Caso 7 empresa de comercio electrónico (E-Commerce) Compraya online S.A.S

Abstract

CompraYa Online S.A.S. es una empresa colombiana de comercio electrónico que comercializa productos de tecnología, hogar, moda, deportes y accesorios a través de canales exclusivamente digitales, y que administra una base de datos superior a 180.000 clientes registrados. Su operación depende de una infraestructura tecnológica robusta —plataforma web, aplicación móvil, sistemas CRM y ERP, pasarela de pagos e infraestructura en la nube pública—, lo que la convierte en un objetivo relevante frente a amenazas de ciberseguridad. El presente informe técnico analiza la situación de seguridad de la información de la organización a partir de los hallazgos de un diagnóstico inicial realizado por una firma consultora especializada, el cual evidenció debilidades en la clasificación de la información, la gestión de accesos, la respuesta a incidentes y la evaluación de terceros. A partir de este diagnóstico se desarrolla un marco conceptual fundamentado en la tríada de confidencialidad, integridad y disponibilidad, y un marco normativo colombiano e internacional (Ley 1581 de 2012, Ley 1273 de 2009, ISO/IEC 27001:2022 y PCI DSS v4.0). Se identifican y valoran los activos de información más críticos de CompraYa Online y se desarrolla un análisis de riesgos bajo los lineamientos de las normas ISO 31000 e ISO/IEC 27005, mediante el cual se formalizan cinco escenarios de riesgo inherente, tres de ellos clasificados en nivel alto: la indisponibilidad crítica de la plataforma, el compromiso de identidades por phishing y la fuga interna de información por prácticas de shadow IT. A partir de estos resultados se plantean estrategias de tratamiento, políticas y controles de seguridad, así como lineamientos de gestión de incidentes, continuidad del negocio y fortalecimiento de la cultura organizacional en ciberseguridad, orientados a mejorar la postura de seguridad de la organización en un contexto de crecimiento acelerado y expansión regional.