Qué es un CISO virtual y cuándo es aconsejable contratar sus servicios

Los CISO (Chief Information Security Officer), que ejercen como responsables de políticas y estándares de seguridad, entre otras tareas, son de los profesionales más buscados en el mundo de la empresa. Contratarles es complicado, tanto por su elevado salario como porque acostumbran a permanecer un tiempo no demasiado extenso en su puesto, y a cambiar con frecuencia de empresa. Fichar uno es un desafío para no pocas empresas, y para las pequeñas y muchas medianas empresas, una tarea imposible. Pero esta situación puede cambiar, según ITWorld, gracias a  la figura del CISO virtual, o vCISO.

Para empezar, hay que tener clara la figura del CISO virtual, que no es ni más ni menos que un CISO externo, al que podríamos calificar de freelance, que ofrece sus servicios a la empresa que le contrata a tiempo parcial o por horas pero de manera regular. Además, es habitual que cuando se reúne con la dirección de la empresa no lo haga de forma presencial, sino mediante videoconferencia, y trabaje también de manera remota. Suele ser un profesional con muchos años de experiencia en el sector y en multitud de escenarios, y que funciona como un consultor de dirección para tareas relacionadas con la seguridad de la información. Entre su papel está el diseño, y en ocasiones implementación, de la estrategia de seguridad de la información de la empresa.

Antes de lanzarse a pensar si es necesario contratar esta figura, no obstante, hay que preguntarse si su presencia es necesaria para la empresa. ¿Por qué contratar un vCISO cuando puedes contratar un directivo de seguridad de manera indefinida? Aparte de por el hecho de la dificultad en localizar uno que se adapte a lo que se necesita, como hemos comentado, de su elevado salario. En cambio, un CISO virtual puede pedir entre un 30% y un 40% menos de lo que pediría uno en plantilla. Además, no es necesario formarle porque ya está habituado a realizar las funciones para las que se le contrata, y no tardará en adaptarse a los sistemas empleados en la empresa.

Evidentemente, no todos tienen las mismas habilidades, aunque la mayoría puede encargarse de distintas tareas, que van desde las puramente tácticas a las estratégicas. Por ejemplo, pueden ayudar a la puesta en marcha de políticas, estándares y normas de seguridad. También pueden ayudar en la contratación de personal, a la elaboración de estrategias de seguridad, solucionar incidentes, buscar soluciones a problemas. También poner las bases para que la empresa cumpla con distintos estándares ISO, como el 9001. Aparte de contribuir a la puesta en marcha de políticas de estrategias BYOD o formar a empleados para que se conviertan en CISOs. Unos aspectos que a no pocas startups y empresas pequeñas y medianas les interesa tener cubiertos.

Ben De La Salle, que trabaja como vCISO, recalca que las mayores beneficiadas de su labor son la PYMEs. «Las startups y las empresas en crecimiento son los candidatos perfectos para el modelo de recursos externos. Muchas de estas empresas cuentan con personal muy cualificado para desarrollar su negocio principal. Pero donde necesitarán apoyo es en la comprensión de las amenazas que les acechan, en sus necesidades relacionadas con la legalidad y en la definición de estrategias y planes de acción adecuados«.

A la hora de contratar uno hay que decantarse por candidatos que, en primer lugar, mantengan un buen nivel de comunicación con la dirección. También es importante que sean capaces de adaptarse y aprender con rapidez el funcionamiento de la empresa, lo que hace y sus objetivos estratégicos. Con esta base, deben tener las capacidades necesarias para desarrollar una estrategia de seguridad de la información que cuadre con la estrategia de la compañía. También es aconsejable buscar alguien con una amplia experiencia.