CISO: Me dieron el título. Nadie me enseñó el trabajo.

Historia real.

Un hombre al que formé esta primavera llevaba cuatro años como responsable de seguridad de TI en una empresa de logística. Firewalls, EDR, parcheo, tickets de incidentes. Su dominio, y lo gestionaba bien. Luego la empresa entró en el ámbito de NIS 2, las aseguradoras empezaron a hacer preguntas y el consejo decidió que necesitaban un CISO. Miraron alrededor de la sala y eligieron a la persona obvia. Él.

Nuevo título. El mismo escritorio. Una agenda que de repente se llenó de cosas que no tenían nada que ver con la tecnología.

En su primera reunión del consejo, presentó cuarenta diapositivas sobre métricas de vulnerabilidades. Cobertura de parches. Tiempo medio de detección. Recuentos de CVE. Había trabajado en ello durante dos semanas. A los seis minutos, el CFO lo interrumpió con una sola pregunta: «¿Entonces estamos bien o no?»

No tenía respuesta. No porque no conociera su entorno. Lo conocía mejor que nadie. Porque la pregunta no era técnica. Era una pregunta sobre riesgo, expresada en consecuencias, que debía asumir alguien dispuesto a firmar con su nombre una decisión de criterio. Y nada en sus quince años de carrera le había exigido hacer eso.

Me dijo que el camino de vuelta a su escritorio tras esa reunión fue el más largo de su vida profesional.

Si alguna vez ha entrado con un título de seguridad en una sala llena de directivos y ha sentido que el suelo se movía bajo sus pies, sabe exactamente de qué hablo. Los detalles cambian. La sensación, no.

El ascenso es real. La formación nunca llega.

Lo que ocurre al convertirse en CISO es que casi nadie llega por la puerta principal.

Era el mejor ingeniero de seguridad, así que le pusieron al frente del equipo. Era el mánager que nunca fallaba, así que cuando el regulador, la aseguradora o el cuestionario de un cliente exigió un «responsable de seguridad designado», su nombre fue el que se escribió. Un día configura controles. Al siguiente es responsable de ellos, ante el consejo, ante un auditor y, si las cosas van muy mal, ante un regulador con su nombre en el expediente.

Y entre esos dos días no hay formación. No hay traspaso. Nadie le sienta y le dice: así se construye un programa de seguridad en lugar de un montón de herramientas. Así se habla con personas que piensan en euros y trimestres. Esto es lo que un auditor abre primero. Así se toma una decisión de riesgo que pueda defender dos años después.

Las habilidades que le dieron el título no son las que el trabajo necesita. No es un insulto. Es el diseño de la trayectoria profesional. La escala técnica termina donde empieza el trabajo directivo, y el sector da por sentado que sabrá encontrar la diferencia por sí mismo, improvisando.

La mayoría improvisa. Durante años. Algunos salen bien parados. Los que no, son los que figuran en el informe del incidente.

Cinco partes del trabajo que nadie enseña

He formado a muchos responsables de seguridad y yo mismo ejerzo este trabajo. Las mismas cinco carencias aparecen siempre, no porque estas personas no sean capaces, sino porque nadie les ha enseñado nunca la capa ejecutiva del rol.

Traducir la seguridad al lenguaje del consejo.

Al consejo no le importan los CVE. Le importa si la empresa puede recibir un pedido, pagar las nóminas y mantenerse fuera de los titulares. «Tenemos 3.400 vulnerabilidades sin parchear» no les dice nada. «Si este sistema cae, dejamos de entregar durante tres días y esto es lo que cuesta» consigue un presupuesto. La distancia entre esas dos frases es la razón principal por la que los presupuestos de seguridad mueren en comité, y ninguna certificación técnica del mundo enseña a cerrarla.

Gestionar un programa, no una colección de herramientas.

La mayoría de las funciones de seguridad son arqueología: capas de herramientas y hábitos acumulados por quien estaba al frente en cada momento. Un programa es diferente. Tiene un alcance, objetivos, un método de riesgo, controles elegidos por razones concretas, medición y un ciclo que lo mejora. Los auditores perciben la diferencia en una hora. Los reguladores también. Si no puede dibujar su programa en una página, no tiene ninguno. Tiene un inventario.

Tomar decisiones de riesgo con su nombre en ellas.

«Aceptamos este riesgo» es la frase que separa al CISO del ingeniero de seguridad. Alguien tiene que decidir qué riesgos se tratan, cuáles se aceptan, y ser capaz de defender esa decisión cuando el tiempo la pone a prueba. La mayoría de los nuevos CISO o evitan la decisión (todo es «alto», nada se firma) o la toman de forma informal, sin nada por escrito. Ambas versiones terminan igual: mal, ante alguien que toma notas.

Liderar incidentes en lugar de resolverlos.

Cuando llega el incidente, su trabajo ya no está en el terminal. Está en la sala. Decidir cuándo notificar al regulador, porque NIS 2 y GDPR tienen plazos, y son más cortos de lo que cree. Decidir qué decirles a los clientes, y cuándo. Evitar que el CEO entre en pánico o, peor aún, que se quede en silencio. La respuesta técnica tiene un runbook. La respuesta de liderazgo es la parte que todo el mundo improvisa, y es la que acaba en el informe posterior al incidente.

Sobrevivir a un escrutinio que no se detiene.

La temporada de auditoría solía ser eso, una temporada. Ahora es un clima: auditorías de certificación, auditorías de vigilancia, auditorías de clientes, cuestionarios de aseguradoras, DORA, NIS 2 y un consejo que lee sobre brechas en el desayuno. Si sus evidencias solo existen en las dos semanas de pánico previas a cada auditoría, no tiene aseguramiento. Tiene teatro. El trabajo consiste en construir la máquina que produce evidencias todo el año, para que el escrutinio se vuelva aburrido. El buen tipo de aburrido.

Nada de esto es exótico. Es el trabajo real. Lo que ocurre es que nadie lo enseña, porque todos dan por supuesto que lo aprendió antes de recibir el título. No lo hizo. Yo tampoco. Nadie lo hace.

Lo que cinco días dan realmente

Seré directo sobre lo que este curso es y lo que no es.

No saldrá con diez años de cicatrices ejecutivas. Eso solo llega de una manera. Lo que sí obtiene es la estructura que a mí me llevó años de auditorías, incidentes y reuniones del consejo ensamblar, expuesta en orden, para que deje de improvisar en el rol más importante de su carrera.

Sabrá cómo es un programa de seguridad completo, de principio a fin, para identificar exactamente qué le falta a su organización. Tendrá un enfoque de riesgo que podrá defender: ante el consejo, ante un auditor, ante usted mismo a las 2 de la mañana. Entenderá cómo el cumplimiento normativo, la arquitectura, los controles, los incidentes y la medición se conectan en un solo sistema en lugar de cinco ansiedades paralelas. Sabrá qué buscan realmente las personas al otro lado de la mesa (auditores, reguladores, directivos), para poder prepararse en lugar de actuar. Y tendrá una credencial de nivel ejecutivo que certifica que nada de esto es autodeclarado.

Esa es la diferencia entre tener el título y hacer el trabajo.

Para eso son los 5 días

Del 10 al 14 de agosto. De lunes a viernes. En directo online, en inglés. Un grupo limitado a seis personas, porque a partir de siete la conversación muere y las historias de guerra se quedan en mi cuaderno.

Cada línea empieza con «cómo». El «qué» está en todos los documentos de framework que ha hojeado alguna vez. El «cómo» es por lo que paga.

Quién imparte esto

Yo. Christophe. CISO en activo, fundador de Cyber Academy, PECB Gold Trainer.

No enseño este rol desde un libro de texto, porque el lunes vuelvo a ejercerlo. Cuando explico cómo presentar el riesgo al consejo, es porque he visto la mirada perdida del consejo ante mis diapositivas y he tenido que aprender qué funciona realmente. Cuando explico el liderazgo en incidentes, es porque he sido la persona que decide si se llama al regulador esta noche o mañana por la mañana. Cuando alguien en el curso dice «mi consejo simplemente no le da importancia», no le doy la respuesta del examen. Le digo lo que yo diría en su próxima reunión del consejo, porque he tenido que decirlo en la mía.

Doscientas auditorías. Cien implementaciones. Años en el puesto que da nombre a este curso. Aprende el trabajo de alguien que lo hace.

La garantía

Complete el curso. Haga el examen. Si no supera, le devolvemos la tarifa de formación.

Sin letra pequeña más allá de completar el programa y presentarse al examen. Lo llamamos Certificado o Reembolsado, y lo decimos en serio. La metodología funciona, la tasa de aprobados lo demuestra, y si invierte una semana de su tiempo y el dinero de su empresa, merece un proveedor que apueste por el mismo resultado que usted.

Los detalles

• Curso: PECB Chief Information Security Officer, Certified
• Fechas: 10 al 14 de agosto de 2026
• Formato: En directo online. Interactivo. Sin grabación.
• Idioma: Inglés
• Tamaño del grupo: 3 a 6 participantes
• Examen: Examen PECB de 3 horas el día 5, tasas incluidas
• CPD: 31 créditos
• Repetición gratuita: Dentro de los 12 meses siguientes
• Precio: 2.499 €
• Garantía: Certificado o Reembolsado

Su turno

Si acaba de recibir el título y está improvisando el trabajo, aquí es donde termina la improvisación.

Si lleva años haciendo el trabajo sin la credencial, esta es la prueba de nivel ejecutivo de que no es algo autodeclarado.

Si sus reuniones del consejo se sienten como presentar en un idioma extranjero, aquí es donde aprende la traducción.

Y si sabe que se acerca un incidente o una auditoría, y siempre se acerca, así es como los afronta con un programa en lugar de una plegaria.

Reserve su plaza en el grupo de agosto.

¿Preguntas? Escríbame directamente. Sin equipo de ventas. Sin chatbot. Solo yo.