyectos para el progreso del país. Por esta
razón, la información generada en las universidades se debe salvaguardar tanto físicamente
como lógicamente.
 6

Por lo tanto, las universidades necesitan adquirir, desarrollar y mantener Sistemas de

Información (SI), aplicaciones, Bases de Datos (BD) y Tecnologías de la Información y
Comunicación (TIC), además deben implementar medidas de salvaguarda que protejan los
activos existentes de las posibles amenazas internas o externas. Estas acciones contribuyen a
reducir el riesgo de ataques sobre los bienes informáticos y a minimizar el impacto económico
que ocasionaría la costosa inversión que haría la institución, para recuperar sus sistemas
informáticos en caso de resultar dañados o destruidos por no estar protegidos adecuadamente.

Por lo anteriormente expuesto, es necesario formular e instrumentar estrategias que lleven a

las universidades a un estado de equilibrio dinámico que disminuya los niveles de entropía a
consecuencia de la incorporación de las TICs como herramientas para el desarrollo
organizacional. Por consiguiente, en la Planificación Estratégica (PE) de las universidades se
hace imprescindible incluir herramientas orientadas a la reducción de riesgos que puedan
materializarse en daños considerables e irremediables sobre los activos informáticos.

En otro orden de ideas, los activos informáticos y las redes tales como Intranet y Extranet,
de acuerdo a sus características y debilidades propias, están expuestas a un sin número de
vulnerabilidades asociadas a estos ataques y deben ser atendidas por los trabajadores del
conocimiento encargados de la seguridad. Sin embargo esta es una tarea difícil de alcanzar, tal
como señalan McCarthy, M., y Campbell, S., (2002) quienes expresan que es necesario crear
mecanismos, dar a conocer y hacer cumplir políticas de seguridad que permitan proteger
totalmente esta información tan sensible y crítica para las instituciones.

Al respecto, Wheatman, V., (2004) indica que las constantes amenazas cibernéticas
confirman que la Seguridad de la Información (SeI) continuará siendo desafiada en los
siguientes años, por ello todas las organizaciones, entre ellas las universidades, necesitan
evaluar cuidadosamente el panorama de los cambios tecnológicos en el contexto de sus
requerimientos específicos de defensa.
 7

De todo lo anterior, se desprende que la SeI ha sido y es una preocupación latente durante
los últimos años y se ha vuelto un problema de atención prioritario, debido a las nuevas olas
tecnológicas que modifican permanentemente las medidas de seguridad ya existentes y los
cambios en los tipos de ataque. Esto implica que la SeI institucional debe enfocarse a
preservar y proteger permanentemente sus recursos y activos informáticos. Por esto,
Wheatman, V.,(2004) señala:

La seguridad perfecta es imposible; pero un escaneo continuo de vulnerabilidades

y monitoreo de nuevas amenazas es crítico y una mejor inversión, que esperar
pasivamente a detectar los ataques. En seguridad, la mejor defensa es una buena
ofensiva y mientras más ofensivo pueda ser, más seguro estarás.(pp. 3)

Otros expertos señalan la importancia de considerar la seguridad como un problema de

gestión más que de tecnología, que no se soluciona instalando corta fuegos (firewalls) ni
programas anti espías (antispywares), entre otros; sino que la solución va más allá, involucra a
la gerencia, sobre todo a la gerencia estratégica y al contexto organizacional en general. Por lo
tanto, un modelo de seguridad bajo un esquema técnico, no es sistémico ni tampoco completo
(Ribagorda, A., (2004); Lucas, H., (1997)). Esto implica que un modelo de seguridad debería
incluir por ejemplo: la planificación estratégica, la capacitación del personal, la adaptación de
sus usuarios y cualquier otro aspecto que contribuya a dar forma a un modelo completo de SeI.
En efecto, un esquema de seguridad efectivo involucra la formulación e instrumentación de
estrategias para producir cambios en la gerencia, en la cultura y la estructura organizacional,
así como en sus componentes y en todos los subsistemas que conforman el modelo dinámico
organizacional de Leavitt (Lucas, H., (1997), Viloria, O., y Blanco, W., (2006)).

En el caso de las Universidades Venezolanas, ocurren diversos ataques hacia los activos
informáticos, como son: el robo de computadoras personales (PC) y portátiles (laptop), de
video beams, de periféricos y componentes internos de estos equipos; así como el acceso no
autorizado a información confidencial, la eliminación de sitios Web y de aplicaciones, la
negación de servicio de correo electrónico y de sitios Web de departamentos críticos, la
 8

alteración de información sensible almacenada en servidores de los departamentos académicos

por agentes externos a ellos (hackers, crackers y otros). Cualquiera de estos ataques a los
servicios críticos puede afectar severamente el logro de los objetivos institucionales.

En tiempos recientes se viene reportando una serie de ataques informáticos a diferentes

organizaciones entre ellas a las universidades y existen referencias de ataques a los activos
informáticos en Universidades Españolas. En estos trabajos Molist, M. (1999) señala que
durante el año 1998, el número de incidentes denunciados a los organismos españoles
encargados de la seguridad en Internet, IRIS-CERT y esCERT-UPC, subió ligeramente con
respecto al año anterior. Estos organismos muestran una información interesante: reportan un
aumento de ataques en las universidades y, lo contrario, un descenso en las empresas. Las
estadísticas del IRIS-CERT, que son los organismos que cubren las incidencias de seguridad
en universidades y centros de investigación, los ataques e intentos de ataques (escaneos de
puertos, telnets,..) a estas instituciones han subido en un 250%, de 81 casos en 1997 a 129 en
1998, 76 de ellos graves o muy graves. Con el agravante de que en más de la mitad de ellos
estaban involucrados computadoras ubicados fuera de España. Resultados que no deben de
extrañar ya que según Molist, M., (1999):

Las universidades y centros de investigación son, desde siempre, el punto flaco de

la seguridad en Internet y cita a Jordi Buch quien afirma que es lógico que aquí se
relajen las medidas de seguridad, que nunca serán tan elevadas como en las
empresas porque (en universidades y centro de investigación) las máquinas deben
estar más abiertas a sus miembros y adicionalmente, hay muchos estudiantes que
tienen cuentas de correo y disponen del servicio de Internet.(pp.2)

Esta carencia de seguridad institucional, es lo que nos ha inducido a plantearnos una

investigación que permita proponer un Modelo de Madurez para la Administración y Gestión
de la Seguridad de la Información, adaptadas a las Universidades Venezolanas.
 9

1.2 Justificación e Importancia del Tema Tratado

En Venezuela no existen modelos de seguridad de la información diseñados para las

universidades y los que existen en otros países están dirigidos a otro tipo de organizaciones,
generalmente para empresas. Algunos de estos modelos son:

• El Modelo de Madurez de la Seguridad para PYMES creado en España por Santos-

OlmoParra, A., Sánchez, L., Villafranca, D., Fernández-Medina, E., (2006), el cual
consiste en elaborar un proyecto que es un modelo realista, pragmático y ágil para
evaluar y mejorar la seguridad de los productos y procesos en las pequeñas y medianas
empresas, basándose en las normas y estándares internacionales más importantes. Es un
modelo en espiral, que está compuesto por dos fases, de evaluación y establecimiento de
controles.

• Modelo de Madurez de la Seguridad (MMS) creado en España por Aceituno (2004) tiene
como objetivo ayudar a las organizaciones a comprender cuál es su estado actual de
mantenimiento de la seguridad, y proporcionar una vía para alcanzar el grado de
madurez deseado por la organización. Este modelo consta de 5 niveles: Inicio,
Reconocimiento, Definición, Gestión y Óptimo.

• Modelo de Madurez de la Seguridad creado por Marcelo, J., (s.f), que consta de 6
niveles: 0 Sentido Común, 1 Salvaguardas Mínimas Legales, 2 Buenas Prácticas de
Gestión (proceso), 3 Gestión Global de Sistemas: AGR, 4 Certificación de
Componentes, 5 Certificación de Sistemas Compuestos.
 10

• Modelo de CMMI – SI, es una propuesta creado por Areiza, K., Barrientos, A., Rincón,
R., y Lalinde, J., (2005) que consiste en llevar a cabo un análisis relativo a la seguridad
informática, para identificar el grado de vulnerabilidad y determinar los aspectos a
mejorar en la organización con el objeto de reducir el riesgo. Consta de 5 niveles los
cuales son: (a)inicial, (b)gestionado, (c)definido, (d)gestionado cuantitativamente y
(e)optimizado.

• Modelo de la madurez para la administración y el control de los procesos de TI se basa

en un método de evaluación de la organización, de tal forma que se pueda evaluar a sí
misma desde un nivel de no-existente (0) hasta un nivel de optimizado (5). Los niveles
de madurez están diseñados como perfiles de procesos de TI que una empresa
reconocería como descripciones de estados posibles actuales y futuros. No están
diseñados para ser usados como un modelo limitante, donde no se puede pasar al
siguiente nivel superior sin haber cumplido todas las condiciones del nivel inferior. Este
modelo consta de 6 niveles: (0) no existente, (1)inicial, (2)repetible, (3)definido,
(4)administrado, (5)optimizado.

Los modelos mencionados anteriormente muestran qué hacer, pero no cómo hacerlo.
Igualmente, la seguridad informática aparece aplicada a pequeños objetivos de control, pero
hasta el momento no se han encontrado ninguna referencia a un enfoque holístico.

La problemática planteada anteriormente crea la necesidad de construir un modelo de

madurez de la seguridad de la información para las universidades, porque mientras mayor es el
cambio tecnológico así será la necesidad de seguridad; las universidades solo aplican la
seguridad en pequeños objetivos o departamentos críticos y no lo hacen de manera holística,
porque requieren de excesivos recursos para gestionarla.
 11

El modelo de madurez que se propone se construyó considerando cinco niveles: inicio,

crecimiento, desarrollo, madurez e inteligencia organizacional. Se utilizaron indicadores que
permiten diagnosticar el estado actual de la seguridad de la información. Los indicadores que
se describen en cada nivel del modelo, permiten evaluar y ubicar en qué nivel de madurez se
encuentra una universidad con respecto a la administración y gestión de la seguridad de la
información. Este modelo se diferencia de los antes mencionados porque se realizó para las
organizaciones, en el caso específico las universidades venezolanas de la región capital. Para
lograr esto se tomó en cuenta el entorno, el capital humano, los activos informáticos, entre
otros. El modelo permite diagnosticar la situación actual de las universidades en cuanto a la
seguridad de la información, a través del cumplimiento de los indicadores que forman parte de
los niveles de madurez y a su vez permite conocer cómo se puede pasar al siguiente nivel
cumpliendo los indicadores y sus sugerencias.

La importancia de esta investigación radica en que dará como resultado un modelo que
proporciona un marco de referencia que facilitará el diagnóstico de la situación en que se
encuentra la seguridad de la información en una institución. Este abarca el factor humano,
gerencial, cultural y de estructura organizacional. Por último ayudará a la formulación de
estrategias orientadas a proteger los activos informáticos. En tal sentido, facilita la
construcción de planes, programas y mecanismos.

El modelo se espera que sea una referencia teórica para otras organizaciones distintas a las
universidades, con diferente misión y razón social como pueden ser las empresas privadas o
públicas.
 12

1.3 Objetivos de la Investigación

1.3.1 Objetivo General

Construir un Modelo de Madurez para la Gestión y Administración de la Seguridad

Informática, en las Universidades Venezolanas de la Región Capital.

1.3.2 Objetivos Específicos

1.3.2.1 Formular un modelo teórico a partir de las bases conceptuales necesarias para la
Gestión y Administración de la Seguridad de la Información.

1.3.2.2 Establecer las bases conceptuales para diseñar un instrumento de medición que
permita diagnosticar la situación actual en la que se encuentra la seguridad de la información
en las universidades venezolanas.

1.3.2.3 Recomendar qué y cómo hacer para elevar el nivel de madurez de la seguridad de la
información en las universidades de la Región Capital.
 13

CAPÍTULO II
MARCO REFERENCIAL

La elaboración de un marco referencial tiene como finalidad estructurar los elementos e

instrumentos teóricos que permiten orientar la investigación, la cual se emprende en busca de
explicaciones e interpretaciones relacionadas con la gestión de la seguridad de la información
en las universidades.

Este capítulo tiene la finalidad de conocer el estado del arte de esta área del conocimiento,
establecer todas las bases teóricas necesarias para analizar, interpretar y estructurar los
modelos organizacionales y de madurez de Seguridad de la Información (SeI).

2.1 La Seguridad

La seguridad es una forma de gestión empresarial inteligente, para prevenir de las tres
amenazas de la era digital: las responsabilidades, los pleitos y las pérdidas. En este mismo
orden de ideas, la seguridad es un medio para conseguir un fin, y ese fin es la confianza, donde
la confianza es una parte esencial de proposición de valor, como en la banca, la seguridad se
convierte en un factor facilitador crítico según lo expresado por MCCarthy, M., y Campbell
S., (2002).

Mientras que Cheswick, W., y Bellovin, S., (1994) señala que “Hablando ampliamente, la
seguridad es evitar que alguien haga cosas que no quieres, que haga con o desde tu ordenador
 14

o alguno de sus periféricos” para estos expertos la seguridad es mantener el control.

Asimismo, Schneier, B., (2002) expresa que “La seguridad es un proceso, no un producto”, es
decir, la seguridad no es lo mismo que el conjunto de medidas de seguridad.

La seguridad considerada en esta investigación, es la de crear medidas de control para

protegerse de algunos riesgos que se expone las organizaciones, en este caso las universidades.

2.2 Seguridad de la Información

La información según Andreu, R., Ricart, J., y Valor, J., (1996) es un activo del negocio, que
tiene un valor para la organización y requiere en consecuencia de una protección adecuada. La
Seguridad de la Información (SeI) protege a ésta de un amplio rango de amenazas para
asegurar la continuidad del negocio, minimizar los daños a la organización, maximizar el
retorno de las inversiones y las oportunidades de negocio.

En este mismo orden de ideas, Gómez, A., (2006) define la seguridad de la información es
la medida que impida la ejecución de operaciones no autorizadas sobre un sistema o red
informática, cuyos efectos puedan conllevar daños sobre la información, comprometer su
confidencialidad, autenticidad o integridad, disminuir el rendimiento de los equipos o bloquear
el acceso de usuarios al sistema.

De igual manera, INFOSEC Glossary (2000) define la Seguridad Informática y mencionada

por Aceituno, V., (2004) como “Las medidas y controles que aseguran la confidencialidad,
integridad y disponibilidad de los activos de los Sistemas de Información, incluyendo
hardware, software, firmware y aquella información que procesan, almacenan y comunican”.
 15

La Seguridad de la Información (SeI) se consigue con la implantación de un conjunto

adecuado de controles y medidas, que pueden ser políticas, prácticas, procedimientos,
estructuras organizativas y funciones de software. Estos controles deberían establecerse para
asegurar que se cumplen los objetivos específicos de seguridad de la organización, para el
caso de esta investigación las universidades.

2.3 Seguridad Física

La seguridad física según Álvarez, G., y Pérez, P., (2004), se logra al impedir el acceso a las
áreas críticas de personal no autorizado. Estas zonas habrán de estar delimitadas pero no de
forma visible sino de una manera formal, con un perímetro permanentemente controlado. Se
pueden definir varios tipos de zonas seguras dependiendo del tipo de sistema informático que
contengan y de su grado de criticidad y, por lo tanto, las medidas de seguridad serán acordes a
dicho grado.

Adicionalmente, Huerta, A., (2000) señala que la Seguridad Física es la “aplicación de

barreras físicas y procedimientos de control, como medidas de prevención y contramedidas
ante amenazas a los recursos e información confidencial”.

La seguridad física va ser una característica esencial para el modelo, porque contribuirá en
crear medidas y controles a nivel físico, proteger los activos informáticos de causas naturales,
robos, pérdidas u otros.

2.4 Seguridad Lógica

La seguridad lógica según Carracedo, J., (2004), se refiere a:

 16

La seguridad en el uso de software y los sistemas, la protección de los datos,

procesos y programas, así como la del acceso ordenado y autorizado de los
usuarios a la información. La “seguridad lógica” involucra todas aquellas medidas
establecidas por la administración -usuarios y administradores de recursos de
tecnología de información- para minimizar los riesgos de seguridad asociados con
sus operaciones cotidianas llevadas a cabo utilizando la tecnología de
información.(pp.31)

Por otra parte, Oppliger, R., (1998) afirma que con el desarrollo de las computadoras, los
sistemas computarizados en redes, la Internet, Intranet y Extranet, entre otro, se hizo necesario
establecer mecanismos de seguridad lógico y físicos para proteger los equipos, porque los
avances en las comunicaciones han permitido la interconexión de computadoras y el compartir
información en puntos situados prácticamente en cualquier parte del mundo y esto ha
ocasionado el aumento del riesgo de acceso no autorizado, abuso, fraude y hurto.

En esta investigación la seguridad lógica nos permitirá crear medidas, que contribuyan a la
aplicación de barreras y procedimientos que resguarden el acceso a los datos y sólo se permita
acceder a ellos a las personas autorizadas para hacerlo.

2.5 Controles

Para reducir los efectos de los desastres naturales, errores, las fallas en los sistemas y la
seguridad, los delitos y fraudes por computadora, se hace necesario el diseño e
implementación de políticas y procedimientos adecuados. Los controles según Laudon, K., y
Laudon, J., (2002) “consisten en todos los métodos, políticas, y procedimientos para asegurar
la protección de los archivos de la institución, la precisión y la confiabilidad de sus registros
contables y la adherencia operativa a las normas de administración” pp.45. Asimismo, los
citados autores dicen que los sistemas de información computarizados se deben controlar con
una combinación de controles: generales y de aplicación.
 17

Los controles de seguridad generales según Álvarez, G., y Pérez, P., (2004) van dirigidos al
diseño y utilización del software, la seguridad de los archivos y la base de datos de la empresa.
Además, de una combinación de software y procedimientos manuales; por tanto son globales y
se aplican en todas las áreas. Los controles generales incluyen los de proceso de implantación
del sistema, para software, los físicos para el hardware, los de operaciones de cómputo, los de
seguridad de datos y las disciplinas, normas y procedimientos administrativos.

Los controles de aplicación señalan Eterovic, J., y Pomar, P., (s.f) son específicos de cada
sistema de información, programa o aplicación computarizada. Se aplican en procedimientos
ya programados o en un área funcional específica de usuarios de un sistema en particular. Se
enfocan en los objetivos de integridad del ingreso y la actualización, la validez y el
mantenimiento. Estos controles incluyen los de entrada o acceso, de proceso o de
procesamiento y de salida.

La existencia de controles físicos, en el desarrollo de software, administración de redes,

soporte técnico mejorará los niveles de seguridad en las universidades y por esto son
necesarios en el modelo que se diseñó.

2.6 Amenazas y Ataques

2.6.1 Amenazas

Las amenazas según Stallings, W., (2004), son “una posibilidad de violación de la
seguridad, que existe cuando se da una circunstancia, capacidad, acción o evento que
pudiera romper la seguridad y causar perjuicio. Es decir, una amenaza es un peligro posible
que podría explotar una vulnerabilidad”.
 18

En este mismo orden de ideas, MCCarthy, M., y Campbell S., (2002) dividen la amenaza
en interna y externa. Las externas incluyen hackers aficionados, la competencia,
extorsionadores y ladrones. Mientras que las amenazas internas, incluyen trabajadores
descontentos, antiguos trabajadores que guardan algún tipo de rencor, empleados modelo
que han contraído enormes deudas en el juego y empleados que planean dejar la empresa y
trabajar para la competencia.

2.6.2 Ataques

Los ataques según Stallings, W., (2004), vienen dados por:

Un asalto a la seguridad del sistema derivado de una amenaza inteligente; es

decir, un acto inteligente y deliberado (especialmente en el sentido de un
método o técnica) para eludir los servicios de seguridad y violar la política de
seguridad del sistema.(pp.56)

También el ataque según Eterovic, J., y Pomar, P., (s.f), es cualquier acción que
comprometa la seguridad de la información de una organización. Por otra parte señala
MCCarthy, M., y Campbell S., (2002), que los ataques se distinguen entre pasivos y
activos: el ataque pasivo trata de saber o de usar la información del sistema, sin afectar los
recursos del mismo. El ataque activo, en cambio, trata de cambiar los recursos del sistema o
de afectar a su funcionamiento.

El modelo diseñado es una guía que contribuirá a reducir las amenazas y ataques que son
desarrollados para las universidades de la región capital y concientizar a sus trabajadores de
la importancia de respetar y resguardar los activos informáticos.
 19

2.7 Riesgo

Según Gómez, L., Farías-Elinos, M., Mendoza, M., (2003) señalan que el riesgo “es la
posibilidad de sufrir algún daño o pérdida”. Asimismo, Carracedo, J., (2004) opina que los
riesgos de la información son: pérdida, mal uso no intencional y deliberado, exposición o daño
que sufre la información cuando esta resguardada en dispositivos tecnológicos.

Por lo anterior, es necesario que para estudiar y valorar los riesgos a los que está expuesta la
información que se resguarda en las universidades, debe hacerse un análisis de las amenazas,
vulnerabilidades y ataques de los activos informáticos.

2.8 Servicios de Seguridad

La arquitectura de seguridad OSI, mencionada por Stallings, W., (2004) define el servicio de
seguridad como:

Un servicio que mejora la seguridad de los sistemas de procesamiento de datos y la

transferencia de información de una organización. Los servicios están diseñados
para contrarrestar los ataques a la seguridad, y hacen uso de uno o más
mecanismos para proporcionar el servicio.

Los servicios de seguridad según Stallings, W., (2004) ameritan políticas y mecanismos de
seguridad para su implementación. A continuación se presenta los servicios de seguridad en
cinco categorías y 14 servicios específicos que coinciden con los señalados por Oppliger, R.,
(1998), estos son: (a)autenticación (de las entidades origen/destino y del origen de los datos),
(b)control de acceso, (c)confidencialidad de los datos (de la conexión, no orientada a la
 20

conexión, de campos seleccionados y del flujo de tráfico), (d)integridad de los datos (de la
conexión con recuperación, de la conexión sin recuperación, de la conexión de campos
seleccionados, no orientada a la conexión y la no orientada a los campos seleccionados), (e)no
repudio (origen y destino).

2.9 Mecanismos de Seguridad

Los mecanismos de seguridad según Stallings, W., (2004) se refiere a “un mecanismo
diseñado para detectar un ataque a la seguridad, prevenirlo o restablecerse de él”. Algunos de
los mecanismos son: (a)cifrado; (b)firma digital; (c)control de acceso; (d)integridad de los
datos; (e)intercambio de autentificación; (f)relleno de tráfico; (g)control de enrutamiento.
Todos los anteriores coinciden con Oppliger, R., (1998), pero en este caso lo llama control de
encaminamiento; (g)notarización para Oppliger, R., (1998) es certificación.

Con referencia a lo anterior Carracedo, J., (2004) define los mecanismos de seguridad que
son utilizados para implementar un determinado servicio de seguridad o una combinación de
ellos, es decir son piezas lógicas con las que se construyen los protocolos de seguridad, los
cuales son los encargados de proporcionar los servicios de seguridad.

Los servicios y mecanismos de seguridad mencionados formarán parte de las características

sugeridas en el modelo diseñado en esta investigación, y las definiciones anteriores explican la
importancia de que formen parte del modelo.
 21

2.10 Políticas de Seguridad Informática (PSI)

Las políticas de seguridad mencionados por Farias-Elinos, M., (2003) son un documento que
contiene reglas y principios, estas permiten lograr la seguridad, el orden y buen uso; todas
estas políticas deben especificar las condiciones, derechos y obligaciones de cada uno de los
miembros de la organización con respecto al uso de los sistemas y las TIC. Asimismo, las
políticas de seguridad informática:

• Contienen los derechos, responsabilidades y sanciones en base a los

reglamentos administrativos y técnicos de la institución.
• Pueden ser un mecanismo de control para definir el buen uso de sus recursos y
como apoyo a posteriores procedimientos legales.
• Son creadas de forma explícita para un sistema según su misión, recursos, tipo
de red, de usuarios, etc.
• Son importantes para contar con un Marco de Referencia General de Seguridad
Informática.

Por otra parte, las políticas de seguridad de la información que deben existir en una
organización según Eterovic y Pomar (s.f), son las siguientes:

• Eficacia, garantizar que la información utilizada es necesaria y útil para el desarrollo de los
negocios.

• Eficiencia, asegurar que el procesamiento de la información se realice mediante una

óptima utilización de los recursos humanos y materiales.

• Confiabilidad, es certificar que los sistemas informáticos brindan información correcta

para ser utilizada en la operatoria de cada uno de los procesos.

• Integridad, cerciorar que sea procesada toda la información necesaria y suficiente para la
marcha de los negocios en cada uno de los sistemas informáticos y procesos
transaccionales.
 22

• Exactitud, asegurar que toda la información que se encuentre libre de errores y/o
irregularidades de cualquier tipo.

• Disponibilidad, garantizar que la información y la capacidad de su procesamiento manual

y automático, sean resguardadas y recuperadas eventualmente cuando sea necesario, de
manera tal que no se interrumpa significativamente la marcha de los negocios.

• Legalidad, certificar que toda la información y los medios físicos que la contienen,
procesen y/o transporten, cumplan con las regulaciones legales vigentes en cada ámbito.

• Confidencialidad, asegurar que toda la información está protegida del uso no autorizado,
revelaciones accidentales, espionaje industrial, violación de la privacidad y otras acciones
similares de accesos de terceros no permitidos.

• Autorización, probar que todos los accesos a datos y/o transacciones que los utilicen
cumplan con los niveles de autorización correspondientes para su utilización y
divulgación.

• Protección Física, garantizar que todos los medios de procesamiento y/o conservación de
información cuentan con medidas de protección física que evitan el acceso y utilización
indebida por personal no autorizado.

• Propiedad, confirmar que todos los derechos de propiedad sobre la información utilizada
sobre todos sus empleados en el desarrollo de sus tareas, estén adecuadamente establecidas
a favor de la compañía. Estas políticas antes mencionadas, se pueden ver en la Figura 2.1

Figura 2.1: Políticas de Seguridad

Tomada de Eterovic y Pomar (s.f)
 23

Las políticas mencionadas en este ítem son parte de las características que conforman los
niveles del modelo, adicionalmente se sugiere la creación de políticas propias de la
universidad que así lo requiera, o considere necesario.

2.11 Normas Aplicables en la Seguridad de la Información

Existen distintas organizaciones internacionales encargadas de la Seguridad de la

Información que actualmente definen estándares, políticas o normas que van en pro de mejorar
la Seguridad de la Información (SeI). En relación a esto último, las normas internacionales
según Díaz, R., (2005) “ofrece recomendaciones para realizar la gestión de la seguridad de la
información dirigidas a los responsables de iniciar, implantar o mantener la seguridad de una
organización”. (pp. 6)

Asimismo, las normas internacionales aplicables entre los distintos organismos relacionados
comercialmente y/o institucionalmente con los temas de Seguridad de la Información, son las
siguientes: (a)International Standards Organization: Normas ISO; (b)Information Systems and
Audit Control Association – ISACA: COBIT (c) British Standards Institute: BS;
(d)Departamento de Defensa de USA: Orange Book; (e)ITSEC – Information Tecnology
Security Evaluation Criteria: White Book; (f)Sans Institute; (g)CERT (Computer Incident
Response Team). A continuación se describirán cada una de ellas:

(a) La norma ISO (International Standards Organization) según Eterovic, J., y Pomar, P., (s.f),
es la principal norma de Evaluación e Implementación de Medidas de Seguridad en
Tecnologías de la Información. Mientras que ISO 17799, define la Seguridad de la
Información como:
 24

Su confidencialidad: sólo quienes estén autorizados pueden acceder a la

información.
Su integridad: la información y sus métodos de proceso son exactos y completos.
Su disponibilidad: los usuarios autorizados tienen acceso a la información y a sus
activos asociados cuando lo requieran.

Asimismo Díaz, R., (2005) muestra en la Figura 2.2 que la norma ISO 17799 tiene diez
dominios de control que cubren por completo la Gestión de la Seguridad de la Información
(SeI): (a)política de seguridad; (b)aspectos organizativos para la seguridad; (c)clasificación y
control de activos; (d)seguridad ligada al personal; (e)seguridad física y del entorno; (f)gestión
de comunicaciones y operaciones; (g)control de accesos; (h)desarrollo y mantenimiento de
sistemas y; (i)gestión de continuidad del negocio; (j)conformidad con la legislación.

Figura 2.2: Norma ISO 17799.

Tomada de Díaz, R., (2005).
 25

La adopción de la norma ISO 17799 sugiere ventajas a cualquier organización expresa Díaz,
R., (2005), entre las cuales se tiene: (a)aumento de la seguridad efectiva de los sistemas de
información; (b)correcta planificación y gestión de la seguridad; (c)garantías de continuidad
del negocio; (d)alianzas comerciales y e-commerce más seguras; (e)mejora continua a través
del proceso de auditoría interna; (f)incremento de los niveles de confianza de nuestros
clientes; (g)aumento del valor comercial y mejora de la imagen de la organización;
(h)auditorías de seguridad más precisas y fiables y; (i)menor responsabilidad civil.

(b)COBIT es realizada por ISACA (Asociación de Control de Auditoría y Sistemas de

Información, Information Systems and Audit Control Association) la cual es mencionada por
Eterovic, J., y Pomar, P., (s.f), dicha norma tiene objetivos de control para la información y
relación tecnológica (Control Objectives for Information and Related Technology). Este
organismo emite las COBIT AUDIT GUIDELINES, las cuales son:

• Estándares internacionalmente aceptados para la práctica de seguridad informática,

definidos por la Information Systems and Audit Control Association – ISACA.

• Comprenden una serie de Objetivos de Control a cumplir en los distintos aspectos del
gobierno y tecnología de la información, dentro de los cuales se encuentran los temas
específicos de Seguridad y Control: (a)planeación y organización; (b)adquisición e
implementación; (c)entrega de servicios y soporte y; (d)monitoreo

(c)El Instituto de Estándares Británico (British Standards Institute) emitió el Código de

Práctica para la Administración de Seguridad de la Información (Code of Practice for
Information Security Management, BS 7799), que es un conjunto de estándares
internacionalmente aceptados para la práctica de seguridad informática, sobre los que
posteriormente se basaron para la emisión de la Norma ISO 17799 señalado por Eterovic, J., y
Pomar, P., (s.f).
 26

(d)El Departamento de Defensa de USA proporciona una base para la evaluación de la eficacia
de los controles y de la seguridad en los recursos informáticos de procesamiento de datos.
Tiene distintas categorías de clasificación según los requerimientos que cumpla cada recurso
informático.

(e)ITSEC es un estándar que evalúa los criterios de tecnología de Seguridad de la Información

(Information Tecnology Security Evaluation Criteria) mencionado por Eterovic, J., y Pomar,
P., (s.f), que sirve de estándar de seguridad para la Seguridad de la Información (Information
Security) en países europeos.

(f)El Instituto Sans (Sans Institute) es una organización que une a los Administradores de
Seguridad y emite documentación relacionada con riesgos de Seguridad y los mecanismos
técnicos para combatirlos y mitigarlos.

(g)La CERT (Computer Emergency Response Team) es una organización dedicada al análisis
de incidentes señalada por Eterovic, J., y Pomar, P., (s.f). El objetivo de estas organizaciones
es crear una comunidad de rápida respuesta ante los incidentes de seguridad informática,
brindando servicios de alerta temprana, lleva estadísticas de los ataques más frecuentes y
brinda recomendaciones para hacer las redes más seguras. Estos centros se alimentan de los
incidentes de seguridad de distintos usuarios en el mundo.

El estudio de las normas señaladas proporciona una ayuda en el diseño del modelo, ya que
suministran como gestionar la seguridad de la información en las organizaciones.
 27

2.12 La Gestión de la Seguridad de la Información

La gestión de la seguridad según Díaz, R., (2005) consiste en la realización de las tareas
necesarias para garantizar los niveles de seguridad exigibles en una organización. Mientras
que gestionar en una organización es llevar a cabo las diligencias necesarias para lograr un
determinado fin, es decir, los riesgos no se eliminan, se gestionan. La seguridad no es un
producto, es un proceso.

Asimismo, para gestionar en la seguridad de la información en las universidades es

necesario conocer para qué se gestiona y así poder garantizar la confidencialidad, integridad y
disponibilidad de los activos informáticos, que es un proceso crítico para cualquier
organización en el área de la seguridad de la información.

2.13 Sistema de Gestión de la Seguridad de la Información (SGSI)

El sistema de gestión de la seguridad de la información consiste en aquella parte del sistema

general de gestión que comprende la política, la estructura organizativa, los procedimientos,
los procesos y los recursos necesarios para implantar la gestión de la seguridad de la
información en una organización (Gómez, A., (2006)).

En este mismo orden de ideas, Villalón, A., (2004) señala que el sistema de gestión
comprende la política, la estructura organizativa, procedimientos, los procesos y recursos
necesarios para crear la cultura de la gestión de la seguridad de la información. Esta cubre
aspectos tales como: (a)organizativos, lógicos, físicos y legales; (b)independiente de
plataformas tecnológicas y mecanismos concretos; (c)aplicación en todo tipo de
organizaciones y; (d)fuerte contenido documental. En la figura 2.3 se muestra la estructura de
la gestión de la seguridad, propuesta por Villalón, A., (2004):
 28

Figura 2.3: Estructura de la Gestión de la Seguridad

Tomada de Villalón, A., (2004).

Cabe agregar que los sistemas de gestión poseen una estructura, que existe un modelo
estándar el cual se denomina PDCA, que está también conocido como el ciclo de Actuar-
Planificar-Verificar-Hacer PDCA (Plan-Do-Check-Act) o círculo de Deming, donde su
creador Edwards Deming establece una estrategia de mejora continua de la calidad en cuatro
pasos, basada en un concepto ideado por Walter A. Shewhart. El modelo anteriormente
mencionado, también se denomina espiral de mejora continua, en el cual se explica que se
planifica, hace, verifica y actua al gestionar la seguridad de la información (SeI), ver Figura
2.4
 29

Figura 2.4: Modelo de la Gestión de la Seguridad

Tomada de Villalón, A., (2004)

2.14 Análisis y Gestión de Riesgo

Según Villalón, A., (2004) el riesgo es la posibilidad de que suceda un daño o perjuicio. El
mismo experto señala que, la gestión es la selección de las distintas medidas a tomar para
evitar la aparición del riesgo, o para reducir y anular su impacto si ya ha aparecido.
Adicionalmente, el análisis de riesgos implica, (a)determinar qué se necesita proteger, (b)de
qué hay que protegerlo y, (c)cómo hacerlo. De igual manera, la gestión de riesgos es la
estructuración de las acciones de seguridad para satisfacer las necesidades detectadas por el
análisis.

Mientras que Expósito, F., (2003) señala que el análisis de riesgos permite determinar cómo
es, cuánto vale y cómo de protegidos se encuentran los activos. El análisis de riesgos
proporciona un modelo del sistema en términos de activos, amenazas y salvaguardas, y es la
piedra angular para controlar todas las actividades con fundamento.
 30

Por otra parte, McCarthy, M., y Campbell S., (2002) definen el análisis y gestión de riesgos
como el estudio para determinar las situaciones en que aparece un riesgo, los elementos que
motivan dicha aparición y el alcance que puede tener el riesgo. Las tareas de análisis y gestión
de riesgos no son un fin en sí mismas sino que se encajan en la actividad continua de gestión
de la seguridad.

Resulta oportuno mencionar, que existen metodologías y herramientas para el análisis y

gestión de riesgos, algunas de estas son según Peláez, J., (2005),: (a)MAGERIT, es una
Metodología de Análisis y Gestión de Riesgos especificada por el Ministerio de
Administraciones Públicas de España; (b)RIS2K, es una herramienta para el análisis y gestión
de riesgos de la metodología MAGERIT, es decir, es una herramienta para garantizar la
seguridad tanto de los sistemas desarrollados como del propio proceso de desarrollo.

En otras palabras, Peláez, J., (2005) señala que RIS2K es una buena herramienta para
comprender el funcionamiento del análisis y de la gestión de riesgos. Además, la herramienta
posee una base de datos con numerosas amenazas y salvaguardas propuestas (tanto funciones
como mecanismos asociados) que puede ser de gran utilidad. Al mismo tiempo, posee una
funcionalidad de simulación que puede ayudar a comprender el impacto que los riesgos tienen
en un sistema (bien porque causen daño, o por el aumento de costos que supone su gestión).
Adicionalmente, posee una funcionalidad de documentación que deja bastante que desear lo
que obligará los usuarios a generar sus propios informes empleando otras aplicaciones.

El análisis y gestión de riesgo, se realiza con una metodología y existen muchas en el

mercado (ver algunas en Metodologías de Análisis de Riesgo), por lo que para este modelo se
sugiere que se estudie la posibilidad de incluir la que consideren más idónea para la
universidad que se necesite implantar.
 31

2.15 Metodologías de Análisis de Riesgo

Las metodologías de análisis y gestión de riesgo que se describirán es la MAGERIT y la

Metodología de Evaluación de la Seguridad de la Informática Universitaria.

La Metodología de Análisis y GEstión de RIesgos de las AdminisTraciones públicas

MAGERIT, según Peláez, J., (2005) es una metodología formal para investigar los riesgos que
soportan los Sistemas de Información, y recomendar las medidas apropiadas que deberían
adoptarse para controlar estos riesgos. Según el Ministerio de Administraciones Públicas
(2006), MAGERIT ha sido elaborada por un equipo interdisciplinario del Comité Técnico de
Seguridad de los Sistemas de Información y Tratamiento Automatizado de Datos Personales,
SSITAD, del Consejo Superior de Informática de España.

Además, MAGERIT integra el desarrollo del propio Sistema de Información de modo que la
Seguridad no sea un elemento externo al sistema sino una más de sus características. La
estructura MAGERIT, consta de tres submodelos que se denominan, elementos, eventos y
procesos. Ver Figura 2.5. Posee cuatro etapas, planificación, análisis de riesgos, gestión de
riesgos y selección de salvaguardas.

Figura 2.5: Modelo de MAGERIT.

Tomado de Expósito, F., (2003)
 32

En cambio, la Metodología de Evaluación de la Seguridad de la Informática Universitaria

(MESIU) de Viloria, O., y Blanco, W., (2006) evalúa la seguridad de la información en las
instituciones universitarias venezolanas. Cabe agregar, que no todas las universidades son
iguales, existen diferentes culturas organizacionales y profundas diferencias con respecto a la
cultura informacional. En tal sentido, habrá situaciones que impliquen realizarle ajustes a la
metodología propuesta para adaptarla al contexto organizacional y al nivel de madurez
alcanzado por la institución en la incorporación de los SI y TIC.

En la estructura de la metodología de Viloria, O., y Blanco, W., (2006) se establecen cuatro

componentes básicos: (a)la Cultura de la Seguridad Informática, (b)el Método de Evaluación
Diagnóstica Organizacional de los Procesos, (c)el Análisis de Riesgo y, (d)la Gestión del
Riesgo. El primer componente es una subcultura de la cultura organizacional que tiene una
gran influencia en la ejecución y el éxito de la MESIU (ver Figura 2.6); el segundo
componente, etapa que está embebida en toda la metodología macro de planificación
estratégica, en ella se identifican los activos informáticos, los procesos, las aplicaciones o
sistemas que necesita la institución para mejorar e impactar la estrategia corporativa; en el
tercer componente, se identifican las amenazas a los activos instalados, por adquirir o a
desarrollar (aplicaciones de los sistemas de información) y la última, basada en los resultados
del análisis anterior, permite seleccionar e implantar las mecanismos de protección de los
activos para reducir al mínimo los riesgos y los posibles perjuicios económicos al patrimonio
de las universidades.
 33

Cultura Organizacional
Cultura de la Seguridad

Valores Política de
Seguridad

Método de Evaluación Diagnóstica Organizacional de

los Procesos- Activos Informáticos

Aplicaciones FCE Información Crítica

Análisis y Gestión
de Riesgos
Los SI FCE Plataforma Tecnológica

Plan Estratégico de los SI y TIC

Esquema de Seguridad

Procedimientos de Herramientas de Protección

Seguridad
Externos Interno Hardware Software Comunicaciones

Estrategias

Plan de Plan de Plan de Plan de

Sensibilización Contingencia Recuperación Implantación de
Protecciones

Disciplinas de las Organizaciones Inteligentes

Figura 2.6: Metodología de la Seguridad de la Informática MESIU. Tomada de Viloria y

Blanco (2006)
 34

2.16 Modelos Organizacionales

2.16.1 Modelo de Anthony

Se trata de un marco de trabajo útil en sistemas de control y planeación administrativa. Se

basa en el hecho de que las necesidades de información son diferentes en cada nivel de la
organización. Asimismo, este modelo es una visión simplificada, que según Laudon, K., y
Laudon, J., (1991), indica la existencia de distintos niveles de actividad de una
organización, siendo la toma de decisiones una de las actividades importantes que se
realizan en cada uno los niveles de la organización. Dichos niveles de actividad requieren,
para su correcto desempeño, información con características distintas en cuanto a detalle,
periodicidad, presentación gráfica, volumen y nivel de agregación.

Asimismo, las posibles deficiencias en la información utilizada para la toma de

decisiones o para el soporte de las operaciones de la empresa, podrían afectar a la
organización con impactos diferentes en cada uno de sus niveles. Estos impactos podrían ir
desde el rechazo indebido de un pedido por un exceso ficticio en el límite de crédito o por
una supuesta inexistencia de inventarios, hasta una decisión estratégica equivocada, como
el retiro de un producto del mercado por supuestos bajos niveles de ventas.

En este mismo orden de ideas, el modelo de pirámide de Anthony se asemeja mucho a las
estructuras organizacionales del pasado, afirma Solís, G., (2002), en las que predominaba
un esquema precisamente piramidal y con un elevado nivel de concentración del poder de
decisión en los niveles superiores. (Ver Figura 2.7). La pirámide se representa de la
siguiente manera:
 35

Figura 2.7: Modelo de Anthony.

Tomado Etcheverry, S., (2005)

2.16.2 Modelo de Blumenthal

Es un modelo basado en módulos que representan funciones organizacionales,

Blumenthal, S., (1969) lo define como

Para descomponer una función operativa en sus pequeñas unidades funcionales,

es decir, que lo define como un conjunto de funciones operativas donde un
módulo es parte de un subsistema de información que sirve a una o más
unidades funcionales. Un módulo puede estar formado por una o más
subrutinas. Adicionalmente, este modelo posee dos categorías principales de
módulos, módulo de información gerencial y operativa. (pp 30)

La idea fundamental en este modelo señala Solís, G., (2002) es que la mayor parte de la
información utilizada en una empresa proviene de una misma fuente operativa (excepto de
la proveniente de fuentes externas). En este modelo, la información es capturada, procesada
y almacenada en una base de datos única, íntegra y consistente que sirve como base de
distribución para todos los usuarios. Los distintos niveles de la organización requieren la
 36

misma información, pero con características de presentación diferentes, como pueden ser:
grados de agregación, periodicidad y volúmenes.

La esencia de este modelo señala Etcheverry, S., (2005) que es contar con un computador
central en donde reside la porción principal del sistema (servidor), y con computadores
distribuidos físicamente en lugares distintos al computador central (clientes), que mediante
comunicación con dicho computador puedan compartir los distintos componentes del
sistema. (Ver Figura 2.8). Este modelo se representa a continuación:

Figura 2.8: Modelo de Blumenthal.

Tomado Etcheverry, S., (2005)

2.16.3 Modelo de Anthony-Blumenthal

Este modelo o integración de modelos según Etcheverry, S., (2005), muestra cómo una
base de datos instrumental e integral debe proporcionar información a los distintos niveles
 37

de toma de decisiones; esta información es obtenida de una fuente única y se proporciona

con fechas, volúmenes y periodicidad distintos en cada uno de los niveles. También debe
entenderse que, en caso de existir problemas en dicha información, el impacto institucional
tendría diferentes características e implicaciones. (Ver Figura 2.9):

Figura 2.9: Modelo Anthony-Blumenthal.

Tomado Etcheverry, S., (2005)
 38

2.17 Modelos Organizacionales de Madurez

La madurez es expresada por Sancho y Cervera, J., (s.f) como la capacidad que tiene una
organización de aprender y utilizar los conocimientos adquiridos para disminuir su desperdicio
organizacional o incrementar su eficiencia. La madurez organizacional se logra a través de la
existencia de elementos capaces dentro de la administración de la organización, ya no se
puede contar con solo elementos que conocen del negocio, se requiere de personal capacitado
en sistemas administrativos y tecnologías actualizadas para manejarlos de manera más
eficiente.

El modelo general sugerido por Sancho y Cervera, J., (s.f), presenta un análisis y descripción
de un Sistema de Madurez, establece y permite medir 4 niveles de madurez organizacional, los
cuales denotan una mayor capacidad progresiva de aprendizaje de la organización, y una
capacidad de utilizar lo aprendido para elevar la eficiencia y la calidad de los servicios que
presta. Esos niveles son los siguientes:

(a) Incipiente.

(b) Reforzamiento.

(c) Alto rendimiento.

(d) Desarrollo sustentable.

En estos cuatro niveles de madurez es factible ubicar cualquier organización,

determinándose que aquellas que se encuentran en un mismo nivel de madurez presentan
características similares en cuanto a su desempeño, así como en cuanto a sus fortalezas,
oportunidades, debilidades y amenazas, lo que permite tipificarlas una vez analizadas.
 39

La Figura 2.10 muestra algunas de las principales características de cada nivel de madurez
organizacional, así como su relación con la eficiencia de la gestión, observándose que a menor
nivel de madurez, menor eficiencia de gestión y mayor desperdicio organizacional. A
continuación se describe con mayor profundidad cada uno de los niveles de madurez y se
amplían sus rasgos distintivos.

Figura 2.10: Modelo Organizacional de Madurez.

Tomado de Sancho y Cervera, J., (s.f)

Existen otros Modelos organizacionales de madurez, tales como:

 40

2.17.1 Modelo de Nolan

El modelo de Richard Nolan describe las fases de asimilación tecnológica por la que pasa
una empresa, al enfrentarse al reto de implementar una nueva tecnología. En realidad,
Nolan presenta dos modelos, uno en el que se describen cuatro fases de asimilación y otro
de seis fases. Por esto, Nolan, R., (1979) explica el modelo de las cuatro fases que
considera las empresas que tienen una cartera de tecnologías de la información diferentes,
donde cada tecnología pasa a través de las siguientes fases:

• Fase uno: denominada Iniciación, se caracteriza por ser una etapa de introducción,
aprendizaje y escaso control o planificación.

• Fase dos: lleva por título Expansión o Contagio, en esta los potenciales usuarios se
sienten entusiasmados por las posibilidades de la nueva tecnología y sus aplicaciones. La
experimentación y los gastos crecen aceleradamente, aparece la planificación y el
control.

• Fase tres: titulada como Formalización o control, en esta surgen controles que frenan el
crecimiento de los presupuestos en función de la adopción de las tecnologías, así como
del número de aplicaciones a desarrollar, se exige calidad.

• Fase cuatro: llamada Madurez esta consigue la integración orgánica de las aplicaciones
así como la planificación y control forman parte de las necesidades de la empresa, y las
Tecnologías de la Información estén alineadas con los objetivos de la misma. (Ver
Figura 2.11)
 41

Figura 2.11: Modelo de Nolan (4 Etapas)

Tomado de Nolan, R., (1979).

Por otra parte, el segundo modelo consta de seis fases al respecto Estay-Niculcar, C.,
(2006) las describe cada una:

• La primera fase es Inicio, es donde pocos individuos en la empresa aceptan emplear la

nueva tecnología para remplazar los viejos métodos probados, ya que dichos métodos
resultan conocidos y cómodos aunque puedan ser también poco eficientes o sujetos a
mejoras.

• La segunda fase es Contagio, los beneficios de la nueva tecnología se hacen evidentes y

todos en la empresa desean utilizarla, lo que trae como consecuencia una proliferación
muchas veces exagerada y anárquica de la nueva y ahora ampliamente aceptada
tecnología. Nolan la denomina como snack, combinación de falta de control y
abundancia de recursos.

• La tercera fase es Control, como su nombre lo indica controla o administra el uso y los
riesgos de la nueva tecnología mediante normatividad y políticas institucionales, entre
otros medios.
 42

• La cuarta fase es Integración, en la cual se logran consolidar los usos aislados de la

tecnología, normar su utilización y obtener los beneficios sinérgicos y repetitivos de
dicha integración.

• La quinta fase es la de Datos, en la cual la organización se orienta en consolidar una

base de información o de conocimientos que contenga todo el conocimiento de la
organización en forma integrada, no redundante y reutilizable.

• La sexta fase de Madurez, en la cual la organización logra obtener un portafolio de

aplicaciones integrado y completo que soporta los objetivos institucionales y permite un
aprovechamiento óptimo de la tecnología.

Una evolución de este mismo modelo presenta una situación más cercana a la realidad
menciona Solís, G., (2002), cada vez que se presenta un cambio tecnológico, se inicia
nuevamente el ciclo con la fase de inicio y aún cuando es menos aguda, se vuelven a
presentar problemas en la curva de aprendizaje de la organización y surge la resistencia al
cambio.

El óptimo aprovechamiento de la tecnología no implica necesariamente la adquisición de

los últimos modelos de equipos, sino el máximo aprovechamiento de la tecnología existente
(sin llegar a extremos de tecnología obsoleta), y visualizar a la tecnología como un
habilitador de soluciones de negocio y no como un valor por sí misma. A continuación se
presenta la Figura 2.12 del modelo de Nolan de 6 etapas:
 43

Inversión
en TICs Curvas de
aprendizaje Madurez

Inmadurez

Etapas Iniciación Contagio Control Integración Administración

Tiempo
de datos

Figura 2.12: Modelo de Nolan (6 etapas).

Tomada de Estay-Niculcar, C. (2006)

2.17.2 Modelo CMM

El Modelo de Capacidad y Madurez o CMM (Capability Maturity Model), descrito en

García, C., (2001) como un modelo de evaluación de los procesos de una organización. Fue
desarrollado inicialmente para los procesos relativos al software por la Universidad
Carnegie-Mellon para el SEI (Software Engineering Institute). El SEI es un centro de
investigación y desarrollo patrocinado por el Departamento de Defensa de los Estados
Unidos de América y gestionado por la Universidad Carnegie-Mellon. El CMM es una
marca registrada del SEI. A partir de noviembre de 1986 el SEI, a requerimiento del
Gobierno Federal de los Estados Unidos de América, desarrolló una primera definición de
un modelo de madurez de procesos en el desarrollo de software, que se publicó en
septiembre de 1987.

Este trabajo evolucionó al modelo CMM o SW-CMM (CMM for Software), cuya última
versión (volumen 1) se publicó en febrero de 1993. Este modelo establece un conjunto de
 44

prácticas o procesos clave agrupados en Área Clave de Proceso (KPA - Key Process Area).
Para cada área de proceso señala López, C., (2004) se define un conjunto de buenas
prácticas que habrán de ser: (a)definidas en un procedimiento documentado; (b)provistas
(la organización) de los medios y formación necesarios; (c)ejecutadas de un modo
sistemático, universal y uniforme (institucionalizadas); (d)medidas y; (e)verificadas. A su
vez, estas Áreas de Proceso se agrupan en cinco niveles de madurez, de modo que una
organización que tenga institucionalizadas todas las prácticas incluidas en un nivel y sus
inferiores, se considera que ha alcanzado ese nivel de madurez. Los niveles según López,
C., (2004) son:

• Inicial, donde las organizaciones en este nivel no disponen de un ambiente estable para
el desarrollo y mantenimiento de software. Aunque se utilicen técnicas correctas de
ingeniería, los esfuerzos se ven minados por falta de planificación. El éxito de los
proyectos se basa la mayoría de las veces en el esfuerzo personal, aunque a menudo se
producen fracasos y casi siempre retrasos y sobre costos. El resultado de los proyectos
es impredecible.

• Repetible, en éste las organizaciones disponen de unas prácticas institucionalizadas de

gestión de proyectos, existen unas métricas básicas y un razonable seguimiento de la
calidad. La relación con subcontratistas y clientes está gestionada sistemáticamente.

• Definido, además de una buena gestión de proyectos, las organizaciones disponen de

correctos procedimientos de coordinación entre grupos, formación del personal,
técnicas de ingeniería más detallada y un nivel más avanzado de métricas en los
procesos. Se implementan técnicas de revisión por pares (peer reviews).

• Gestionado, se caracteriza porque las organizaciones disponen de un conjunto de

métricas significativas de calidad y productividad, que se usan de modo sistemático
 45

para la toma de decisiones y la gestión de riesgos. El software resultante es de alta

calidad.

• Optimizado, la organización completa está volcada en la mejora continua de los

procesos. Se hace uso intensivo de las métricas y se gestiona el proceso de innovación.

Así es como el modelo CMM establece una medida del progreso conforme avanzan los
niveles de madurez. Cada nivel a su vez cuenta con un número de áreas de proceso que
deben lograrse. Al alcanzar estas áreas o estadios se detecta mediante la satisfacción o
insatisfacción de varias metas cuantificables. Con la excepción del primer nivel, cada uno
de los restantes niveles de madurez está compuesto por un cierto número de Áreas Claves
de Proceso, conocidas a través de la documentación del CMM por su sigla inglesa: KPA.

Cada KPA según García, C., (2001) identifica un conjunto de actividades y prácticas
interrelacionadas, las cuales cuando son realizadas en forma colectiva permiten alcanzar las
metas fundamentales del proceso. Las KPAs pueden clasificarse en 3 tipos de proceso:
Gestión, Organizacional e Ingeniería. Las prácticas que deben ser realizadas por cada Área
Clave de Proceso están organizadas en 5 características comunes, las cuales constituyen
propiedades que indican si la implementación y la institucionalización de un proceso clave
es efectivo, repetible y duradero. Estas 5 características son: (a)compromiso de la
realización, (b)la capacidad de realización; (c)las actividades realizadas; (d)las mediciones
y el análisis y; (e)la verificación de la implementación.

2.17.3 Modelo CMMI – SI

La propuesta del Modelo de Madurez de Areiza, K., Barrientos, A., Rincón, R., y
Lalinde, J., (2005) consiste en llevar a cabo un análisis relativo a la seguridad informática
 46

para identificar el grado de vulnerabilidad y determinar los aspectos de mejora a ser

llevados a cabo en la organización con el objeto de reducir el riesgo. Las ventajas de esta
propuesta son: (a)se basa en el Modelo CMMI (no es SW-CMM), lo cual amplía la
aplicabilidad del modelo; (b)parte del hecho de que la seguridad de la información es un
proceso (no un aspecto), y define criterios para determinar la madurez del mismo y; (c)las
prácticas definidas para cada nivel corresponden a los controles que están definidos en el
estándar internacional ISO/IEC 17799-2000. (Ver Figura 2.13)

Figura 2.13: Modelo CMMI – SI (Niveles de Madurez)

Tomado de Areiza, K., Barrientos, A., Rincón, R.,
y Lalinde, J., (2005)

• Nivel 1: denominado Inicial, no se realiza evaluación de riesgos que permita establecer

el grado de errores que se tiene con respecto a la seguridad de la información, por lo
tanto los controles existentes fueron establecidos muy informalmente y se está actuando
 47

en forma reactiva. El éxito de la seguridad depende del talento de las personas

involucradas en su mantenimiento.

• Nivel 2: llamado Gestionado, existen procesos básicos de gestión de la seguridad de la

información. Los controles existentes hacen que se puedan detectar posibles incidentes
de seguridad.

• Nivel 3: denominado Definido, existe un sistema de gestión de seguridad de la

información, documentado y estandarizado dentro de la organización. Todos los
controles son debidamente documentados, aprobados, implementados, probados y
actualizados.

• Nivel 4: llamado Gestionado Cuantitativamente, la organización realiza auditorías al

sistema de gestión de seguridad de la información (SGSI, BS7799-2 -> ISO/IEC
27001:2005) y recolecta métricas para establecer la efectividad de los controles.

• Nivel 5: denominado Optimización, existe una mejora continua del sistema de gestión
de seguridad de la información, basada en la realimentación cuantitativa y cualitativa de
las auditorías al sistema de seguridad de la información.

2.17.4 El Modelo de Madurez de la Seguridad para PYMES

Este modelo fue creado por Santos-OlmoParra, A., Sánchez, L., Villafranca, D.,
Fernández-Medina, E., (2006) en España consiste en elaboración de un proyecto que es un
modelo realista, pragmático y eficiente que permite evaluar y mejorar la seguridad de los
productos y procesos de software para pequeñas y medianas empresas, basándose en las
 48

normas y estándares internacionales más importantes. Igualmente sus autores consideran

que es un modelo en espiral, porque tiene ciclos rápidos y una cultura de la seguridad
progresiva. Este compuesto por 2 fases, y cada una de ellas están integrados por un
conjunto de procesos y tareas, que a continuación se describen:

• FASE I, denominada Evaluación. En esta se realizan auditorías previas para determinar

los objetivos del sistema, y el Análisis del Riesgo y Evaluación del Nivel de Madurez
de los Sistemas de Gestión de la Seguridad de la Información (SGSI) actuales.

• FASE II, denominada Establecimiento de Controles, donde se realiza la Gestión del

Proyecto de SGSI, la cual consiste en determinar que controles se deben definir para
pasar del estado actual de riesgo del activo informático al estado deseado.

2.17.5 El Modelo de Madurez de la Seguridad (MMS)

Este modelo ayuda a las organizaciones a comprender cuál es su estado actual de

mantenimiento de la seguridad, creado por Vicente Aceituno que proporciona una vía para
alcanzar el grado de madurez deseado por la organización (Aceituno, V., 2004). Este
modelo consta de 5 niveles:

• Inicio, la seguridad no está reconocida como una característica deseable de la

organización.

• Reconocimiento, la seguridad ya es reconocida como característica deseable de la

organización. Las responsabilidades de la seguridad de la información no están
definidas. Por lo tanto, no existe un departamento de seguridad.
 49

• Definición, la seguridad es reconocida, la presencia de incidentes de seguridad no suele

conducir a máximo impacto y las responsabilidades y funciones de la seguridad están
definidas, además existe una normativa.

• Gestión, la ausencia de incidentes de seguridad es una consecuencia de los esfuerzos

permanente de la organización para prevenirlos y afrontarlos. Cabe destacar, la presencia
de estos casi nunca conduce a un máximo impacto económico y negativo en los
servicios. Existe un Plan de Continuidad de Operaciones que considera el estado de la
organización en caso de ocurrir un incidente. Se evalúan constantemente los incidentes,
activos, las soluciones, vulnerabilidades. En resumen, se realiza un Análisis y Gestión de
la Seguridad.

• Óptimo, existe y se aplica una política de la seguridad y se realiza Análisis y Gestión de

Riesgo.

2.17.6 Otro Modelo de Madurez de la Seguridad

Este modelo fue creado por Marcelo, J., (s.f) en España, consta de seis entidades que
pueden organizar su estrategia y política de seguridad en forma de escalones para mejorar
su nivel progresivamente, estos son:

• Escalón 0, corresponde al Sentido Común, basado en los siguientes principios:

simplicidad, adecuación, cadena, economía, leer los manuales y diagnosticar los
peligros existentes.
 50

• Escalón 1, corresponde a las Salvaguardas Mínimas Legales, donde se debe cumplir el

reglamento que garantiza la Protección de Datos de carácter personal.

• Escalón 2, corresponde a las Buenas Prácticas de Gestión (proceso), en éste se deben

cumplir las buenas prácticas de gestión de seguridad que están establecidas en la Norma
ISO 17799-1 que contiene 10 secciones de salvaguardas (Política de seguridad,
Seguridad organizacional, Clasificación y control de amenazas, Seguridad del personal,
Seguridad física y del entorno, Gestión de comunicaciones y operaciones, Control de
accesos, Desarrollo y mantenimiento de sistemas, Gestión de continuidad del negocio,
Conformidad) y la Norma ISO 27002 que es para evaluar y certificar los Sistemas de
Gestión de Seguridad que cumplan la ISO 27001.

• Escalón 3, corresponde a la Gestión Global de Sistemas: AGR, éste es realizar Análisis

y Gestión de Riesgos con la metodología MAGERIT.

• Escalón 4, corresponde a la Certificación de Componentes, el criterio para certificar se

hace con la norma ISO/IEC IS 15408, que es tomar los criterios comunes para
evaluación de la seguridad de las tecnologías de la información.

• Escalón 5, corresponde a la Certificación de Sistemas Compuestos, el criterio para

certificar se hace con la norma ISO/IEC IS 15408, que es tomar los criterios comunes
para evaluación de la seguridad de las tecnologías de la información.
 51

2.17.7 Modelo de Madurez para la Administración y el Control de los Procesos de TI

(COBIT)

Se basa en un método de evaluación de la organización, de tal forma que se pueda evaluar

a sí misma desde un nivel de no-existente (0) hasta un nivel de optimizado (5). Este
enfoque se deriva del modelo de madurez que el Software Engineering Institute definió
para la madurez de la capacidad del desarrollo de software. Los niveles de madurez están
diseñados como perfiles de procesos de TI que una empresa reconocería como
descripciones de estados posibles actuales y futuros. No están diseñados para ser usados
como un modelo limitante, donde no se puede pasar al siguiente nivel superior sin haber
cumplido todas las condiciones del nivel inferior. Si se usan los procesos de madurez
desarrollados para cada uno de los 34 procesos TI de COBIT, la administración podrá
identificar:

• El desempeño real de la empresa—Dónde se encuentra la empresa hoy

• El estatus actual de la industria—La comparación

• El objetivo de mejora de la empresa—Dónde desea estar la empresa

El modelo de Madurez para la Administración y el Control de los Procesos de TI (COBIT)

está compuesto por 6 niveles (ver figura 2.14), los cuales serán detallados a continuación:

0 No existente: carencia completa de cualquier proceso reconocible. La empresa no ha

reconocido siquiera que existe un problema a resolver.

1 Inicial: existe evidencia que la empresa ha reconocido que los problemas existen y
requieren ser resueltos. Sin embargo; no existen procesos estándar en su lugar existen
enfoques ad hoc que tienden a ser aplicados de forma individual o caso por caso. El
enfoque general hacia la administración es desorganizado.
 52

2 Repetible: se han desarrollado los procesos hasta el punto en que se siguen

procedimientos similares en diferentes áreas que realizan la misma tarea. No hay
entrenamiento o comunicación formal de los procedimientos estándar, y se deja la
responsabilidad al individuo. Existe un alto grado de confianza en el conocimiento de
los individuos y, por lo tanto, los errores son muy probables.

3 Definido: los procedimientos se han estandarizado y documentado, y se han difundido a

través de entrenamiento. Sin embargo, se deja que el individuo decida utilizar estos
procesos, y es poco probable que se detecten desviaciones. Los procedimientos en sí no
son sofisticados pero formalizan las prácticas existentes.

4 Administrado: es posible monitorear y medir el cumplimiento de los procedimientos y

tomar medidas cuando los procesos no estén trabajando de forma efectiva. Los procesos
están bajo constante mejora y proporcionan buenas prácticas. Se usa la automatización
y herramientas de una manera limitada o fragmentada.

5 Optimizado: los procesos se han refinado hasta un nivel de mejor práctica, se basan en
los resultados de mejoras continuas y en un modelo de madurez con otras empresas. TI
se usa de forma integrada para automatizar el flujo de trabajo, brindando herramientas
para mejorar la calidad y la efectividad, haciendo que la empresa se adapte de manera
rápida.
 53

Figura 2.14: Modelo de para la Administración y el Control de los Procesos de TI

(COBIT). Tomado de IT Governance Institute (2005).

2.17.8 Cuadro Comparativo de los Modelos Organizacionales de Madurez

Modelo de
Finalidad Se Divide en Permite Proporciona
Madurez

Describe la El primer modelo El segundo modelo Este modelo

asimilación consta de cuatro fases consta de seis fases visualiza la
tecnológica por la 1.Iniciación, 1.Inicio, 2.Contagio, tecnología como un
Nolan que pasa una 2.Expansión o 3.Control, 4.Integración, habilitador de
empresa. Tiene dos Contagio, 5.Datos, 6.Madurez. soluciones de
modelos, uno con 4 3.Formalización o negocio y no como
fases y otra 6 Control, 4.Madurez. un valor por sí
misma.
Evalúa los procesos Se divide en 5 Define prácticas para el Establece medidas
de una organización. niveles: 1.Inicial, logro de procedimientos para el progreso
CMM Se desarrolla para los 2.Repetible, documentados. Se conforme a los
procesos relativos al 3.Definido, 4. ejecuta de un modo niveles de madurez.
software Gestionado, sistemático, universal y Verifica la
5.Optimizado uniforme implementación.
Determina los Está constituido por 5 Define criterios para Identifica el grado
aspectos de mejora en niveles: 1.Inicial, determinar la madurez de vulnerabilidad.
la organización. 2.Gestionado, de la organización. Reduce el riesgo
CMM-SI
Lleva un análisis 3.Definido,
relativo a la 4.Gestionado
seguridad Cuantitativamente,
informática. 5.Optimización.
 54

Modelo de
Finalidad Se Divide en Permite Proporciona
Madurez

Seguridad Modelo realista, Está compuesto por 2 Presenta ciclos rápidos y Considera una
pragmático y fases: 1.Evaluación y económicos y está cultura de la
para eficiente para evaluar 2.Establecimiento de diseñado para pequeñas seguridad
y mejorar la Controles y medianas empresa progresiva.
PYMES seguridad de los
productos
Contribuye a Se divide en cinco Proporciona una vía Proporciona un
comprender a las niveles: 1.Inicio, para alcanzar el grado marco para
MMS organizaciones cuál 2.Reconocimiento, de madurez deseado por identificar los
es su estado actual de 3.Definición, la organización. procesos principales
mantenimiento de la 4.Gestión, 5.Óptimo en un sistema y
seguridad. evaluar su madurez
Las entidades pueden Está compuesto de Se presentan en forma Mientras se escala
organizar su seis escalones: de escalones para es más complejo
estrategia y política 0.Sentido Común, mejorar su nivel superar cada
de seguridad en 1.Salvaguardas progresivamente. escalón, pero si se
Otro forma de escalones Mínimas Legales, desciende esto
Modelo 2.Buenas Prácticas de ocasiona
de Gestión, 3.Gestión incertidumbre para
Global de Sistemas, la organización
Seguridad
4.Certificación de
Componentes,
5.Certificación de
Sistemas
Identifica donde se Su escala va de: 0.No Evalúa el desempeño, el Mide el desarrollo
encuentran los Existencia, 1.Inicial, status y la mejora de la en los procesos
problemas y fija 2.Repetible, empresa. Evoluciona administrativos. Se
prioridades para las 3.Definifo, desde una capacidad no enfoca en la
mejoras. Brinda un 4.Administrado, existente hasta una capacidad y no
COBIT perfil genérico de las 5.Optimizado capacidad optimizada. necesariamente en
etapas a través de las el desempeño
cuales evolucionan
las empresas para la
administración y el
control de los
procesos de TI
 55

CAPÍTULO III
METODOLOGÍA

El presente capítulo tiene por finalidad describir las fases de la metodología aplicada, a fin
de alcanzar los objetivos planteados en esta investigación. El marco metodológico del estudio
abarca: (a)el tipo de estudio, (b)el diseño de la investigación, (c)la población y muestra
considerada, (d)el instrumento utilizado, (e)el procedimiento realizado para llevar a cabo la
investigación y (f)la estrategia empleada para el análisis de los datos.

3.1 Tipo de Estudio.

El trabajo de investigación que se llevó a cabo es de tipo exploratorio, que según Hernández,
R., y otros (2003) son: “los que se efectúan cuando el objetivo es examinar un tema o
problema de investigación poco estudiado, del cual se tienen dudas o no se ha abordado
antes”. Por esto, la propuesta presentada en esta investigación se cataloga exploratoria, ya que
en el contexto de las universidades de la región capital no se habían desarrollado
anteriormente modelos de madurez de seguridad de la información. Por otra parte, esta
investigación tiene como estrategia el estudio de campo, ya que se busca especificar y explorar
las dimensiones de los niveles de madurez de Seguridad de la Información en Universidades
Venezolanas de la Región Capital.
 56

3.2 Diseño de Investigación.

El diseño de investigación del trabajo realizado fue no experimental, transversal y

exploratorio, porque se consideró el más adecuado en función de los objetivos planteados para
esta investigación, debido a que presentan un panorama de los niveles para una o más
dimensiones del Modelo de Seguridad de la Información en un determinado tiempo.

3.3 Población y Muestra.

La población en muy pocas ocasiones se puede medir, por lo que es necesario recurrir a una
muestra de la misma. Según Hernández, R., y otros (2003), una muestra desde el enfoque
cuantitativo, es un “subgrupo de la población del cual se recolectan los datos y debe ser
representativo de dicha población” (pp.302).

3.3.1 Población y Muestra Piloto para Validar el Instrumento de Medición y el

Modelo

La población en estudio estaría conformada por todo el personal adscrito al área de

Seguridad de la Información (SeI) en las Universidades Venezolanas, expertos del área de
investigación, gerentes de SeI y Tecnologías de la Información y Comunicación y algunas
autoridades universitarias con experticia en el área. Cabe destacar, que cada universidad
posee su población y con la misma se puede determinar su nivel de madurez en la
administración y gestión de la SeI. Es importante precisar que la población potencial en
cada universidad es reducida, entre 2 hasta 4 miembros; sin embargo, la muestra para
aplicar el instrumento de medición debe ser significativa de la población.
 57

Para llevar a cabo el proceso de muestreo se elaboró inicialmente el marco muestral, que
según Kinnear, T., y Taylor, J., (1998) es “una lista de todas las unidades de muestreo
disponible para su selección en una etapa del proceso de muestreo” (pp.402). Este marco
muestral puede ser un mapa, el directorio telefónico o la lista de miembros de una
asociación, entre otros.

En tal sentido, para determinar el marco muestral de la investigación se recurrió a la

Oficina de Planificación del Sector Universitario (OPSU, 2008), en esta institución se
obtuvo una lista de las Universidades ubicadas en la Región Capital. En ella existen las
siguientes universidades:

• Universidad Central de Venezuela (UCV)

• Universidad Simón Bolívar (USB)

• Universidad Politécnica de las Fuerzas Armadas Nacionales (UNEFA)

• Universidad Politécnica Antonio José de Sucre. Vicerrectorado Luis Caballero Mejías

(UNEXPO)

• Universidad Pedagógica Experimental Libertador (UPEL)

• Universidad Simón Rodríguez (USR)

• Universidad Nacional Abierta (UNA)

• Universidad Bolivariana de Venezuela (UBV)

• Universidad Nacional Experimental Marítima del Caribe (UMC)

• Universidad Católica Andrés Bello (UCAB)

• Universidad Metropolitana (UM)

• Universidad Santa María (USM)

• Universidad José María Vargas (UJMV)

• Universidad Alejandro Humboldt (UNIHUMBOLDT)

 58

• Universidad MonteÁvila (UMA)

• Universidad Nueva Esparta (UNE)

Cabe destacar, que en virtud de que eran pocas universidades, se trató de trabajar con la
población completa, por esto se visitó a cada una de ellas y en cinco de las dieciséis
Universidades de la Región Capital los encargados de la SeI no colaboraron en la
validación del instrumento de medición y del modelo de madurez de la administración y
gestión de la Seguridad de la Información (MMAGSI) de esta investigación. Estas
limitaciones se presentaron en las siguientes universidades: Universidad Simón Rodríguez,
Universidad Bolivariana de Venezuela, Universidad Marítima del Caribe, Universidad
Santa María y Universidad José María Vargas. Dada esta circunstancia se optó por trabajar
con una muestra de la población que según Hernández, R., y otros (2003), es un “subgrupo
de la población del cual se recolectan los datos y debe ser representativo de dicha
población” (pp. 302). La muestra de 11 Universidades representa el 68,75% de la población
y según Palella, S., y Martins, F., (2003) es una muestra significativa y suficiente. En la
Tabla 3.1 se detalla el listado de las Universidades de la muestra y el número de
trabajadores del conocimiento encargados de la seguridad en cada una de ellas.

La muestra esta representada por los trabajadores encargados de la Seguridad de la

Información de cada una de las universidades que finalmente conformaron el marco
muestral. La estructura final de la muestra piloto se puede apreciar en la tabla 3.1

Tabla 3.1: Universidades Consideradas para la Validación del Instrumento de Medición

y el Modelo MMAGSI
Total de
Total de Personas
Personas que
Universidad Encargadas de la
Respondieron
Seguridad (Población)
(Muestra)

Universidad Central de Venezuela (UCV) 1 1

 59

Total de
Total de Personas
Personas que
Universidad Encargadas de la
Respondieron
Seguridad (Población)
(Muestra)

Universidad Simón Bolívar (USB) 1 1

Universidad Politécnica de las Fuerzas

4 1
Armadas Nacionales (UNEFA)

Universidad Politécnica Antonio José de

Sucre. Vicerrectorado Luis Caballero Mejías 4 1
(UNEXPO)

Universidad Pedagógica Experimental

4 1
Libertador (UPEL)

Universidad Nacional Abierta (UNA) 2 1

Universidad Católica Andrés Bello (UCAB) 2 1

Universidad Metropolitana (UM) 1 1

Universidad Alejandro Humboldt

1 1
(UNIHUMBOLDT)

Universidad MonteÁvila (UMA) 1 1

Universidad Nueva Esparta (UNE) 1 1

Algunos encargados de la SeI (5 trabajadores), cedieron la responsabilidad de responder

el cuestionario y reunirse con la investigadora a otra persona de su confianza. Sin embargo,
la aplicación de la encuesta sirvió para validar nuevamente, lo que permitió modificar el
 60

instrumento y el modelo MMAGSI completo (Ver Anexo B y Capítulo IV). Por ello esta
muestra fue considerada piloto, que según Palella, S., y Martins, F., (2003) valora los
siguientes aspectos:

• Verificación de si el instrumento responde a los objetivos del estudio.

• Comprobación de si el instrumento es fluido. Es decir, si posee lógica y
consistencia interna.
• Comprensión de las preguntas y aceptabilidad por parte del encuestado e
idoneidad en la secuencia.
• Idoneidad de las respuestas cerradas preestablecidas.
• Discriminación de las preguntas.
• Valoración de los casos en que los investigados no respondan el instrumento.
• Idoneidad de todos los aspectos del protocolo de procedimientos.
• Aspectos logísticos: disponibilidad, recogida y entrada de instrumentos, la
propia supervisión, entre otros. (pp.151).

Cabe destacar que esta investigación demostró que al parecer existe sensibilidad en el
área de la SeI que puede afectar las respuestas de algunos ítems, porque la mayoría de los
encargados, cuyas funciones abarca la SeI, posiblemente teman mostrar las debilidades
relacionadas con su entorno laboral, ya que las mismas pueden ser aprovechadas por
personas inescrupulosas para desarrollar un ataque hacia los activos informáticos,
igualmente existe un gran temor a ser evaluados.

3.4 Sistemas de Variables e Indicadores.

Las variables en estudio para el presente trabajo de investigación son los niveles de madurez
de la Seguridad de la Información representados por cuatro dimensiones, basadas en el
cuestionario inicial (Ver Anexo A). A continuación se exponen la definición conceptual, la
definición operacional y los indicadores de cada dimensión.
 61

Variables: Niveles de Madurez

El modelo conceptual de madurez de la Seguridad de la Información para las Universidades

Venezolanas de la Región Capital sugiere cuatro niveles que serán expuestos en las siguientes
dimensiones:

Dimensión: Nivel de Inicio

Este es el nivel inicial en el modelo conceptual de madurez donde se establecen tres

indicadores, que son medidos a través de escala nominal y ordinal en el cuestionario aplicado.
Ver Tabla 3.2.

Tabla 3.2: Dimensión de Nivel de Inicio

DEFINICIÓN DEFINICIÓN
INDICADORES
CONCEPTUAL OPERACIONAL
Prevee las medidas de - Promedio de - Unidad Organizacional de la
salvaguardas básicas de respuesta en el Seguridad de la Información
la seguridad de la ítem (Likert) - Herramientas Básicas de Hardware y
información - Frecuencia Software
relativa y - Medidas de Seguridad Básicas
porcentual

Dimensión: Nivel de Desarrollo

Este es el segundo nivel en el modelo conceptual de madurez donde se establecen cinco

indicadores, que son medidos a través de escala nominal y ordinal en el cuestionario aplicado.
Ver Tabla 3.3
 62

Tabla 3.3: Dimensión de Nivel de Desarrollo

DEFINICIÓN DEFINICIÓN
INDICADORES
CONCEPTUAL OPERACIONAL
Es el nivel donde se - Promedio de - Documento de la Seguridad de la
desarrollan las Políticas respuesta en el Información
de Seguridad y delimitan ítem (Likert) - Funciones y Obligaciones del personal
las obligaciones de cada - Frecuencia encargado de la Seguridad de la
uno de los trabajadores relativa y Información
de la universidad porcentual - Difusión de las Políticas de Seguridad
de la Información
- Medidas de Seguridad Intermedias
- Valores y Conductas Éticas

Dimensión: Nivel de Madurez

Este es el tercer nivel en el modelo conceptual de madurez donde se establecen seis

indicadores, que son medidos a través de escala nominal y ordinal en el cuestionario aplicado.
Ver Tabla 3.4

Tabla 3.4: Dimensión de Nivel de Madurez

DEFINICIÓN DEFINICIÓN
INDICADORES
CONCEPTUAL OPERACIONAL
Este nivel se refiere al - Promedio de - Trabajo en Equipo
trabajo en equipo, respuesta en el - Auditorías Externas e Internas
establecer un plan ítem (Likert) - Desarrollo de un Plan Estratégico
estratégico y realizar - Frecuencia - Medidas de Seguridad Avanzadas
auditorías. relativa y - Adopción de Políticas de Seguridad de
porcentual la Información
- Adopción de Valores y Conductas
Éticas
 63

Dimensión: Nivel de Inteligencia Organizacional

Este es el último nivel en el modelo conceptual de madurez donde se establecen ocho

indicadores, que son medidos a través de escala nominal y ordinal en el cuestionario aplicado.
Ver Tabla 3.5

Tabla 3.5: Dimensión de Nivel de Inteligencia Organizacional

DEFINICIÓN DEFINICIÓN
INDICADORES
CONCEPTUAL OPERACIONAL
Se refiere al nivel - Promedio de - Responsables de que se cumplan las
optimizado porque se respuesta en el Políticas de Seguridad de la
aplicaran las medidas de ítem (Likert) Información y las Medidas de
seguridad, desarrollará - Frecuencia Seguridad de la Información
el plan estratégico relativa y - Cultura Organizacional de la
establecido previamente, porcentual Seguridad de la Información
existirá trabajo en - Políticas de la Seguridad de la
equipo, entre otros. Información
- Cumplimiento de la misión y visión
compartida de la Seguridad de la
Información
- Trabajo en Función de la visión
compartida
- Desarrollo de actitudes y aptitudes en
las personas que forman los grupos de
trabajo
- Análisis y Gestión de riesgo de los
Sistemas Informáticos
permanentemente
- Ejecución del Plan Estratégico de la
Seguridad de la Información

3.5 Técnicas e Instrumentos de Recolección de Datos.

Para esta investigación la fuente de datos se obtuvo a través de la formulación de preguntas a

los encuestados por medio de la entrevista personal o email y se elaboró un instrumento de
 64

medición tipo cuestionario para determinar el nivel de madurez con respecto a la

Administración y Gestión de la SeI, en este proceso se aplicó el método de comunicación.

Por otra parte, el método de observación fue ejecutado al momento de aplicar el instrumento
de medición se reconoció y registró el comportamiento del encuestado, así como la parte física
de los activos informáticos que posee las universidades visitadas, ya que algunas por
disposición propia mostraron sus activos y las mejoras que le han realizado a los mismos,
incluso se aprovechó esta apertura para revisar el organigrama de la institución y la existencia
de códigos de cargos a los trabajadores del conocimiento encargados de la SeI en recursos
humanos.

3.5.1 Técnicas, Métodos e Instrumentos de Recolección de Datos para la Construcción

del Modelo

El modelo inicial construido, es el producto de la investigación exploratoria, que abarcó

revisión de diversas fuentes bibliografías consultadas de las áreas de: Seguridad de la
Información, Modelo de Madurez Organizacional, Gerencia Tecnológica, Planificación
Estratégica, entre otras. Igualmente se consultaron a cinco expertos en el área, a través de la
aplicación de entrevistas abiertas. Este modelo inicial, posteriormente fue validado por 5
expertos a través del método Delfos o Delphi, para mayor información revisar Astigarraga,
E., (s.f) donde se explica este método.

3.5.2 Técnicas e Instrumentos de Recolección de Datos

El instrumento de medición (cuestionario) utilizado para identificar los niveles del

Modelo de Madurez de Administración y Gestión de la SeI en las organizaciones
 65

universitarias fue diseñado por la investigadora de este trabajo en función del modelo
inicial.

En ese mismo sentido, el instrumento contiene dos niveles de medición: (a)nominal, es la

asignación arbitraria de los valores a las categorías de la variable; (b)ordinal, es la escala
que asigna valores a las subcategorías de una variable y donde la relación de orden (< o >)
esta establecida.

Las preguntas formuladas en el instrumento de medición, se trata de un tipo de reactivo

que no presupone ninguna clase de respuesta. Para esta categoría se presentan dos modelos:

(a) Preguntas dicotómicas-múltiples, constituyen uno de los tipos elementales de preguntas,

que son sencillas de formular, contestar y tabular, si bien inicialmente se generaron las
categorías “si” y “no” la dicotomía, se reestructuró al agregar la categoría “no se”, por lo
tanto las preguntas son policotómica con tres categorías.

(b) Preguntas de escalas de actitudes y respuestas, son formas de medida que se basan en la
idea de clasificación, aprovecha a la par las propiedades semánticas de las palabras y las
características de los números. Existen diferentes tipos de escala que manifiestan distintos
niveles de medida, en este caso se utilizó la escala valorativa de Likert. El cuestionario final
después de pasar por diferentes procesos de validación quedó constituido por seis partes
diferenciadas entre sí:

• La primera parte considera información con respecto al entrevistado (área de

desempeño, departamento al que pertenece, años de experiencia, nivel educativo, cargo
actual) y a la Universidad (nombre). Esta parte esta constituida por 6 ítems de preguntas
abiertas. (Ver Anexo A)
 66

• La segunda parte está compuesto por 1 ítem que se mide en una escala nominal.

• La tercera parte está compuesto por 13 ítems, de los cuales 9 se miden en una escala
nominal y 4 con una escala ordinal, específicamente la valorativa de Likert con valores
numéricos discretos que van del 1 al 5, esta escala mide frecuencia.

• La cuarta parte considera la opinión del entrevistado con respecto a los procedimientos
institucionales y políticas de la Seguridad de la Información y está compuesto por 25
ítems, de los cuales 10 se miden con una escala nominal, 15 ítems con una escala
valorativa de Likert con valores numéricos discretos que van del 1 al 5, esta escala mide
frecuencia.

• La quinta parte considera la opinión del entrevistado con respecto al nivel de trabajo en
equipo, auditorías y cumplimiento de las políticas y medidas de la Seguridad de la
Información, está compuesto por 30 ítems, de los cuales 19 se miden con una escala
nominal, 11 ítems se considera una escala valorativa de Likert con valores numéricos
discretos que van del 1 al 5, esta escala mide frecuencia.

• La sexta parte corresponde a la medición del rendimiento y optimización en el nivel

organizacional, está conformado por 19 ítems e igualmente considera una escala
nominal en cada uno de ellas.
 67

3.6 Validación y Modificaciones del Modelo MMAGSI e Instrumento de Medición

3.6.1 Validación y Modificaciones del Modelo MMAGSI

La validación del modelo MMAGSI consistió en aplicar el método de Delfos y se

fundamente en la consulta a 5 expertos, estas personas se desempeñan como asesores y
profesores de las áreas de investigación, tales como: Seguridad de la Información, Gerencia
Tecnológica, Planificación Estratégica, Sistemas de Información, Tecnologías de la
Información y Comunicación. La aplicación de este método debió reunir, consolidar y
distribuir respuestas a los miembros del grupo de expertos en cada una de las tres
iteraciones, el proceso concluye cuando todos los expertos están de acuerdo con los
cambios realizados y no tienen más al respecto. Las consideraciones más notables que se
obtuvieron de la aplicación del método Delfos y las entrevistas aplicadas a los trabajadores
encargados de la SeI y gerentes del área fueron: Agregar el indicador Seguridad Física de
los Activos Informáticos en el nivel de Desarrollo y Agregar el indicador Existencia de un
Sistema de Activos Informáticos al nivel de Madurez. Estos cambios se realizaron basados
en la verdad consensual.

En este mismo orden de ideas, al aplicar el instrumento de medición en las universidades,

los resultados sugieren algunos cambios en el modelo, estos son:

• Se agregó otro nivel al modelo que se llamó Crecimiento, donde se le asignaron los
indicadores que tenían el Nivel de Inicio, y se ubicó entre el de Inicio y Desarrollo.

• En el Nivel de Inicio se agregó el indicador: Personal con funciones de Seguridad de la

Información, es decir, solo es necesario tener en el personal de la universidad alguien
que tenga entre sus funciones la SeI.
 68

• Se agregó el indicador: Encargado de la Seguridad de la Información al Nivel de

Crecimiento.

• Se cambio el indicador: Unidad Organizacional o Departamento del Nivel de Inicio al de

Desarrollo.

En definitiva los cambios al modelo lo flexibilizan y ajustan a la realidad que existe en la

Administración y Gestión de la SeI en las universidades, el modelo MMAGSI quedó
constituido por 5 niveles: Inicio, Crecimiento, Desarrollo, Madurez e Inteligencia
Organizacional; cada uno tiene a su vez características que al estar presente en una
institución la ubican en un determinado nivel de madurez.

3.6.2 Validación y Modificaciones del Instrumento de Medición

La validación del Instrumento de medición se realizó a través del juicio de expertos que
según Palella S., y Martins F., (2003) permite validar técnicas cuantitativas y cualitativas,
y expresan que de 3 a 5 expertos es suficiente, al margen del tipo de técnica.

Para llevar a cabo la validación del instrumento, es muy frecuente el uso de formatos que
permiten a los expertos convocados visualizar la coherencia entre los elementos
mencionados. En este formato se valoraron la pertinencia de las siguientes características:

(a) Los indicadores o preguntas orientadoras respecto de los resultados o dimensiones de

análisis.

(b) Las preguntas de la técnica respecto de los indicadores o preguntas orientadoras.

 69

(c) Así como emitir una opinión sobre cada pregunta, utilizando la escala anexa al
instrumento de evaluación y los espacios de opinión (Ver Anexo A).

En la evaluación de la validez del constructo del instrumento se aplicó la técnica del

juicio de experto, que según Palella S., Martins F., (2003) consiste en entregarle a un grupo
de especialistas en el área, el instrumento elaborado para someterlo a evaluación; los
expertos considerados para esta validación de este instrumento de medición deben ser
impares por sugerencia de los expertos mencionados anteriormente, para esta investigación
se consideraron el juicio de siete expertos en áreas tales como:

• Estadística (3 personas)

• Gerencia y Planeación Estratégica (1 persona)

• Seguridad de la Información (2 personas)

• Metodología (1 persona).

A cada una de estas personas, se le entregó un ejemplar del instrumento de medición

acompañado de los objetivos de la investigación, el sistema de variables y una serie de
criterios para calificar las preguntas. Entre los elementos evaluados que pueden afectar la
validez del instrumento se encuentran:

(a) Preguntas muy cortas e incongruentes.

(b) Redacción incorrecta.

(c) Instrucciones imprecisas.

(d) Problemas externos al instrumento (ambiente físico, emociones).

(e) Subjetividad del investigador.

(f) Tiempo en responder el instrumento.

 70

Por otra parte, al aplicar el instrumento de medición inicial en las universidades de la

región capital, se realizó otra validación con la muestra piloto, donde los resultados
obtenidos sugieren cambios importantes en el mismo, estos son:

• En el ítem 1 del instrumento de medición correspondiente al Nivel de Inicio ¿Existe un

Departamento o Unidad que se encarga de la Seguridad de la Información?, la respuesta
en general fue: si existe el departamento de la SeI, pero la autora de este trabajo
comprobó que no existe en el organigrama, además no hay ninguna oficina en la
universidad o algún espacio asignado para cumplir las funciones de Seguridad de la
Información, por lo que se decidió transferir en el instrumento de medición la pregunta
al siguiente nivel que es el Desarrollo y esta tendría que llenar el encuestador en futuras
aplicaciones, después de verificar la existencia o no de la Unidad Organizacional de
Seguridad de la Información.

• En el ítem 2 y 3, ¿Son personas del área de Informática los miembros del Departamento
o Unidad de la Seguridad de la Información?, ¿Tienen experticia en Seguridad de la
Información, los miembros del Departamento o Unidad de la Seguridad de la
Información? fueron transferidos al Nivel de Desarrollo y estas preguntas tendrán que
ser verificadas por el investigador en futuras aplicaciones del instrumento de medición.

• Se agregó al Nivel de Desarrollo el ítem ¿Existe un documento institucional que

contenga los procedimientos, normas, medidas, funciones del personal, obligaciones de
los usuarios en la seguridad de la información? y esta pregunta tendrán que ser
verificadas por el encuestador en futuras investigaciones.
 71

• El ítem 36 ¿Se promueve el aprendizaje en equipo? perteneciente al Nivel de Madurez se

sustituye en el instrumento de medición ya que induce respuesta, el mismo será
reemplazado por cuatro de ítems:

(1)¿Promueve la Institución la capacitación de los grupos encargado de la administración

de los proyectos de la Seguridad de la Información?.

(2)¿La Institución tiene grupos de trabajo formales administrativamente, con su código de

nómina asociado a la Seguridad de la Información?.

(3)¿En la Institución hay comunicación entre los grupos de trabajo encargados de la

Seguridad de la Información?.

(4)¿Existe comunicación y comparten información los grupos encargados de la Seguridad

de la Información y los equipos de desarrollo, redes, entre otros?.

Sin embargo como es preferible que el encuestador o investigador aplique directamente el

cuestionario, este ítem puede permanecer intacto, pero en caso contrario debe modificarse
tal como se hizo.

• El ítem 37 ¿Existe una visión compartida entre los miembros del Departamento o Unidad
a cargo de la Seguridad de la Información?, ubicado en el Nivel de Madurez se
reformuló porque induce respuestas, el mismo será reemplazado por un conjunto de
ítems:

(1)¿Existe una misión explicita en los planes estratégicos, que incluya la Seguridad de la
Información?.

(2)¿Promueve la Institución la misión que incluye la Seguridad de la Información entre el

grupo que está encargado?.
 72

(3)¿En la visión de la institución se incluye la Seguridad de la Información?.

(4)¿Promueve la Institución la visión que incluye la Seguridad de la Información entre el

grupo encargado?.

(5)¿Existen objetivos que incluyan la Seguridad de la Información?.

(6)¿Promueve la Institución los objetivos que incluye la Seguridad de la Información entre

el grupo encargado?.

(7)¿Existen estrategias que incluyan la Seguridad de la Información?.

(8)¿Promueve la Institución las estrategias que incluyen la Seguridad de la Información

entre el grupo encargado?.

• El ítem 38 ¿Se consideran a los profesores, personal administrativo y a los estudiantes

agentes importantes para garantizar las Políticas de Seguridad de la Información?, fue
reemplazado por tres ítems:

(1)¿Se consideran a los profesores agentes importantes para garantizar las Políticas de
Seguridad de la Información?.

(2)¿Se consideran al personal administrativo agentes importantes para garantizar las

Políticas de Seguridad de la Información?.

(3)¿Se consideran a los estudiantes agentes importantes para garantizar las Políticas de
Seguridad de la Información?

Estos cambios permitirán mejorar los niveles de madurez del modelo MMAGSI en los
que desee estar la universidad. Es importante, tal como se demostró en la aplicación del
instrumento que es preferible que el instrumento de medición sea aplicado por el
investigador, igualmente él o ella debe verificar y constatar la existencia o no de los
indicadores en la institución evaluada.
 73

3.7 Procedimiento

3.7.1 Procedimiento de la Construcción del Modelo

El modelo fue construido inicialmente por la investigadora, para ello fueron consultadas
diversas fuentes bibliográficas, sobre las áreas de: Seguridad de la Información, Modelos
de Madurez Organizacionales, Gerencia Tecnológica, Planificación Estratégica, entre otras.
Igualmente, se consultaron a expertos a través de entrevistas no estructuradas.

Posteriormente, se realizó la validación del modelo MMAGSI, con la aplicación el

método Delphi, donde se sugirieron algunos cambios que ameritaron modificar el modelo
MMAGSI. En estas sugerencias todos los expertos coincidieron y por lo tanto fueron
agregados.

Por otra parte, se realizó una validación posterior a la aplicación del instrumento de
medición y los resultados determinaron una conformación del modelo en cinco niveles y
estos a su vez por indicadores. En la Figura 3.1 muestra todo el proceso de construcción
del modelo MMAGSI y del instrumento de medición (cuestionario):
 74

Figura 3.1: MMAGSI: Proceso de Construcción del Modelo de Madurez de

Administración y Gestión de la Seguridad de la Información para las Universidades
Venezolanas de la Región Capital.
 75

3.7.2 Procedimiento de Elaboración del Instrumento de Medición

La aplicación del instrumento de medición (cuestionario) se basó en la realización de los

siguientes pasos:

• Se buscó la lista en la OPSU de las Universidades de la Región Capital y ubicación de

las mismas.

• Se realizó una primera visita para determinar cuáles dependencias están encargadas de
la Seguridad de la Información y quiénes eran los encargados.

• Se procedió a solicitar en la Coordinación de Postgrado de la Universidad Simón

Bolívar, las cartas que serían entregadas personalmente a los encargados de la
Seguridad de la Información de las Universidades. En estas comunicaciones se
solicitaba la colaboración, y se les informaba de la confidencialidad de la información
que se recolectaría.

• Se aplicaron los cuestionarios respectivos, en una segunda visita para validar

nuevamente el instrumento de medición así como el modelo.

• Una vez aplicado el instrumento a la totalidad de la muestra piloto se procedió al

procesamiento estadístico y análisis de los resultados obtenidos.

Cabe destacar, que al aplicar el instrumento a los encargados de la Seguridad de la

Información de las distintas universidades tomadas como muestra, algunas de las personas
(cuatro) encuestadas permitieron que se les realizara una entrevista personal, en otros casos
respondieron vía email. Adicionalmente, la entrevista permitió profundizar en la nueva
validación del modelo construido, así como conocer algunos casos de ataques a los activos
informáticos en dichas universidades.

Por otra parte, la validación del instrumento se realizó de acuerdo al criterio de siete
expertos en el área de investigación, el resultado obtenido permitió realizar algunos
 76

cambios: Ajustar la redacción de las instrucciones del cuestionario y Cambiar la

numeración de unos ítems.

Después de realizar los cambios, la versión final del cuestionario quedó conformada por
72 ítems. Posteriormente, se procedió a su aplicación en las universidades que conformaron
la muestra. Cabe destacar, que el tiempo para la recolección de los datos fue de
aproximadamente 8 semanas, entre febrero y marzo del 2008.

Cabe resaltar que los resultados obtenidos de la aplicación del cuestionario, permitieron
agregar y cambiar algunos ítems del instrumento de medición, quedando conformado por
cinco niveles y 89 ítems.

3.8 Problemas Presentados en la Investigación.

Los eventos y situaciones que se presentaron en el transcurso de la investigación y que de

alguna manera influyeron en las actividades realizadas en este estudio, se destacan a
continuación:

3.8.1 Problemas Presentados en la Investigación al Construir el Modelo

• Dificultad para contactar los distintos expertos para validar el modelo, no existen
muchos expertos académicos en el área de Seguridad de la Información y con la
disposición a colaborar.

• El tiempo fue un factor determinante, pues algunos expertos mantuvieron hasta por seis
semanas el modelo sin validarlo.
 77

• Dificultad para entrevistar algunos individuos de la muestra, por temor a suministrar

información sensitiva. Esta es uno de los factores que más afectaron esta investigación.

3.8.2 Problemas Presentados en la Investigación al Aplicar el Instrumento de

Medición

• El tamaño de la muestra piloto no permitió diagnosticar el nivel de madurez de las

universidades de la región capital.

• Se presentó cierta resistencia por parte de algunos encargados de la Seguridad de la

Información en algunas Universidades, sin embargo, se logró obtener la información
necesaria gracias al compromiso establecido de garantizarles el anonimato a los
trabajadores encuestados.

• El tiempo fue un factor determinante, en algunas universidades los encargados

mantuvieron por ocho semanas el cuestionario sin responderlo.

• En cinco de las universidades fue imposible aplicar las encuestas, no se pudo llegar a
ningún acuerdo con los empleados encargados de la SeI y tampoco mostraron una
actitud receptiva para responder el instrumento de medición.

• El tiempo que tardaron los expertos en validar el instrumento de medición, retrasó

considerablemente la aplicación del mismo.

• La formulación del instrumento de medición abarcó mucho tiempo por la poca

bibliografía existente, sobre todo relacionada con las universidades.

• Resistencia por parte de los encargados de la Seguridad de la Información de las

universidades de la región capital, para dar entrevistas, lo que pudo afectar a la
validación final del modelo e instrumento.

• Dificultad para aplicar por segunda vez el instrumento de medición después de 6 meses.

• Existe resistencia por los encargados de la SeI, probablemente esto ocurra porque tienen
temor a ser evaluados.
 78

• Dificultad en que todos los trabajadores de la SeI, no pudieran contestar el cuestionario,

al parecer por temor a caer en contradicciones.

• Algunos encargados de la SeI cedieron su responsabilidad por asistir a constantes

reuniones institucionales y otros por no ser del área de la SeI.
 79

CAPÍTULO IV
CONSTRUCCIÓN DEL MODELO

Un modelo de seguridad según Cárdenas, F., Gamarra, J., García, R., y Torres, S., (2005):

Proporciona una representación semántica que describe las propiedades

funcionales y estructurales de la seguridad de los sistemas, permitiendo a los
desarrolladores trabajar con una definición de alto nivel de los requerimientos de
protección y las políticas de seguridad, así como producir una descripción concisa
y precisa del comportamiento esperado del sistema. (pp.2).

Los mismos expertos expresan que las organizaciones requieren un alto nivel de seguridad,
por esto es esencial incorporar un modelo de seguridad con especificaciones formales de los
requerimientos y mecanismos a seguir. Esta afirmación permite reflexionar que también es
necesario incorporar los modelos en las universidades, esta es una de las razones por la que se
realiza esta investigación.

Asimismo, Jaurlitza, E., (s.f.), expresa que un Modelo de Madurez Tecnológica en un

Centro Educativo “permite valorar el grado de riesgos y vulnerabilidades; así como marcar la
línea a seguir en cuanto a tecnologías, procesos y capacidades de todos los miembros de la
comunidad educativa, para alcanzar los siguientes niveles de madurez tecnológica”.(pp. 4)

Adicionalmente, los beneficios que ofrece la aplicación de un modelo de madurez de

seguridad de la información en las instituciones educativas según Jaurlitza, E., (s.f.), son:
(a) Realizar un diagnóstico exacto de la situación tecnológica.
(b) Proponer el camino de mejora a seguir, para alcanzar el nivel de madurez deseado.
 80

En conclusión, el modelo no es un fin en sí mismo, sino una herramienta para conseguir el

objetivo compartido por toda la comunidad de la institución.

En este mismo orden de ideas, Aceituno, V., (2004) expresa que los modelos de madurez de
la Seguridad de la Información (SeI) tienen como objetivo ayudar a las organizaciones a
comprender cuál es su estado actual de mantenimiento de la seguridad, y proporcionar una vía
para alcanzar el grado de madurez deseado por la organización.

Cabe agregar que los modelos de seguridad que se escoja para aplicar en las universidades
deben tener unas características, según lo que afirma Cárdenas, F., Gamarra, J., García, R., y
Torres, S., (2005), estas son:
(a) Fácil de comprender.
(b) Implementable.
(c) Carente de ambigüedad.
(d) Capaz de incorporar las políticas en la organización.

Además, los modelos de madurez según Santos-OlmoParra, A., Sánchez, L., Villafranca, D.,
Fernández-Medina, E., (2006) buscan: “establecer un mecanismo de valoración del estado
actual de la seguridad para poder planificar los pasos necesarios para alcanzar el estado
deseado” (pp. 7).

Por todo lo anteriormente expuesto, la construcción del Modelo de Madurez de

Administración y Gestión de la Seguridad de la Información (MMAGSI) para las
Universidades Venezolanas de la Región Capital, puede constituir un marco de referencia para
las universidades en cuanto a la gestión de la Seguridad de la Información (SeI). El modelo
busca disminuir la complejidad de gestionar la seguridad en las universidades. El objetivo de
este modelo (MMAGSI) es comprender el estado actual en que se encuentra la SeI, y
contribuir a la formulación de las estrategias que ayuden a las instituciones alcanzar un nivel
de madurez deseado, con la adopción de las mejores prácticas.
 81

Por consiguiente, el modelo se puede convertir en una guía para el diagnóstico y la

evaluación de la SeI en las universidades, su aplicación y seguimiento permitirán minimizar
los niveles de inseguridad. Dicho modelo considera a la SeI como un proceso y no como un
problema adicional, que hay que resolver en algún momento. En el MMAGSI se definen
criterios para determinar el nivel de madurez de las universidades, a través de la aplicación de
un cuestionario. Es importante resaltar que el modelo MMAGSI integra entre sus niveles las
distintas interrogantes que conforman el proceso de seguridad, que según Schneier, B., (2002)
son:

(a) ¿Dónde queremos estar? (Misión y Objetivos de Negocio).

(b) ¿Dónde estamos hoy? (Evaluación).

(c) ¿Cómo podemos llegar? (Cambios en el proceso).

(d) ¿Cómo saber que llegamos? (Métricas).

Por lo anterior, al poner en práctica este modelo de seguridad también se contribuirá a

responder las siguientes interrogantes, según Farias-Elinos, M., (s.f) son:

(a) ¿Qué queremos proteger?.

(b) ¿Contra qué lo queremos proteger?.

(c) ¿Durante cuanto tiempo queremos protegerlo?.

(d) ¿Cuánto estamos dispuestos a invertir (monetario, humano, tecnológico)?. (pp. 12).

4.1 MMAGSI: Modelo de Madurez de la Administración y Gestión de la Seguridad de la

Información para las Universidades de la Región Capital

El modelo MMAGSI se construyó con todos los aspectos relacionados con la planificación
estratégica, la cultura organizacional y la comunidad universitaria, la gerencia, la estructura
organizacional, los procesos y tareas; el mismo esta formado por cinco niveles de madurez:
 82

inicio, crecimiento, desarrollo, madurez e inteligencia organizacional. Cada nivel posee

características que lo definen y en cada uno de los niveles se debe cumplir las características
del mismo y los del nivel anterior. Es importante resaltar que las características que conforman
cada uno de los niveles, fueron sometidas al juicio de expertos y adaptadas a las universidades
que pertenecen a la muestra de esta investigación.

Cabe agregar que MMAGSI, determinará en qué nivel de madurez se encuentra una
universidad, para esto es necesario aplicar un cuestionario elaborado en esta investigación
(Ver Anexo B). La aplicación de este instrumento de medición debe ser destinada a todos los
miembros encargados de la SeI y gerentes con cargos en departamentos o Direcciones cuyas
misiones estén alineadas con los Sistemas de Información (SI) y las Tecnologías de la
Información y Comunicación (TIC). Sin embargo no se descarta que algunas autoridades por
su perfil académico puedan pertenecer a la población. En la Figura 4.1, se puede observar cada
uno de los niveles con sus características, las cuales forman parte del modelo.
 83

Figura 4.1: Descripción del Modelo Conceptual

A continuación la descripción de cada uno de los niveles de madurez:

4.2 Nivel de Inicio

Es el primer nivel del modelo MMAGSI, en donde las universidades no producen las
acciones necesarias y suficientes para proporcionar un aprendizaje bajo un sentido de la SeI.
Por otra parte, los encargados de la SeI en las universidades y consejo directivo universitario
poseen sesgos y restricciones para afrontar el problema de inseguridad de la información,
porque ven la inseguridad como un problema estrictamente técnico que únicamente puede ser
 84

resuelto en nivel operativo de la institución, es decir, los encargados del área de computación
o afín, aseveración que es señalada por Morales, M., (2004) y Viloria, O., y Blanco W.,(2006).
Este sesgo es considerado un modelo mental. Al respecto Nekane, A., (2000) señala que:
“Dichos modelos mentales son activos e influyen significativamente en el modo como los
individuos y los grupos resuelven los problemas y toman decisiones”.

En relación a este último, los ataques a los activos informáticos en este nivel no todos
pueden ser detectados. En caso positivo, la situación puede ser corregida, pero sin alterar o
ajustar los elementos o factores que permitieron la materialización de la amenaza. Según
Argyris, C., y Schon, (1978): “cuando el error es detectado y corregido los supuestos
adyacentes, el aprendizaje es de bucle simple”. En otras palabras, una universidad ubicada en
el nivel de inicio del modelo MMAGSI, posee un nivel de aprendizaje de primer ciclo, por
ello, su bajo nivel de conocimiento para afrontar los problemas de inseguridad de la
información.

Es importante resaltar que en este nivel de inicio existe una barrera que impide la
comunicación entre la alta gerencia estratégica, consejo directivo universitario y los niveles
operativos, encargados del desarrollo de aplicaciones, mantenimiento de sistemas y la SeI.
Esta situación conduce a que no se planifique estratégicamente bajo una perspectiva de los
Sistemas de Información y Tecnologías de la Información y Comunicación y menos de la SeI.

Cabe resaltar que en este nivel se desarrollan rutinas repetitivas, los problemas de
inseguridad son básicos y estructurados, lo cual no es malo para situaciones simples, ya que
ayuda al desarrollo del trabajo diario (Nekane, A., (2000)). Igualmente no se manejan
información sobre ataques y archivos históricos que registren situaciones que hayan afectado
la seguridad. La actitud gerencial y técnica para enfrentar los problemas de la inseguridad de
la información es estrictamente reactiva.
 85

Asimismo, en este nivel no se han evalúan los riesgos y no hay conciencia del problema de
inseguridad de la información. Por ello los encargados del área de computación no se dedican
exclusivamente a la SeI, sino que entre sus funciones abarcan otras actividades tales como:
desarrollo y mantenimiento de sistemas, administración de redes, soporte técnico, entre otros.
En la Figura 4.2 muestra como se lleva los cursos de acción en el nivel de inicio, cuando
ocurre un ataque a los activos informáticos de la institución. En efecto, se implementa una o
varias acciones ya preestablecidas para superar el problema, ya que los problemas de
seguridad son vistos bajo un enfoque estructurado. El lazo de retroalimentación llamado nivel
de inicio, es un bucle equivalente al concepto que maneja la cibernética de realimentación de
procesos en la búsqueda de controlar el sistema cuando su salida se sale de los patrones
definidos, en este caso cuando un ataque a la información generan cambios que afectan y
alteran los objetivos de los sistemas. (Ver Figura 4.2).

Ataque Activos Conjunto de Superó

Ejecutan Traen Ataque
Informáticos Acciones Consecuencias
No fue
Estructuradas superado

Nivel de Inicio

Figura 4.2: Aprendizaje en el Nivel de Inicio.

4.3 Nivel de Crecimiento

Es el segundo nivel del modelo MMAGSI, todavía no se han superado muchos de los
problemas y situaciones presentes en el nivel de inicio; aún existe una barrera en la
comunicación entre el Consejo Directivo Universitario y los departamentos de sistemas o
afines; tampoco ha sido creado el departamento de SeI y no hay códigos creados por recursos
humanos asociados a los encargados de la SeI. Persisten los sesgos o modelos mentales por
 86

parte de la gerencia de sistemas y autoridades universitarias del nivel de inicio que inciden
negativamente en las decisiones.

Sin embargo hay cambios, la universidad aprende de sus errores, el aprendizaje para afrontar
la inseguridad se manifiesta en las acciones, ahora no se limita únicamente a implementar
acciones para corregir los daños y superar el impacto económico causado por un ataque a los
activos informáticos, sino también reducir las vulnerabilidades.

El problema de la seguridad no es visto como un problema sencillo sino más complejo y la

actitud para enfrentarlo es proactiva y reactiva. Evidentemente hay un aprendizaje doble que
es relevante en situaciones complejas, en que las acciones no son programadas (Nekane, A.,
2000). En este nivel se dan respuestas a las siguientes preguntas: ¿Por qué ocurrió este ataque?
y ¿En qué nos equivocamos?.

La información concerniente a los ataques y vulnerabilidades es registrada y realimenta el

proceso de toma de decisiones, para evitar el desarrollo de otras amenazas. Sin embargo, los
modelos mentales con sus restricciones no están adecuados a la realidad y esto puede seguir
afectando la estrategia y las decisiones a tomar ante las situaciones de riesgo. Además, existe
una alta necesidad de definir procedimientos precisos, para dar respuestas proactivas ante una
situación de ataque a los activos informáticos.

Es importante señalar que este nivel la universidad no posee grupos de trabajos formales o
de equipos con una visión compartida de la seguridad, para discutir los temas referentes a la
SeI, y poder afrontar los ataques provenientes del interior o del exterior (Internet) de la
universidad.

En la Figura 4.3 muestra como se lleva los cursos de acción en el nivel de crecimiento,
cuando ocurre un ataque a los activos informáticos de la institución. En efecto, se implementa
una o varias acciones ya preestablecidas para superar el problema, pero además hay una
reflexión ante lo sucedido y se buscan explicaciones (Ver Figura 4.3)
 87

Figura 4.3: Aprendizaje en el Nivel de Crecimiento.

Por otra parte, este nivel de crecimiento está compuesto por un grupo de características, que
serán mostradas a continuación:

Existe un Encargado de la Seguridad de la Información: es el responsable de todas las

acciones que se deben realizar para mejorar la gestión de la SeI. También se tienen
encargados de la seguridad física del software y hardware con formación y capacitación en el
área.

Formulación y Cumplimiento de las Medidas de Seguridad Básicas: en esta característica

se puede encontrar que existe más conciencia y preocupación en la comunidad universitaria
por el problema de inseguridad de la información. Por esto, que al concientizar la importancia
de la SeI en toda la comunidad universitaria, se facilita el cambio cultural y se fomenta la
mejora continua que según Sánchez-Roldán, M., (2005) es uno de los cuatro puntos
fundamentales antes de aplicar un modelo de gestión de la SeI.
 88

Cabe resaltar que la necesidad de concientizar a toda la comunidad universitaria es porque

según lo expresado por González, J., y Sawicka, A., (2003):

El factor humano esta implicado de un 80% a un 90% en los accidentes

organizacionales, es una parte esencial del juego de seguridad. No existe un
sistema informático que no dependa de algún dato ingresado por algún operador
humano. Esto significa que esta debilidad de seguridad es universal, independiente
de plataforma, el software, red o edad del equipo. (pp. 3)

Por lo anterior, es un error pensar que al contar con la tecnología de punta para la protección
de la información y que controle los accesos a los servicios de la organización, se está
totalmente protegido. Por esto Schneier, B., (2002) indica que “Si piensas que la tecnología
puede resolver tus problemas de seguridad, entonces no entiendes los problemas y no
entiendes la tecnología”. (pp. 21). En este mismo orden de ideas, Schneier, B., (2002) comenta:
“He aprendido mucho acerca de los problemas de la seguridad de computadoras y redes, pero
nada que realmente pueda ayudar a resolver el problema que representa el factor humano”.

En conclusión, es alta la necesidad de incluir el factor humano en los modelos de madurez

de la Seguridad de la Información, educar a la comunidad universitaria con respecto al área y
concientizarla acerca de lo peligroso que es si la información (factor crítico de éxito) es
víctima de un ataque por parte personas, por ello esta preocupación comienza a desarrollarse
en este nivel de madurez, de crecimiento.

Implantación de Herramientas Básicas de Hardware u Software: en esta característica se

ejecutan procedimientos formales, no hay instalación anárquica de herramientas de hardware y
software, porque existe la estandarización de los productos y de los procesos a ejecutar y se
actualizan constantemente. Por ejemplo se establece que antivirus y antispyware se van
instalar en todos los equipos de la universidad, se mantienen actualizados, se define si el
software a utilizar va ser libre o no, entre otras cosas. Por otra parte, se realizan inventarios y
clasifican los activos informáticos.
 89

En este mismo orden de ideas, existe una actitud proactiva de los gerentes o los trabajadores
del conocimiento encargados de la SeI, y la universidad tiene entre sus estrategias instalar
software de seguridad como: antivirus, antispyware, firewall y otros programas contra espías.
Igualmente se configura hardware de seguridad tal como: firewall.

Realizan Backups y Recuperación de Datos: en esta característica se ejecutan

procedimientos de realización de respaldo y recuperación de datos (Backups) y verificación.
Las copias pueden ser diarias, semanales, mensuales de los datos e información de la
universidad. Existen respaldos dentro y fuera de la universidad y hasta en un servidor fuera del
país.

Cabe resaltar que también existe una alta preocupación por proteger físicamente las copias o
respaldos que se realicen de la información de la universidad, porque según Fernández-
Sanguino, J., (2006) existe la posibilidad que un empleado interno o un intruso los pueda
utilizar para:

(a)Extraer información de la universidad y transportarla fuera de ésta.

(b)Introducir programas no autorizados desde el exterior (potencialmente maliciosos), con, en
algunos casos, ejecución de código automático sin intervención del usuario.
(c)Comprometer el equipo a través del arranque de un dispositivo desde la BIOS.
(d)Atacar al sistema operativo a través de controladores de dispositivos maliciosos o mal
programados.

Es importante resaltar que una universidad ubicada en este nivel debe poseer las siguientes
características que están resumidas en la Figura 4.4:
 90

Figura 4.4: Nivel de Crecimiento

4.4 Nivel de Desarrollo

Es el tercer nivel del modelo MMAGSI, existe una visión más amplia y sistémica de la SeI,
aumenta la preocupación del problema de inseguridad. Cambia la estructura organizacional, ya
que se crea el departamento o unidad encargada de la administración y gestión de la SeI con
sus respectivos gerentes y personal adscrito con experticia en el área, dedicados
exclusivamente a las actividades concernientes a la seguridad física o lógica.

En este nivel de aprendizaje, afloran los modelos mentales que afectan la SeI en las
universidades y son sometidos a un riguroso escrutinio para determinar su validez y vigencia.
Estos modelos mentales están condicionados por la historia personal de cada individuo y de su
cultura, se verifican, derrumban y sustituyen por otros compartidos por toda la comunidad
universitaria, tal como lo hacen aquellas organizaciones que aprenden y maduran.
 91

Cabe resaltar que en este nivel se comienzan a difundir las políticas de la seguridad de la
información basadas en estándares internacionales y leyes nacionales. También, se elabora un
documento de seguridad donde están definidos los procedimientos, funciones, normas, entre
otros; los roles de los encargados están bien determinados y se lleva un registro de las
actividades de cada trabajador, se elaboran informes de los incidentes de seguridad ocurridos
en la universidad, se empieza a observar en los empleados y comunidad universitaria en
general, no especialista en computación y en el área de seguridad mayor preocupación de la
SeI.

La Figura 4.5 muestra como es el aprendizaje en el nivel de desarrollo, cuando ocurre un

ataque a los activos informáticos de la institución. En efecto, se implementa una o varias
acciones ya preestablecidas para superar el problema, pero se reflexiona ante lo sucedido y se
buscan todas las causas que favorecen el desarrollo de una amenaza. Cuando la solución no
está en la instrumentación de cursos de acción y ni en el proceso de reflexión, los encargados
de la seguridad y la gerencia deben ir más allá y revisar los modelos mentales existentes en la
gerencia, pues el problema puede estar allí, por lo tanto afecta la efectividad de las estrategias.
(Ver Figura 4.5).
 92

Reflexión
-¿Por qué ocurrió este
ataque?
Nivel de Crecimiento
-¿En qué nos
equivocamos?
-¿Qué puedo hacer?
-¿Cómo evitó que ocurra No fue
nuevamente? superado

Ataque Conjunto de Superó

Ejecutan Traen
Modelos Ataque
Activos Acciones Consecuencias
Mentales Informáticos
No fue
Estructuradas superado

Nivel de Inicio

Nivel de Desarrollo

Figura 4.5: Aprendizaje en el Nivel de Desarrollo.

Por otra parte, este nivel posee un conjunto de características que serán mostradas a
continuación:

Existe una Unidad Organizacional o Departamento de la Seguridad de la Información:

existe el departamento de seguridad de la información o alguna unidad con la misma misión,
por lo tanto existen equipos de trabajo encargados de la seguridad con experticia en el área
que puede ser seguridad física o lógica, los mismos son controlados y supervisados. Cabe
destacar que en esta unidad los empleados tienen un código de cargo asignado por recursos
 93

humanos. Existe un jefe encargado de la SeI, y aparece la unidad en el organigrama de la

institución.

Definen Funciones del Personal: se establece cada una de las funciones de los empleados de
la universidad, porque existen barreras que afecta la comunicación entre el Consejo Directivo
Universitario y la Dirección o departamento de computación y de la seguridad de la
información empieza dar síntomas de debilitamiento, en otras palabras hay un mayor
acercamiento. Se establece un mayor compromiso por parte de las autoridades universitarias
con los grupos o departamentos encargados de la SeI. Esta característica según Sanchéz-
Roldán, M., (2005) es uno de los cuatro puntos fundamentales antes de aplicar un modelo de
gestión de la SeI.

Creación y Cumplimiento del Documento de Seguridad: se crea y se cumple con un

documento de la SeI que contiene: los procedimientos de seguridad en los procesos factores
críticos de éxito, las funciones, las medidas, las normas, las políticas, los responsables del
hardware, del software y de la información y las obligaciones de cada uno de los miembros de
la comunidad universitaria. Este documento es actualizado periódicamente y ofrece una serie
de ventajas documento en SeI para las universidades. Al respecto Espiñeira, S., (2005):

Un aspecto importante es la definición, documentación, divulgación e

implantación de las políticas y procedimientos de gestión y seguridad de activos de
información, con la finalidad de especificar las normativas y lineamientos
relacionados con la administración tecnológica de la organización, lo cual
permitirá adicionar elementos de control que proveerán un entorno más confiable.
(pp. 3)

Difusión de las Políticas de Seguridad de la Información: en esta característica las Políticas

de Seguridad de la Información (PSI) se conocen y son difundidas, igualmente los servicios de
seguridad, tales como: confidencialidad, integridad, disponibilidad, autenticación,
autorización, firmas electrónicas, certificados digitales, protección contra replica, entre otras.
 94

Pueden crearse políticas que se adapten a la universidad, tomando en cuenta las leyes
nacionales y estándares internacionales. Cabe resaltar que entre las políticas está los acuerdos
de confidencialidad de la información entre el patrono y los empleados de la universidad que
se firman al momento del contrato de los mismos para garantizar el resguardo de la
información manejada por los empleados.

Asimismo, las políticas de la SeI deben ser creadas considerando algunas características que
según Farias-Elinos, M., (s.f) son las siguientes:

(a)Crearlas de forma explícita para la seguridad, que tome en cuenta la misión,

recursos, tipo de red, de usuarios, entre otros.
(b)Que contengan los derechos, responsabilidades y sanciones en base a los
reglamentos administrativos y técnicos de la institución.
(c)Pueden ser un mecanismo de control para definir el buen uso de sus recursos y
como apoyo a posteriores procedimientos legales en dado caso.
(d)Son importantes para contar con un Marco de Referencia General de Seguridad
Informática. (pp. 12).

Además, de las consideraciones anteriores en este nivel una universidad difunde las políticas
de SeI, ya que no es suficiente desarrollarlas, si las mismas no van a ser conocidas y
ejecutadas por toda la comunidad universitaria.

Implantación de la Seguridad Física: es proteger físicamente los activos de información

críticos de la universidad, así como los planes trazados para la protección de la información en
cada una de las áreas. También se debe llevar un control de acceso físico para algunos sitios de
la universidad, según el cargo que se desempeñe.

En este mismo orden de ideas, existe protección a daños por fuego, inundación, explosiones,
accesos no autorizados, entre otros. Se seleccionan elementos constructivos internos más
adecuados: puertas, paredes, suelos y falsos techos, canalizaciones eléctricas y de
 95

comunicaciones. Así como se define las distintas áreas o zonas de seguridad dentro de los
edificios, que son áreas: públicas, internas de acceso restringido.

Existe un sistema de vigilancia basado en cámara en circuito cerrado de televisión y en

alarmas y detectores de movimiento. Hay controles de las condiciones ambientales en las
instalaciones, mediante sistema independiente de ventilación, calefacción, aire acondicionado
y humidificación/desmudificación como señala Gómez, A., (2006).

Implantación de la Seguridad Lógica: se debe asegurar los software y sistemas de

información construidos e instalados en la universidad, proteger las bases de datos, los
procesos y cualquier programa, así como el acceso ordenado y autorizado de los usuarios a la
información. También, se establecen medidas para la administración de los usuarios y recursos
de tecnología de la información, para así minimizar los riesgos de seguridad asociados con sus
operaciones cotidianas.

Se Establecen las Medidas de Seguridad Intermedias: en esta característica existe una

actitud proactiva, que también se observa en la elaboración y ejecución de planes de
contingencia cuando ocurre un ataque. Es importante resaltar que se lleva un registro de las
incidencias ocurridas como ataques a los bienes informáticos, accidentes y eventos relevantes
que afecten la seguridad de la información. Se implementan procedimientos y controles de
detección y respuesta ante los incidentes, de esto debe existir un registro para tener los
antecedentes ocurridos.

Registro de Eventos: se lleva control de los usuarios que acceden a los datos e información.
En este mismo orden de ideas, hay una verificación periódica de la base de datos donde están
los registros de las incidencias ocurridas, para planificar el mantenimiento correctivo y estimar
el preventivo de la SeI. Por otra parte, existe un desarrollo seguro de las aplicaciones
 96

realizadas en la Universidad, tomando el área de SeI como un proceso y no como algo

adicional.

Definen y Difunden los Valores y Conductas Éticas: en esta característica se definen y

difunden los valores éticos que contribuyan con la Seguridad de la Información (SeI). Así
como, se incentivan y crean conductas que favorezcan los valores éticos con respecto al
manejo de la información a través de charlas, cursos, seminarios para toda la Universidad, y en
las reuniones departamentales con el fin de crear la Cultura de la SeI.

Es importante resaltar, que una universidad ubicada en este nivel debe poseer el resumen de
las siguientes características mostradas en la Figura 4.6:

Figura 4.6: Nivel de Desarrollo

 97

4.5 Nivel de Madurez

Es el cuarto nivel del modelo MMAGSI, existe preocupación por alcanzar la visión
compartida bajo una perspectiva de la SeI, por parte de los equipos encargados de la
seguridad, las autoridades universitarias y la comunidad en general. La visión, la misión y los
objetivos enfocados a la SeI están alineados a los planes estratégicos.

Cabe destacar que estos modelos mentales a diferencias de los presentes en los niveles
anteriores (Inicio y Crecimiento) son compartidos y están enmarcados a los criterios exigidos
en una como una organización aprendiente, los mismos son herramientas que influyen
positivamente en la toma de decisiones consesuadas y favorecen el aprendizaje en equipo
(Senge, 1992).

Por otra parte, se desarrolla por primera vez un plan estratégico bajo una perspectiva de la
SeI, lo cual evidencia el derrumbamiento de la barrera comunicacional entre las autoridades
universitarias y la gerencia de los departamentos cuya misión es el desarrollo y mantenimiento
de sistemas y la Seguridad de la Información. El desarrollo de este plan abarca a toda la
institución bajo un enfoque sistémico de la SeI, ya que incluye la gente y la cultura, los
procesos y las tareas factores críticos de éxito, las TIC y los sistemas d información.

En este nivel se llevan controles y registros de los activos informáticos, se identifican

responsable de la información, el software pasa ser un bien nacional. Se establecen
actividades minuciosas de monitoreo y custodia de los bienes informáticos para garantizar su
seguridad física, las auditorias están presentes y las mismas se realizan periódicamente.
Igualmente se ejecutan las políticas de seguridad establecida en el documento de la SeI,
basada en estándares internacionales, más las creadas por la institución.
 98

Con referencia a lo anterior, la institución ubicada en este nivel de madurez establece sus
valores éticos de la SeI, con el objetivo de crear la cultura de la seguridad de la información.
Por otra parte, para estar ubicado en este nivel se deben cumplir las siguientes características:

Formulación de la Visión Compartida: existe una visión compartida bajo una perspectiva de
la Seguridad de la Información (SeI), donde la misión, visión, objetivos y estrategias incluyen
la SeI y son promovidas entre el grupo que están encargado en la universidad.

Existe Trabajo en Equipo: las universidades ubicadas en este nivel, trabajan en equipo y
existen grupos encargados de la SeI, así como promueven la capacitación del personal
encargado de la SeI y la comunicación entre los grupos de trabajo.

Realizan Auditorías Externas e Internas: existe planificación de las auditorías externas e

internas definiendo el ámbito y los objetivos perseguidos y estas se realizan de forma
periódica, así como se valida y recomienda los resultados obtenidos de las auditorías, para
poder así adoptar las medidas correctivas de las deficiencias detectadas en las auditorías de
seguridad. También, se realizan otras pruebas de seguridad que contemplan aspectos humanos
y organizativos, recurriendo a técnicas como Ingeniería Social.

Desarrollo de un Plan Estratégico: se desarrollo un plan estratégico en la universidad, donde

la visión, misión, políticas, objetivos, estrategias, entre otras, están enfocados a la SeI.
También se alinean los objetivos de la universidad, la misión, visión con las políticas de SeI,
así como se reporta periódicamente a los directivos la necesidad de nuevos proyectos. La
importancia del desarrollo de un plan estratégico va porque uno de los principales problemas
de no incorporar planes de seguridad, según Gómez, Y., (2005). Es que se cree que:
 99

Las soluciones interferirán con el rendimiento, que nunca existe el tiempo para
dedicarle a un tema que parece no ser prioritario hasta cuando ocurre un evento o
catástrofe, o se inicia el análisis con una idea preconcebida de que los costos serán
excesivos, que no se entienden o no se cuantifican las amenazas de seguridad y
las vulnerabilidades. (pp. 1).

Asimismo, al desarrollar un plan estratégico se deben considerar las etapas mencionadas por
Gómez, Y., (2005) del Modelo de Interacción Social de K. Lewin que consisten en:

(a) Planificar las acciones.

(b) Actuar o llevar a cabo lo planificado.

(c) Observar.

(d) Reflexionar sobre los resultados logrados.

Estas etapas adaptadas a la Seguridad de la Información (SeI) permitirán el logro de los

objetivos (pp. 2).

Por lo anterior, hay que concentrar el mayor esfuerzo al construir un plan estratégico el cual
debe tomar en cuenta las características representativas de la universidad, en cuanto a sus
activos de información y requerimientos de seguridad. (Sanchéz-Roldán, M., (2005). pp. 2)

Implantación de las Medidas de Seguridad Avanzadas: se considera a toda la comunidad

universitaria (profesores, personal administrativo y obrero, estudiantes) como agentes
importantes para garantizar el cumplimiento de las políticas de Seguridad de la Información
(SeI), al igual que, se promueve en la institución el desarrollo de capacidades y destrezas
relativas a la SeI.

En relación a esto último, existen controles de acceso en el software para los usuarios que
accedan a los datos, recursos en el desarrollo de sus funciones y se implanta un mecanismo de
 100

identificación de usuarios, así como se evita que los usuarios no acceden a recursos con
derechos distintos de los autorizados.

Una medida de seguridad es que hay cumplimiento y adaptación de la legislación vigente:

Delitos Informáticos, LOPD, LSSI-CE, Propiedad Intelectual, entre otras. Por otra parte, entre
las medidas adoptadas en este nivel se autoriza por escrito la ejecución de procedimientos de
recuperación de datos, además se realiza de la gestión de soportes informáticos.

Adopción de Políticas de Seguridad de la Información: se adoptan y cumplen los servicios

de seguridad, tales como: confidencialidad, integridad, disponibilidad, autenticación,
autorización, firmas electrónicas, certificados digitales, entre otras. Además, se crea y
mantiene un programa de concientización para el cumplimiento de las políticas de la SeI, a
través de conferencias, charlas, seminarios, entre otros, así como se realizan campañas
publicitarias dentro del recinto universitario para que los empleados conozcan los riesgos (por
ejemplo ingeniería social) a los que está expuesta la información de la universidad.
Adicionalmente, se revisa y actualiza las políticas de seguridad.

Cumplimiento de los Valores y Conductas Éticas: en este nivel de madurez se identifica en

el personal de la institución los valores éticos de la SeI, a través de sus acciones ante las
eventualidades ocurridas en la gestión de la SeI.

Registro de los Sistemas de Activos Informáticos: se lleva un control de inventario de los

activos informáticos (hardware y software) de la universidad (usuarios, ubicación y costo), a
través de una base de datos puede registrarse el inventario y así poder llevar los cambios,
realizar las búsquedas de la ubicación de los activos informáticos de forma más rápida, y de
los equipos que salen de la universidad o cambian de departamento. Además existen controles
periódicos o monitoreo de los activos informáticos de la universidad y se realizan pruebas
periódicas para ver si están funcionando correctamente.
 101

En resumen una universidad en este nivel debe cumple las siguientes características (Ver
Figura 4.7):

Figura 4.7: Nivel de Madurez

4.6 Nivel de Inteligencia Organizacional

En este nivel la universidad llega a un máximo estado de aprendizaje en la gestión de la

seguridad, se evidencian conductas éticas en la comunidad universitaria como consecuencia de
la asimilación de los valores bajo una perspectiva de los SeI. En otras palabras ya existe la
cultura de la seguridad. Por ello, se cumplen las políticas de seguridad, como las normas y los
procedimientos que garantizan la salvaguarda de los activos informáticos, además los modelos
mentales existentes están alineados a las de una organización aprendiente, no son ocultos, ni
personales, sino compartidos por todos los miembros de la comunidad universitaria. La
universidad que requiera estar en este nivel de madurez debe cumplir las siguientes
características:
 102

Existen Responsables de las Políticas de la Seguridad de la Información: se informa

periódicamente acerca las Políticas de Seguridad de la Información (PSI) a la comunidad
universitaria. Asimismo, la institución a través de su departamento de seguridad, designa a un
trabajador del conocimiento como responsable del cumplimiento de las PSI. La PSI, puede ser
alguna norma internacional conocida, pero la institución puede tener instauradas sus propias
políticas en la institución. La SeI es vista como el cumplimiento de los distintos servicios de
seguridad: confidencialidad, integridad, autenticidad y disponibilidad en todo momento. Por
otra parte, se dirige el programa de manejo y seguimiento de incidentes.

Se Establece una Cultura Organizacional de la Seguridad de la Información: se instaura

una cultura relativa a la SeI en la universidad y los valores éticos están bien definidos y
forman parte en la cultura de la SeI. El logro de la cultura de la SeI es según Gómez, Y.,
(2005):

Una práctica permanente y una formación profesional de aprendizaje activo, que

es probable que sea más exitoso acercarlo a un comportamiento natural de buenas
prácticas y no le sea nuevo el trabajar bajo conceptos de Estándares y Modelos de
Seguridad que en la actualidad implican altos y complicados esfuerzos. (pp. 5).

Por otra parte, existe un compromiso de las autoridades universitarias en la ejecución de los
planes estratégicos de seguridad y participan activamente en la promoción de los valores
éticos y la PSI, en otras palabras en la creación de la cultura de la seguridad.

Ejecución del Plan Estratégico: en esta característica la gerencia monitorea la

operacionalización de los planes estratégicos establecidos en el nivel anterior enfocados a la
SeI. La participación y la preocupación por la inseguridad informática es vista por toda la
comunidad como un problema de todos, en donde cada uno de ellos tiene alguna
responsabilidad que contribuye al mejoramiento de la SeI. La gerencia estratégica tiene una
comunicación permanente con la gerencia comprometida con la SeI y su departamento. En la
 103

estructura organizacional, el departamento de computación y el de seguridad están en un

mayor nivel de jerarquía, incluso pueden estar convertidos en una dirección estratégica.
Igualmente la visión y la misión en el plan estratégico son conocidas, los empleados las
comparten y las defiende, ya que una muestra significativa de esta comunidad participó en su
creación. Por otro lado, los empleados de oficina y del conocimiento de nuevo ingreso, se
acoplan y cumplen la misión, la visión y la política de seguridad establecida, pues ellos son
informados y entrenados y capacitados inmediatamente.

Desarrollo de Actitudes y Aptitudes: En este nivel de inteligencia organizacional se

desarrollan las aptitudes y actitudes de todos los miembros de la comunidad universitaria con
respecto a la SeI, ya que los usuarios son los mayores responsables de los problemas de
inseguridad. Por otra parte, se aplican metodologías de análisis y gestión de riesgo con cierta
frecuencia, a toda la plataforma tecnológica existente, las TIC y los Sistemas de Información,
así como a los nuevos activos.

Se Realizan el Análisis y la Gestión de Riesgo: se aplican con frecuencia metodologías de

análisis y gestión de riesgo. Existen muchas y muy válidas por lo que Sanchéz-Roldán, M.,
(2005) por lo que se sugiere escoger la más adecuada, que se adapte a los requerimientos de la
universidad y se ajuste a las especificaciones del negocio (definición las amenazas, de las
categorías de los activos, de los criterios de evaluación de riesgo, entre otros). Además se
realizan análisis y gestión de riesgo de los nuevos activos incorporados a la institución, estos
pueden ser hardware o software. Este proceso de gestión de riesgo se realiza con el fin de:

(1) Eliminar el riesgo (prescindiendo de activos innecesarios, reemplazando tecnologías

obsoletas por otras, entre otras cosas).

(2) Transferir el riesgo a terceros (firma de seguro).

(3) Asumir el riesgo y (4)controlarlo. (Sánchez-Roldán, M., (2005). pp.3)

 104

Cabe destacar que al realizar el análisis y gestión de riesgo se debe involucrar todas las
áreas: SeI, Tecnologías de la Información y Comunicación, Administración de Redes, entre
otros; este proceso debe efectuarse de forma continua, cíclica, a todos los activos informáticos,
hasta lograr alcanzar el nivel de seguridad adecuado como sugiere Gómez, L., Farías-Elinos,
M., Mendoza, M. (2003).

Monitoreo Permanente: existe un monitoreo permanentemente en la red y control de los

registros de ataques y eventos ocurridos en la universidad. En consecuencia, se llevan
estadísticas y gráficos de los mismos que permitan realimentar la planificación estratégica
para adecuarla a la realidad y establecer las medidas preventivas y correctivas que sean
necesarias a futuro. Los encargados o responsables de la seguridad monitorean los activos
informáticos, llevan estadísticas de los eventos o ataques ocurridos.

Cumplimiento de la Misión y Visión Compartida: en este nivel de inteligencia

organizacional se incentiva el trabajo en equipo, y los grupos de trabajo poseen una misión y
visión compartida con un enfoque de la seguridad de los sistemas informáticos. Asimismo, los
equipos tienen experticia técnica y son proactivos, y están en constante comunicación con
otros grupos de trabajo concernientes a áreas afines a la SeI, que desarrollan o mantienen
sistemas o son unidades de soporte técnico. Esta característica evidencia un mayor nivel de
aprendizaje, presente en una organización aprendiente o inteligente.

El nivel de inteligencia organizacional tiene un conjunto de características que son

resumidas y descritas en la figura 4.8:
 105

Figura 4.8: Nivel de Inteligencia Organizacional

4.7 COBIT versus MMAGSI

COBIT MMAGSI
Administración y el control de los procesos Administración y Gestión de la Seguridad de
de TI la Información
Se pasa al siguiente nivel sin cumplir todas Se puede pasar al siguiente nivel cumplido
las condiciones del nivel inferior todas las condiciones del nivel inferior
Se usa los procesos de madurez desarrollados Se usa metodologías de Análisis y Gestión de
para los 34 procesos TI de COBIT Riesgo
Evaluar qué se debe hacer si se requiere Diagnostica las universidades en la SeI, para
desarrollar una mejora en los procesos construir planes que ayuden en la mejora
 106

CAPÍTULO V
CONCLUSIONES Y RECOMENDACIONES

Este capítulo presenta las conclusiones más relevantes obtenidas en esta investigación e
igualmente recomendaciones, los principales resultados y aportes ofrecidos. Adicionalmente se
proponen recomendaciones para la realización de estudios futuros en los cuales se desee
abordar la temática de esta línea de investigación: la seguridad de la información en el sector
universitario.

5.1 Conclusiones

En este trabajo se propone un Modelo de Madurez de Administración y Gestión de la

Seguridad de la Información (MMAGSI) que facilite el diagnóstico de qué tan madura está una
universidad para manejar sus problemas actuales en el área de Seguridad de la Información.

El modelo MMAGSI contribuye a aumentar el nivel de conocimiento del problema de la

inseguridad de la información en las universidades. En tal sentido, reduce la complejidad de
este problema y establece un camino más fácil para que posteriormente los gerentes
desarrollen o elaboren planes estratégicos bajo una perspectiva de la Seguridad de la
Información. El modelo MMAGSI quedó constituido por cinco niveles: inicio, crecimiento,
desarrollo, madurez e inteligencia organizacional. Cada uno de ellos tiene características que
deben ser cumplidas para ubicar a la universidad en un nivel.
 107

En las entrevistas aplicadas a la muestra piloto (universidades ubicadas en la región capital),

que se realizaron para validar el instrumento de medición y modelo, se evidenció:

• Carencia de especialistas o expertos en Seguridad de la Información (SeI) y una falta de

cultura en el área.

• En la mayoría de las universidades encuestadas no existe o no está constituido

formalmente el departamento de Seguridad de la Información o una figura oficial a quien
dirigirse en situaciones de ataques a los activos informáticos.

• No existe visión y misión compartida de la Seguridad de la Información.

• Las Políticas de la Seguridad de la Información (PSI) no existen en la universidad y en

caso de existir no se difunden periódicamente en la comunidad universitaria y esto trae
como consecuencia que no se cumplan. Por otra parte, no se promociona los valores éticos
bajo una perspectiva de la SeI.

• No hay un documento institucional donde se especifiquen las normas, medidas, funciones

del personal o los procedimientos que se deben ejecutar para la Seguridad de la
Información.

• El personal encargado de la Seguridad de la Información tiene asignado esta función como

una más de sus labores, es decir, la SeI no es el área para la cual fueron contratados en la
universidad, ya que trabajan en otras áreas como: desarrollo y mantenimiento de sistemas,
administración de redes, entre otros.
 108

• Pocas veces se aplican o no se realizan auditorías tanto externa como interna de la

Seguridad de la Información.

• No existen metodologías formales y análisis de gestión de riesgo.

• No se elaboran planes estratégicos bajo una perspectiva de la SeI.

• No existe la cultura con respecto a la Seguridad de la Información.

• Existe poca inversión para mejorar la Seguridad de la Información.

• Se propone un cuestionario que permitirá diagnosticar en qué nivel de madurez del modelo
MMAGSI, se encuentran las universidades ubicadas en la región capital.

5.2 Recomendaciones

Se recomienda aplicar el instrumento de medición en las universidades ubicadas en la región

capital, para así determinar su nivel de madurez con respecto a la administración y gestión de
la Seguridad de la Información.

El cuestionario propuesto para diagnosticar el nivel de madurez de la SeI en las

universidades, debe ser aplicado personalmente por los investigadores, para así poder precisar
otras características organizacionales de las universidades.
 109

Al aplicar el instrumento de medición en otras instituciones de educación superior ubicadas

en el interior del país permitirá obtener una visión más amplia, en cuanto a la situación de la
Seguridad de la Información en las universidades nacionales.

Se recomienda analizar la pertinencia de incorporar nuevas variables que ayuden ampliar el

instrumento, para así obtener una mayor profundidad en la evaluación del modelo.
 110

REFERENCIAS BIBLIOGRÁFICAS

Aceituno, V., (2004). Definiciones de seguridad de la información y sus limitaciones.

Conferencias FIST.

Aceituno, V., (2004), Seguridad de la Información. Creaciones Copyright. S.L.

Andreu, R., Ricart, J., y Valor, J., (1996). Estrategia y Sistemas de Información. Segunda
Edición.

Álvarez, G., y Pérez, P., (2004). Seguridad Informática para Empresas y Particulares. pp. 83-
88.

Areiza, K., Barrientos, A., Rincón, R., y Lalinde, J., (2005). Hacia un Modelo de Madurez
para la Seguridad de la Información. Universidad Eafit. Colombia.

Argyris, C., y Schon, (1978). Organizational Learning: A Theory of Action Perspective.

Massachusetts, Addison Wesley.

Astigarraga, E., (s.f). El Método Delphi. Universidad de Deusto. Facultad de CC.EE. y

Empresariales. Donostia - San Sebastián.

Bartoli, A., (1991) Comunicación y Organización. Editorial Paidós. Buenos Aires. Argentina.

Blumenthal, S., (1969). Management Information Systems-A Framework for Planning and
Developmente. New Jersey; Prentice-Hall, INC.

Cárdenas, F., Gamarra, J., García, R., y Torres, S., (2005). Modelo de Seguridad Harrison,
Ruzzo y Ullman. Disponible en: http://www.criptored.upm.es/guiateoria/gt_m248e.htm.
[Consulta: 2008, mayo 19].

Carracedo, J., (2004). Seguridad en Redes Telemáticas. Universidad Politécnica de Madrid.

McGraw-Hill/Interamericana de España.

Cheswick, W., y Bellovin, S., (1994). Firewalls and Internet Security: Repelling the Wily
Hacker. Addison-Wesley professional computing series. Addison-Wesley, Reading, MA,
USA.
 111

Díaz, R., (2005). Seguridad en Redes Telemáticas. SGSI: Sistemas de Gestión de la

Seguridad. ISO 17799 y UNE 71502. Universidad Politécnica de Madrid. Disponible en:
http://asignaturas.diatel.upm.es/seguridad/trabajos/trabajos/curso%2004%2005/trabajo%20
SGSI_ISO17799.pdf. [Consulta: 2008, enero 11]

Espiñeira, S., (2005). Seguridad de la Información: Elementos fundamentales de un modelo de

seguridad. Disponible: http://www.pc-news.com/imprimir.asp?ida=1935. [Consulta: 2008,
julio 16]

Estay-Niculcar, C., (2006) Aplicación estratégica de tecnología en la Dirección y Gerencia en

el Entorno Latinoamericano. Fundación Universitaria Iberoamericana FUNIBER

Etcheverry, S., (2005) Control de Gestión. Disponible:

http://www.unap.cl/~setcheve/cdeg/CdeG%20(2)-17.htm. [Consulta: 2007, febrero 13]

Eterovic, J., y Pomar, P., (s.f) Introducción a la Seguridad Informática. Conceptos Básicos de
Seguridad Informática en Números. Taller de Seguridad Informática. Disponible en:
http://seginfo.tripod.com/files/17799a.pdf. [Consulta: 2007, diciembre 21]

Expósito, F.,(2003). Metodología de Análisis y Gestión de Riesgos: MAGERIT. Seguridad en

Redes Telemáticas.

Farias-Elinos, M., (s.f). Auditoría de los Sistemas de Seguridad de la Información. Disponible:

http://seguridad.internet2.ulsa.mx. [Consulta: 2008, mayo 6]

Fernández-Sanguino, J., (2006). Dispositivos portátiles: fugas de información y otros riesgos.

Revista Seguridad de la Información y Comunicación. Número 69. Sección Riesgos
Tecnológicos.

García, C., (2001). Modelo de Capacidad de Madurez y su Aplicación en Empresas Mexicanas

de Software. Tesis Licenciatura de Ingeniería de Sistemas. Departamento de Ingeniería de
Sistemas y Computación. Escuela de Ingeniería. Universidad de las Américas – Puebla.
Catarina.udcap.mx/u_dl

Gómez, A., (2006). Enciclopedia de la Seguridad Informática. Ra-Ma Editorial. Madrid.

Gómez, L., Farías-Elinos, M., Mendoza, M. (2003). Importancia del Análisis de Riesgo de
Seguridad. Disponible:
http://seguridad.internet2.ulsa.mx/congresos/2003/cudi2/impariesgo.pdf. [Consulta: 2008,
enero 10]

Gómez, Y., (2005). El aprendizaje combinado: un modelo para asegurar la adquisición de

conductas basado en los principios de la seguridad de la información. Universidad Católica
del Maule. Talca, Chile. Disponible: http://seguridad.internet2. ulsa.mx/congresos/2005/
cudi2/aprendizajecombinadoyseguridaddeinformacion.doc. [Consulta: 2008, julio 16]

González, J., y Sawicka, A., (2003) Modeling Compliance as Instrumental Conditioning. Fifth
International Conference on Cognitive Modeling, Bamberg, Germany.
 112

Hernández, R., Fernández, C., y Baptista, P., (2003) Metodología de la investigación (3a. ed.).
México: McGraw-Hill Interamericana.

Huerta, A., (2000) "Seguridad en Unix y Redes". Versión 1.2 Digital - Open Publication
License v.10 o Later. 2 de Octubre de 2000. http://www.kriptopolis.org. [Consulta: 2007,
septiembre 10]

INFOSEC Glossary. (2000). NATIONAL INFORMATION SYSTEMS SECURITY

(INFOSEC) GLOSSARY. http://security.isu.edu/pdf/4009.pdf. [Consulta: 2007, octubre
21]

IT Governance Institute (2005). COBIT 4. http://www.isaca.com/ [Consulta: 2008, septiembre

30]

Jaurlitza, E., (s.f.).Aproximación al Modelo de Madurez Tecnológica de Centro Educativo.

Disponible en: modelocentrotic-1207219968166613-9.pdf. [Consulta: 2008, mayo 19].

Kinnear, T., y Taylor, J., (1998). Investigación de Mercados. (5a. ed.) Colombia: McGraw-
Hill.

Laudon, K., y Laudon, J., (1991) Business Information Systems, Ed. Dryden Press, Orlando.

Laudon, K., y Laudon, J., (2002). Sistema de Información Gerencial. Pearson Educación. 6ta
edición.

Levin, R., y Rubin, D., (1996). Estadística para Administradores (3a. ed.). México: Prentice-
Hall Hispanoamericana.

Ley de Universidades. (1970). Gaceta Oficial de la República de Venezuela, 1429

(Extraordinario), Septiembre 8, 1970.

López, C., (2004). Revista de Ingeniería Informática del CIIRM. (Carmelo López Pérez)

Lucas, H., (1997). Information Technology for Management. McGraw Hill, sixth edition, E.U.

Marcelo, J., (s.f). Consultoría-Auditoría sobre Seguridad Informática. Disponible:

http://www.unica.edu/web/imags/estic03.ppt. [Consulta: 2008, febrero 10]

McCarthy, M., y Campbell S., (2002). Seguridad Digital. Estrategias de defensa digital para
proteger la reputación y la cuota de mercado de su compañía. Serie McGraw-Hill de
Management. España.

Ministerio de Administraciones Públicas. (2006). Metodología de Análisis y Gestión de

Riesgos MAGERIT Coeditado por el Ministerio de Administraciones Públicas y el Boletín
Oficial del Estado. ISBN 84-340-0960-9. Incluye un CD con la Herramienta 1
Introductoria.
 113

Molist, M. (1999). Aumentan los Ataques a Universidades y bajan en las Empresas, según las
Estadísticas del CERT. Disponible: http://ww2.grn.es/merce/1999/estadistiques.html.
[Consulta: 2008, marzo 15]

Morales, M. (2004). Intranet Académica: Modelo del Sistema de Seguridad para un Servicio
de Publicaciones. Tesis de Grado. Universidad Central de Venezuela.

Nekane, A., (2000). Un estudio desde la Perspectiva de Cambio. Implicaciones estratégicas y

organizativas. Tesis Doctoral. Universidad de Deusto. San Sebastián.

Nolan, R., (1979).Managing the crises in data processing. Harvard Business Review. March.

Oppliger, R., (1998). Sistemas de Autentificación para Seguridad en Redes. AlfaOmega Grupo
Editor.

Orange Book (1985). Department Of Defense. Library N° S225, 711. EEUU. Disponible:
http://www.doe.gov. [Consulta: 2008, enero 28].

Palella, S., y Martins F., (2003) Metodología de la Investigación Cuantitativa. FEDUPEL.

Peláez, J., (2005). Herramientas para el Desarrollo del Software. Universidad de Málaga
Departamento de Lenguajes y Ciencias de la Computación. Disponible en:
http://www.lcc.uma.es/~jignacio/index_archivos/TEMA5.pdf. [Consulta: 2008, enero 15]

Ribagorda, A., (2004). La Hora de la Gestión. Ponencia presentada en la VII Seminario de

Seguridad de las Tecnologías de la Información realizado en la Habana. Cuba.

Sánchez-Roldán, M., (2005). Modelo de Gestión para la Seguridad de la Información.

Editorial Borrmart. Disponible:
http://www.borrmart.es/articulo_redseguridad_imprimir.php?id=995. [Consulta: 2008, julio
16].

Sancho y Cervera, J., (s.f). Habitat. Secretaria de Desarrollo Social. Modelo de Mejores
Prácticas para el Transporte Público Urbano y otros Servicios Municipales. México.
Disponible:
http://www.habitat.gob.mx/modelos/guiasmetodologicasytecnicas/libro_mp.pdf. [Consulta:
2007, febrero 14].

Santos-OlmoParra, A., Sánchez, L., Villafranca, D., Fernández-Medina, E., (2006). Modelo de
Madurez de la Seguridad para Pymes SCMMSCMM—PYME. Asamblea General de la
Plataforma Tecnológica Española de Tecnologías de Seguridad y Confianza.

Schneier, B., (2002). Secrets and Lies. Digital Security in a Networked World. Edition John
Wiley & Sons.
 114

Scott y Etzioni, P., (1983) mencionado por Richard Hall. Libro: Organizaciones: estructura y
procesos. Editorial Prentice Hall. Tercera edición.

Senge, P., (1992). La Quinta Disciplina. Edit. Granica, Barcelona, España.

Solís, G., (2002). Reingeniería de la Auditoría Informática. Número 158.

Stallings, W., (2004). Fundamentos de Seguridad en Redes. Aplicaciones y Estándares. 2ª

Edición. Pearson Prentice Hall. España.

Vásquez, J., (2003). ¿QUÉ SON LAS ORGANIZACIONES? Teoría y pensamiento

administrativo. Disponible: http://www.gestiopolis.com/canales/ gerencial/articulos/56
/orgsqueson.htm. [Consulta: 2008, abril 30].

Villalón, A., (2004). Gestión de la Seguridad de la Información: UNE 71502, ISO 17799.
Universidad de Verano. Campusti. Disponible en: http://www.s2grupo.com/. [Consulta:
2008, enero 2]

Viloria, O., y Blanco W., (2006). Trabajo de Ascenso para Optar a la Categoría de Titular.
Propuesta Metodológica de Planificación Estratégica de los Sistemas de Información y las
TIC bajo el Contexto de las Organizaciones Inteligentes para el Sector Universitario.
Universidad Simón Bolívar

Wheatman, V.,(2004).Management Update: The Future of Enterprise Security.

http://www.gartner.com/AnalystBiography?authorId=328
 115

ANEXOS
 116

ANEXO A
CUESTIONARIO INICIAL
 117

UNIVERSIDAD SIMÓN BOLÍVAR

DECANATO DE POSTGRADO
MAESTRÍA EN INGENIERÍA DE SISTEMAS

NIVELES DE MADUREZ EN LA ADMINISTRACIÓN Y GESTIÓN DE LA SEGURIDAD

INFORMÁTICA EN LAS UNIVERSIDADES VENEZOLANAS

CUESTIONARIO INICIAL

Estimado (a) colaborador (a),

El presente instrumento tiene como propósito determinar los niveles de madurez en la

administración y gestión de la seguridad de la información en las Universidades Venezolanas.
Cabe destacar que usted ha sido seleccionado como parte de la muestra por su experiencia
laboral y formación profesional; su participación constituirá un elemento clave para la recolección de
los datos de esta investigación.
Es importante que responda de manera reflexiva y apropiada de acuerdo a su experiencia. La
información obtenida es confidencial y anónima; la misma será para fines investigativos.
• Agradecemos su colaboración al contestar cada uno de los planteamientos que se formulen y
le garantizamos que sus respuestas se utilizarán en forma confidencial sólo para cumplir con
los objetivos de la investigación.

INSTRUCCIONES

A continuación se presentan una serie de planteamientos. Marque con una X la respuesta

seleccionada de acuerdo a su experiencia laboral y formación profesional. Debe tener en cuenta que:
• En esta encuesta aparecen una serie de ítems que reflejan atributos que debe poseer cada nivel
de madurez de la administración y gestión de la seguridad de la información.
• Debe leer y contestar los planteamientos que se le presentan según la escala propuesta.
 118

NIVELES DE MADUREZ DE LA ADMINISTRACIÓN Y GESTIÓN DE LA

SEGURIDAD INFORMÁTICA EN LAS UNIVERSIDADES VENEZOLANAS

Nombre de la Institución: ___________________________________________

Área Desempeño: ___________________ Departamento: ___________________
Años de Experiencia: _______ Profesión: ________________________
Usted es personal: Docente,__Administrativo,___Docente con cargo___

CARACTERÍSTICAS ORGANIZACIONALES

Instrucciones: Lea cada una de las preguntas y responda de acuerdo al contexto en el que labora.

NIVEL DE INICIO SI NO NO SE
¿Existe un Departamento o Unidad que se encarga de la seguridad de la
1
información? En caso de ser negativa su respuesta, ir a la pregunta 4
¿Son personas del área de Informática los miembros del Departamento o
2
Unidad de la Seguridad de la Información?
¿Tienen experticia en Seguridad de la Información los miembros del
3
Departamento o Unidad de la Seguridad de la Información?
4 ¿Tiene instalada herramientas de software, tal como: antivirus?
5 ¿Tiene instalada herramientas de software, tal como: antispyware?
¿Tiene instalada herramientas de software, tal como: otros programas contra
6
espías?
7 ¿Tiene instalada herramientas de software, tal como: firewall?
8 ¿Tiene instalada herramientas de hardware, tal como: firewall?
9 ¿Existen encargados de la Seguridad Física del Hardware de la Institución?
10 ¿Existen encargados de la Seguridad Física del Software de la Institución?
¿Es la seguridad de la información sólo responsabilidad de los técnicos en
11
computación o de los administradores de redes?

Instrucciones: Lea las siguientes preguntas y responda de acuerdo a la frecuencia que ocurre el
evento, tomando en cuenta los valores de la escala propuesta.

5 Siempre 4 Casi 3 Algunas Veces 2 Casi Nunca 1 Nunca

Siempre

NIVEL DE INICIO 5 4 3 2 1
¿Actualiza la institución el software de seguridad instalado en sus
12
equipos?
¿Instalan antivirus y antispyware en los equipos de computación de la
13 Institución, una vez vencida la licencia del producto que viene con el
equipo?
14 ¿Se realizan copias de respaldo y recuperación de datos (backups)?
¿Los respaldos de la información o aplicaciones, quedan en la misma
15
unidad encargada de la Seguridad de la Información?

Si considera que en esta Nivel de Inicio falta algún otro indicador, señálelo a continuación:
_____________________________________________________________________
_____________________________________________________________________
 119

Instrucciones: Lea cada una de las preguntas y responda de acuerdo al contexto en el que labora.

NIVEL DE DESARROLLO SI NO NO SE
¿Están registrados los procedimientos con respecto a la seguridad de la
16
información en un documento institucional?
¿Están especificadas las funciones del personal con respecto a la seguridad de
17
la información en un documento institucional?
¿Están establecidas las medidas de la seguridad de la información en un
18
documento institucional?
¿Están especificadas las normas de la seguridad de la información en un
19
documento institucional?
¿Están especificadas las obligaciones del usuario no especializado en el área de
20
seguridad de la información?
¿Están definidas las obligaciones del usuario que maneja la información crítica
21
en el área de seguridad de la información?

Instrucciones: Lea las siguientes preguntas y responda de acuerdo a la frecuencia que ocurre el
evento, tomando en cuenta los valores de la escala propuesta.

5 Siempre 4 Casi Siempre 3 Algunas Veces 2 Casi Nunca 1 Nunca

NIVEL DE DESARROLLO 5 4 3 2 1
¿Se lleva registro de los accidentes de seguridad que afectan la información
22
de la Universidad?
¿Conocen los miembros de la comunidad universitaria las Políticas de
23
Seguridad de la Información que tiene la Universidad?
24 ¿Se difunde la Política de Confidencialidad de la Información?
25 ¿Se difunde la Política de Integridad de la Información?
26 ¿Se difunde la Política de Disponibilidad de la Información?
27 ¿Se difunde la Política de Autenticidad?
28 ¿Se difunde la Política de Autorización?
29 ¿Se difunde la Política de las Firmas Electrónicas?
30 ¿Se difunde la Política de los Certificados Digitales?
31 ¿Están definidos los valores éticos de la Seguridad de la Información?
32 ¿Se difunden los valores éticos de la Seguridad de la Información?
¿Se ofrecen charlas, cursos, seminarios para toda la Institución, con el fin
33
de crear la Cultura de la Seguridad?
¿En las reuniones departamentales se contribuye a la creación de la Cultura
34
de la Seguridad de la Información?
¿Se buscan crear conductas que favorezcan los valores éticos, con respecto
35
al manejo de la información?

Si considera que en esta Nivel de Desarrollo falta algún otro indicador, señálelo a continuación:

_____________________________________________________________________
_____________________________________________________________________
_____________________________________________________________________
_____________________________________________________________________
 120

Instrucciones: Lea cada una de las preguntas y responda de acuerdo al contexto en el que labora.

NIVEL DE MADUREZ SI NO NO SE
36 ¿Se promueve el aprendizaje en equipo?
¿Existe una visión compartida entre los miembros del Departamento o Unidad a
37
cargo de la Seguridad de la Información?
¿Se consideran a los profesores, personal administrativo y a los estudiantes
38 agentes importantes para garantizar las Políticas de Seguridad de la
Información?
¿Promueve la Institución el desarrollo de capacidades y destrezas relativas a la
39
Seguridad de la Información?
40 ¿Se realiza auditoría interna sobre la Seguridad de Activos de la Información?
41 ¿Se realiza auditoría externa sobre la Seguridad de Activos de la Información?
¿Existe un Plan Estratégico para la Seguridad de la Información en la
42
Universidad?

Instrucciones: Lea las siguientes preguntas y responda de acuerdo a la frecuencia que ocurre el
evento, tomando en cuenta los valores de la escala propuesta.

5 Siempre 4 Casi Siempre 3 Algunas Veces 2 Casi Nunca 1 Nunca

NIVEL DE MADUREZ 5 4 3 2 1
¿Se necesita autorización para que los usuarios accedan a datos y recursos
43
para el desarrollo de sus funciones?
¿Se lleva un control de acceso físico para algunos sitios de la universidad,
44
según el cargo que se desempeñe?
¿Es efectiva la gestión de soportes para la Seguridad de la Información en
45
la Institución?
46 ¿Se cumple la Política de Confidencialidad de la Información?
47 ¿Se cumple la Política de Integridad de la Información?
48 ¿Se cumple la Política de Disponibilidad de la Información?
49 ¿Se cumple la Política de Autenticidad?
50 ¿Se cumple la Política de Autorización?
51 ¿Se cumple la Política de Firmas Electrónicas?
52 ¿Se cumple la Política de Certificados Digitales?
¿Se identifica el personal de la Institución con los valores éticos de
53
Seguridad de la Información?

Si considera que en esta Nivel de Madurez falta algún otro indicador, señálelo a continuación:
_____________________________________________________________________
_____________________________________________________________________
_____________________________________________________________________
_____________________________________________________________________
 121

Instrucciones: Lea cada una de las preguntas y responda de acuerdo al contexto en el que labora.

NIVEL DE INTELIGENCIA ORGANIZACIONAL SI NO NO SE

54 ¿Trabajan en equipo los Grupos de Seguridad?

¿Se informa periódicamente acerca las Políticas de Seguridad de la Información a
55
la Comunidad Universitaria?
56 ¿Aplica la Comunidad Universitaria la Políticas de Seguridad de la Información?
¿Existe una visión compartida con respecto a fomentar la Seguridad de la
57
Información?
¿Existe una misión compartida de la Seguridad de la Información en la
58
organización?
¿Existe una cultura instaurada relativa a la Seguridad de la Información en la
59
organización?
¿Están alineadas las medidas de salvaguardas con la operacionalización del plan
60
estratégico de la Seguridad de la Información?
¿Poseen los grupos de trabajo una visión compartida con un enfoque de la
61
seguridad de los sistemas informáticos?
¿Forman parte de la cultura de la universidad los valores éticos de la seguridad de
62
la información?
63 ¿Tienen experticia técnica los grupos de trabajo de Seguridad de la Información?
64 ¿Son los grupos de trabajo de Seguridad de la Información proactivos?
65 ¿Se aplican con frecuencia metodologías de análisis y gestión de riesgo?
¿Existe un registro de los activos informáticos (hardware y software) de la
66
organización (usuarios, ubicación y costo)?
¿Existe comunicación entre los equipos de desarrollo de sistemas informáticos y
67
los de Seguridad de la Información?
¿Se desarrollan en conjunto la planificación estratégica, los sistemas y la adopción
68
de las TIC con la programación de la seguridad de la información?
¿Se realiza un análisis y gestión de riesgo de los nuevos activos incorporados a la
69
organización?
70 ¿Se aplican políticas propias de seguridad en la Institución?
¿Cumple el usuario con las Políticas de Seguridad de la Información que le
71
corresponden?
¿Es la seguridad de la información un problema que compete a toda la
72
organización?

Si considera que en esta Nivel de Inteligencia Organizacional falta algún otro indicador, señálelo a
continuación:
_____________________________________________________________________
_____________________________________________________________________
_____________________________________________________________________
_____________________________________________________________________

Muchas Gracias por su colaboración!!!

 122

ANEXO B.
CUESTIONARIO DEFINITIVO
 123

UNIVERSIDAD SIMÓN BOLÍVAR

DECANATO DE POSTGRADO
MAESTRÍA EN INGENIERÍA DE SISTEMAS

NIVELES DE MADUREZ EN LA ADMINISTRACIÓN Y GESTIÓN DE LA SEGURIDAD

INFORMÁTICA EN LAS UNIVERSIDADES VENEZOLANAS

CUESTIONARIO

Estimado (a) colaborador (a),

El presente instrumento tiene como propósito determinar los niveles de madurez en la

administración y gestión de la seguridad de la información en las Universidades Venezolanas.
Cabe destacar que usted ha sido seleccionado como parte de la muestra por su experiencia
laboral y formación profesional; su participación constituirá un elemento clave para la recolección de
los datos de esta investigación.
Es importante que responda de manera reflexiva y apropiada de acuerdo a su experiencia. La
información obtenida es confidencial y anónima; la misma será para fines investigativos.
• Agradecemos su colaboración al contestar cada uno de los planteamientos que se formulen y
le garantizamos que sus respuestas se utilizarán en forma confidencial sólo para cumplir con
los objetivos de la investigación.

INSTRUCCIONES

A continuación se presentan una serie de planteamientos. Marque con una X la respuesta

seleccionada de acuerdo a su experiencia laboral y formación profesional. Debe tener en cuenta que:
• En esta encuesta aparecen una serie de ítems que reflejan atributos que debe poseer cada nivel
de madurez de la administración y gestión de la seguridad de la información.
• Debe leer y contestar los planteamientos que se le presentan según la escala propuesta.
 124

NIVELES DE MADUREZ DE LA ADMINISTRACIÓN Y GESTIÓN DE LA

SEGURIDAD INFORMÁTICA EN LAS UNIVERSIDADES VENEZOLANAS

Nombre de la Institución: ___________________________________________

Área Desempeño: ___________________ Departamento: ___________________
Años de Experiencia: _______ Profesión: ________________________
Usted es personal: Docente,__Administrativo,___Docente con cargo___

CARACTERÍSTICAS ORGANIZACIONALES

Instrucciones: Lea cada una de las preguntas y responda de acuerdo al contexto en el que labora. Se
sugiere que el instrumento debe ser aplicado por el encuestador o investigador.

NIVEL DE INICIO SI NO NO SE
¿Existe personas que tienen entre sus funciones actividades relacionadas a la
1
Seguridad de la Información en la Institución?

NIVEL DE APRENDIZAJE SI NO NO SE
2 ¿Existe un o más encargados de la seguridad de la información?
3 ¿Están instaladas herramientas de software, tal como: antivirus?
4 ¿Están instaladas herramientas de software, tal como: antispyware?
¿Están instaladas herramientas de software, tal como: otros programas contra
5
espías?
6 ¿Están instaladas herramientas de software, tal como: firewall?
7 ¿Están instaladas herramientas de hardware, tal como: firewall?
8 ¿Están instaladas de la Seguridad Física del hardware de la Institución?
9 ¿Existen encargados de la Seguridad Física del software de la Institución?
¿Es la seguridad de la información sólo responsabilidad de los técnicos en
10
computación o de los administradores de redes?

Instrucciones: Lea las siguientes preguntas y responda de acuerdo a la frecuencia que ocurre el
evento, tomando en cuenta los valores de la escala propuesta.

5 Siempre 4 Casi Siempre 3 Algunas Veces 2 Casi Nunca 1 Nunca

NIVEL DE APRENDIZAJE 5 4 3 2 1
¿Actualiza la institución el software de seguridad instalado en sus
11
equipos?
¿Instalan antivirus y antispyware en los equipos de computación de la
12 Institución, una vez vencida la licencia del producto que viene con el
equipo?
13 ¿Se realizan copias de respaldo y recuperación de datos (backups)?
¿Los respaldos de la información o aplicaciones, quedan en la misma
14
unidad encargada de la Seguridad de la Información?
 125

Instrucciones: Lea cada una de las preguntas y responda de acuerdo al contexto en el que labora. Se
sugiere que el instrumento debe ser aplicado por el encuestador o investigador.

NIVEL DE DESARROLLO SI NO NO SE
¿Existe un Departamento o Unidad que se encarga de la seguridad de la
15
información?
¿Son personas del área de Informática los miembros del Departamento o
16
Unidad de la Seguridad de la Información?
¿Tienen experticia en Seguridad de la Información, los miembros del
17
Departamento o Unidad de la Seguridad de la Información?
¿Existe un documento institucional en físico que contenga los procedimientos,
18 normas, medidas, funciones del personal, obligaciones de los usuarios en la
seguridad de la información?
¿Están registrados los procedimientos con respecto a la seguridad de la
19
información en un documento institucional?
¿Están especificadas las funciones del personal con respecto a la seguridad de
20
la información en un documento institucional?
¿Están establecidas las medidas de la seguridad de la información en un
21
documento institucional?
¿Están especificadas las normas de la seguridad de la información en un
22
documento institucional?
¿Están especificadas las obligaciones del usuario no especializado en el área de
23
seguridad de la información?
¿Están definidas las obligaciones del usuario que maneja la información crítica
24
en el área de seguridad de la información?

Instrucciones: Lea las siguientes preguntas y responda de acuerdo a la frecuencia que ocurre el
evento, tomando en cuenta los valores de la escala propuesta.

5 Siempre 4 Casi Siempre 3 Algunas Veces 2 Casi Nunca 1 Nunca

NIVEL DE DESARROLLO 5 4 3 2 1
¿Se lleva registro de los accidentes de seguridad que afectan la información
25
de la Universidad?
¿Conocen los miembros de la comunidad universitaria las Políticas de
26
Seguridad de la Información que tiene la Universidad?
27 ¿Se difunde las Políticas de Seguridad de la Información?
¿Se difunde el Servicio de la Seguridad de Confidencialidad de la
28
Información?
29 ¿Se difunde el Servicio de la Seguridad de Integridad de la Información?
¿Se difunde el Servicio de la Seguridad de Disponibilidad de la
30
Información?
31 ¿Se difunde el Servicio de la Seguridad de Autenticidad?
32 ¿Se difunde el Servicio de la Seguridad de Autorización?
33 ¿Se difunde el Servicio de la Seguridad de las Firmas Electrónicas?
34 ¿Se difunde el Servicio de la Seguridad de los Certificados Digitales?
35 ¿Están definidos los valores éticos de la Seguridad de la Información?
36 ¿Se difunden los valores éticos de la Seguridad de la Información?
¿Se ofrecen charlas, cursos, seminarios para toda la Institución, con el fin
37
de crear la Cultura de la Seguridad?
¿En las reuniones departamentales se contribuye a la creación de la Cultura
38
de la Seguridad de la Información?
 126

NIVEL DE DESARROLLO 5 4 3 2 1
¿Se buscan crear conductas que favorezcan los valores éticos, con respecto
39
al manejo de la información?

Instrucciones: Lea cada una de las preguntas y responda de acuerdo al contexto en el que labora. Se
sugiere que el instrumento debe ser aplicado por el encuestador o investigador.

NIVEL DE MADUREZ SI NO NO SE
¿Promueve la Institución la capacitación de los grupos encargado de la
40
administración de los proyectos de la Seguridad de la Información?
¿La Institución tiene grupos de trabajo formales administrativamente, con su
41
código de nomina asociado a la Seguridad de la Información?
¿En la Institución hay comunicación entre los grupos de trabajo encargado de la
42
Seguridad de la Información?
¿Existe comunicación y comparten información los grupos encargados de la
43
Seguridad de la Información y los equipos de desarrollo, redes, entre otros?
¿Existe una visión compartida entre los miembros del Departamento o Unidad a
44
cargo de la Seguridad de la Información?
¿Existe una misión explicita en los planes estratégicos, que incluya la Seguridad
45
de la Información?
¿Promueve la Institución la misión que incluye la Seguridad de la Información
46
entre el grupo que esta encargado?
47 ¿Existe una visión que incluya la Seguridad de la Información?
¿Promueve la Institución la visión que incluye la Seguridad de la Información
48
entre el grupo encargado?
¿Existe objetivos que incluyan la Seguridad de la Información, entre los
49
objetivos institucionales?
¿Se difunden en la Institución los objetivos que incluyen la Seguridad de la
50
Información entre el grupo encargado?
51 ¿Existen estrategias que incluyan la Seguridad de la Información?
¿Se consideran a los profesores agentes importantes para garantizar las Políticas
52
de Seguridad de la Información?
¿Se consideran al personal administrativo agentes importantes para garantizar
53
las Políticas de Seguridad de la Información?
¿Se consideran a los estudiantes agentes importantes para garantizar las
54
Políticas de Seguridad de la Información?
¿Promueve la Institución el desarrollo de capacidades y destrezas relativas a la
55
Seguridad de la Información?
¿Se realiza auditoría interna sobre la Seguridad de los Activos de la
56
Información?
¿Se realiza auditoría externa sobre la Seguridad de los Activos de la
57
Información?
¿Existe un Plan Estratégico bajo un enfoque de la Seguridad de la Información
58
en la Universidad?

Instrucciones: Lea las siguientes preguntas y responda de acuerdo a la frecuencia que ocurre el
evento, tomando en cuenta los valores de la escala propuesta.

5 Siempre 4 Casi Siempre 3 Algunas Veces 2 Casi Nunca 1 Nunca

NIVEL DE MADUREZ 5 4 3 2 1
¿Se necesita autorización para que los usuarios accedan a datos y recursos
59 para el desarrollo de sus funciones?
 127

NIVEL DE MADUREZ 5 4 3 2 1
¿Se lleva un control de acceso físico para algunos sitios de la universidad,
60
según el cargo que se desempeñe?
¿Es efectiva la gestión de soportes para la Seguridad de la Información en
61
la Institución?
62 ¿Se cumple la Política de Confidencialidad de la Información?
63 ¿Se cumple el Servicio de la Seguridad de Integridad de la Información?
¿Se cumple el Servicio de la Seguridad de Disponibilidad de la
64
Información?
65 ¿Se cumple el Servicio de la Seguridad de Autenticación?
66 ¿Se cumple el Servicio de la Seguridad de Autorización?
67 ¿Se cumple el Servicio de la Seguridad de Firmas Electrónicas?
68 ¿Se cumple el Servicio de la Seguridad de Certificados Digitales?
¿Se identifica el personal de la Institución con los valores éticos de
69
Seguridad de la Información?

Instrucciones: Lea cada una de las preguntas y responda de acuerdo al contexto en el que labora. Se
sugiere que el instrumento debe ser aplicado por el encuestador o investigador.
NIVEL DE INTELIGENCIA ORGANIZACIONAL SI NO NO SE

70 ¿Trabajan en equipo los Grupos de Seguridad?

¿Se informa periódicamente acerca las Políticas de Seguridad de la Información a
71
la Comunidad Universitaria?
72 ¿Aplica la Comunidad Universitaria la Políticas de Seguridad de la Información?
¿Existe una visión compartida con respecto a fomentar la Seguridad de la
73
Información?
¿Existe una misión compartida de la Seguridad de la Información en la
74
organización?
¿Existe una cultura instaurada relativa a la Seguridad de la Información en la
75
organización?
¿Están alineadas las medidas de salvaguardas con la operacionalización del plan
76
estratégico de la Seguridad de la Información?
¿Poseen los grupos de trabajo una visión compartida con un enfoque de la
77
seguridad de los sistemas informáticos?
¿Forman parte de la cultura de la universidad los valores éticos de la seguridad de
78
la información?
79 ¿Tienen experticia técnica los grupos de trabajo de Seguridad de la Información?
80 ¿Son los grupos de trabajo de Seguridad de la Información proactivos?
81 ¿Se aplican con frecuencia metodologías de análisis y gestión de riesgo?
¿Existe un registro de los activos informáticos (hardware y software) de la
82
organización (usuarios, ubicación y costo)?
¿Existe comunicación entre los equipos de desarrollo de sistemas informáticos y
83
los de Seguridad de la Información?
¿Se desarrollan en conjunto la planificación estratégica, los sistemas y la adopción
84
de las TIC con el plan estratégico de la seguridad de la información?
¿Se realiza un análisis y gestión de riesgo de los nuevos activos incorporados a la
85
organización?
86 ¿Se aplican políticas propias de seguridad en la Institución?
¿Cumple el usuario con las Políticas de Seguridad de la Información que le
87
corresponden?
¿Es la seguridad de la información un problema que compete a toda la
88
organización?
Muchas gracias por su colaboración!!!