Quien fija las prioridades de seguridad, hace que avancen y se sienta con dirección a explicarlas, con la dedicación que tenga sentido para tu tamaño.
Muchas organizaciones necesitan a alguien que dirija la seguridad mucho antes de poder justificar un CISO a jornada completa. Mientras tanto, el hueco lo tapa quien tenga sitio en la agenda esa semana, casi siempre desde IT y casi siempre a costa de otra cosa.
Este servicio ocupa ese puesto desde fuera, con una dedicación acordada: unas horas al mes, unos días, o lo que pida el momento de la organización. Puede ser todo el rol o solo la parte que no está cubierta.
Hay tareas repartidas, pero nadie responde del conjunto ni lleva la cuenta de qué quedó pendiente el trimestre pasado.
En el comité se pide una foto del riesgo y lo que sube es un informe técnico que no responde a lo que se preguntaba.
Varias empresas tocan vuestra seguridad y ninguna tiene la visión completa. Coordinarlos es un trabajo, y ahora mismo no lo hace nadie.
El alcance se acuerda al principio y se revisa. No todas las organizaciones necesitan las tres cosas desde el primer mes.
La parte que sostiene todo lo demás y la que nunca es urgente hasta que lo es.
Que las cosas se hagan, en el orden correcto y sin rehacerlas.
Traducir en las dos direcciones, que suele ser lo que falta.
Los dos primeros meses son distintos del resto: hay que entender antes de dirigir.
Reunión con dirección y con IT, revisión de lo que hay montado y de lo que está en marcha, y acuerdo sobre qué parte del rol se cubre.
Estado del riesgo, iniciativas abiertas, obligaciones que aplican y proveedores implicados. Es la línea base contra la que se mide todo lo demás.
Reuniones de seguimiento con la periodicidad acordada, prioridades revisadas y decisiones documentadas. La continuidad es el servicio.
Presentación periódica a dirección: qué ha avanzado, qué riesgo queda abierto y qué hace falta decidir. Sin tecnicismos innecesarios.
Un servicio recurrente se juzga por lo que deja por escrito, no por las horas que consume.
Alcance del servicioEste servicio cubre la dirección de la seguridad: prioridades, gobierno, seguimiento e interlocución. La operación del día a día sigue en tu equipo de IT o en tus proveedores, y no lleva detrás guardia 24×7 ni vigilancia continua. Tampoco sustituye las responsabilidades que correspondan al órgano de dirección. Si hiciera falta cubrir alguna de esas piezas, lo vemos y se busca a quien corresponda.
Depende del tamaño, de la exigencia normativa y de cuánto haya en marcha. Una organización pequeña con un plan estable se lleva bastante menos que otra en plena adecuación a NIS2 y con auditorías de clientes cada dos meses. Se acuerda una dedicación al empezar y se revisa cuando deja de encajar, en cualquiera de las dos direcciones.
Sí, es el mismo servicio con otro nombre. En el mercado se usan CISO externo, CISO as a Service y vCISO para lo mismo: alguien que ejerce la función de responsable de seguridad sin estar en plantilla.
El servicio aporta el trabajo, el criterio y la interlocución, pero no sustituye las responsabilidades que correspondan al órgano de dirección de tu empresa. Ese reparto conviene tenerlo claro por escrito desde el principio, y es de las primeras cosas que dejamos fijadas.
Es parte del servicio. Coordinar a quien te lleva el puesto de trabajo, a quien te lleva la nube y a quien te va a auditar es buena parte del valor: son conversaciones técnicas que consumen tiempo y en las que conviene que haya alguien de tu lado.
Es el final natural del servicio y no un problema. La organización se queda con el gobierno montado, el riesgo documentado y los planes en marcha, así que quien entre no empieza de cero. Ayudo en la transición si hace falta.
Sí, es la forma habitual, con empresas de cualquier ubicación. Las reuniones de comité o las sesiones que pidan presencia se acuerdan aparte cuando tengan sentido.
Cuéntame cómo está repartida hoy la seguridad, qué os están exigiendo y qué es lo que se queda sin hacer cada mes. De ahí sale la dedicación que tiene sentido, que muchas veces es menos de la que se espera.
Te respondo personalmente en menos de 24 h laborables · Sin compromiso