CISO Chief Information Security Officer.

De qué responde realmente un CISO

El CISO es el directivo responsable de la estrategia de seguridad de la información, y el énfasis está en responsable. Como lo expresa la shortDefinition, el trabajo es gobernanza, no implementación. Un CISO no configura cortafuegos ni escribe reglas de detección; decide dónde gasta la organización su presupuesto limitado de seguridad, qué riesgos trata y cuáles acepta, y cómo responde cuando algo falla. Los entregables cotidianos del puesto son un registro de riesgos, una hoja de ruta de programa, un plan de respuesta a incidentes y un conjunto de informes para el consejo, no una terminal.

Esa distinción importa porque el liderazgo en seguridad se malinterpreta a menudo como un puesto de ingeniería sénior. No lo es. El CISO se sitúa en la frontera entre los equipos técnicos que operan los controles y los directivos que los financian y asumen las consecuencias. La parte más difícil del trabajo, como señala la shortDefinition, es la traducción ante el consejo: convertir una realidad técnica desbordante en un pequeño número de decisiones que un consejo pueda tomar realmente. Un CISO que no sabe explicar el riesgo residual en términos de negocio no puede hacer el trabajo, por sólida que sea su base técnica.

Rendición de cuentas bajo NIS 2 y DORA

Durante años el rol de CISO conllevó responsabilidad sin mucha rendición de cuentas formal. Eso ha cambiado. La shortDefinition es explícita: bajo NIS 2 y DORA la rendición de cuentas es ahora personal. NIS 2, la directiva europea sobre seguridad de las redes y de la información, eleva la supervisión de la ciberseguridad hasta el órgano de dirección de las entidades en alcance y hace que ese órgano sea responsable de aprobar y supervisar las medidas de gestión de riesgos de seguridad.

DORA, el Digital Operational Resilience Act, hace lo equivalente para el sector financiero de la UE, situando la rendición de cuentas sobre resiliencia operativa firmemente en el órgano de dirección. El efecto práctico es que «la función de seguridad hace lo que puede» ya no es una postura defendible; un liderazgo nominalmente designado tiene que asumir por escrito las decisiones de riesgo.

Por eso un CISO moderno dedica tanto tiempo a la documentación y a la cadencia de reporte. Aprobar el riesgo residual, informar al consejo sobre el panorama de amenazas y evidenciar que las medidas de gestión de riesgos se aprobaron al nivel adecuado ya no son extras de buena práctica. Es así como la organización demuestra que cumplió sus obligaciones legales. El rol ha pasado de «dirigir el equipo de seguridad» a «hacer que la gobernanza sea defendible».

En qué se diferencia el CISO de los roles vecinos

Al CISO se le confunde a menudo con las personas y funciones que lo rodean. Un responsable de seguridad o un propietario de programa certificado CISM dirige el programa de seguridad y puede reportar al CISO; el CISO fija la estrategia y carga con la rendición de cuentas ejecutiva sobre ella. Un líder de SOC es propietario de las operaciones de detección y respuesta; el CISO es propietario de la decisión sobre cuánta capacidad de detección financiará la organización y qué hará cuando el SOC escale un incidente mayor. Y cuando la organización opera un SGSI ISO 27001, el CISO suele ser el patrocinador ejecutivo de ese sistema de gestión más que su operador cotidiano.

Un emparejamiento que vale la pena separar con claridad es el CISO y el Delegado de Protección de Datos. Se solapan en incidentes que afectan a datos personales, pero son trabajos distintos. El DPO es un rol de cumplimiento y supervisión con una independencia legalmente protegida; el CISO es un directivo que es propietario de la estrategia de seguridad y se le mide por ella. En muchas organizaciones colaboran constantemente y reportan por líneas diferentes, precisamente porque el DPO debe poder cuestionar al negocio, incluida la función de seguridad.

Para los profesionales en camino hacia el puesto, el encuadre honesto es que el rol de CISO recompensa el criterio y la comunicación más que las herramientas. La base técnica se da por supuesta; lo que hace que contraten a alguien y lo mantiene eficaz es la capacidad de asumir el riesgo, informar a un consejo y hacer defendible la rendición de cuentas bajo marcos como NIS 2 y DORA.