Evaluación de bases de datos en contextos sociales convulsionados: buenas prácticas para el registro de víctimas durante el estallido social en Chile basado en Norma IsO/IEC 27001 y 27002

Abstract

La presente memoria aborda el problema de la seguridad de la información en la gestión de antecedentes sensibles en la Comisión de Víctimas de Violencia Institucional (CVVI), dependiente del Ministerio de Justicia y Derechos Humanos de Chile. El objetivo del trabajo fue proponer una metodología de evaluación y mitigación de riesgos que permita robustecer el resguardo de activos físicos y digitales involucrados en el registro y manejo de información sensible. Para ello, se realizó un levantamiento del entorno de trabajo, identificando activos, vulnerabilidades y prácticas operativas asociadas a la gestión documental y al tratamiento de datos. Posteriormente, se aplicó un análisis de riesgos basado en una matriz de probabilidad e impacto, priorizando aquellos de severidad extrema. Sobre esta base, se propusieron controles de mitigación alineados con ISO/IEC 27002:2022, justificando su pertinencia según el contexto institucional. Como resultado principal, se obtuvo una propuesta de mitigación de riesgos extremos técnicamente fundamentada y trazable, junto con una priorización de controles donde destacan medidas de trazabilidad, monitoreo, procedimientos documentados, transferencia segura de información, clasificación, respaldo y cifrado. This thesis addresses the problem of information security in the management of sensitive records at the Commission for Victims of Institutional Violence (CVVI), under the Ministry of Justice and Human Rights of Chile. The objective of this work was to propose a risk assessment and mitigation methodology to strengthen the protection of physical and digital assets involved in the registration and handling of sensitive information. To this end, a survey of the work environment was conducted, identifying assets, vulnerabilities, and operational practices associated with document management and data processing. Subsequently, a risk analysis based on a probability and impact matrix was applied, prioritizing those of extreme severity. Based on this analysis, mitigation controls aligned with ISO/IEC 27002:2022 were proposed, justifying their relevance according to the institutional context. The main result was a technically sound and traceable proposal for mitigating extreme risks, along with a prioritization of controls that emphasize traceability measures, monitoring, documented procedures, secure information transfer, classification, backup, and encryption.