M-SCORE: An Explainable and Quantitative Cybersecurity Maturity Scoring Model for SMEs

Abstract

Small and medium-sized enterprises (SMEs) face persistent cybersecurity exposure while often lacking the resources, expertise, and governance structures required to adopt comprehensive assessment frameworks. Existing cybersecurity maturity models provide useful guidance, yet they frequently remain fragmented across domains, weakly operationalized for SME realities, and insufficiently explicit in how maturity scores are computed and prioritized. This paper proposes M-SCORE, a quantitative and multi-dimensional cybersecurity maturity evaluation model specifically designed for SMEs. The model integrates core cybersecurity dimensions—governance, protection of data and assets, continuity and resilience, third-party risk, awareness, and detection and response, with optional coverage of AI governance—into a structured scoring approach based on measurable indicators, verifiable evidence, weighted sub-dimensions, and auditable implementation levels. To improve practical applicability without compromising reproducibility, M-SCORE adopts a hybrid architecture in which deterministic rule-based scoring is complemented by agent-assisted semantic support for evidence interpretation, document classification, and recommendation generation. In this design, AI agents do not determine the score; instead, they enhance the efficiency and usability of the assessment workflow while preserving transparency and traceability. The paper follows a Design Science Research approach and formalizes the model, its scoring logic, and its conceptual automation architecture. A preliminary application scenario is also outlined to illustrate how M-SCORE can support maturity profiling, gap identification, and roadmap prioritization in resource-constrained SME environments.Las pequeñas y medianas empresas (PyMEs) enfrentan una exposición persistente a riesgos de ciberseguridad, al tiempo que frecuentemente carecen de los recursos, la experiencia y las estructuras de gobernanza necesarias para adoptar marcos de evaluación integrales. Los modelos de madurez en ciberseguridad existentes ofrecen orientación útil, aunque suelen presentar fragmentación entre dominios, una operacionalización débil para la realidad de las PyMEs y escasa transparencia respecto de cómo se calculan y priorizan los puntajes de madurez. Este artículo propone M-SCORE, un modelo de evaluación de madurez en ciberseguridad cuantitativo y multidimensional, diseñado específicamente para PyMEs. El modelo integra dimensiones esenciales de ciberseguridad —gobernanza, protección de datos y activos, continuidad y resiliencia, riesgo de terceros, concientización, y detección y respuesta, con cobertura opcional de gobernanza de inteligencia artificial— en un enfoque de scoring estructurado basado en indicadores medibles, evidencia verificable, sub-dimensiones ponderadas y niveles de implementación auditables. Para mejorar la aplicabilidad práctica sin comprometer la reproducibilidad, M-SCORE adopta una arquitectura híbrida en la que el scoring determinista basado en reglas se complementa con soporte semántico asistido por agentes para la interpretación de evidencia, la clasificación documental y la generación de recomendaciones. En este diseño, los agentes de inteligencia artificial no determinan el puntaje; en cambio, mejoran la eficiencia y la usabilidad del flujo de evaluación, preservando la transparencia y la trazabilidad. El artículo sigue un enfoque de Design Science Research y formaliza el modelo, su lógica de scoring y su arquitectura conceptual de automatización. Se presenta también un escenario de aplicación preliminar para ilustrar cómo M-SCORE puede apoyar la elaboración de perfiles de madurez, la identificación de brechas y la priorización de hojas de ruta en entornos PyME con recursos limitados.