Por En términos simples
Alguien que cumple el rol de director de seguridad de la empresa, sin ser un cargo interno de dedicación completa.
Un CISO —Chief Information Security Officer— es quien dirige la ciberseguridad de una organización: define la estrategia, prioriza las inversiones, gestiona el riesgo y le responde a la gerencia. Un vCISO cumple ese mismo rol, pero desde afuera y con dedicación parcial.
No es una versión rebajada del cargo. Es una respuesta a un problema concreto de escala: hay un rango de empresas donde la necesidad de dirección de seguridad ya existe, pero el volumen de trabajo todavía no justifica un cargo interno de dedicación completa.
Qué hace un vCISO
El trabajo es de dirección, no de ejecución. En concreto: define la estrategia de ciberseguridad y la traduce en un roadmap; gestiona la matriz de riesgos y su tratamiento; establece el gobierno —roles, políticas, comité, indicadores—; conduce el cumplimiento normativo y prepara a la empresa para auditorías; coordina y supervisa a los proveedores técnicos; y le reporta a la gerencia en lenguaje de negocio, no en jerga.
Ese último punto es el que más se subestima. Buena parte del valor de un vCISO está en traducir: convertir un hallazgo técnico en una decisión de inversión que un directorio pueda tomar.
Qué NO hace un vCISO
Un vCISO no reemplaza al equipo de TI. No administra servidores día a día, no resuelve tickets, no opera firewalls ni monitorea eventos 24/7. Si lo que la empresa necesita es alguien que ejecute tareas técnicas, lo que necesita es un proveedor de TI o un servicio gestionado, no dirección.
Esta separación importa por una razón práctica: quien dirige y verifica no debería ser el mismo que ejecuta. Cuando el proveedor que instala el control es también el que certifica que quedó bien instalado, la verificación pierde valor — que es exactamente el problema que un vCISO viene a resolver.
La señal de que hace falta
Hay una situación que se repite: la empresa tiene equipo técnico competente, tiene herramientas contratadas, y aun así nadie puede responder qué tan expuesta está ni qué habría que hacer primero. No es un problema de capacidad técnica, es un vacío de dirección. Nadie tiene el rol de mirar el conjunto.
Las otras señales suelen ser externas: cuestionarios de seguridad de clientes que quedan sin responder bien, una auditoría que se acerca, una obligación regulatoria con plazo, o un incidente que dejó en evidencia que no había un plan.
Cómo se estructura el trabajo
El arranque es un levantamiento: qué hay, qué exigencias aplican y en qué estado real están los controles. De ahí sale un roadmap priorizado con responsables del lado del cliente, que es el documento que ordena los meses siguientes.
Después el trabajo entra en cadencia mensual: revisar qué se ejecutó y con qué evidencia, reclasificar riesgos según lo que cambió —un proveedor nuevo, un sistema nuevo, un incidente—, ajustar prioridades y dejar un reporte que la gerencia pueda leer sin traducción técnica.
Hay dos anclajes normativos que estructuran ese calendario en Chile. La Ley 21.719, vigente desde el 1 de diciembre de 2026, empuja a designar formalmente un responsable de datos personales y a poder acreditar medidas técnicas y organizativas. La Ley 21.663 fija plazos de reporte de incidentes que hay que tener ensayados antes de necesitarlos, no durante.
Cómo se ve en la práctica
Una empresa con 60 trabajadores tiene un encargado de TI y un proveedor externo de soporte. El proveedor instala un EDR y reporta que quedó operativo.
La pregunta que nadie está haciendo es si quedó desplegado en el 100% de los equipos, si alguien revisa sus alertas, y qué pasa si detecta algo un sábado. Sin dirección, esas preguntas no tienen dueño.
El vCISO no instala el EDR ni revisa alertas. Define que ese control es prioritario, exige evidencia de cobertura real, establece quién responde ante una alerta y en qué plazo, y lo deja documentado para cuando un cliente pregunte.
Qué debe decidir la gerencia
Contratar dirección externa es una decisión de estructura, no una compra de servicio. Conviene responder esto antes de cotizar.
- 1
¿El problema es de ejecución o de dirección?
Si las tareas técnicas se hacen pero nadie las prioriza ni las verifica, falta dirección. Si directamente no se hacen, falta capacidad de ejecución — y un vCISO no la reemplaza.
- 2
¿Quién será la contraparte interna?
El vCISO dirige, pero necesita a alguien del lado de la empresa que ejecute y responda. Sin esa figura, el roadmap se estanca en el primer mes.
- 3
¿A quién le reporta y con qué frecuencia?
Si el reporte muere en TI, la ciberseguridad nunca entra en la conversación de negocio. La Ley 21.719 además empuja a designar formalmente un responsable de datos personales, y ese rol necesita respaldo técnico.
- 4
¿Qué nivel de involucramiento ejecutivo se necesita?
No es lo mismo una revisión mensual que acompañar un comité y preparar auditorías de clientes. Ese alcance es exactamente lo que define el tramo y el costo.
Preguntas frecuentes
- ¿Un vCISO reemplaza a mi equipo de TI?
- No. Son roles distintos y complementarios. El equipo de TI opera la infraestructura; el vCISO define qué proteger, con qué prioridad, y verifica que los controles funcionen. Un vCISO sin equipo de TI que ejecute no sirve de mucho, y un equipo de TI sin dirección tiende a resolver lo urgente y postergar lo importante.
- ¿Cuántas horas al mes dedica un vCISO?
- Depende del tamaño de la empresa, de cuántas áreas y proveedores hay que coordinar, de las exigencias regulatorias que apliquen y del nivel de involucramiento ejecutivo que se necesite. Por eso se cotiza mensualmente según alcance y no como una tarifa única.
- ¿En qué se diferencia de contratar una auditoría?
- Una auditoría es una foto: describe el estado en un momento y queda obsoleta al poco tiempo. Un vCISO es acompañamiento continuo: revisa mensualmente, actualiza el roadmap según lo que cambió y sostiene la evidencia en el tiempo. La auditoría dice cómo estás; el vCISO se hace cargo de que mejores.
Cómo trabaja Brumaz este concepto
El vCISO es el servicio recurrente de Brumaz: dirección continua del riesgo con reporte ejecutivo mensual, roadmap actualizado y evidencia de que la ejecución —del equipo interno o de un tercero— efectivamente redujo el riesgo. Brumaz dirige y verifica; no opera las herramientas.
Ver el alcance y los tramosEste contenido es informativo y no constituye asesoría legal ni técnica personalizada.
Sobre el autor
Fundador, Brumaz
Ingeniero Civil en Telecomunicaciones (Universidad de Concepción)
Diplomado en Data Science (Universidad Adolfo Ibáñez)
Certificaciones en ciberseguridad y en soluciones Fortinet y WatchGuard
11 años de experiencia en telecomunicaciones, TI y ciberseguridad. Su trabajo combina esa base de infraestructura y redes con la dirección de riesgo: certificaciones de marca en seguridad perimetral y trabajo sobre los marcos ISO 27001 y NIST CSF, aplicados a la normativa chilena.