El CISO y su rol en el SGSI según ISO 27001
El Chief Information Security Officer (CISO) es la figura que lidera la seguridad de la información en una organización. Aunque ISO 27001 no exige explícitamente el cargo de CISO, sí requiere que las responsabilidades de seguridad estén claramente asignadas. En la práctica, alguien debe asumir el rol de líder del SGSI, y el CISO es la figura que típicamente cumple esa función.
¿ISO 27001 exige un CISO?
No explícitamente. La cláusula 5.3 requiere que la alta dirección asegure que las responsabilidades y autoridades para roles relevantes se asignen y comuniquen. No prescribe títulos de cargo específicos. Sin embargo, alguien debe ser responsable de asegurar que el SGSI es conforme con la norma y reportar su desempeño a la dirección.
Funciones del CISO en el contexto ISO 27001
| Área | Funciones |
|---|---|
| Estrategia | Definir la estrategia de seguridad alineada con el negocio, asesorar a la dirección sobre riesgos |
| Gobernanza | Desarrollar y mantener la política de seguridad, gestionar el marco normativo interno |
| Riesgos | Liderar la evaluación de riesgos, supervisar el tratamiento y monitorear riesgos residuales |
| Controles | Supervisar la implementación y eficacia de los controles del Anexo A |
| Cumplimiento | Asegurar cumplimiento regulatorio (Ley 21.663, Ley 21.719) |
| Incidentes | Liderar la respuesta a incidentes de seguridad |
| Cultura | Promover la concientización y capacitación en seguridad |
| Reportes | Informar a la alta dirección sobre el estado de la seguridad y las métricas del SGSI |
Competencias necesarias
Un CISO efectivo necesita una combinación de competencias técnicas (comprensión de amenazas, controles y tecnologías de seguridad), de gestión (liderazgo, comunicación, gestión de proyectos), de negocio (entender el contexto del negocio y alinear seguridad con objetivos estratégicos) y regulatorias (conocer el marco legal y normativo aplicable).
El rol del CISO en pymes
Muchas pymes no pueden justificar un CISO dedicado. Alternativas válidas incluyen asignar el rol al gerente de TI con formación adicional en seguridad, contratar un CISO virtual (vCISO) o consultor externo que actúe como CISO a tiempo parcial, o asignar la responsabilidad al gerente de calidad si ya gestiona otros sistemas ISO.
Gestiona tu SGSI como un CISO con GRC360
GRC360 proporciona al responsable del SGSI todas las herramientas que necesita: dashboard ejecutivo, gestión de riesgos, control de cumplimiento y reportes automatizados.
Crear Cuenta GratisConsulta nuestras guías sobre roles y responsabilidades, comité de seguridad y ISO 27001 con recursos limitados.
¿Necesitas gestionar tu compliance?
GRC360 te ayuda a implementar estándares ISO, gestionar riesgos y cumplir con la normativa.
Crear Cuenta Gratis