FACULTAD DE CIENCIAS EMPRESARIALES CARRERA PROFESIONAL DE INGENIERÍA DE SISTEMAS DE INFORMACIÓN Y GESTIÓN "EVALUACIÓN DE UN SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN BASADO EN LA NORMA ISO 27001:2013, EN LA MARINA DE GUERRA DEL PERÚ" Tesis para optar el título profesional de: INGENIERO DE SISTEMAS DE INFORMACIÓN Y GESTIÓN Presentado por: Alonso Javier Amado Garfias (0000-0001-8447-3355) Asesor: Even Deyser Perez Rojas (0000-0002-5855-1767) Lima - Perú 2022 Dedicatoria A Dios y a mi familia mi familia por darme la fortaleza necesaria para cumplir con mis metas. Agradecimientos A la Universidad Científica del Sur por brindarme los conocimientos necesarios que al día de hoy me permiten desenvolverme como un ingeniero de sistemas competitivo en este mundo cada vez más exigente. Índice general Dedicatoria...................................................................................................................................... 3 Agradecimientos ............................................................................................................................ 4 Índice general ................................................................................................................................. 5 Índice de figuras ............................................................................................................................... 8 Índice de tablas ................................................................................................................................ 9 Índice de anexos .......................................................................................................................... 10 Resumen ....................................................................................................................................... 11 Abstract ......................................................................................................................................... 13 Introducción .................................................................................................................................... 1 CAPÍTULO I: PLANTEAMIENTO DEL PROBLEMA ............................................................................... 3 1.1. Descripción de la realidad problemática ......................................................................... 3 1.2. Formulación del problema ............................................................................................... 5 1.2.1. Problema general ................................................................................................. 5 1.2.2. Problemas específicos .......................................................................................... 5 1.3. Justificación de la investigación ....................................................................................... 5 1.4. Limitaciones de la investigación ...................................................................................... 7 1.5. Viabilidad de la investigación........................................................................................... 7 1.5.1. Viabilidad técnica ................................................................................................. 7 1.5.2. Viabilidad temporal .............................................................................................. 8 1.5.3. Viabilidad económica ........................................................................................... 8 CAPÍTULO II: MARCO TEORICO ........................................................................................................ 9 2.1. Antecedentes de la investigación .................................................................................... 9 2.2. Bases teóricas ................................................................................................................ 12 2.2.1. Variable independiente: SG................................................................................ 12 2.2.2. Variable dependiente: SI .................................................................................... 13 2.2.3. La Secretaría de Gobierno Digital (SGD) ............................................................. 13 2.2.4. La Norma Técnica Peruana (NTP) ....................................................................... 14 2.2.5. La Norma Técnica Peruana ISO/IEC 27001:2014 (NTP ISO/IEC 27001:2014)..... 14 2.2.6. Resolución Ministerial (RM) de aprobación de uso obligatorio de la NTP - ISO/IEC 27001:2014 (RM Nº 004-2016-PCM).................................................................... 15 2.2.7. Ley de organización y funciones del instituto nacional de estadística e informática (DL Nº 604, 1990) ........................................................................................... 15 2.2.8. Ley de protección de datos personales (Ley Nº 29733) ..................................... 16 2.2.9. Definiciones conceptuales.................................................................................. 16 2.2.9.1. Sistema de gestión de seguridad de la información (SGSI) ............................ 16 2.2.9.2. ISO/IEC 27000:2014 ........................................................................................ 17 2.2.9.3. ISO/IEC 27001:2013 ........................................................................................ 17 2.2.9.4. ISO/IEC 27002:2013 ........................................................................................ 18 2.2.9.5. ISO/IEC 27003:2010 ........................................................................................ 18 2.3. Objetivos de la investigación ......................................................................................... 19 2.4. Formulación de hipótesis ............................................................................................... 19 2.4.1. Hipótesis general ................................................................................................ 19 2.4.2. Hipótesis específicas .......................................................................................... 19 CAPÍTULO III: DISEÑO METODOLÓGICO......................................................................................... 20 3.1. Diseño de la investigación ............................................................................................. 20 3.2. Tipo ................................................................................................................................ 20 3.3. Enfoque .......................................................................................................................... 20 3.4. Población ....................................................................................................................... 20 3.5. Muestra .......................................................................................................................... 21 3.6. Operacionalización de variables .................................................................................... 21 3.7. Técnicas para la recolección de datos ........................................................................... 21 3.7.1. Descripción de los instrumentos ........................................................................ 21 3.7.2. Validez y confiabilidad de los instrumentos ....................................................... 21 3.8. Técnica para el procesamiento y análisis de datos ........................................................ 22 3.9. Aspectos éticos .............................................................................................................. 22 CAPÍTULO IV: RESULTADOS ............................................................................................................ 23 4.1. Resultados descriptivos de la encuesta de aplicación del SGSI ..................................... 23 4.1.1. Resultados descriptivos de la dimensión confidencialidad ................................ 24 4.1.2. Resultados descriptivos de la dimensión integridad .......................................... 26 3.10.3. Resultados descriptivos de la dimensión disponibilidad ....................................... 29 3.10.4. Resultados descriptivos de la dimensión procesos ............................................... 32 3.10.5. Resultados descriptivos de la dimensión económico ............................................ 35 4.2. Nivel de Confiabilidad Usando Alfa de Cronbach .......................................................... 38 4.3. Prueba Binomial del Juicio de Expertos ......................................................................... 38 3.13. Contrastación de hipótesis ................................................................................................. 39 3.13.1 Prueba de Normalidad ................................................................................................... 39 3.13.2 Hipótesis General ........................................................................................................... 40 3.13.3 Hipótesis Específicas ...................................................................................................... 41 CAPÍTULO V: DISCUCIÓN, CONCLUSIONES Y RECOMENDACIONES ............................................... 43 5.1. Discusión ........................................................................................................................ 43 5.2. Conclusiones .................................................................................................................. 44 5.3. Recomendaciones .......................................................................................................... 46 5.4. Propuesta de mejora ..................................................................................................... 47 5.4.1. Beneficios que conlleva la implementación de un SGSI ..................................... 47 5.4.2. Nivel de madurez de la SI para la adopción de SGSI .......................................... 48 5.4.2.1 Aspectos positivos ................................................................................................. 48 5.4.2.2 Aspectos negativos: ............................................................................................... 50 5.4.3. Administración de la SI por otros organismos nacionales e internacionales ................ 51 Referencias bibliográficas .............................................................................................................. 56 Abreviaturas ................................................................................................................................. 60 Anexos .......................................................................................................................................... 61 Anexo 1: Matriz de consistencia ................................................................................................. 61 Anexo 2: Matriz de operacionalización ....................................................................................... 62 Anexo 3: Encuesta/instrumento de evaluación .......................................................................... 63 Anexo 4: Base de datos general de la variable SI ........................................................................ 65 Anexo 5: Base de datos general de la variable SG ...................................................................... 66 Anexo 6: Constancia emitida por la institución donde se realizó la investigación ..................... 67 Anexo 7: Resolución ministerial de aprobación de uso obligatorio de la norma técnica peruana (Resolución Ministerial N° 004-2016-PCM)................................................................................. 68 Anexo 8: Validez de instrumentos por Jueces Experto ............................................................... 71 Índice de figuras Figura 1. Diagrama de las edades de los participantes de la encuesta .......................................... 23 Figura 2. Diagrama Circular de la pregunta 1 de la encuesta ........................................................ 24 Figura 3. Diagrama Circular de la pregunta 2 de la encuesta ........................................................ 24 Figura 4. Diagrama Circular de la pregunta 3 de la encuesta ........................................................ 25 Figura 5. Dimensión confidencialidad ............................................................................................ 26 Figura 6. Diagrama Circular de la pregunta 4 de la encuesta ........................................................ 26 Figura 7. Diagrama Circular de la pregunta 5 de la encuesta ........................................................ 27 Figura 8. Diagrama Circular de la pregunta 6 de la encuesta ........................................................ 27 Figura 9. Dimensión integridad ...................................................................................................... 28 Figura 10. Diagrama Circular de la pregunta 7 de la encuesta ...................................................... 29 Figura 11. Diagrama Circular de la pregunta 8 de la encuesta ...................................................... 29 Figura 12. Diagrama Circular de la pregunta 9 de la encuesta ...................................................... 30 Figura 13. Dimensión disponibilidad .............................................................................................. 31 Figura 14. Variable SI ...................................................................................................................... 32 Figura 15. Diagrama Circular de la pregunta 10 de la encuesta .................................................... 32 Figura 16. Diagrama Circular de la pregunta 11 de la encuesta .................................................... 33 Figura 17. Diagrama Circular de la pregunta 12 de la encuesta .................................................... 33 Figura 18. Dimensión de procesos ................................................................................................. 34 Figura 19. Diagrama Circular de la pregunta 13 de la encuesta .................................................... 35 Figura 20. Diagrama Circular de la pregunta 14 de la encuesta .................................................... 35 Figura 21. Diagrama Circular de la pregunta 15 de la encuesta .................................................... 36 Figura 22. Dimensión económica ................................................................................................... 36 Figura 23. Variable SG .................................................................................................................... 37 Índice de tablas Tabla 1. Niveles de la dimensión confidencialidad. ....................................................................... 25 Tabla 2. Niveles de la dimensión integridad. ................................................................................. 28 Tabla 3. Niveles de la dimensión disponibilidad. ........................................................................... 30 Tabla 4. Niveles de la variable SI. ................................................................................................... 31 Tabla 5. Niveles de la dimensión procesos. ................................................................................... 34 Tabla 6. Niveles de la dimensión económico. ................................................................................ 36 Tabla 7. Niveles de la variable SG. .................................................................................................. 37 Tabla 8. Estadística de Fiabilidad de la Cuestionario del Variable SI. ............................................ 38 Tabla 9. Estadística de Fiabilidad de la Cuestionario del Variable SG. ........................................... 38 Tabla 10. Prueba Binomial del Juicio de Expertos. ......................................................................... 39 Tabla 11. Prueba de Normalidad .................................................................................................... 39 Tabla 12. Estadístico de Correlación .............................................................................................. 40 Tabla 13. Prueba de Hipótesis General .......................................................................................... 40 Tabla 14. Prueba de Hipótesis Específica 1 .................................................................................... 41 Tabla 15. Prueba de Hipótesis Específica 2 .................................................................................... 42 Tabla 16. Prueba de Hipótesis Específica 3 .................................................................................... 42 Índice de anexos Anexo 1: Matriz de consistencia .................................................................................................... 61 Anexo 2: Matriz de operacionalización .......................................................................................... 62 Anexo 3: Encuesta/instrumento de evaluación ............................................................................. 63 Anexo 4: Base de datos general de la variable SI ........................................................................... 65 Anexo 5: Base de datos general de la variable SG ......................................................................... 66 Anexo 6: Constancia emitida por la institución donde se realizó la investigación ........................ 67 Anexo 7: Resolución ministerial de aprobación de uso obligatorio de la norma técnica peruana (Resolución Ministerial N° 004-2016-PCM).................................................................................... 68 Anexo 8: Validez de instrumentos por Jueces Experto .................................................................. 71 Resumen El propósito del presente trabajo de investigación tiene como objeto el demostrar que, debido a la complejidad organizacional, misión, y a las múltiples funciones que desempeña la Marina de Guerra del Perú (MGP), se evidencia la necesidad contar con un sistema de gestión de seguridad de la información (SGSI) basado en el estándar ISO/IEC 27001. Para sustentar esta necesidad, se ha identificado la correlación existente entre las variables seguridad de la información y sistema de gestión. El enfoque que se ha asumido es el cuantitativo, ya que este busca demostrar una hipótesis a partir de mediciones numéricas y estadísticas. Se ha seleccionado un diseño transeccional del tipo correlacional causal. Para la recopilación de datos se utilizó la técnica de la encuesta, y como instrumento el cuestionario de preguntas del tipo cerradas. Este ha sido aplicado a una muestra del 4.36% de la población de trabajadores de la Marina Guerra del Perú, que por su especialidad se encuentran o se han encontrado involucradas en la SI en la Institución. Cabe precisar que, usando el Alfa de Cronbach se obtuvo en la variable seguridad de la información 0.850 y en la variable de sistema de gestión 0.931, demostrando la confiabilidad de la aplicación de los instrumentos. En cuanto al correlación Rho de Spearman se obtuvo un 0.922 con una correlación positiva con un grado de significancia estadística de la prueba de p= 0.0 (siendo p<0.5), por lo cual se acepta la hipótesis del investigador. Por consiguiente, es válido afirmar que existe relación significativa entre el sistema de gestión basado en la Norma ISO 27001:2013 y la seguridad de la información en la Marina de Guerra del Perú. Palabras claves: activos de información, vulnerabilidades, riesgos, sistema de gestión, controles, sistema de gestión de seguridad de la información, ciberseguridad. Abstract The purpose of this research demonstrates that despite the organizational complexity, mission, and multiple functions performed by the Peruvian Navy (MGP), is necessary the implementation of a management system of information security (ISMS) based on the ISO/IEC 27001 standard. To support this necessity, I have identified the correlation between the information security and management system variables. I have assumed the quantitative approach to demonstrate a hypothesis based on numerical and statistical measurements with a transectional design and causal correlational. I used the survey technique, specifically the questionnaire of closed-type questions as an instrument to collect data. This instrument has been applied to a sample of 0.1% of workers between superior and subaltern staff in the Peruvian Navy population. Through Cronbach's Alpha, I obtained 0.850 in the information security variable and 0.931 in the management system variable. It demonstrates the high reliability of the instrument application. Regarding Spearman's Rho, I obtained a score of 0.922 with a positive correlation, besides a degree of statistical significance of the test of p= 0.0 (being p<0.5), therefore the researcher's hypothesis is accepted. Thus, there is a significant correlation between the management system based on ISO 27001:2013 and information security in the Peruvian Navy. Keywords: information assets, vulnerabilities, risks, management system, controls, information security management system, cybersecurity.