CISO vs DPO vs RSSI: quién hace qué, en realidad.

Dos responsabilidades, un mismo perímetro

La confusión entre estas funciones no es una cuestión de títulos. Es una cuestión de ante qué autoridad responde cada persona. El CISO y el RSSI dirigen un programa en nombre de la dirección ejecutiva: se les juzga por si la organización es lo bastante segura para seguir operando y por si el consejo entiende el riesgo residual que está asumiendo. El DPO responde ante un señor totalmente distinto. La función existe porque el GDPR situó una función de cumplimiento independiente dentro de la organización, y esa función reporta al máximo nivel directivo manteniéndose al margen de las decisiones operativas que debe evaluar. Un lado optimiza para el negocio. El otro lado tiene que poder decirle al negocio que se equivoca.

En términos operativos, el CISO y el RSSI construyen y defienden; el DPO revisa y cuestiona. Cuando un equipo de marketing quiere enriquecer una base de datos de clientes con datos de terceros, el CISO pregunta si puede hacerse de forma segura y el DPO pregunta si debe hacerse en absoluto a la luz de los criterios de licitud, minimización y limitación de la finalidad. Ambas preguntas son legítimas. No son la misma pregunta, y en el momento en que las concentra en una sola persona pierde la segunda.

La comparación que de verdad importa

La mayoría de las comparaciones publicadas se quedan en las definiciones. La distinción que resuelve las disputas de organigrama es la línea de reporte y la fuente del mandato, porque es lo que determina quién puede imponerse a quién y quién asume la responsabilidad cuando algo sale mal.

La columna de certificaciones es la señal práctica que lee un responsable de selección. Un perfil de líder de seguridad se construye sobre CISM para la credencial de nivel directivo, el PECB Certified CISO para el encuadre ejecutivo y Lead Cybersecurity Manager para la construcción del programa. Un perfil de protección de datos señaliza a través de la credencial Certified Data Protection Officer y de una capa de ingeniería de privacidad como CDPSE. Las dos pilas no son intercambiables, y un currículum que las mezcla sin una función principal clara suele señalar a alguien que no ha hecho ninguna de las dos en profundidad.

Dónde se solapan de verdad: el Artículo 32 y los incidentes

El solapamiento es real, y fingir lo contrario es la forma en que las organizaciones acaban con brechas. El Artículo 32 del GDPR exige medidas técnicas y organizativas apropiadas para proteger los datos personales: cifrado, resiliencia, capacidad de restaurar la disponibilidad y pruebas periódicas de esas medidas. Eso es trabajo de seguridad. El CISO es responsable de los controles que lo materializan. Pero el DPO tiene que poder evaluar si esas medidas son apropiadas en relación con el riesgo para los interesados, que es una lente distinta de lo apropiado para el negocio.

La forma limpia de gestionarlo: el CISO es responsable de implementar y operar las medidas del Artículo 32, y el DPO es responsable de formar una opinión independiente sobre su adecuación. El CISO construye el estándar de cifrado en reposo; el DPO hace constar en la DPIA que es suficiente para el tratamiento en cuestión, o advierte de que no lo es. Ninguno aprueba su propio trabajo.

ISO 27701 se sitúa exactamente en esta costura. Extiende un ISMS ISO 27001 a un sistema de gestión de la información de privacidad, lo que da al CISO y al DPO un marco de controles compartido en lugar de dos vocabularios desconectados. El curso ISO 27701 Lead Implementer es la cualificación más útil para la persona que tiene que lograr que el programa de seguridad y el programa de privacidad se entiendan entre sí.

La respuesta a incidentes es el segundo solapamiento y el que se rompe bajo presión. El CISO dirige la respuesta técnica: contener, erradicar, recuperar. El DPO gestiona el reloj regulatorio: el GDPR concede 72 horas para notificar a la autoridad de control una violación de datos personales, y esa evaluación (¿es una violación, es notificable, hay riesgo para los interesados?) es decisión del DPO, no del CISO. Si estas dos personas no están en la misma sala durante la primera hora de un incidente grave, o bien notificará en exceso y quemará credibilidad ante el regulador, o bien notificará de menos e incumplirá el plazo.

Por qué una sola persona no debería ocupar el CISO y el DPO

La razón es estructural, no de carga de trabajo. El GDPR exige que el DPO esté libre de cualquier conflicto de interés: el DPO no puede ocupar un puesto que implique determinar los fines y medios del tratamiento de datos personales. Un CISO hace exactamente eso. El CISO decide qué registros (logs) se conservan, cuánto viven las copias de seguridad, qué supervisión inspecciona el tráfico de los empleados, qué proveedores tratan los datos. Esas son decisiones de tratamiento. Una sola persona que toma esas decisiones y que se supone que debe auditarlas de forma independiente no puede desempeñar el segundo trabajo, porque la autoridad de control no aceptará la autorrevisión como supervisión independiente.

Esto no es una opinión de Cyber Academy. Las autoridades de control europeas ya han sancionado a organizaciones por nombrar a un DPO que además ocupaba una función operativa sobre el tratamiento que se suponía debía supervisar. En una organización pequeña puede que de verdad tenga una sola persona capaz que podría hacer ambas cosas. La respuesta ahí no es combinar las funciones; es hacer de esa persona el CISO y nombrar un DPO externo, o viceversa. Un DPO externo es una solución reconocida y a menudo más limpia, precisamente porque la independencia viene incorporada.

La realidad de la sala de auditoría

Cuando un auditor de ISO 27001 o una autoridad de control examina esto, está comprobando una sola cosa: si puede demostrar que las decisiones de seguridad y las decisiones de privacidad fueron tomadas por personas con la autoridad correcta y la independencia correcta. Las evidencias que quieren son mundanas y específicas.

1. Una RACI o equivalente que nombre quién es responsable del registro de riesgos frente al registro de actividades de tratamiento, sin que ninguna persona ocupe a la vez el rol de operar y el de supervisar para un mismo control.
2. Registros de incidentes que muestren que se involucró al DPO en la notificabilidad y al CISO en la contención, con marcas de tiempo que encajen dentro del plazo de 72 horas.
3. DPIAs que recojan una opinión independiente del DPO sobre las medidas de seguridad, no un visto bueno de seguridad reetiquetado como revisión de privacidad.

Las competencias de auditoría y aseguramiento que hacen demostrable todo esto pertenecen, de nuevo, a un perfil distinto. CISA construye la disciplina de auditoría y de evidencias, y CRISC construye el lenguaje de cuantificación de riesgos que permite al CISO presentar el riesgo residual al consejo en términos sobre los que este pueda decidir realmente. Estas son las credenciales que convierten una estructura defendible en una demostrable.

Errores comunes que conviene evitar

• Tratar el CISO y el RSSI como dos funciones que deben cubrirse por separado. Son la misma función; el título sigue al idioma y al contexto regulatorio, no al alcance.
• Dejar que el DPO reporte al CISO o a la función de TI. Eso destruye la independencia que exige el GDPR y es un hallazgo fácil para cualquier regulador.
• Suponer que gana la certificación de mayor rango. Quien posee un CISM no está por ello cualificado como DPO, y una credencial sólida de DPO no convierte a alguien en líder de seguridad. Ajuste la credencial al mandato.
• Redactar un informe para el consejo que mezcle el riesgo de seguridad y el riesgo de privacidad en una sola cifra. El consejo necesita ver ambos, porque las consecuencias y las autoridades implicadas son diferentes.

Las organizaciones que aciertan en esto no tienen más plantilla que las que se equivocan. Tienen una respuesta clara a una única pregunta: para cualquier decisión sobre datos personales, quién la construye y quién la juzga de forma independiente. Mantenga esas dos respuestas en dos personas distintas, dé a cada una la credencial que corresponde a su mandato, y el organigrama dejará de ser una fuente de hallazgos de auditoría.