El MMCC-IES es el primer modelo integrado diseñado para evaluar, diagnosticar y mejorar las capacidades de ciberseguridad en instituciones de educación superior colombianas, articulando gobernanza, talento humano, gestión de riesgos, capacidades técnicas y seguridad de inteligencia artificial con 83 indicadores verificables en 5 niveles progresivos.
El MMCC-IES no es una adaptación de marcos internacionales: es una construcción original que integra los hallazgos de un diagnóstico multifuente con 129 actores del ecosistema de ciberseguridad en IES colombianas, articulados con los referentes normativos más actualizados: NIST CSF 2.0, ISO 42001:2023, NICE Framework y ECSF/ENISA.
Permite a cualquier IES colombiana diagnosticar su nivel actual de madurez, identificar brechas específicas por dimensión frente a estándares internacionales y obtener una ruta de mejora concreta con horizontes de corto, mediano y largo plazo — sin necesidad de consultor externo.
5 dimensiones de capacidad evaluadas en 5 niveles progresivos (Reactivo → Emergente → Estructurado → Gestionado → Resiliente), con la Cultura Organizacional como variable moderadora transversal. 83 indicadores observables y verificables con código único.
Es el único modelo que incorpora la Seguridad de IA como dimensión estructural autónoma con los 4 ejes de la ISO/IEC 42001:2023: transparencia algorítmica (XAI), control de sesgos, gobernanza del ecosistema IA y auditoría integral del AIMS. Primer modelo con validación empírica en contexto colombiano.
La Teoría de Capacidades Dinámicas (Teece et al., 1997) fundamenta el modelo epistemológicamente. Los niveles describen trayectorias de evolución adaptativa: sensing (detección de cambios), seizing (captura de respuestas) y transforming (reconfiguración de capacidades). El Nivel 5 — Resiliente — corresponde a organizaciones con capacidad de transforming ante entornos en cambio permanente.
La UNAD es el caso piloto del modelo. El diagnóstico empírico (n=14, personal TI, 2026) la posiciona entre los Niveles 3 y 4: equipo técnico bien evaluado (85,7% nivel alto/muy alto) con brechas en gobernanza de IA (93% sin lineamientos), formación continua (42,9% solo ocasional) e integración estratégica plena. Esta paradoja técnico-gobernanza es la contribución diagnóstica más original de la investigación.
Haz clic en cualquier celda o en el nombre de la dimensión para ir al detalle completo con todos sus indicadores.
| DIMENSIÓN | Reactivo | Emergente | Estructurado | Gestionado | Resiliente |
|---|---|---|---|---|---|
| Gobernanza | Sin política formal. Sin CISO. Sin presupuesto propio. | Política básica aprobada. Responsable TI sin mandato. | CISO formal con KPIs. Comité directivo activo. | Alineación estratégica plena en el PDI. | Gobernanza ética IA. Vigilancia regulatoria activa. |
| Talento Humano | Sin roles formales. Sin plan de formación. | Roles básicos. Formación esporádica. | Equipos NICE/ECSF. Articulación académica. | Certificaciones medidas. Brechas K-S-A evaluadas. | Especialistas IA. Red Team sistemático. |
| Gestión de Riesgos | Sin inventario. Sin evaluaciones formales. | Inventario básico. Análisis ad hoc. | Metodología formal periódica. Plan de tratamiento. | Riesgos en decisiones TI. Tiempos REDSIIUNAD. | Threat intelligence. Modelos predictivos de amenazas. |
| Cap. Técnicas | Controles básicos aislados. Sin IR plan. | Firewall, AV, backups básicos. | SIEM operativo. MFA. IR probado. | SOC 24/7. Zero Trust. BCP/DRP verificado. | XDR/MDR con ML. Threat hunting proactivo. |
| Seguridad IA ★ | Sin política IA. Shadow AI libre. Opacidad total. | Política básica. Inventario IA. Transparencia inicial. | AIIA. Control de sesgos. Ecosistema IA controlado. | AIMS auditado. XAI plena. Cadena suministro IA. | ISO 42001 certificado. EU AI Act. Gestión total. |
| Cultura Organizacional de Seguridad — Variable moderadora transversal presente en todos los niveles como condición de sostenibilidad | |||||
La gobernanza es la dimensión con mayor consenso transversal en el diagnóstico empírico: entre el 63,5% y el 92,3% de los actores consultados la identifica como dimensión prioritaria. En las IES colombianas presenta tres desafíos estructurales documentados: fragmentación de responsabilidades entre TI, vicerrectorías y comités de riesgo; ausencia de roles formalizados de CISO; y desalineación presupuestal que convierte la ciberseguridad en gasto contingente. Su fundamento normativo es la función Govern del NIST CSF 2.0 (2024), que la reconoce como el eje estructural que condiciona todas las demás funciones de ciberseguridad.
El talento humano es la dimensión con la brecha más contundente: el 98,1% de los expertos señala insuficiencia de talento especializado y el 63,2% evalúa la formación actual como limitada o deficiente. Su construcción integra la triada Conocimientos–Habilidades–Capacidades (K-S-A) del NICE Framework, el ECSF/ENISA y los perfiles reales de la REDSIIUNAD (2025). El perfil más demandado —con cuádruple convergencia transversal en cuatro instrumentos— es el especialista en IA y ciberseguridad (84,6%–92,9% según grupo consultado). El indicador diferenciador del modelo es I3.T.1: la estructura dual analítico-estratégico/operativo, ningún modelo previo la especifica para IES.
La gestión de riesgos es la dimensión con mayor respaldo cuantitativo en el Instrumento 1 del OE2 (65,4% de expertos). Su progresión sigue el ciclo Plan-Do-Check-Act de la ISO 27001:2022 y la función Identify del NIST CSF 2.0. El indicador diferenciador de la transición Nivel 3→4 son los tiempos de validación operativa reales tomados directamente de la REDSIIUNAD (2025): 7 días para servidores, 10 días para aplicaciones, 3 días para integraciones. El Nivel 5 incorpora la gestión predictiva mediante threat intelligence trimestral.
Las capacidades técnicas se mapean sobre las funciones Protect, Detect, Respond y Recover del NIST CSF 2.0 (2024), complementadas por los CIS Controls v8. El diagnóstico de la UNAD revela la paradoja más significativa: equipo técnico bien evaluado (85,7% nivel alto/muy alto) pero preparación solo moderada para incidentes complejos (78,6%), por ausencia de gobernanza consolidada. Esta paradoja define la distinción Nivel 3 → Nivel 4: la integración estratégica, no la sofisticación técnica, marca la diferencia. La progresión N4→N5 requiere pasar del SOC al XDR/MDR con ML y al Zero Trust pleno.
La Seguridad de IA es la dimensión que diferencia al MMCC-IES de todos los modelos de referencia existentes. Ningún modelo previo la incorpora como dimensión autónoma con indicadores por nivel. La justificación empírica es la más contundente: el 100% de docentes la identifica como área curricular más urgente y el 100% del personal TI de la UNAD evalúa negativamente la preparación ante amenazas de IA. Integra los cuatro ejes de la ISO/IEC 42001:2023 — primer estándar internacional de Sistemas de Gestión de IA (AIMS).
La ISO/IEC 42001:2023 es el primer estándar internacional de AIMS. Su Anexo A contiene controles específicos operacionalizados en el modelo por nivel de madurez:
Referente: Anexo A.7 + A.8.4. Los algoritmos que apoyan decisiones de calificación, admisión o evaluación docente deben ser documentados y explicables. Presente desde el Nivel 2 (descripción básica A.8.2) y completo en el Nivel 4 con XAI verificable para todos los sistemas de alto riesgo.
Referente: Anexo A.6.2 + A.8.5. Evaluación de sesgos con métricas de equidad por grupos protegidos: género, etnia, condición socioeconómica. Incorporado en el Nivel 3. Crítico para IES colombianas donde los algoritmos de calificación pueden reproducir desigualdades estructurales.
Referente: Anexo A.9 + A.9.2. Contratos con proveedores IA con cláusulas de auditoría (N3), inventario de cadena de suministro IA (N4) y control total del ecosistema auditado anualmente (N5). Crítico para IES que usan LMS externos, APIs de IA generativa y modelos preentrenados de terceros.
Referente: ISO 42001 Cláusula 9.2 + Cláusula 10. Auditoría interna anual del AIMS (N4), certificación formal con Statement of Applicability (N5) y ciclos de mejora continua semestrales con revisión de dirección. El N5 incorpora vigilancia sobre criptografía post-cuántica (NIST FIPS 203/204/205).
Las rutas describen la transición entre cada par de niveles con acciones prioritarias, horizonte temporal y criterio verificable. Son escalables: aplican a cualquier IES colombiana independientemente de tamaño o modelo de operación.
Acciones para IES sin ninguna estructura formal de ciberseguridad que buscan establecer los primeros cimientos de gobernanza, protección básica y control inicial de IA.
Acciones para IES con políticas básicas que buscan formalizar roles, implementar herramientas de monitoreo y establecer gestión formal de riesgos y del ecosistema IA.
Acciones para IES estructuradas (como la UNAD) que buscan integrar la ciberseguridad en la planeación estratégica y alcanzar gestión cuantitativa del AIMS.
Acciones para IES con gobernanza consolidada que buscan resiliencia adaptativa con gestión total de IA, Zero Trust pleno y preparación ante amenazas del horizonte 2027–2029.
Esta investigación doctoral se sustenta en un proceso colaborativo con participación de expertos, actores institucionales, docentes, estudiantes y representantes del sector público. Sus aportes hicieron posible la validación conceptual e instrumental del modelo y el diagnóstico de capacidades de ciberseguridad en las IES colombianas.
Instituciones
Universidad Americana de Europa — UNADE
Universidad Nacional Abierta y a Distancia — UNAD
Doctorado en Informática
Doctorando
Luis Fernando Zambrano Hernández
Candidato a Doctor en Informática
Directora de Tesis
Dra. Rosa Gabriela Camero
Directora del Doctorado en Informática
De acuerdo con el documento base de la investigación, la validación de contenido de los instrumentos contó con la participación de expertos que valoraron pertinencia, relevancia y claridad de los ítems mediante el coeficiente V de Aiken. Este panel respaldó la consistencia metodológica del proceso de construcción y ajuste de los instrumentos empleados en el diagnóstico empírico.
Juez experto de validación de contenido
Juez experto de validación de contenido
Jueza experta de validación de contenido
Juez experto de validación de contenido
Juez experto de validación de contenido
Juez experto de validación de contenido
Juez experto de validación de contenido
El diagnóstico multifuente (n=129) contó con la participación de cinco grupos de actores del ecosistema de ciberseguridad en IES colombianas. A todos ellos, el más sincero agradecimiento por su tiempo, conocimiento y disposición:
Su participación fue fundamental para diagnosticar el estado real de las capacidades de ciberseguridad en las IES colombianas y construir un modelo pertinente, contextualizado y con validez empírica.
El diagnóstico involucró actores de los siguientes sectores y organismos:
El investigador reconoce de manera especial a quienes brindaron orientación, acompañamiento y respaldo académico durante el desarrollo de esta investigación doctoral. Su contribución fortaleció el proceso investigativo y el desarrollo del modelo propuesto.
Su disposición, experiencia y acompañamiento fueron significativos para la consolidación del estudio y la contextualización de sus resultados.