Cuando una empresa decide contratar un CISO externo, la pregunta que suele hacerse la dirección es sencilla: ¿qué vamos a tener dentro de tres meses que no tengamos hoy? Es una pregunta razonable. Se está pagando por liderazgo, y el liderazgo tiene que notarse en resultados, no en reuniones.

Los primeros 90 días marcan si el servicio va a funcionar. Es el periodo en el que el CISO externo conoce la empresa, identifica los riesgos que importan y propone un plan que dirección pueda aprobar. Si este arranque se hace bien, el resto del año consiste en ejecutar. Si se hace mal, la seguridad sigue igual de difusa que antes, solo que con una factura más.

Este artículo describe cómo es un arranque típico, qué tiene que poner la empresa de su parte y qué entregables puede exigir la dirección al cerrar el primer trimestre. Si todavía estás valorando el modelo, antes conviene leer la comparativa entre CISO externo o CISO interno.

Antes de empezar: alcance y un interlocutor claro

Un CISO externo no puede trabajar a ciegas. Antes del primer día conviene dejar cerradas tres cosas: el alcance del servicio (qué sociedades, sedes y sistemas entran), la dedicación pactada y quién será su interlocutor interno.

Ese interlocutor suele ser el responsable de IT o alguien de dirección financiera u operaciones. No hace falta que sea técnico, pero sí que tenga autoridad para abrir puertas: pedir información a proveedores, convocar reuniones y llevar decisiones al comité de dirección.

Días 1 a 30: entender el negocio y el riesgo real

El primer mes es de escucha. El CISO externo se reúne con dirección, IT, los responsables de las áreas críticas y los proveedores tecnológicos principales. El objetivo no es revisar configuraciones, sino entender qué hace la empresa, de qué depende y qué la pararía.

En paralelo revisa la documentación existente: auditorías anteriores, políticas, contratos con proveedores, inventarios y requisitos de clientes o reguladores. Si no hay una auditoría reciente, este es el momento de hacer un diagnóstico. En nuestra guía sobre auditoría de ciberseguridad para empresas explicamos qué debe revisar y qué entregables pedir.

También es habitual que en estas semanas aparezcan riesgos que no pueden esperar: cuentas de administrador sin MFA, copias de seguridad que nunca se han restaurado, un acceso remoto expuesto. Un buen CISO externo no espera al plan para resolverlos.

Días 31 a 60: mapa de riesgos y prioridades

Con la información del primer mes, el CISO externo construye el mapa de riesgos: qué puede pasar, con qué probabilidad y con qué impacto en el negocio. Cada riesgo se traduce a lenguaje de dirección: días de facturación perdidos, contratos en peligro, sanciones posibles o daño reputacional.

A partir de ahí se fijan las prioridades. No todo se puede hacer a la vez, y tampoco hace falta. Lo normal es agrupar las acciones en tres bloques:

• Medidas inmediatas: cambios de bajo coste y alto impacto que se aplican en semanas.
• Proyectos de refuerzo: iniciativas que requieren presupuesto o proveedores, a ejecutar en los próximos seis a doce meses.
• Gobierno y cumplimiento: políticas, roles, formación y la preparación para normas como NIS2 o ISO 27001 si aplican.

En esta fase la dirección participa de forma activa. El CISO externo propone; la decisión sobre cuánto riesgo se acepta sigue siendo de la empresa.

Días 61 a 90: plan director y presupuesto

El tercer mes se cierra con el plan director de seguridad: un documento breve que recoge objetivos, proyectos priorizados, responsables, calendario y presupuesto estimado. Es la herramienta con la que dirección decide y con la que, a partir de entonces, se mide el avance.

El CISO externo presenta el plan al comité de dirección y defiende las inversiones con argumentos de negocio, no con miedo. Si el presupuesto tiene que pasar por varias aprobaciones, el artículo sobre cómo justificar el presupuesto de ciberseguridad ante dirección recoge el enfoque que mejor funciona.

Al terminar el trimestre, la dirección debería poder exigir:

• Un mapa de riesgos priorizado y entendible sin conocimientos técnicos.
• Las medidas urgentes ya aplicadas, con evidencia.
• Un plan director aprobado o listo para aprobar, con presupuesto.
• Un modelo de seguimiento: qué indicadores se revisan, con qué frecuencia y ante quién.

Lo que tiene que poner la empresa

El servicio funciona cuando la empresa también se implica. Lo que más condiciona el resultado es el acceso a la información, la disponibilidad del interlocutor interno y que dirección reserve tiempo para las decisiones. Un CISO externo al que se consulta solo cuando hay un problema acaba actuando como un servicio de urgencias, no como un responsable de seguridad.

Tampoco conviene esperar resultados técnicos espectaculares en tres meses. Lo que cambia en ese plazo es que la empresa sabe dónde está, qué va a hacer y quién responde por ello. Para muchas organizaciones, ese ya es un salto enorme.

Un primer trimestre con dirección desde el primer día

Contratar un CISO externo tiene sentido cuando se busca liderazgo, no un informe más. Los primeros 90 días son la prueba de que ese liderazgo existe.

Con Winfor Business Security, el servicio de CISO as a Service de Winfor Systems, las empresas medianas cuentan con una persona al frente de su ciberseguridad desde el primer mes, con un plan claro y una dedicación ajustada a su realidad.