Análisis de Brecha de Seguridad de la Información en una Empresa de Desarrollo de Software de Gestión Ubicada en España

Abstract

La información y los activos digitales de una organización representan un recurso crítico que ante un incidente de seguridad de la información pueden verse afectados en su confidencialidad, integridad o disponibilidad, ocasionando pérdidas operativas, sanciones legales y daños reputacionales. En este contexto, la implementación de un Sistema de Gestión de Seguridad de la Información (SGSI) bajo los lineamientos de la norma ISO/IEC 27001 se convierte en un componente estratégico para garantizar la continuidad del negocio, reducir el riesgo comercial y generar confianza en clientes y partes interesadas. El presente trabajo tiene como objetivo analizar la madurez actual en materia de seguridad de la información de una empresa de software ubicada en Madrid, España, especializada en el desarrollo e implementación de soluciones ERP. A partir de un estudio descriptivo y explicativo que incluye revisión documental, encuestas al personal y entrevistas con la Dirección, se examina el estado real de sus prácticas de seguridad, identificando brechas frente a los requisitos exigidos por ISO/IEC 27001. El análisis evidenció que la organización no cuenta aún con un SGSI formal, ni con políticas centralizadas, roles definidos de seguridad o procedimientos estandarizados. La gestión de riesgos se desarrolla de manera reactiva e intuitiva, y la capacitación en seguridad es escasa y voluntaria. Si bien algunas áreas aplican buenas prácticas técnicas, principalmente la anonimización de bases de datos, el panorama general muestra una falta de concientización transversal y una ausencia de gobernanza en torno a la seguridad. Esta situación expone a la empresa a riesgos relevantes tanto operativos como regulatorios, especialmente considerando el marco del GDPR. Para comprender el alcance de la brecha, realizamos un análisis comparativo punto por punto contra los siete capítulos principales de la ISO/IEC 27001, incluyendo contexto organizacional, liderazgo, planificación, soporte, operación, evaluación del desempeño y mejora continua. Asimismo, llevamos a cabo un análisis FODA que permitió identificar fortalezas, debilidades y oportunidades claras para la construcción de una cultura de seguridad sostenible. A partir de estos hallazgos, desarrollamos un plan de acción detallado que prioriza la definición del alcance del SGSI, la elaboración de políticas, la creación de una metodología de análisis y tratamiento de riesgos, la estandarización de procedimientos, la formalización de roles y responsabilidades, y la implementación de un programa anual de capacitación obligatoria. Finalmente, proponemos un roadmap que permitiría reducir significativamente la brecha actual en un período menor a un año, sin que la certificación inmediata sea el objetivo, sino la mejora sustancial del nivel de seguridad corporativa.