CISO (director de seguridad de la información)

El perímetro del puesto es el riesgo, no la tecnología. Un CISO aprueba las políticas, mantiene el inventario de riesgos, decide qué se arregla primero y qué se acepta con una firma detrás, pide el presupuesto y responde cuando algo sale mal. Donde está bien montado, el trabajo se parece más a priorizar con información incompleta que a configurar nada, y es lo que sostiene un sistema de gestión de la seguridad de la información cuando existe.

Lo que no es: el CISO no opera el SOC, no ejecuta los test de intrusión ni administra el cortafuegos. En una organización pequeña puede que la misma persona haga todo eso, y eso es una realidad de plantilla, no la definición del puesto. Cuando se confunden las dos cosas aparece el problema típico: alguien contratado para decidir acaba absorbido por la operación, y las decisiones se siguen tomando por omisión.

Hay una incompatibilidad que conviene conocer antes de repartir papeles. El delegado de protección de datos tiene que ser independiente de quien decide cómo se tratan los datos personales, así que en la mayoría de las estructuras no puede ser el CISO. Nombrar al responsable de seguridad delegado de protección de datos porque es el experto que se tiene más a mano es un arreglo frecuente y defectuoso.

Los tres nombres describen el mismo arreglo: un profesional de fuera que ejerce parte del puesto una fracción de la jornada, normalmente en organizaciones que necesitan la función pero no pueden justificar ni cubrir una contratación a tiempo completo. Es una figura real y, en muchos casos, razonable.

Lo que cubre bien es el trabajo que todavía no existe: escribir la política que falta, montar el inventario de riesgos por primera vez, preparar una certificación ISO 27001 o una adecuación al ENS, y ser el interlocutor técnico cuando llega el cuestionario de un cliente o de una aseguradora.

Lo que no cubre, y es lo que decide si el arreglo funciona, son la autoridad y la responsabilidad. El trabajo se puede contratar; quien responde, no. NIS2 hace responsable al órgano de dirección de aprobar y supervisar las medidas de gestión de riesgos, y esa responsabilidad no se subcontrata junto con el servicio. Un CISO externo sin acceso a las personas que deciden presupuesto y prioridades produce documentos, no seguridad.

El segundo fallo es de dimensionamiento. Unas horas al mes bastan para mantener vivo un sistema de gestión y no bastan para construirlo, y confundir las dos cosas es la forma habitual de que una certificación llegue tarde.

Las señales no son de tamaño, son de decisión. Hay decisiones de seguridad que se están tomando por defecto porque nadie las tiene asignadas. Hay una obligación que exige un responsable con nombre. Un cliente, un auditor o una aseguradora pregunta quién responde y no hay una respuesta corta. O hay más trabajo de seguridad del que el responsable de sistemas puede priorizar además del suyo.

Lo que no es una señal es la compra de una herramienta. Si el problema de fondo es que nadie responde de esto, la respuesta es un nombre y no un producto.

Esta ficha existe porque la búsqueda existe, no porque nosotros vendamos la figura: Asperis no ofrece CISO externo ni CISO as a service, y esta página no es una forma indirecta de ofrecerlo. Si has llegado buscando ese servicio, aquí no está.

Lo que sí hacemos es la mitad técnica de la que un CISO, interno o externo, tiene que tirar para decidir: convertir un riesgo supuesto en un riesgo medido y escribir el resultado de manera que se pueda priorizar con él, con el alcance, el impacto y el orden encima de la mesa. Junto a la gestión de vulnerabilidades que la organización ya lleve, es la evidencia técnica con la que un sistema de gestión demuestra que sus controles funcionan.