Qué hace un CISO y por qué no es lo mismo que el soporte TI
El soporte TI mantiene los sistemas funcionando: computadores, red, correo, respaldos. El CISO (Chief Information Security Officer) decide qué proteger, de qué y en qué orden, y rinde cuentas de ello. Son roles distintos, y cuando se mezclan la seguridad termina siendo lo que sobra del tiempo del área de sistemas.
Las tareas típicas de un CISO son:
- Mantener el análisis de riesgos y el plan de tratamiento.
- Definir políticas y verificar que se cumplan.
- Gestionar el cumplimiento normativo: ISO 27001, Ley 21.719 de protección de datos, Ley Marco de Ciberseguridad, exigencias de clientes.
- Evaluar proveedores y contratos.
- Dirigir la respuesta a incidentes y los reportes a la autoridad.
- Informar a la gerencia y al directorio con indicadores entendibles.
Qué es un CISO virtual
Es el mismo rol, entregado como servicio por un especialista o un equipo externo, con una dedicación acordada (horas al mes) y entregables definidos. En Chile se usa también el nombre vCISO o "CISO como servicio".
Lo que normalmente entrega mes a mes:
- Plan Director de Seguridad. Un mapa de 12 a 24 meses con las iniciativas ordenadas por riesgo y costo. Es el documento que alinea a gerencia, TI y presupuesto.
- Gestión de riesgos y controles. Inventario de activos, riesgos evaluados, controles asignados y evidencias, en una herramienta donde todo quede trazado.
- Cumplimiento. Seguimiento de las obligaciones legales y contractuales, con responsables y fechas.
- Indicadores para la dirección. Un tablero breve: incidentes, vulnerabilidades abiertas, avance del plan, cumplimiento.
- Acompañamiento en incidentes y auditorías. Alguien que sabe qué hacer el día que pasa algo, y que responde a los auditores de los clientes.
Cuándo conviene contratarlo
La señal más clara es esta: alguien externo (un cliente, una certificadora, un regulador) te pide evidencia de cómo gestionas la seguridad, y nadie en la empresa puede entregarla sin improvisar.
Otras situaciones frecuentes:
- La empresa tiene entre 20 y 300 personas: suficiente exposición para necesitar gestión, pero no para justificar un ejecutivo de seguridad a tiempo completo.
- Está implementando o manteniendo ISO 27001 y necesita un responsable del sistema.
- Es proveedor de bancos, mineras, retail o del Estado, y recibe cuestionarios de seguridad cada vez más exigentes.
- Tuvo un incidente (phishing, ransomware, fuga de datos) y quiere que no se repita.
- Debe cumplir la Ley 21.719 antes de diciembre de 2026 y no tiene a quién asignarlo.
Cuándo no es la solución
Si no hay soporte TI básico (respaldos, antivirus, actualizaciones), primero hay que resolver eso; el CISO virtual puede definirlo, pero alguien tiene que ejecutarlo. Y si la empresa supera cierto tamaño o está regulada como operador de importancia vital, probablemente necesita un CISO interno, con el vCISO como apoyo especializado o como transición mientras lo contrata.
Cómo lo hace CisoServiceChile
El servicio de CISO Virtual parte con un diagnóstico y un Plan Director de Seguridad, y se opera sobre la Aplicación GRC INF4TECH, donde quedan riesgos, controles, políticas y evidencias. Cuando la empresa necesita además manos técnicas de forma permanente, se complementa con especialistas inhouse.