MSPI — Modelo de Seguridad y Privacidad de la Información

El Modelo de Seguridad y Privacidad de la Información es el instrumento con que MinTIC desarrolla el habilitador de seguridad de la Política de Gobierno Digital: el conjunto de lineamientos, ciclos y controles con que una entidad pública preserva la confidencialidad, la integridad, la disponibilidad y la privacidad de su información. Es la referencia que los pliegos públicos citan cuando exigen que un sistema «cumpla el MSPI».

Su historia normativa reciente importa porque casi todo el mundo la cita mal. El modelo vive como Anexo 1 de la Resolución 500 de 2021 de MinTIC, y la Resolución 2277 de 2025 actualizó ese anexo — no sustituyó la resolución— para alinearlo con la norma ISO/IEC 27001 en su versión 2022, que reemplazó a la de 2013 sobre la que estaba construida la versión anterior. La misma resolución derogó además una lista de guías y documentos técnicos anteriores que muchas referencias siguen citando como vigentes. La cita correcta hoy es: Resolución 500 de 2021, con su Anexo 1 actualizado por la Resolución 2277 de 2025.

En la práctica, para quien estructura o responde un pliego, el MSPI se traduce en exigencias verificables sobre el sistema y sobre su operación: gestión de riesgos de seguridad documentada, controles de acceso y trazabilidad de las actuaciones, gestión de incidentes de seguridad con registro, protección de datos personales en línea con el régimen legal, y evidencia de todo ello — porque el modelo se audita, y un control sin evidencia es un control que no existe.

El error frecuente es doble. Citar los documentos derogados —una guía de 2016 que la Resolución 2277 retiró— como requisito contractual. Y exigir «cumplimiento del MSPI» al software a secas, cuando el modelo obliga a la entidad: el sistema aporta los controles técnicos —acceso, cifrado, registro de auditoría—, pero la gestión de riesgos, los roles y los procedimientos son de la organización, y el pliego debe separar qué exige de quién.

En una plataforma de procesos, los controles que el MSPI pide del lado técnico son propiedades de la plataforma —perfiles con negación por defecto, registro inalterable de eventos por caso, cifrado del dato de negocio— y los del lado organizacional se vuelven procesos gobernados: la gestión de incidentes de seguridad, con su registro y su evidencia, es un proceso más del motor. La página de seguridad de este sitio detalla esa postura.