Metodología de CyberCheck NIST
Fundamento teórico, diseño del instrumento y lógica de generación de recomendaciones basadas en el NIST Cybersecurity Framework 1.1.
Base: NIST CSF 1.1
El NIST Cybersecurity Framework 1.1 (National Institute of Standards and Technology, 2018) es el estándar internacional más adoptado para gestionar el riesgo de ciberseguridad. Proporciona un lenguaje común y un conjunto de actividades organizadas en 5 funciones核心 que cubren el ciclo completo de la ciberseguridad organizacional.
Su aplicación en MYPEs latinoamericanas está respaldada por investigaciones recientes (Rodríguez-Flores et al., 2023; Herrera & Vásquez, 2022) que confirman su viabilidad en organizaciones con recursos limitados, siempre que se adapten los controles al contexto local.
Contexto de aplicación
CyberCheck NIST fue diseñado específicamente para MYPEs de las ciudades de Piura y Lima, Perú (2026), en el marco de la tesis "Evaluación del nivel de madurez en ciberseguridad basada en el NIST CSF 1.1 en MYPEs comerciales y de tecnología de Piura y Lima, 2026".
Este sector fue seleccionado por su alta exposición a riesgos de ciberseguridad (manejo de datos de clientes, transacciones digitales, acceso a plataformas de proveedores internacionales) y la escasa adopción de controles formales documentada en la literatura regional.
Las 5 funciones del NIST CSF 1.1
Comprender el contexto organizacional, los activos críticos, las amenazas y las vulnerabilidades para gestionar el riesgo de ciberseguridad.
Implementar salvaguardas para garantizar la prestación de servicios críticos y limitar el impacto de un posible incidente.
Definir y ejecutar actividades para identificar la ocurrencia de eventos de ciberseguridad de manera oportuna.
Tomar acciones coordinadas ante un incidente de ciberseguridad detectado para contener el impacto.
Mantener planes de resiliencia y restaurar los servicios afectados por un incidente de ciberseguridad.
Las 21 categorías del instrumento
Haz clic en una función para expandir sus categoríasIdentifica y documenta los activos físicos (hardware) y lógicos (software, datos, sistemas) de la organización, asigna responsables y los clasifica según su criticidad para el negocio. Sin saber qué se tiene, no se puede proteger.
Define la política de ciberseguridad de la organización, establece roles y responsabilidades, y asegura que la gestión del riesgo esté alineada con los objetivos del negocio. Es la base normativa del programa de seguridad.
Identifica las amenazas y vulnerabilidades de los activos, evalúa su probabilidad e impacto, y documenta los riesgos priorizados. Permite tomar decisiones informadas sobre dónde invertir en controles de seguridad.
Identifica y gestiona los riesgos de ciberseguridad asociados a proveedores tecnológicos y terceros con acceso a sistemas o datos. Incluye evaluación de sus prácticas de seguridad antes de contratarlos.
Gestiona las identidades y credenciales de los usuarios, implementa autenticación para acceder a sistemas, controla los accesos según el rol de cada persona y asegura el acceso remoto. Principio de mínimo privilegio.
Capacita al personal en ciberseguridad, realiza simulacros (ej. phishing), y evalúa el nivel de conocimiento. El factor humano es la principal vulnerabilidad; la formación reduce el riesgo de incidentes por error o descuido.
Protege los datos en reposo y en tránsito mediante cifrado, realiza y verifica copias de seguridad, controla el acceso a bases de datos y garantiza la integridad de la información durante su almacenamiento y transmisión.
Verifica el cumplimiento de las políticas de seguridad establecidas y define procesos formales para gestionar la pérdida o fuga de información. Convierte las políticas en prácticas operativas verificables.
Mantiene actualizados los sistemas operativos y aplicaciones con parches de seguridad, y registra formalmente las actualizaciones aplicadas. Los sistemas sin parchear son el vector de ataque más común en MYPEs.
Implementa herramientas de seguridad (antivirus, EDR, cifrado) y controles perimetrales (firewall, segmentación de red) para limitar la superficie de ataque y bloquear amenazas antes de que alcancen activos críticos.
Identifica comportamientos inusuales en la red o sistemas (accesos fuera de horario, transferencias masivas de datos), detecta y registra eventos sospechosos, y clasifica los incidentes según su nivel de criticidad.
Monitorea activamente los sistemas de información, revisa periódicamente los registros de actividad (logs), utiliza herramientas especializadas (SIEM) y supervisa accesos a plataformas externas críticas como la banca o correo corporativo.
Define procedimientos formales para detectar y escalar incidentes de seguridad, y valida periódicamente que los mecanismos de detección funcionan correctamente. Sin procesos definidos, la detección es aleatoria e ineficaz.
Define un plan formal de respuesta ante incidentes de seguridad con roles y responsables asignados. Es el protocolo de acción que la organización sigue cuando ocurre un ataque: quién hace qué, cuándo y cómo.
Registra formalmente los incidentes cuando ocurren y define procesos para comunicarlos internamente a los niveles directivos correspondientes. La comunicación oportuna reduce el tiempo de respuesta y el impacto del incidente.
Analiza las causas raíz de los incidentes ocurridos y evalúa su impacto operativo y económico. El análisis post-incidente permite aprender de los errores y evitar que el mismo tipo de ataque se repita.
Contiene el incidente para limitar su propagación y posteriormente elimina las vulnerabilidades explotadas. La contención detiene el daño; la eliminación previene la reincidencia.
Incorpora las lecciones aprendidas de cada incidente para mejorar las capacidades de respuesta, y actualiza el plan de respuesta con base en la experiencia acumulada. La mejora continua fortalece la resiliencia.
Define un plan formal de recuperación ante incidentes, establece los tiempos máximos de recuperación (RTO) y pérdida aceptable de datos (RPO), y prueba periódicamente el plan para verificar su efectividad.
Incorpora lecciones aprendidas para mejorar los procesos de recuperación y actualiza los planes de continuidad operativa con base en los incidentes experimentados. Convierte cada crisis en oportunidad de mejora.
Documenta el proceso de recuperación ejecutado tras cada incidente y comunica formalmente el estado de recuperación a las partes interesadas (clientes, directivos, proveedores). La transparencia mantiene la confianza.
El instrumento de evaluación
Cada ítem está redactado en escala Likert adaptada de 4 puntos y
trazado a una subcategoría oficial del NIST CSF 1.1
(ej. PR.AC-1).
Los ítems fueron seleccionados mediante juicio de expertos aplicando criterios de
pertinencia, claridad y aplicabilidad al contexto MYPE.
El instrumento cubre las 21 categorías del framework distribuidas entre las 5 funciones, con entre 2 y 5 ítems por categoría según su relevancia para MYPEs de Piura.
Escala de medición
Se utiliza una escala ordinal de 4 niveles, alineada con los Implementation Tiers del NIST CSF 1.1 (NIST, 2018, p. 8):
¿Cómo funciona la evaluación?
Se registran los datos de la MYPE: nombre, sector, ciudad, evaluador y fecha.
Se registran los responsables de la empresa que responderán el cuestionario (nombre y cargo).
Cada encuestado responde los 59 ítems usando la escala 1-4. El sistema valida coherencia lógica en tiempo real.
Se calculan promedios por función y categoría. Se muestra el gráfico radar de madurez y el Tier global.
Se generan recomendaciones por categoría según el Tier alcanzado. Descarga el informe completo en PDF.
Cálculo del Tier de madurez
El puntaje de cada función es el promedio aritmético de las respuestas de todos los encuestados en los ítems que la conforman. El Tier se asigna según los siguientes rangos:
El Promedio General es el promedio de los 5 puntajes por función y determina el Tier global de la organización.
Validación de coherencia lógica
Mientras el encuestado responde el checklist, el sistema evalúa en tiempo real un conjunto de 31 reglas de coherencia del tipo prerrequisito → dependiente, derivadas de la lógica progresiva de madurez del framework: un control avanzado no puede operar formalmente si el control del que depende no existe o es informal.
Si el ítem prerrequisito se responde con 1 (control inexistente), el ítem dependiente no debería recibir 3 o 4 (repetible o adaptativo). Cubren las 5 funciones: Identify (6), Protect (7), Detect (5), Respond (6) y Recover (4).
Si el prerrequisito es informal (puntaje ≤ 2), el ítem dependiente no debería alcanzar el nivel máximo 4 (adaptativo).
Ejemplo: Si un encuestado responde 1 ("no existe plan de recuperación"), no puede responder 4 ("el plan se prueba de forma adaptativa"), ya que lógicamente no se puede probar algo que no existe.
Al detectarse una contradicción, el checklist muestra un panel de advertencias con la explicación de cada regla incumplida y resalta en ámbar los ítems involucrados, indicando al encuestado qué respuestas revisar y por qué.
Las advertencias son no bloqueantes: el evaluador puede mantener las respuestas si considera que existe una justificación válida. El objetivo es mejorar la calidad y consistencia interna del instrumento.
¿Cómo funciona internamente la validación de coherencia?
Detalle técnico del mecanismo implementado en el checklist.
1. Definición formal de una regla
Cada regla se modela como una tupla de cuatro elementos:
p : ítem prerrequisito
d : ítem dependiente
α : puntaje máximo del prerrequisito
β : puntaje mínimo del dependiente
Contradicción si: v(p) ≤ α ∧ v(d) ≥ β
Es decir: si la respuesta del ítem base es muy baja (el control no existe o es informal) y al mismo tiempo la respuesta del ítem que depende de él es muy alta (madurez repetible o adaptativa), la combinación es lógicamente inconsistente. En las 28 reglas primarias α = 1 y β = 3; en las 3 secundarias α = 2 y β = 4.
2. Algoritmo de evaluación
violaciones ← [ ]
PARA CADA regla (p, d, α, β):
SI v(p) y v(d) están respondidos
Y v(p) ≤ α Y v(d) ≥ β:
agregar regla a violaciones
MOSTRAR panel con cada mensaje
RESALTAR ítems p y d en ámbar
La verificación se ejecuta en el navegador (JavaScript) cada vez que el encuestado marca o cambia una respuesta, sin llamadas al servidor: son 31 comparaciones simples, por lo que la retroalimentación es instantánea. Las reglas que involucran ítems aún sin responder se omiten para no generar falsas alarmas.
3. Ejemplos de reglas implementadas
| Ítem prerrequisito (p) | Ítem dependiente (d) | Condición de contradicción | Lectura |
|---|---|---|---|
| #1 — Inventario de hardware | #3 — Clasificación de activos | v(1)=1 ∧ v(3)≥3 | No se pueden clasificar activos que no están inventariados. |
| #23 — Copias de seguridad | #26 — Integridad de datos | v(23)=1 ∧ v(26)≥3 | Sin respaldos, la integridad de los datos no puede garantizarse formalmente. |
| #53 — Plan de recuperación | #55 — Pruebas del plan | v(53)=1 ∧ v(55)≥3 | No se puede probar periódicamente un plan que no existe. |
| #6 — Política de ciberseguridad | #16 — Acceso por roles | v(6)≤2 ∧ v(16)=4 | Regla secundaria: con política informal, el control dependiente no puede ser adaptativo. |
Las dependencias se derivan de la estructura del propio NIST CSF 1.1: las subcategorías de gestión de activos (ID.AM) preceden lógicamente a la clasificación y evaluación de riesgos, los controles de planificación preceden a su prueba y mejora, y la escala de madurez (1–4) es acumulativa — un nivel "repetible" presupone que el control existe. Cada regla codifica una de estas relaciones de precedencia entre los 59 ítems.
Bloquear obligaría al encuestado a cambiar su respuesta aunque su realidad sea atípica, introduciendo un sesgo de respuesta forzada. La advertencia preserva la autonomía del informante y a la vez actúa como control de calidad: reduce errores de marcado y de comprensión de la escala, que son las causas más frecuentes de inconsistencia en instrumentos autoadministrados.
¿De dónde salen las recomendaciones?
Cada recomendación sigue la siguiente cadena causal:
Hay 3 recomendaciones por categoría (una para Tier 1, una para Tier 2, una para Tier 3–4), lo que resulta en 63 recomendaciones para las 21 categorías del NIST CSF 1.1.
Cada recomendación está explícitamente vinculada a su
subcategoría NIST CSF 1.1 (ej. PR.AC-1),
lo que permite consultar el framework oficial para profundizar en cada control.
Cada recomendación está respaldada por literatura científica reciente (2021–2025) de bases de datos indexadas (Scopus, Web of Science), lo que garantiza su validez y actualidad.
¿Cómo se personalizan las recomendaciones para cada empresa?
El banco de 63 recomendaciones es común a todas las evaluaciones, pero el sistema aplica dos mecanismos que adaptan el resultado a los datos de cada empresa: la priorización por brecha y la detección de ítems débiles.
1. Priorización por brecha (gap analysis)
Para cada una de las 21 categorías se calcula su distancia al umbral del Tier 3 — Repetible (2.51), el nivel mínimo deseable de madurez:
Orden del listado:
1° mayor brecha (más lejos del Tier 3)
2° a igual brecha, menor promedio
Las categorías que ya alcanzaron Tier 3–4 tienen brecha 0 y quedan al final como recomendaciones de mantenimiento. Así, dos empresas con el mismo banco de recomendaciones ven listados distintos: cada una recibe primero lo más urgente según sus propios resultados.
2. Detección de ítems débiles
Dentro de cada categoría se calcula el promedio por ítem (entre todos los encuestados de la empresa) y se seleccionan los ítems que no alcanzan el umbral del Tier 3:
promedio(i) = media de respuestas de
todos los encuestados al ítem i
débiles = ítems con promedio(i) < 2.51
→ ordenados de peor a mejor
→ se muestran hasta 3
Estos ítems se muestran junto a la recomendación con su subcategoría NIST, su indicador y su promedio, señalando exactamente dónde la empresa debe aplicar la recomendación (ej. PR.DS-1 "Copias de seguridad" — 1.50/4).
El enfoque de catálogo parametrizado por nivel de madurez replica el mecanismo de los Profiles del propio NIST CSF: la acción correctiva se selecciona en función de la brecha medida entre el estado actual y el objetivo. Esto garantiza que toda recomendación esté validada, trazada a una subcategoría y sustentada en literatura — algo imposible de asegurar con texto generado ad hoc por evaluación.
Tres cosas: (1) qué recomendación recibe cada categoría — depende del Tier alcanzado; (2) en qué orden — depende de la brecha de esa empresa; y (3) sobre qué evidencia — los ítems débiles listados provienen únicamente de las respuestas de sus propios encuestados. El texto base es compartido; el diagnóstico y la priorización son propios de cada evaluación.
Validez del instrumento
- ✓ Validez de contenido — revisión por juicio de expertos en ciberseguridad y NIST CSF.
- ✓ Trazabilidad completa — cada ítem vinculado a una subcategoría NIST CSF 1.1 oficial.
- ✓ Consistencia interna — validación lógica automatizada de coherencia entre ítems relacionados.
- ✓ Recomendaciones con sustento — referencias académicas indexadas (2021–2025) por cada control.
- ✓ Multi-encuestado — consolida respuestas de varios evaluados para reducir sesgo individual.
Limitaciones y alcance
- ⚠ Las recomendaciones son orientativas. La implementación de controles específicos debe adaptarse al contexto y presupuesto de cada organización.
- ⚠ El instrumento evalúa madurez percibida, no ejecuta pruebas técnicas de penetración ni auditorías de infraestructura.
- ⚠ Diseñado para el contexto de MYPEs de Piura. Su aplicación en otros contextos requiere validación adicional.
- ⚠ Los resultados reflejan el estado en el momento de la evaluación. Se recomienda reevaluar periódicamente.
CyberCheck NIST aplica los controles que evalúa
Una herramienta de evaluación de ciberseguridad debe cumplir los mismos controles que exige a las organizaciones que evalúa. A continuación se describe cómo CyberCheck NIST implementa las funciones del NIST CSF 1.1 en su propio diseño y operación.
- ✓ Autenticación obligatoria con contraseñas hasheadas (bcrypt)
- ✓ Ningún auditor accede sin aprobación explícita del administrador
- ✓ Roles diferenciados: administrador y auditor, con permisos separados
- ✓ Sesiones invalidadas correctamente al cerrar sesión
- ✓ Contraseñas nunca almacenadas en texto plano
- ✓ Documentos de auditores almacenados fuera del directorio público
- ✓ Resultados de auditoría accesibles solo con autorización de la empresa evaluada
- ✓ Datos sensibles nunca expuestos en URLs ni logs
- ✓ Cada evaluación está vinculada a un auditor verificado y a una empresa específica
- ✓ Los auditores deben acreditar su identidad con documentos antes de acceder
- ✓ Solo usuarios registrados y aprobados pueden gestionar evaluaciones
- ✓ Consentimiento informado documentado antes de cada evaluación
- ✓ Proceso formal de autorización empresa → auditor para acceder a resultados
- ✓ La empresa puede revocar acceso al auditor en cualquier momento
- ✓ Notificación automática al administrador ante cada solicitud de registro
- ✓ Notificación al auditor cuando su cuenta es aprobada o rechazada
- ✓ Notificación a la empresa cuando un auditor solicita acceso a sus resultados
- ✓ Confirmación inmediata a la empresa al autorizar o revocar un acceso
Este diseño refleja el principio de coherencia metodológica: una herramienta que evalúa ciberseguridad debe ser, en sí misma, un ejemplo de buenas prácticas en ciberseguridad (NIST, 2018).
Referencia principal
National Institute of Standards and Technology. (2018). Framework for Improving Critical Infrastructure Cybersecurity, Version 1.1. U.S. Department of Commerce. https://doi.org/10.6028/NIST.CSWP.04162018
Herramienta desarrollada como parte de la tesis "Evaluación de Ciberseguridad basada en el NIST CSF 1.1 para Mypes de Piura, 2026" — Bach. Córdova Ramírez, Ronal Eduardo / Bach. Jimenez Abad, Enso Ronaldo. Facultad de Ingeniería — Ingeniería de Sistemas e Informática, Piura 2026.