Preguntas frecuentes

Un CISO externo (o vCISO) asume la función de responsable de seguridad de la información con una dedicación parcial y pactada. Define la estrategia, gestiona los riesgos, prioriza las inversiones, coordina a los proveedores y responde ante dirección.

Es la opción habitual cuando la organización necesita esa función pero no justifica un directivo de seguridad a tiempo completo.

El proveedor IT se ocupa de que los sistemas funcionen. El CISO externo se ocupa de que el riesgo esté gestionado: qué proteger primero, qué exige la normativa y cómo demostrarlo.

No sustituyo a tu proveedor: trabajo con él y aporto la función de gobierno de la seguridad, que normalmente no forma parte de su contrato.

No. Parte del trabajo consiste en trasladar lo técnico a decisiones de negocio: qué riesgos existen, qué impacto pueden tener y qué medidas son proporcionadas para tu organización.

Trabajo en remoto con organizaciones de toda España. En Madrid y alrededores también me desplazo cuando el trabajo lo requiere: reuniones con dirección, auditorías o intervenciones técnicas.

Sí. Las reuniones y los entregables pueden ser en español, en inglés o bilingües.

Si tratas datos personales de clientes, empleados o proveedores, el RGPD te obliga a aplicar medidas de seguridad adecuadas al riesgo (artículo 32).

Además, si trabajas para el sector público puede exigírsete el Esquema Nacional de Seguridad, y la Directiva europea NIS2 amplía las obligaciones de seguridad a nuevos sectores y a parte de su cadena de suministro.

Depende del alcance, del tamaño de la organización y de lo que ya esté implantado. Tras la reunión inicial y el análisis de diferencias se entrega un calendario por escrito.

No. La decisión corresponde a la entidad certificadora. Mi trabajo es preparar el sistema y las evidencias para que la organización llegue a la auditoría en las mejores condiciones.

Siempre con una propuesta por escrito antes de empezar. Los proyectos se presupuestan a precio cerrado; el servicio de CISO externo, con una cuota mensual; y las necesidades puntuales, con bolsa de horas.

Firmo un acuerdo de confidencialidad antes de acceder a información sensible y, cuando trato datos personales por cuenta del cliente, un contrato de encargado del tratamiento conforme al artículo 28 del RGPD.

Todo el trabajo queda documentado y las credenciales y configuraciones se custodian en sistemas de la organización cliente. Las ausencias previstas se comunican con antelación y se planifican para que no afecten a los hitos acordados.

Sí. El primer paso es entender qué ocurrió y qué se ha visto afectado; después, contener, recuperar y corregir la causa. Si el caso requiere un análisis forense especializado, se indica y se coordina con quien corresponda. En estos casos es preferible contactar por teléfono.