El cuestionario de tu aseguradora tiene una pregunta que parece simple: ¿quién es la persona responsable de la seguridad de la información en su empresa? En la mayoría de las oficinas de Puerto Rico que visitamos, esa pregunta produce un silencio incómodo. El de IT arregla las computadoras. El MSP mantiene los servidores. Pero nadie es responsable de la seguridad como función — nadie decide qué proteger primero, con qué presupuesto, y cómo demostrarlo.

Ahí entra un vCISO. Esta guía explica qué hace exactamente en sus primeros 90 días, mes a mes, sin humo. No vendemos miedo ni magia: mostramos el método.

¿Qué es un vCISO?

Un vCISO (virtual Chief Information Security Officer, o CISO virtual) es un líder de seguridad fraccional. Es la misma función que un CISO de una empresa grande — gobernanza, riesgo, estrategia — pero contratada por horas o por retención, no en nómina a tiempo completo.

La distinción importante no es el “virtual”. Es la diferencia entre operar seguridad y dirigir seguridad.

Tu MSP o tu técnico de IT ejecuta: instala el firewall, configura el EDR (la herramienta que detecta amenazas en las computadoras), aplica los patches. Eso es operación, y es necesaria. El vCISO decide qué se hace, por qué, y en qué orden — basado en el riesgo real de tu negocio y en lo que la regulación te exige. El MSP responde “lo instalamos”. El vCISO responde “esto es lo que más te puede costar y esto es lo que vamos a hacer al respecto este trimestre”.

Tampoco es lo mismo que un consultor de una sola vez. Un assessment puntual te da una foto: aquí están tus huecos hoy. Útil, pero una foto envejece. El vCISO es una función continua — vuelve cada trimestre, ajusta el plan cuando cambia el negocio o la regulación, y mantiene la evidencia al día para cuando alguien la pida. No pagas por un informe; pagas por que alguien sea responsable de que la seguridad siga en pie mes tras mes.

¿Por qué existe el modelo vCISO?

Por matemática simple. Un CISO a tiempo completo en el mercado de EE.UU. promedia sobre $230,000 al año en salario base, y la compensación total —con bono y equity— supera con frecuencia los $300,000, según los datos de mercado de Salary.com. Una firma de CPAs de 15 personas en Caguas no puede justificar esa nómina. Pero sí necesita la función.

El modelo fraccional resuelve eso: pagas por la dirección de seguridad que tu tamaño requiere, no por una posición ejecutiva a tiempo completo que no vas a usar al 100%.

Y aquí está el dato que pocos dueños conocen: en sectores regulados, tener un responsable designado de seguridad no es opcional, es ley.

  • La FTC Safeguards Rule —que aplica a firmas de CPAs, preparadores de impuestos y otras instituciones financieras no bancarias— exige designar formalmente a una “Qualified Individual” responsable de supervisar el programa de seguridad de la información. El reglamento permite explícitamente que esa persona sea un empleado, una afiliada o un proveedor de servicios (16 CFR 314.4(a)).
  • La HIPAA Security Rule exige a toda entidad cubierta identificar a un security official responsable del desarrollo e implementación de sus políticas de seguridad (45 CFR 164.308(a)(2)).

En ambos casos, la ley pide un responsable. Un vCISO es la forma de cumplir ese requisito sin una nómina de seis cifras. Ninguna obligación inventada — las dos citas son verificables.

En los assessments que hacemos a PYMES reguladas en Puerto Rico, la casilla del “responsable designado de seguridad” es de las que más veces encontramos vacía. No porque al dueño no le importe, sino porque asumió que “el de IT” ya lo cubría. La operación de IT y la responsabilidad de seguridad son dos cosas distintas, y la ley distingue entre ellas aunque la oficina no lo haga.

Este es también el marco que NIST formalizó en 2024 cuando añadió la función Govern (Gobernar) a su Cybersecurity Framework 2.0, elevando la gobernanza de seguridad al mismo nivel que detectar y responder a ataques (NIST CSF 2.0). El vCISO es quien ocupa esa función Govern en una PYME.

¿Cuándo una PYME necesita un vCISO?

La mayoría de los dueños no se despiertan buscando “CISO virtual”. Llegan al tema por una señal externa. Estas son las que más vemos en Puerto Rico:

  • La aseguradora pregunta quién es responsable de la seguridad — y la renovación de la póliza depende de la respuesta.
  • Un cliente grande o una agencia federal pide tu programa de seguridad por escrito antes de firmar contrato.
  • Un auditor o regulador pregunta por tu risk register — el documento que lista tus riesgos y qué haces con ellos — y no existe.
  • Creciste. Pasaste de 8 a 30 empleados y los controles informales que funcionaban con un equipo pequeño ya no alcanzan.
  • Tuviste un susto — un phishing que casi funciona, un empleado que se fue con accesos abiertos — y te diste cuenta de que nadie estaba mirando.

Ninguna de estas señales requiere un CISO a tiempo completo. Todas requieren la función. Si reconoces dos o más, probablemente ya la necesitas y no lo habías nombrado.

Días 1–30: entender el negocio antes de tocar tecnología

El error más caro que vemos en seguridad de PYMES es empezar comprando herramientas. Un vCISO competente no toca la tecnología el primer mes. Escucha.

Inventario de activos y datos. Lo primero es saber qué hay y dónde vive. Qué sistemas manejan información sensible, dónde están los datos de pacientes o clientes, qué se guarda en la nube, qué corre en ese servidor viejo del clóset. No puedes proteger lo que no sabes que tienes.

Entrevistas con el dueño y el personal clave. El riesgo real se entiende hablando con la gente, no escaneando la red. ¿Quién tiene acceso a qué? ¿Qué pasa cuando un empleado se va? ¿Cómo se comparte información con el contable externo, con el bufete, con la aseguradora? Las respuestas revelan los huecos que ningún escáner detecta.

Revisión de obligaciones reales. Según tu sector: HIPAA si manejas salud, FTC Safeguards si eres firma financiera o de contabilidad, PCI-DSS si procesas tarjetas. Y la póliza de ciber-seguro vigente — con especial atención a sus exclusiones, que es donde las aseguradoras niegan reclamaciones.

Evaluación de riesgo inicial. La pregunta que organiza todo: ¿qué te duele más si falla mañana? No todos los riesgos pesan igual. Para un consultorio, una brecha de datos de pacientes puede ser existencial; para un comercio, la interrupción de operaciones.

Entregable del mes: un mapa de riesgo priorizado, escrito en lenguaje de negocio, no en jerga técnica. El dueño tiene que poder leerlo y entender qué se va a atacar primero y por qué.

Días 31–60: quick wins y fundaciones

Con el mapa de riesgo en mano, el segundo mes corrige lo barato y crítico, y empieza a construir la estructura que faltaba.

Primero, lo barato y crítico. Hay controles que cuestan poco o nada y cierran riesgos grandes: activar MFA (autenticación de múltiples factores) en el correo y los sistemas críticos, revocar el acceso de ex-empleados que nunca se desactivó, y asegurar que existan backups que de verdad sirvan para recuperarte. Sobre ese último punto —que es donde más reclamaciones de ciber-seguro se complican— escribimos una guía completa: backups inmutables, el control que tu aseguradora va a exigir en 2026.

Primeras políticas. Aquí la disciplina importa más que el volumen. Una política de acceso, un procedimiento básico de respuesta a incidentes, una política de uso aceptable. Cortas, claras y ejecutables — no binders de 80 páginas que nadie lee. Una política que el personal no entiende no es una política; es un papel.

Métricas que el dueño entiende. Definir dos o tres indicadores simples: ¿cuántas computadoras tienen el EDR activo?, ¿cuántos usuarios tienen MFA?, ¿cuándo fue la última prueba de restauración de backup? Métricas que un dueño no técnico pueda leer en treinta segundos.

Entregable del mes: un roadmap de 12 meses con presupuesto realista. Qué se hace este trimestre, qué el próximo, y cuánto cuesta cada paso. La seguridad deja de ser una emergencia reactiva y pasa a ser un plan.

Días 61–90: gobernanza que se sostiene

El tercer mes convierte el trabajo en una función permanente. Porque la seguridad no es un proyecto que termina — es una disciplina que se mantiene.

Primera reunión formal de seguridad con el dueño. Un reporte en lenguaje de negocio: dónde estábamos hace 90 días, qué se corrigió, qué riesgos quedan abiertos y qué decisiones necesitan presupuesto. Esta reunión establece el hábito.

Un reporte así no dice “implementamos controles de la categoría PR.AA del NIST”. Dice cosas como: “hace 90 días, 4 de tus 12 computadoras no tenían MFA y no sabíamos si los backups servían; hoy las 12 tienen MFA, probamos una restauración completa la semana pasada, y el riesgo que queda abierto es el acceso del proveedor de tu sistema de facturación — necesitamos un contrato que lo cubra”. Ese es el nivel de claridad que un dueño puede usar para tomar decisiones.

Preparación de evidencia. Aquí es donde el trabajo paga dividendos visibles. Cuando llega el cuestionario de la aseguradora o cuando un cliente corporativo pide tu programa de seguridad, ya tienes las respuestas documentadas. Esa attestation que antes producía silencio ahora se contesta con evidencia. En mi experiencia, este es el momento en que el dueño entiende por fin qué compró: no compró software, compró la capacidad de responder con confianza.

Awareness inicial del personal. La primera capacitación corta al equipo — porque el control técnico más caro no sirve si alguien le da clic al phishing equivocado. No tiene que ser un curso de ocho horas; tiene que ser concreto y relevante a cómo trabaja tu oficina.

Entregable del mes: un paquete de evidencia listo para aseguradoras y clientes, más una cadencia trimestral establecida. A partir de aquí, la función se sostiene con revisiones periódicas, no con heroísmos de última hora.

90 días no es magia — es método

Resumido: el primer mes da visibilidad, el segundo construye fundaciones, el tercero instala gobernanza. Al final de 90 días, una PYME que no sabía quién era responsable de su seguridad tiene un responsable, un plan, y la evidencia para demostrarlo.

Eso es lo que distingue dirigir seguridad de operarla. No es comprar más herramientas; es decidir, con criterio y con orden, qué protege tu negocio y cómo lo demuestras ante quien lo pregunte.

Si la pregunta de tu aseguradora —o de un cliente grande— te produjo ese silencio incómodo, podemos ayudarte a contestarla. Escríbenos a contactus@sectycs.com. Una primera conversación, sin costo y sin compromiso, te da claridad sobre dónde está tu postura hoy.

Yarelis Lozada Castro, CISM, CDPSE, ISACA Authorized Trainer, es co-fundadora de SecTYCS LLC. Ha liderado assessments y programas de seguridad para clínicas, firmas de contabilidad y organizaciones financieras en Puerto Rico.