TARAMCyber: metodología escalable de evaluación, tratamiento y seguimiento del riesgo cibernético

Abstract

Cybersecurity risk management has become an essential component for the protection and resilience of information assets in organizations, regardless of their size or sector. However, the phases of assessment, treatment, monitoring, and review face significant challenges, arising from the lack of comprehensive methodologies, the technical complexity of the processes, and the need for specialized personnel with expertise in regulatory frameworks compatible with different levels of organizational maturity, from small to large enterprises. In this context, this doctoral thesis innovatively proposes the design and validation of an integrated methodological framework comprising: 1) a cybersecurity risk assessment model with a scalable approach adaptable to different levels of organizational maturity (basic, qualitative, and quantitative); 2) a taxonomy of cybersecurity countermeasures, structured to facilitate the selection and implementation of mitigation measures according to each organizations technical and operational capacity, classified into desirable, required, and mandatory levels; and 3) a cybersecurity risk audit guide aimed at conducting systematic, consistent, and replicable evaluations through the definition of activities and templates for documentation and reporting. The development of these contributions was supported by systematic literature review (SLR) and systematic mapping review (SMR) techniques, enabling the identification of variables, relationships, countermeasures, and critical aspects that must be addressed in each sub-stage of cybersecurity risk management, based on recognized best practices, standards, and frameworks. The risk assessment model was structured into three maturity levels: a) basic, b) qualitative, and c) quantitative, considering a total of 17 variables, thus providing organizations with a flexible tool adaptable to their experience and available resources. The countermeasure taxonomy, comprising 229 controls distributed across two taxonomic levels, also incorporates maturity levels (mandatory, required, and desirable), facilitating the progressive adoption of security practices aligned with the specific needs of each environment. Additionally, the audit guide includes 28 activities designed to standardize review and follow-up processes, ensuring the sustained effectiveness of implemented countermeasures. To ensure validity and applicability, the proposals were subjected to an experimental validation process through expert evaluation in cybersecurity and application in case studies. The results demonstrate broad acceptance of the assessment model among specialists, who highlighted its clarity, scalability, and applicability across diverse organizational contexts; substantial improvements in the identification, prioritization, and implementation of countermeasures through the use of the taxonomy, surpassing limitations of traditional approaches; and a significant reduction in the execution time of self-assessments when using the audit guide, contributing to more efficient and timely risk management. These contributions not only provide practical value but also strengthen academic knowledge in the field by coherently integrating maturity-based approaches to risk assessment, taxonomy application, and audit processes under a comprehensive cybersecurity perspective. In summary, this doctoral thesis establishes a foundation that enables any organization, regardless of its size, sector, or level of cybersecurity maturity, to: 1) accurately assess its exposure to cybersecurity risks, 2) implement effective countermeasures without relying on external expert consultancy, and 3) efficiently validate and audit the proper implementation of such countermeasures. RESUMEN La gestión de riesgos en ciberseguridad se ha consolidado como un componente esencial para la protección y resiliencia de los activos de información en las organizaciones, independientemente de su tamaño o sector. No obstante, las fases de evaluación, tratamiento, monitoreo y revisión enfrentan retos significativos, derivados de la ausencia de metodologías integrales, la complejidad técnica de los procesos y la necesidad de personal especializado con dominio de marcos normativos compatibles con distintos niveles de madurez organizacional, desde pequeñas hasta grandes empresas. En este contexto, la presente tesis doctoral propone de manera innovadora el diseño y validación de un marco metodológico integral que comprende: 1) un modelo de evaluación de riesgos en ciberseguridad con enfoque escalable y adaptable a distintos niveles de madurez organizacional (básico, cualitativo y cuantitativo); 2) una taxonomía de contramedidas de ciberseguridad, estructurada para facilitar la selección e implementación de medidas de mitigación conforme a la capacidad técnica y operativa de cada organización, clasificadas en niveles deseable, requerido y obligatorio; y 3) una guía de auditoría de riesgos en ciberseguridad, orientada a la realización de evaluaciones sistemáticas, consistentes y replicables mediante la definición de actividades y plantillas para la documentación y generación de informes. Para el desarrollo de estas contribuciones se emplearon técnicas de revisión sistemática de literatura (SLR) y revisión de mapeo sistemático (SMR), lo que permitió identificar variables, relaciones, contramedidas y aspectos críticos que deben considerarse en cada subetapa de la gestión de riesgos en ciberseguridad, con base en buenas prácticas, estándares y marcos de referencia reconocidos. El modelo de evaluación de riesgos se estructuró en tres niveles de madurez: a) básico, b) cualitativo y c) cuantitativo, considerando un total de 17 variables, lo que proporciona a las organizaciones una herramienta flexible y adaptable a su experiencia y recursos. Por su parte, la taxonomía de contramedidas integra 229 controles distribuidos en dos niveles taxonómicos y clasificados en niveles de madurez (obligatorio, requerido y deseable), facilitando una adopción progresiva alineada con las necesidades específicas de cada entorno. Complementariamente, la guía de auditoría contempla 28 actividades orientadas a estandarizar los procesos de revisión y seguimiento, asegurando la efectividad sostenida de las contramedidas implementadas. Para garantizar su validez y aplicabilidad, las propuestas fueron sometidas a un proceso de validación experimental mediante evaluación por expertos en ciberseguridad y su aplicación en casos de estudio. Los resultados evidencian la amplia aceptación del modelo de evaluación por parte de los especialistas, quienes destacaron su claridad, escalabilidad y aplicabilidad en diversos contextos organizacionales; mejoras sustanciales en la identificación, priorización y aplicación de contramedidas mediante el uso de la taxonomía, superando limitaciones de enfoques tradicionales; y una reducción significativa en los tiempos de ejecución de autoevaluaciones con el uso de la guía de auditoría, contribuyendo a una gestión más eficiente y oportuna de los riesgos. Estas contribuciones no solo aportan valor práctico, sino que también fortalecen el conocimiento académico en la materia al integrar de forma coherente enfoques de madurez en evaluación de riesgos, aplicación de taxonomías y procesos de auditoría bajo una visión integral de la ciberseguridad. En síntesis, esta tesis doctoral establece una base que permite a cualquier organización, independientemente de su tamaño, sector o nivel de madurez en ciberseguridad: 1) evaluar con precisión su exposición a los riesgos, 2) implementar contramedidas efectivas sin depender de asesoría externa especializada, y 3) validar y auditar de manera eficiente la correcta aplicación de dichas contramedidas.