Seguridad y Privacidad de la Información en el MSPI ¿Qué es el MSPI y cómo se relaciona con la Arquitectura Empresarial?
El Modelo de Seguridad y Privacidad de la Información (MSPI) es uno de los modelos que hacen parte del Marco de Referencia de Arquitectura Empresarial (MRAE) definido por el Ministerio TIC.
Su propósito es orientar a las entidades públicas en la gestión integral de la seguridad y la privacidad de la información, asegurando que los activos de información y los servicios digitales estén protegidos frente a riesgos, y que la seguridad sea una práctica sostenible en el tiempo.
El MSPI no se limita a controles tecnológicos. Integra decisiones, roles, procesos, controles, gestión de incidentes, continuidad y formación, aplicando una lógica de mejora continua basada en el ciclo Planear–Hacer–Verificar–Actuar (PHVA).
- Proteger la información y los servicios digitales, garantizando confidencialidad, integridad y disponibilidad.
- Gestionar riesgos de seguridad y privacidad de forma priorizada.
- Definir responsabilidades claras en la toma de decisiones y la ejecución de controles.
- Mejorar la respuesta ante incidentes y reducir impactos operativos.
- Asegurar la continuidad de los servicios críticos.
- Fortalecer la confianza de ciudadanos y usuarios en los servicios digitales.
MSPI Componentes clave del MSPI
Un MSPI práctico y usable cubre, como mínimo, los siguientes componentes, de forma proporcional al riesgo y al contexto de la entidad:
Gobernanza
Roles, políticas, responsabilidades e instancias de decisión en seguridad y privacidad.
Gestión de riesgos
Identificación, análisis, tratamiento y seguimiento de riesgos sobre los activos de información.
Controles de seguridad
Controles técnicos, administrativos y físicos, definidos según la criticidad de los riesgos.
Gestión de incidentes
Detección, respuesta, registro, análisis y mejora a partir de los incidentes de seguridad.
Continuidad
Respaldo, recuperación y resiliencia de los servicios y la información.
Gestión de proveedores
Requisitos de seguridad y privacidad en contratos, y seguimiento a su cumplimiento.
Privacidad de la información
Tratamiento adecuado de datos personales y aplicación de controles asociados.
PHVA
Gestión basada en evidencia, control y mejora continua.
Planear
DefiniciónDefinir políticas, alcance, roles, inventario de activos, riesgos y un plan de trabajo priorizado.
Hacer
ImplementaciónImplementar controles, mejorar procesos, capacitar al personal e integrar requisitos de seguridad en proyectos y operación.
Verificar
MediciónMonitorear, medir indicadores, revisar cumplimiento, realizar pruebas y auditorías.
Actuar
MejoraCorregir desviaciones, mejorar controles, actualizar riesgos y repetir el ciclo.
Inventario de activos de información, con responsables definidos.
Registro de riesgos de seguridad y privacidad, con un plan de tratamiento.
Políticas y procedimientos básicos, por ejemplo: control de accesos, copias de seguridad, clasificación de la información y gestión de incidentes.
Controles implementados, con evidencias de verificación (registros, pruebas, actas).
Plan de respuesta a incidentes, con roles y canales de reporte.
Plan básico de continuidad, incluyendo respaldos y pruebas de restauración.
Registro de capacitación y sensibilización en seguridad de la información.
Plan de mejora continua, basado en el ciclo PHVA.
Definir un alcance inicial (un servicio o proceso crítico).
AlcanceNombrar roles mínimos de seguridad y responsables de activos.
GobiernoConstruir el inventario de activos e identificar información sensible.
VisibilidadElaborar un registro de riesgos priorizado.
PriorizarImplementar controles básicos de alto impacto.
ControlesDefinir y probar la respuesta a incidentes.
IncidentesMedir, revisar y mejorar de forma periódica (PHVA).
PHVA
Arquitectura Transformación del Proceso
FAQS Preguntas frecuentes
¿El MSPI es solo para áreas de TI?
¿Qué es lo mínimo para comenzar?
¿Cómo evitar que la seguridad frene la operación?
Priorizando riesgos y aplicando controles proporcionales, con seguimiento y mejora iterativa.