CISO externo (vCISO): qué es, qué hace y cuándo conviene

¿Qué hace un CISO externo?

Su trabajo es poner orden y dirección: decidir qué proteger primero, dejarlo por escrito y comprobar que se cumpla. Estas son las funciones habituales:

• Gobierno y gestión de riesgos. Identifica los riesgos de la empresa, los prioriza y define quién responde por cada uno.
• Plan anual y prioridades. Convierte los riesgos en un plan del año, con responsables y fechas.
• Políticas y cumplimiento. Redacta y mantiene las políticas, y dirige el cumplimiento de la norma ISO/IEC 27001 (la norma internacional para el sistema de gestión de seguridad de la información) y de la protección de datos personales.
• Pruebas de seguridad y su corrección. Coordina las pruebas, como un pentest, y verifica que lo hallado se corrija.
• Proveedores. Revisa qué exigir a los proveedores que manejan información de su empresa.
• Respuesta a incidentes. Prepara el procedimiento y coordina la respuesta cuando algo ocurre.
• Concientización. Define cómo se capacita al personal y cómo se mide.
• Indicadores e informe a la gerencia o a la junta. Muestra qué se hizo, qué sigue pendiente y qué necesita una decisión.

Señales de que le conviene un CISO externo

Si se reconoce en una o más de estas situaciones, vale la pena conversarlo:

• No hay un área de seguridad: nadie tiene la seguridad como responsabilidad principal.
• El equipo de tecnología (TI) está sobrecargado y los temas de seguridad se aplazan.
• Un cliente o un socio le pide un cuestionario de seguridad o la certificación ISO 27001.
• Hubo un incidente y no quiere volver a empezar de cero.
• Un contrato o una licitación exige un responsable de seguridad.
• La junta o la gerencia pide informes de riesgo y no hay quién los prepare.

Qué esperar en los primeros 90 días

Esta es una referencia general de cómo suele empezar un trabajo de este tipo. No describe una promesa de Pralogy: cada proveedor define su propio arranque, y usted puede pedirle el suyo por escrito.

1. Diagnóstico y mapa de riesgos. Qué tiene la empresa, qué la expone y qué le importa más proteger.
2. Plan priorizado. Las acciones ordenadas por riesgo, con responsables y fechas.
3. Arreglos rápidos. Lo que se puede corregir pronto y reduce el riesgo de inmediato.
4. Políticas mínimas. Las reglas básicas por escrito, para que el equipo sepa qué hacer.
5. Indicadores. Pocas medidas claras para seguir el avance.
6. Primer informe a la gerencia. Qué se hizo, qué sigue y qué decisiones se necesitan.

Preguntas para hacerle a un proveedor de CISO externo

Lléveselas a la reunión o envíelas por escrito. Las respuestas concretas valen más que las generales:

1. ¿Quién será la persona que dirigirá nuestra seguridad y qué experiencia tiene?
2. ¿Cuántas horas al mes dedica y cómo me las reporta?
3. ¿Qué entregables recibo cada mes?
4. ¿Cómo trabaja con nuestro equipo de TI?
5. ¿Qué pasa si ocurre un incidente fuera del horario de trabajo?
6. ¿De quién es la documentación si el contrato termina?
7. ¿Cómo mantienen la independencia de sus recomendaciones?
8. ¿Cómo miden el avance?
9. ¿Cómo manejan la confidencialidad de nuestra información?
10. ¿Qué experiencia tienen con ISO 27001 y con auditorías?

Si las respuestas son vagas, pida la propuesta corregida por escrito antes de firmar.

Cómo lo hace Pralogy

Pralogy es una empresa de ciberseguridad. El CISO externo hace parte de su acompañamiento continuo, y así lo trabajamos:

• Plan anual. Arrancamos con un plan del año hecho para su empresa, y medimos el avance cada mes.
• Junto con su equipo de TI. Trabajamos con él: su equipo sigue con la operación y nosotros aportamos los roles de seguridad del plan.
• Por horas dentro del plan. El CISO externo dirige riesgos, políticas y cumplimiento, y no ejecuta las pruebas: encontrar y arreglar van separados a propósito.
• Informe mensual. Cada mes usted ve lo hecho, lo pendiente y lo que necesita una decisión suya.
• Contratos de 12, 24 o 36 meses, con pago mensual y por módulos. El detalle queda en la propuesta.
• Primero, un diagnóstico. Son 30 minutos, sin costo, para conversar sobre cómo maneja hoy la seguridad y por dónde empezar.

Si prefiere ordenar sus ideas antes de la reunión, el autodiagnóstico le ayuda a hacerlo.