GUÍA PRÁCTICA
CISO como servicio para PYMEs: qué modelo de apoyo externo necesita tu empresa
Antes de contratar ayuda externa en ciberseguridad, conviene saber si a tu empresa le falta dirección, operación o un punto de partida.
Un cliente envía un cuestionario de seguridad. La aseguradora pregunta por las copias y el acceso remoto. El proveedor informático responde por lo que gestiona, pero nadie puede contestar por el conjunto de la empresa.
En ese momento muchas PYMEs buscan ayuda externa y encuentran una lista de nombres parecidos: CISO virtual, CISO como servicio, oficina de apoyo al CISO, proveedor de seguridad gestionada, consultoría. Todos se presentan como formas de externalizar la ciberseguridad, pero resuelven necesidades diferentes.
Este artículo ordena esos modelos para que puedas decidir qué necesitas antes de pedir propuestas.
Qué significa contratar un CISO como servicio
CISO son las siglas de Chief Information Security Officer: la persona responsable de dirigir la seguridad de la información. Contratar un CISO como servicio —también llamado CISO virtual, vCISO o CISO externalizado— significa incorporar esa función de dirección con una dedicación acordada, sin crear un puesto a jornada completa.
Su trabajo se parece más al de un director que al de un técnico de guardia: mantener las prioridades, preparar decisiones para dirección, coordinar a los equipos y proveedores implicados y comprobar que lo acordado avanza.
Si quieres ver cómo se reparte ese trabajo con tu soporte informático en el día a día, lo explicamos en qué hace un CISO virtual si ya tienes soporte IT. Aquí nos centramos en una pregunta anterior: qué modelo de apoyo encaja con tu situación.
Cinco modelos que conviene no confundir
| Modelo | Qué resuelve | Quién decide | Qué no cubre por sí solo | Cuándo suele encajar |
|---|---|---|---|---|
| Soporte IT o proveedor de servicios gestionados | Equipos, cuentas, incidencias y herramientas contratadas | La empresa, sobre lo que el proveedor propone | Una visión de riesgos del negocio que vaya más allá de su alcance | Siempre: alguien tiene que operar los sistemas |
| Proyecto de diagnóstico (por ejemplo, un Plan Director de Seguridad) | Saber dónde está la empresa, qué riesgos pesan más y en qué orden actuar | Dirección, con una hoja de ruta propuesta | El seguimiento continuado una vez entregado el plan | Cuando no hay una foto clara del punto de partida |
| CISO como servicio | Dirección continuada: prioridades, decisiones, coordinación y seguimiento | Dirección, con decisiones preparadas por el vCISO | Implantación técnica, vigilancia permanente y respuesta 24/7 | Cuando las mejoras se atascan o nadie coordina el conjunto |
| Oficina de apoyo al CISO | Capacidad adicional para un responsable de seguridad que ya existe | El responsable interno | Sustituir a ese responsable cuando no existe | Organizaciones con una persona al frente de la seguridad que necesita apoyo |
| Proveedor de seguridad gestionada (MSSP) | Operación de herramientas de seguridad: vigilancia de alertas, gestión de dispositivos o servicios concretos | El proveedor, dentro del servicio contratado; la empresa en lo que afecta al negocio | Decidir prioridades de la empresa fuera de su servicio | Cuando falta capacidad técnica para operar y vigilar |
La tabla simplifica una realidad más variada. Hay proveedores que combinan varios modelos y empresas que necesitan dos a la vez: por ejemplo, un MSSP que vigile alertas y alguien que decida qué hacer con lo que ese servicio detecta. Lo importante es saber qué parte está cubierta y cuál no.
La primera pregunta: ¿te falta dirección o te falta operación?
Muchas decisiones de contratación se tuercen aquí. Si nadie revisa las alertas de las herramientas que ya tenéis, el problema es de operación: un CISO como servicio podrá detectarlo y pedir que se resuelva, pero no va a vigilar esas alertas de madrugada.
Al contrario, si el proveedor técnico hace bien su trabajo pero las mejoras de seguridad llevan meses en la misma lista, la empresa no responde con criterio a los cuestionarios de clientes o cada compra de herramientas se decide por separado, lo que falta es dirección. Contratar más operación no lo resolverá.
Algunas preguntas para distinguirlo:
- Operación: ¿hay tareas técnicas que nadie tiene tiempo o conocimiento para ejecutar? ¿Hay herramientas que generan avisos sin que nadie los atienda?
- Dirección: ¿sabe dirección cuáles son hoy las tres prioridades de seguridad? ¿Quién decide si una mejora puede esperar? ¿Quién comprueba que algo se ha terminado de verdad?
- Punto de partida: ¿existe un diagnóstico reciente y compartido, o cada persona tiene una idea distinta de dónde está la empresa?
Si la tercera respuesta no está clara, puede tener sentido empezar por un diagnóstico como el Plan Director de Seguridad. Si ya existe y lo que falla es la continuidad, el CISO como servicio es el modelo que encaja de forma natural.
Qué debería incluir un CISO como servicio para una PYME
El contenido cambia con cada empresa, pero una propuesta seria debería concretar al menos:
- Una cadencia de trabajo: reuniones periódicas con dirección y con los responsables técnicos, y cómo se gestionan las consultas entre ellas.
- Una hoja de ruta viva: prioridades, responsables y fechas que se revisan cuando el negocio cambia.
- Coordinación con terceros: cómo se trabajará con el proveedor informático y otros proveedores, sin sustituir sus responsabilidades.
- Información para decidir: resúmenes periódicos con avances, bloqueos, riesgos y decisiones pendientes, escritos para dirección.
- Criterios de cierre: qué evidencia se pedirá para dar por terminada una mejora.
Y debería dejar igual de claro lo que no incluye: implantación técnica de las medidas, vigilancia continua, respuesta a incidentes las 24 horas o funciones jurídicas. Si necesitas alguna de esas capacidades, tiene que estar expresamente contratada con quien pueda prestarla.
Cómo elegir un proveedor de CISO como servicio
El NIST, el instituto de estándares de Estados Unidos, recoge el CISO virtual o fraccional entre las opciones habituales de externalización para pequeñas empresas. Su recomendación es empezar por una lista clara de los resultados que se esperan del servicio, no fijarse solo en el coste y documentar el nivel de servicio, las responsabilidades y las expectativas (NIST, Building Your Team). INCIBE insiste en la misma línea al tratar la externalización: acuerdos de nivel de servicio, confidencialidad y protección de datos por escrito (INCIBE, ventajas e inconvenientes de externalizar).
Sobre esa base, estas seis preguntas ayudan a comparar propuestas:
- ¿Quién será la persona que trabaje con nosotros? En un servicio de dirección, el criterio de quien lo presta es el producto. Conviene saber con quién vas a hablar cada mes y qué experiencia aporta en organizaciones parecidas.
- ¿Cómo se relacionará con nuestro proveedor informático? Si la propuesta da a entender que sustituirá al proveedor o que asumirá su trabajo, revisa bien el alcance.
- ¿Cómo separa sus recomendaciones de lo que vende? Algunos proveedores ofrecen también herramientas o servicios gestionados. No es un problema en sí mismo, pero debe quedar claro cómo se justifica cada recomendación.
- ¿Qué recibiremos y cada cuánto? Reuniones, resúmenes, revisión de la hoja de ruta. Si no puedes describir lo que tendrás al final del primer trimestre, la propuesta es demasiado abierta.
- ¿Qué accesos necesitará? Un servicio de dirección no debería necesitar custodiar contraseñas de forma permanente. Cualquier acceso puntual debe tener finalidad, plazo e identidad individual.
- ¿Qué ocurre si terminamos el contrato? La documentación, la hoja de ruta y las decisiones deben quedar en la empresa, en un formato que otra persona pueda continuar.
Qué determina el precio de un CISO virtual
No hay una tarifa universal que sirva de referencia, y desconfía de comparaciones basadas solo en una cuota mensual. Lo que mueve el coste es la dedicación necesaria, y esta depende de factores que puedes estimar antes de pedir propuestas:
- Cuántas personas, sedes, sistemas y proveedores habrá que coordinar.
- Si existe ya un diagnóstico o una hoja de ruta, o hay que construir el punto de partida.
- Qué exigencias externas hay que atender: cuestionarios de clientes, aseguradoras, contratos o procesos de certificación.
- Con qué frecuencia necesita dirección información y decisiones.
Dos propuestas con la misma cuota pueden incluir trabajos muy distintos. Compara qué recibirás, cuánto tiempo de una persona con criterio hay detrás y cómo se tratan las peticiones adicionales.
La responsabilidad no se externaliza
Contratar un CISO como servicio no traslada la responsabilidad de proteger la empresa. El propio NIST lo recuerda: al externalizar, la empresa sigue siendo la responsable última de sus sistemas y datos.
En la práctica, esto significa que dirección tiene que seguir participando. El vCISO prepara las decisiones y explica sus consecuencias; dirección aprueba recursos, acepta o rechaza riesgos y respalda las prioridades ante el resto de la organización. Sin un interlocutor con capacidad de decisión, el servicio se convierte en informes que nadie ejecuta.
Un ejemplo ficticio
Ejemplo ilustrativo: no describe a ningún cliente de LockSphere.
Una consultora de ingeniería de 30 personas trabaja con planos y documentación de sus clientes. Tiene un proveedor informático que mantiene los equipos y las copias, y hace un año un cliente le pidió completar un cuestionario de seguridad. Lo respondieron entre el gerente, una persona de administración y el proveedor.
Este año llegan dos cuestionarios más y la aseguradora pregunta por la autenticación en dos pasos. El gerente pide presupuesto a un proveedor de seguridad gestionada, que le propone vigilar alertas de los equipos. Es un servicio útil, pero no responde a lo que le preocupa: nadie decide qué mejoras van primero, quién las ejecuta ni cómo demostrarlas a los clientes.
En este caso, lo que falta es dirección. Un primer diagnóstico permitiría ordenar prioridades y un CISO como servicio podría mantenerlas, coordinar al proveedor informático y preparar respuestas coherentes a clientes y aseguradora. La vigilancia de alertas puede llegar después, si el diagnóstico la sitúa entre las prioridades.
Cómo lo planteamos en LockSphere
En LockSphere prestamos la dirección de ciberseguridad como servicio (CISO virtual) en modalidad mensual: priorizamos decisiones, mantenemos la hoja de ruta, coordinamos con dirección, IT y proveedores y entregamos un resumen mensual y un informe ejecutivo trimestral. El equipo interno y los proveedores conservan sus responsabilidades operativas; la implantación técnica y la respuesta 24/7 quedan fuera del servicio.
Cuando falta el punto de partida, el Plan Director de Seguridad ayuda a construirlo. No siempre es un requisito previo: depende de la información que ya tenga la empresa.