Qué hace un CISO externo y cuándo lo necesita una pyme

En tu empresa alguien decide si se aplica una actualización, alguien responde el cuestionario de seguridad que ha enviado un cliente y alguien tendría que decidir qué se apaga primero si mañana aparece un ransomware. Si esas tres personas son distintas, o peor, si no está claro quiénes son, tienes un problema de dirección de seguridad. Un CISO externo es la figura que ocupa ese sitio: el responsable de seguridad de la empresa, con dedicación proporcional al tamaño de una pyme.

Qué hace exactamente un CISO externo

Un CISO externo dirige la seguridad, no la ejecuta con sus propias manos. Su trabajo consiste en decidir qué se hace, en qué orden y con qué presupuesto, y en asegurarse de que lo decidido llega a estar hecho. En una pyme eso se concreta en unas funciones bastante estables:

• Gobierno de la seguridad: mantener una visión completa de los sistemas, los datos, los accesos y los proveedores, y saber en todo momento dónde está el riesgo mayor.
• Priorización: traducir una lista larga de problemas técnicos en tres cosas que hacer este trimestre, con criterio de impacto en el negocio y no de gravedad teórica.
• Relación con dirección: explicar el estado de la seguridad en términos de riesgo, coste y plazos, para que las decisiones de presupuesto se tomen con información y no con miedo.
• Control de proveedores: definir qué se le pide a cada proveedor técnico, revisar lo que entrega y evitar que la empresa dependa del criterio comercial de quien le vende.
• Respuesta a clientes y auditorías: contestar cuestionarios de seguridad, preparar la documentación que piden los contratos y sostener la conversación técnica con el cliente que audita.
• Preparación ante incidentes: dejar por escrito quién decide, a quién se llama y qué se hace en las primeras horas, y comprobar que ese plan funciona antes de necesitarlo.

Qué recibes: los entregables concretos

La duda razonable al contratar dirección en vez de ejecución es qué llega físicamente a tu mesa. Estos son los entregables que definen el servicio:

• Un inventario actualizado de sistemas, servicios cloud, dominios, accesos y proveedores.
• Un análisis de riesgos de ciberseguridad escrito en lenguaje de negocio, con el impacto de cada riesgo sobre la operación.
• Un plan de seguridad con acciones fechadas, responsable asignado y coste estimado.
• Un informe periódico para dirección: qué ha cambiado, qué se ha corregido y qué queda pendiente.
• Un plan de respuesta a incidentes de una página, entendible por alguien que no es técnico.
• Las respuestas a los cuestionarios de seguridad de tus clientes, con la documentación de soporte.

Los primeros noventa días

Un buen servicio de CISO externo sigue una secuencia reconocible. Saber cómo es te permite comprobar si lo que te ofrecen se le parece.

Semanas 1 a 4: descubrimiento

Entrevistas con dirección, con quien lleva los sistemas y con las personas que tocan datos sensibles a diario. Inventario de lo que existe realmente, no de lo que consta en un documento antiguo. Revisión de contratos con proveedores y de las exigencias de seguridad que ya te llegan de clientes.

Semanas 5 a 8: análisis y plan

Análisis de riesgos priorizado por impacto en el negocio y plan de trabajo con las acciones de los siguientes meses. En paralelo se aplican las correcciones evidentes: accesos que sobran, cuentas de personas que ya no están, segundo factor en el correo y en la banca.

Semanas 9 a 12: ejecución y rutina

Arranca lo acordado, se establece la frecuencia de revisión y se deja montado el circuito de incidentes. Al final del trimestre dirección tiene un informe que dice dónde estaba la empresa, dónde está y qué viene después.

Cuándo una pyme llega al punto de necesitarlo

Hay señales bastante claras de que la seguridad ha dejado de caber en el tiempo libre de alguien:

• Un cliente te ha enviado un cuestionario de seguridad y nadie en la empresa sabe responder la mitad de las preguntas.
• Trabajas con clientes grandes que están dentro del ámbito de la directiva NIS2 y te trasladan requisitos por contrato, aunque tu empresa por tamaño no esté directamente sujeta.
• Vendes al sector público o formas parte de la cadena de suministro de un contratista público, con las exigencias del Esquema Nacional de Seguridad (Real Decreto 311/2022) de por medio.
• Tratas datos personales en volumen y necesitas sostener el cumplimiento del RGPD y la LOPDGDD con algo más que buena voluntad.
• Has tenido un susto: un intento de fraude del CEO, un equipo cifrado, una cuenta de correo comprometida.
• Tienes tres proveedores técnicos y ninguno se responsabiliza de la visión de conjunto.

Si reconoces dos o más de estas situaciones, la seguridad de tu empresa ya está consumiendo tiempo de dirección sin que nadie la dirija.

Qué no hace un CISO externo

Conviene ser igual de claro con los límites. Un CISO externo no administra tus servidores ni gestiona el día a día del soporte informático. No sustituye a tu proveedor de sistemas: lo dirige y lo supervisa. Tampoco ejecuta personalmente las pruebas de penetración ni el análisis de vulnerabilidades, aunque decide cuándo hacen falta, define su alcance y se encarga de que los hallazgos terminen corregidos. Y no garantiza que no vayas a sufrir un incidente, porque nadie puede garantizar eso: lo que hace es reducir la probabilidad y acortar mucho el tiempo de reacción.

El siguiente paso

Si tu empresa ha llegado a ese punto en el que las decisiones de seguridad se toman tarde, se toman por el proveedor de turno o directamente no se toman, la pieza que falta es dirección. El servicio de CISO externo aporta esa figura con la dedicación que corresponde a una pyme de 10 a 50 empleados. Si además estás valorando la alternativa de incorporar a alguien en plantilla, la comparación completa de coste, disponibilidad y cobertura está en la guía sobre CISO externo o contratar en plantilla.