En casi todas las empresas en crecimiento llega el momento en que alguien tiene que ponerse al frente de la seguridad. Casi siempre lo provoca algo externo. Un cliente grande envía un cuestionario de seguridad con doscientas preguntas. La due diligence de un inversor pregunta quién es responsable de la seguridad de la información. Un pliego exige el ENS. El consejo pregunta qué pasaría tras un ataque de ransomware y nadie en la sala puede responder con autoridad.
Hasta entonces, la seguridad suele haber recaído en el CTO o en el responsable de IT, encima de todo lo demás. El trabajo se hace, pero las decisiones se toman en los huecos entre otras prioridades y nadie sabe decir con seguridad cuál es el riesgo real de la empresa. Un CISO virtual es una forma de cubrir ese vacío sin crear un nuevo puesto directivo.
Qué es un CISO en una empresa
El CISO (Chief Information Security Officer) es la persona responsable de la seguridad de la información de una organización. Define la estrategia de seguridad, es responsable del análisis de riesgos y de las políticas, decide qué riesgos se tratan y cuáles se aceptan, dirige la respuesta a los incidentes graves e informa a la dirección en términos de negocio. En una empresa grande lidera un equipo. En una pyme o una empresa mediana, el puesto muchas veces no tiene un responsable a tiempo completo.
En la práctica, el CISO es quien convierte una preocupación difusa por la seguridad en decisiones. Qué sistemas guardan la información que más importa. Qué amenazas son realistas para esta empresa y cuáles son ruido. Cuánto riesgo está dispuesta a asumir la dirección y cuánto cuesta reducir el resto. Sin nadie en ese puesto, esas preguntas se responden de forma implícita, según quién configure un firewall o firme un contrato con un proveedor esa semana.
Qué cambia cuando el CISO es virtual
Un vCISO asume esas mismas responsabilidades, pero trabaja con la empresa de forma continuada sin entrar en plantilla. El criterio sénior es el mismo; cambia la forma de aportarlo. El vCISO reparte su tiempo entre varias organizaciones, trabaja sobre la documentación y los sistemas de la propia empresa e interviene cuando una decisión necesita criterio de seguridad sénior. Como ve varias organizaciones, aporta además una idea clara de lo que están haciendo ahora los auditores, los clientes y los atacantes, algo que una persona contratada en exclusiva tarda más en construir.
Lo que no cambia es la responsabilidad. Un vCISO no es un asesor que envía recomendaciones y se va. El sentido del puesto es que haya alguien al frente de tu seguridad que responda ante tu dirección, con decisiones documentadas y asumidas.
El contexto normativo lo hace más urgente. La Directiva NIS2 obliga a los órganos de dirección de las entidades esenciales e importantes a aprobar las medidas de gestión de riesgos de ciberseguridad, supervisar su aplicación y recibir formación, y permite exigirles responsabilidad por los incumplimientos (artículo 20). DORA atribuye la responsabilidad última del riesgo TIC al órgano de dirección de las entidades financieras (artículo 5). En ambos casos, la dirección necesita a alguien que la asesore en seguridad con autoridad real, porque «confiábamos en IT» no es una respuesta que acepte ninguna de las dos normas.
vCISO, CISO a tiempo completo o MSSP: qué cubre cada uno
A menudo se comparan estas tres opciones como si fueran intercambiables. No lo son. Responden a preguntas distintas, y la comparación útil es la de alcance y responsabilidad.
Un CISO a tiempo completo es un empleado que define la estrategia de seguridad y suele dirigir un equipo. Su ventaja es la profundidad: está en todas las conversaciones, conoce el negocio de cerca y está disponible en cualquier momento. Aun así, necesita personas y herramientas por debajo para operar la seguridad en el día a día. Un CISO que llega a una empresa sin equipo de seguridad suele dedicar su primer año a formar ese equipo y elegir herramientas antes de que el programa avance.
Un vCISO asume esa misma estrategia y ese mismo criterio de forma continuada, sin estar en plantilla. El contexto le llega de la relación continuada con la empresa y del acceso a su SGSI, a su registro de riesgos y a sus evidencias, no de estar en cada reunión. Un vCISO decide y asesora; por sí solo, no opera herramientas de monitorización ni de detección. Por eso la calidad de su trabajo depende mucho de la información de la que parte: con un registro de riesgos al día y evidencias reales, decide bien y rápido; con documentos dispersos, se pasa el tiempo reconstruyendo lo básico.
Un proveedor de servicios de seguridad gestionados (MSSP) opera tecnología de seguridad por contrato: monitorización, detección, respuesta y, a veces, escaneo de vulnerabilidades. Informa sobre el servicio que presta. No define la estrategia de seguridad de la empresa, no asume las decisiones de riesgo ni responde al cuestionario de un cliente sobre tu gobierno de la seguridad. Cuando un MSSP alerta de un servidor expuesto, alguien dentro de la empresa tiene que decidir si se desconecta, si se acepta el riesgo o si se corrige en el siguiente sprint.
.png)
En la práctica, muchas empresas los combinan: un vCISO para la dirección y el criterio, y una capa de monitorización operada para la detección y la respuesta. La pregunta de fondo es qué hueco tienes. Si nadie puede tomar decisiones de seguridad con autoridad, el hueco es de criterio. Si las decisiones se toman pero nadie vigila los sistemas, el hueco es de operación. La mayoría de las empresas que preparan su primera certificación tienen los dos huecos a la vez, y por eso la respuesta rara vez es una sola opción.
Qué hace un vCISO en el día a día
El trabajo de un vCISO consiste sobre todo en decisiones y documentos de los que dependen otras personas. Estas son las áreas que más tiempo ocupan.
Cuestionarios de seguridad de clientes y due diligence
Los clientes grandes envían cuestionarios antes de firmar, y muchos los repiten cada año. Van desde hojas de cálculo propias hasta formatos estándar como el SIG de Shared Assessments o el CAIQ de la Cloud Security Alliance, con cientos de preguntas sobre control de accesos, cifrado, respuesta a incidentes, proveedores y continuidad de negocio. Los inversores hacen una due diligence de seguridad antes de una ronda o de una adquisición, y sus preguntas entran más en el gobierno: quién es responsable de la seguridad, cómo se informa del riesgo al consejo y qué incidentes ha habido.
Responder bien exige saber qué controles existen de verdad, dónde están las evidencias y cómo describir con honestidad el riesgo residual. El error más habitual es el optimismo: un comercial o un CTO con prisa contesta «sí» a un control que solo existe en papel, y esa respuesta se convierte en un compromiso contractual. Si el cliente lo audita después, o un incidente deja el hueco a la vista, la empresa tiene un problema comercial además de uno de seguridad.
Un vCISO responde a partir de la documentación del SGSI, de modo que las respuestas son coherentes de un cuestionario a otro y coinciden con lo que encontraría un auditor. Con el tiempo, las respuestas forman una biblioteca reutilizable, y las preguntas que no se pueden contestar bien se convierten en una lista de mejoras con prioridades. El cuestionario deja de ser una urgencia y pasa a alimentar el programa de seguridad.
Decisiones de arquitectura y de herramientas
Una migración a otro proveedor cloud, una nueva funcionalidad que trata datos personales, la elección de un EDR o de un proveedor de identidad: cada una tiene consecuencias de seguridad que cuesta menos abordar antes de decidir que después. Implantar el inicio de sesión único en veinte herramientas SaaS a posteriori, o añadir cifrado a un flujo de datos que ya está en producción, cuesta mucho más que diseñarlo desde el principio.
Un vCISO revisa el diseño, señala los riesgos y deja la decisión registrada. La revisión suele ser breve y práctica: dónde estarán los datos y quién podrá acceder a ellos, cómo se concederán y retirarán los accesos, qué registros de actividad habrá, qué pasa si el proveedor falla y si el cambio afecta al alcance de una certificación existente. A veces la respuesta es seguir adelante tal como estaba previsto; otras, un cambio pequeño, como exigir MFA o separar un entorno de producción, elimina la mayor parte del riesgo.
Registrar la decisión importa tanto como tomarla. Los auditores de ISO 27001 y los clientes grandes preguntan a menudo por qué un sistema se construyó de una determinada manera. Un registro breve de la decisión, con el riesgo valorado y el motivo de la elección, responde a esa pregunta un año después, cuando quienes participaron ya no lo recuerdan o ya no están en la empresa.
Auditorías y apoyo a la certificación
En ISO 27001 o en el ENS, el vCISO prepara a la organización para las auditorías internas y externas, dirige la revisión por la dirección y se asegura de que las decisiones de aceptación de riesgos las toman las personas adecuadas y quedan documentadas. ISO 27001 espera que la alta dirección demuestre liderazgo sobre el SGSI (cláusula 5.1), que los propietarios de los riesgos aprueben el plan de tratamiento y acepten el riesgo residual (cláusula 6.1.3) y que la dirección revise el sistema a intervalos planificados (cláusula 9.3). Son justo los requisitos que fallan cuando nadie con autoridad es responsable de la seguridad.
Antes de una auditoría, el vCISO comprueba que las evidencias muestran controles que funcionan a lo largo del tiempo, y no que aparecen la semana anterior; realiza o encarga la auditoría interna, y se asegura de que las no conformidades anteriores se han cerrado con una causa raíz real y no con un arreglo cosmético. Durante la auditoría, es la persona que puede explicar por qué un control se diseñó de cierta manera o por qué se aceptó un riesgo.
El certificado lo emite una entidad de certificación acreditada tras su propia auditoría; el papel del vCISO es asegurar que el sistema de gestión que hay detrás es real. En qué evalúa realmente una auditoría de certificación explicamos en qué se fija el auditor.
El responsable de la seguridad en el ENS
El ENS exige diferenciar responsabilidades. Según el artículo 11 del Real Decreto 311/2022, el responsable de la seguridad debe ser una persona distinta del responsable del sistema. El ENS define varios roles: el responsable de la información, el responsable del servicio, el responsable de la seguridad y el responsable del sistema. El responsable de la seguridad determina los requisitos de seguridad y supervisa su cumplimiento; el responsable del sistema opera los sistemas que los cumplen. La separación existe para que quien comprueba la seguridad no evalúe su propio trabajo.
En una pyme esto es difícil de cubrir con personal propio, porque quienes conocen los sistemas suelen ser los mismos que los operan. Nombrar al responsable de IT como responsable de la seguridad y del sistema a la vez es un hallazgo habitual en las auditorías del ENS, y nombrar a alguien sin conocimientos reales de seguridad solo para completar el organigrama tampoco supera las entrevistas del auditor.
Un vCISO puede asumir el papel de responsable de la seguridad y mantener esa separación de forma real. En la práctica, eso supone aprobar la política de seguridad y sus actualizaciones, revisar la categorización del sistema y la Declaración de Aplicabilidad, supervisar la gestión de incidentes e informar a la dirección de la organización. La guía CCN-STIC 801 describe estas responsabilidades en detalle. Si no tienes claro si el ENS aplica a tu empresa, empieza por qué nivel y qué tipo de conformidad necesitas.
Informes a la dirección
Los órganos de dirección sujetos a NIS2 y a DORA tienen que entender el riesgo que aprueban. Un vCISO traduce los hallazgos técnicos a términos de negocio: qué podría parar la operación, qué vería un cliente, qué riesgos se aceptan y por qué. Una lista de doscientas vulnerabilidades no le dice nada a un consejo; tres riesgos que podrían parar la facturación una semana, con lo que cuesta reducir cada uno, son algo sobre lo que la dirección puede decidir.
Un buen informe es periódico y comparable de un periodo a otro. Muestra el estado de los riesgos principales, el avance del plan de tratamiento, los incidentes y casi incidentes, los resultados de auditorías y pruebas, y las decisiones que la dirección tiene que tomar. También deja constancia de esas decisiones, para que cuando la dirección acepta un riesgo, la aceptación sea explícita y tenga fecha.
Esos informes son también evidencia: demuestran ante un auditor o un regulador que el gobierno de la seguridad existe más allá de las políticas. Con NIS2, que permite exigir responsabilidad a la dirección, un registro documentado de lo que se le informó y de lo que decidió protege a las personas de la sala tanto como a la empresa.
Señales de que tu empresa necesita un vCISO
La necesidad rara vez se presenta de forma directa. Estas son las situaciones en las que suele hacerse visible:
- Los cuestionarios de seguridad se acumulan en la mesa del CTO. Las respuestas tardan semanas, cambian de un cliente a otro y dependen de la memoria de una persona.
- Un contrato o un pliego exige una certificación. ISO 27001, el ENS o SOC 2 se han convertido en un requisito comercial y nadie es responsable del programa.
- Un proyecto de certificación se ha parado. Los documentos existen, pero nadie tiene autoridad para decidir y avanzar. Tratamos este caso en cómo reactivar un proyecto ISO 27001 parado.
- El consejo o los inversores preguntan por la seguridad. La respuesta tiene que darla alguien capaz de hablar de riesgo, no solo de herramientas.
- El ENS exige una separación de funciones que no puedes cubrir. Quienes conocen los sistemas son los mismos que los operan.
- Cada incidente se gestiona desde cero. No hay un proceso acordado, ni un responsable, ni registro de lo que se decidió.
Ninguna de estas señales por sí sola demuestra que necesites un vCISO. Cuando coinciden dos o tres, normalmente significa que las decisiones de seguridad se toman por omisión y no por alguien que responda de ellas.
El coste de dejarlo así suele aparecer en el peor momento: un contrato que se retrasa un trimestre porque el cuestionario no se puede responder, un pliego perdido porque el certificado del ENS no está listo o un incidente en el que nadie sabe quién decide si hay que notificar. Ninguno de estos problemas lo causa una herramienta que falta. Todos los causa la falta de un responsable.
Cuando una empresa con CISO también recurre a un vCISO
Un vCISO no es solo para empresas sin función de seguridad. Muchas organizaciones con equipo de seguridad propio recurren a uno para sumar capacidad sénior donde falta.
El caso más habitual es un CISO saturado. Una sola persona no puede llevar la operación diaria de la seguridad, responder a todos los cuestionarios de clientes, preparar la siguiente auditoría y asistir a cada revisión de arquitectura. Un vCISO asume parte de esa carga, normalmente el gobierno de la seguridad y la relación con los clientes, para que el equipo interno se centre en operar. El reparto tiene que ser explícito: quién decide qué, quién firma la aceptación de riesgos y cómo se mantienen informados el uno al otro.
Los marcos especializados son otro motivo. Una empresa que domina ISO 27001 puede necesitar experiencia en el ENS para un pliego, o en DORA porque presta servicios TIC a bancos. Cada marco tiene su propia lógica: el ENS asigna las medidas según la categoría del sistema y no por selección según el riesgo, y DORA añade requisitos sobre riesgo de terceros TIC y pruebas de resiliencia. Un vCISO con esa experiencia acorta la curva de aprendizaje sin una contratación permanente.
También se recurre a un vCISO como segunda opinión antes de una decisión importante o para cubrir una transición cuando el CISO se marcha. Y al revés: si tu empresa ya tiene un CISO con tiempo y con la experiencia necesaria, probablemente un vCISO no es lo que necesitas.
Cómo distinguir un vCISO real de un canal de soporte
Bajo el nombre de vCISO se ofrecen cosas muy distintas, desde una persona sénior que conoce tu negocio hasta un canal de chat compartido que contesta quien esté disponible. Antes de elegir, comprueba estos puntos:
- Continuidad. ¿Trabajará contigo la misma persona a lo largo del tiempo y conocerá tu negocio, o cada pregunta irá a un experto distinto?
- Acceso a tu SGSI. ¿El vCISO trabaja sobre tu registro de riesgos, tus políticas y tus evidencias, o cada respuesta empieza de cero?
- Responsabilidad. ¿Las decisiones quedan documentadas, atribuidas y revisadas, o son sugerencias que tienes que asumir tú solo?
- Alcance. ¿El papel cubre criterio sobre arquitectura, aceptación de riesgos y preguntas de clientes, o solo respuestas a tickets de cumplimiento?
- Conexión con la operación. ¿El vCISO trabaja junto a quien monitoriza tus sistemas, de modo que las decisiones y las alertas se informan mutuamente?
La diferencia se nota enseguida. Un canal de soporte responde a la pregunta que has hecho. Un vCISO pregunta por qué la haces, se da cuenta de que revela un hueco en tu análisis de riesgos y hace seguimiento hasta que el hueco se cierra.
Pide un ejemplo de una decisión reciente que haya tomado un vCISO para un cliente de tamaño parecido y qué documentación salió de ella. La respuesta dice más que cualquier descripción de la oferta.
Cómo funciona el vCISO en la plataforma Qalea
En la plataforma Qalea, el vCISO es criterio de seguridad sénior apoyado en el SGSI que ya vive en ella. El registro de riesgos, las políticas, la Declaración de Aplicabilidad y las evidencias están en el mismo sitio, así que los cuestionarios de los clientes se responden a partir de la documentación existente, y las revisiones de arquitectura o de herramientas parten de lo que la empresa ya ha decidido.
El vCISO trabaja junto al equipo de Qalea, que lleva las operaciones de cumplimiento en la plataforma y la capa de monitorización de seguridad, de modo que la decisión sobre un riesgo y las alertas relacionadas no se gestionan en mundos separados. Si la monitorización muestra que un riesgo que el vCISO aceptó se está explotando en otros sitios, la decisión se puede revisar con los datos delante. Lo mismo vale para empresas con equipo de seguridad propio: el vCISO suma capacidad sénior y experiencia en marcos concretos a las personas que ya llevan el programa.
Por eso una plataforma de compliance por sí sola no sustituye el puesto. Una plataforma mantiene la documentación al día; no toma decisiones ni responde ante tu dirección. Lo explicamos en detalle en lo que una licencia de compliance no cubre. Para más sobre la seguridad como proceso repetible, consulta los artículos de operaciones de cumplimiento.
