Antes de que entre en el despacho su CISO: siete cuestiones que todo consejero debería plantearse

Los consejos de administración y los comités de dirección toman cada trimestre decisiones sobre ciberseguridad sin que la mayoría de sus miembros sepan distinguir un cortafuegos de una copia de seguridad. No es un problema en sí mismo: nadie exige al presidente de una cadena hotelera que sepa reparar una caldera. El problema surge cuando el directivo no sabe qué preguntas hacer, y acepta informes técnicos que legitiman decisiones sin examinarlas.

Esta guía propone siete cuestiones que cualquier gerente puede plantear a su responsable de seguridad o a su proveedor tecnológico, con una explicación de qué significa cada pregunta, qué tipo de respuesta sería razonable y qué implicaciones tiene para el negocio.

1. ¿Qué pasaría mañana si cifran nuestros datos?

Qué significa: se pregunta por la capacidad real de recuperación ante un ataque de ransomware, no por las defensas preventivas.

Respuesta razonable: existe una copia de seguridad aislada del entorno principal, probada con restauraciones reales en los últimos meses, y un procedimiento escrito con tiempos de recuperación estimados.

Implicación: si la respuesta es vaga, el riesgo de interrupción total del negocio es alto. La inversión en copias robustas suele ser de las más rentables en materia de seguridad.

2. ¿Cuál es nuestro tiempo medio de detección de un incidente?

Qué significa: cuánto tiempo tarda la empresa en enterarse de que algo va mal. Los atacantes pueden permanecer semanas dentro de una red sin ser detectados.

Respuesta razonable: existe monitorización continua y la detección se mide en horas o pocos días, no en semanas.

Implicación: cada hora adicional de presencia de un atacante multiplica el daño. Si no se mide, no se gestiona.

3. ¿Quién puede acceder a los sistemas críticos y cómo se comprueba?

Qué significa: control de accesos. Una parte importante de los incidentes internos procede de cuentas con permisos excesivos o de antiguos empleados que siguen teniendo acceso.

Respuesta razonable: existe un inventario de accesos revisado periódicamente y la autenticación multifactor está implantada en los sistemas relevantes.

Implicación: es una medida de coste bajo y efecto alto. Su ausencia indica madurez de seguridad escasa.

4. ¿Qué información nuestra sería un problema si apareciera publicada?

Qué significa: obliga a clasificar los datos por criticidad. No todos los datos merecen la misma protección, y protegerlo todo por igual resulta caro e ineficaz.

Respuesta razonable: el CISO puede señalar dónde están los datos más sensibles, quién los trata y qué controles específicos los cubren.

Implicación: permite priorizar el presupuesto en lo que de verdad duele, en lugar de repartirlo de forma uniforme.

5. ¿Hemos simulado un ataque alguna vez?

Qué significa: si solo se han hecho auditorías documentales, la capacidad real de reacción es desconocida. Las simulaciones —ejercicios de respuesta ante incidentes o pruebas de intrusión controladas— revelan las grietas.

Respuesta razonable: al menos un ejercicio anual con participación de las áreas de negocio, no solo de informática.

Implicación: el coste de una simulación es una fracción mínima del coste de un incidente real.

6. ¿Cumplimos lo que dicen nuestros clientes que cumplimos?

Qué significa: cada vez más clientes corporativos y administraciones públicas exigen acreditar medidas de seguridad en licitaciones y contratos. La pregunta traduce la ciberseguridad a lenguaje comercial.

Respuesta razonable: se conocen las exigencias contractuales vigentes y existe un plan para acreditarlas, mediante auditorías, certificaciones o declaraciones documentadas.

Implicación: el cumplimiento deja de ser un gasto y se convierte en un requisito de acceso a ingresos.

7. Si usted dejara la empresa mañana, ¿qué se perdería?

Qué significa: es la pregunta sobre la dependencia de personas frente a la consolidación de procesos. Afecta igual a un CISO interno que a un proveedor externo.

Respuesta razonable: la información clave está documentada, las configuraciones están registradas y existe una transferencia de conocimiento continua.

Implicación: la dependencia excesiva de una persona es un riesgo operativo que ningún informe técnico suele reflejar.

Del informe a la decisión

Ninguna de estas preguntas exige conocimientos técnicos para formularla, y todas las respuestas admiten verificación posterior. Un directivo que las lleve a su próxima reunión no convertirá el informe del CISO en una lectura amena, pero sí logrará algo más valioso: distinguir entre una organización que gestiona su seguridad y una que la sufre. En Aifos Solutions recomendamos además revisar estas cuestiones con periodicidad anual, porque el escenario de amenazas, la normativa y la propia infraestructura cloud de la empresa cambian con mayor rapidez de lo que la mayoría de los planes prevé.