Sistema de Gestión de la Seguridad de la Información para los procesos de soporte y desarrollo de software SaaS de la empresa Iteprevengo

Abstract

El acelerado avance tecnológico ha impulsado el uso de entornos en la nube y del modelo Software as a Service (SaaS) para la prestación de servicios. Si bien este escenario ha facilitado la continuidad y eficiencia de los procesos empresariales también ha incrementado la exposición a riesgos de seguridad, los cuales podrían comprometer la estabilidad financiera y el prestigio institucional de las organizaciones. Bajo este contexto, Iteprevengo una microempresa peruana dedicada a la consultoría y desarrollo de software SaaS especializado en Seguridad y Salud en el Trabajo (SST), opera bajo una modalidad íntegramente remota y basada en entornos cloud, este escenario hace indispensable la adopción de un marco de gestión estructurado que salvaguarde los pilares fundamentales de la información: confidencialidad, integridad y disponibilidad. La presente investigación tuvo como objetivo diseñar un Sistema de Gestión de la Seguridad de la Información basado en la NTP ISO/IEC 27001:2022, para los procesos de soporte y desarrollo de software SaaS de la empresa Iteprevengo. Se empleó una metodología estructurada en cinco fases, alineadas a las directrices de la ISO/IEC 27003:2010. La gestión de riesgos se desarrolló conforme a la NTP ISO/IEC 27005:2022 en conjunto con la NTP ISO/IEC 27002:2022. El diseño del SGSI fue validado mediante juicio de expertos, quienes evaluaron criterios de pertinencia, suficiencia, coherencia, claridad y la alineación normativa. El modelo desarrollado en la investigación es descriptivo no experimental, en el cual se emplearon entrevistas semiestructuradas, grupos de enfoque y revisión documental como instrumentos de recolección de datos. Como resultado se obtuvo un diseño de SGSI validado por expertos, aplicable a empresas de desarrollo de software SaaS con entornos de trabajo remoto, que permite gestionar riesgos de seguridad de información y sirve como referencia metodológica para organizaciones con características similares que buscan alinearse con la NTP ISO/IEC 27001:2022.

Rapid technological advancement has driven the use of cloud environments and the Software as a Service (SaaS) model for service delivery. Although this scenario has facilitated the continuity and efficiency of business processes, it has also increased exposure to security risks, which could compromise the financial stability and institutional prestige of organizations. In this context, Iteprevengo, a Peruvian micro-enterprise dedicated to the consulting and development of SaaS software specialized in occupational health and safety (OSH), operates under a fully remote modality and based on cloud environments, this scenario makes it essential to adopt a structured management framework that safeguards the fundamental pillars of information: confidentiality, integrity and availability. The objective of this research was to design an Information Security Management System based on NTP ISO/IEC 27001:2022, for the support and development processes of SaaS software of the company Iteprevengo. A methodology structured in five phases was used, aligned with the guidelines of ISO/IEC 27003:2010. Risk management was developed in accordance with NTP ISO/IEC 27005:2022 in conjunction with NTP ISO/IEC 27002:2022. The design of the ISMS was validated through expert judgment, who evaluated criteria of relevance, sufficiency, coherence, clarity and regulatory alignment. The model developed in the research is descriptive and non-experimental, in which semi-structured interviews, focus groups and documentary review were used as data collection instruments. As a result, an ISMS design validated by experts was obtained, applicable to SaaS software development companies with remote work environments, which allows managing information security risks and serves as a methodological reference for organizations with similar characteristics that seek to align with NTP ISO/IEC 27001:2022.