🎓 Evaluación del ecosistema CISO

Esta evaluación no comprueba que te sepas las definiciones. Comprueba que, ante una situación concreta, sabes decir quién decide, quién asesora y quién responde — y que no confundes un consejo interesado con un dictamen independiente.

Cómo se aprueba. La evaluación tiene dos partes:

• Parte A · Escenarios (18 preguntas, 54 puntos). Se aprueba con 38.
• Parte B · Ejercicios prácticos (5 ejercicios, 46 puntos). Se aprueba con 32.

Hay que aprobar las dos partes por separado. Sumar 70 puntos con la Parte B suspensa no aprueba: los ejercicios son el objeto de la evaluación y las preguntas son el filtro previo.

Requisito previo: haber leído el ecosistema CISO y haber hecho al menos cuatro escenarios del laboratorio.

Parte A · Escenarios de selección múltiple

Cada pregunta vale 3 puntos. Todas se responden con la información del enunciado; ninguna requiere memorizar una norma. Las respuestas están plegadas: intenta las dieciocho antes de abrir ninguna.

Bloque 1 — Quién decide, quién asesora, quién responde

1. El CISO de una empresa determina que un sistema heredado no puede parchearse y que sustituirlo cuesta más de lo que la empresa quiere gastar este año. ¿Quién debe firmar la aceptación del riesgo residual?

• a) El CISO, porque es el responsable de la seguridad de la información.
• b) El gerente de la unidad de negocio que usa ese sistema.
• c) El jefe de TI, porque el sistema es suyo.
• d) El auditor interno, porque valida los controles.

2. Un Field CISO de un fabricante entrega a su cliente una «evaluación de madurez frente a NIST CSF» con puntuaciones por función. El cliente quiere adjuntarla a su expediente de auditoría como evidencia de evaluación independiente. ¿Qué corresponde hacer?

• a) Aceptar: el marco es público y la metodología es la misma que usaría un auditor.
• b) Aceptar si el Field CISO tiene CISSP y CISM.
• c) Advertir por escrito que la evaluación no es independiente y recomendar un auditor externo si se necesita un dictamen.
• d) Aceptar, pero quitando el logotipo del fabricante del documento.

3. Una empresa contrata un vCISO fractional por dos días al mes. A los cuatro meses, el gerente general le pide que «decida» si se acepta el riesgo de no cifrar una base de datos histórica. ¿Cuál es la respuesta profesional?

• a) Decidir, porque para eso lo contrataron.
• b) Negarse a opinar: no tiene información suficiente.
• c) Preparar la decisión —opciones, coste, riesgo residual y recomendación— y pedir que la firme un responsable de la empresa.
• d) Escalar al directorio directamente, sin pasar por el gerente general.

4. Durante un incidente de ransomware, ¿quién debe tener la A (accountable) en la fila «decidir si se paga el rescate» de un RACI de crisis?

• a) El CISO.
• b) El jefe de respuesta a incidentes.
• c) El CEO o el órgano de administración, con asesoría legal obligatoria.
• d) El proveedor de respuesta a incidentes contratado.

5. Un BISO detecta que su unidad de negocio no podrá cumplir un control corporativo en el plazo fijado. ¿Qué corresponde?

• a) Aplicar el control igualmente: la política es la política.
• b) Conceder una excepción indefinida para no frenar a la unidad.
• c) Documentar una excepción con control compensatorio, fecha de vencimiento y firma del responsable de la unidad, y comunicarla al programa central.
• d) Informar al CISO y esperar instrucciones sin hacer nada más.

6. ¿Quién responde legalmente por las obligaciones de ciberseguridad de una organización?

• a) El CISO, en todos los casos.
• b) La organización y, según el marco aplicable, sus órganos de administración; el reparto interno es una decisión de la empresa.
• c) El DPO, porque es la figura que la ley reconoce.
• d) El proveedor de seguridad contratado.

Bloque 2 — CISO frente a Field CISO

7. ¿Cuál de estas afirmaciones distingue mejor a un CISO de un Field CISO?

• a) El CISO es más técnico.
• b) El Field CISO gana más.
• c) El CISO tiene mandato, presupuesto y responde ante el directorio de su organización; el Field CISO asesora a clientes desde un proveedor y no controla nada de eso.
• d) El Field CISO trabaja en remoto y el CISO en la oficina.

8. El equipo comercial pide al Field CISO que use en una reunión dos incidentes recientes del sector del cliente como argumento de urgencia. Él no conoce sus causas. ¿Qué hace?

• a) Usarlos: son públicos.
• b) Usarlos, pero aclarando que no conoce los detalles.
• c) No usarlos como argumento de urgencia, y sustituirlos por hechos verificables del propio cliente; explicar internamente por qué.
• d) Negarse a asistir a la reunión.

9. El mayor riesgo del cliente no lo resuelve el producto del Field CISO. ¿Qué debe contener la recomendación?

• a) Solo lo que el producto resuelve: para lo demás ya buscarán a otro.
• b) El riesgo real, la recomendación correcta aunque no incluya el producto propio, y la propuesta comercial claramente etiquetada como tal.
• c) El riesgo real, pero enmarcado de modo que el producto parezca la solución.
• d) Una lista de opciones sin recomendación, para no sesgar.

10. Un cliente comparte con el Field CISO su arquitectura y sus brechas. Seis meses después, otro cliente del mismo sector le describe un problema idéntico. ¿Puede usar lo aprendido?

• a) Sí, es su experiencia profesional.
• b) Sí, si anonimiza el nombre del primer cliente.
• c) Puede usar el patrón general, nunca detalles reconocibles; y si el sector y el tamaño hacen identificable al primer cliente, tampoco el patrón.
• d) No puede usar nada de lo que aprende con clientes.

Bloque 3 — vCISO, fractional, interim y CISO as a Service

11. Una empresa necesita a alguien que ocupe el cargo a jornada completa durante seis meses, mientras busca al titular, y que dirija una auditoría en curso. ¿Qué figura es?

• a) vCISO.
• b) Fractional CISO.
• c) Interim CISO.
• d) CISO as a Service.

12. ¿Qué describe exactamente el término «fractional»?

• a) Que el servicio se presta en remoto.
• b) Que la dedicación es parcial y se reparte entre varios clientes.
• c) Que el contrato es temporal.
• d) Que lo presta una empresa y no una persona.

13. ¿Cuál es la diferencia práctica más importante entre contratar a un vCISO individual y contratar «CISO as a Service» a una firma?

• a) El precio.
• b) Que en el servicio hay un equipo detrás y continuidad si la persona asignada se va.
• c) Que el servicio incluye herramientas.
• d) Ninguna: son sinónimos comerciales.

14. El contrato de un vCISO no dice nada sobre su capacidad de detener un despliegue. El vCISO detecta un despliegue con un fallo crítico y lo detiene. ¿Qué ha ocurrido?

• a) Ha hecho su trabajo.
• b) Ha ejercido una autoridad que no tiene; debía escalar a quien sí puede detenerlo y dejar constancia.
• c) Da igual: el resultado es el correcto.
• d) Ha incumplido su deber de confidencialidad.

Bloque 4 — Especializaciones y cargos vecinos

15. Una empresa nombra «Cloud CISO» a una persona que trabaja en un proveedor de nube y viaja a reuniones con clientes para asesorarlos sobre su adopción. Funcionalmente, ¿qué es?

• a) Un CISO con especialidad en nube.
• b) Un Field CISO con especialidad en nube.
• c) Un BISO de la unidad de nube.
• d) Un arquitecto de soluciones.

16. ¿Por qué el DPO no debe absorberse dentro de la función del CISO?

• a) Porque tiene más antigüedad en la organización.
• b) Porque su función incluye supervisar el cumplimiento en protección de datos y debe poder discrepar del negocio y del propio CISO sin represalia.
• c) Porque el CISO no entiende de datos personales.
• d) Porque el DPO reporta al regulador.

17. Un OT CISO propone instalar un agente de detección en las estaciones de operador de una sala de control. Ingeniería de proceso advierte que podría retrasar la respuesta del operador ante una alarma. ¿Qué corresponde?

• a) Instalarlo: la política corporativa lo exige en todos los endpoints.
• b) Instalarlo solo en horario de baja producción.
• c) No instalarlo y buscar un control alternativo, documentando el descarte y su motivo.
• d) Instalarlo y aceptar el riesgo firmando el CISO corporativo.

18. Un registro de riesgos de IA contiene la entrada «riesgo de alucinación del modelo». ¿Qué falla?

• a) Nada: es un riesgo reconocido del dominio.
• b) Que no es un escenario: falta la causa, el evento concreto, la consecuencia y cómo se comprobaría.
• c) Que debería estar en el registro de riesgos general, no en el de IA.
• d) Que le falta la puntuación CVSS.

Parte B · Ejercicios prácticos

Cinco ejercicios, 46 puntos. Se aprueban con 32 y cumpliendo el criterio de aceptación de cada uno. Usa las plantillas y las organizaciones ficticias.

Ejercicio 1 · RACI de crisis (10 puntos)

Situación. Andes Retail sufre el incidente del escenario 5: el punto de venta de 41 tiendas deja de responder un viernes por la noche y el proveedor no contesta.

Qué entregas. Un RACI con estas ocho filas, completo:

1. Declarar el incidente como grave.
2. Detener el canal digital.
3. Decidir si se paga un rescate.
4. Evaluar si se cumple el umbral de notificación a la autoridad.
5. Notificar a la autoridad.
6. Comunicar a clientes.
7. Contratar un proveedor externo de respuesta a incidentes.
8. Autorizar la restauración desde copia y declarar el servicio limpio.

Añade, para las filas 2, 3 y 5, dos líneas de justificación de por qué la A está donde está.

Rúbrica.

Criterio de aceptación. Ninguna fila puede tener al CISO como A en las filas 2, 3 y 5. El CISO recomienda y ejecuta la parte técnica; no decide detener el negocio, pagar ni notificar.

Ejercicio 2 · Aceptación de riesgo (10 puntos)

Situación. El Gerente de Operaciones de Andes Retail decide no renovar los sistemas de las 22 tiendas más antiguas este año: el coste supera el presupuesto disponible y prefiere destinarlo a la temporada alta. El riesgo queda vivo.

Qué entregas. El acta de aceptación de riesgo completa, más una respuesta razonada a esta pregunta: «¿Qué haces si el gerente se niega a firmar?»

Rúbrica.

Criterio de aceptación. La firma de «acepta el riesgo» debe ser del Gerente de Operaciones. El CISO solo puede aparecer como «toma conocimiento». Si el ejercicio resuelve la negativa a firmar aceptando el riesgo el propio CISO, está suspenso.

Ejercicio 3 · Conflicto de interés en preventa (10 puntos)

Situación. Eres el Field CISO de Cumbre Security. Debes entregar la recomendación a Andes Retail sabiendo que (a) su mayor riesgo no lo resuelve tu producto, (b) tu producto tiene una limitación conocida con su punto de venta y (c) comercial quiere usar los incidentes del sector como palanca.

Qué entregas. Una recomendación de una página con las cuatro etiquetas —[HECHO], [HIPÓTESIS], [OPINIÓN PROFESIONAL], [PROPUESTA DEL PROVEEDOR]— más la declaración de interés y la respuesta interna que le das a comercial.

Rúbrica.

Criterio de aceptación. Un lector que no sepa para quién trabajas debe poder separar, sin ayuda, los hechos de la propuesta comercial. Además, cada [HIPÓTESIS] debe indicar qué la refutaría.

Ejercicio 4 · Informe ejecutivo (10 puntos)

Situación. Comité de Auditoría de Andes Retail. Quince minutos, una página.

Qué entregas. El informe ejecutivo de una página con dos decisiones, cuatro indicadores y la sección «lo que no estamos haciendo».

Rúbrica.

Criterio de aceptación. Un lector no técnico debe poder decirte qué dos cosas tiene que decidir el comité. Si no puede, está suspenso, por muy bien escrito que esté.

Ejercicio 5 · Clasificar seis cargos reales (6 puntos)

Situación. Te llegan seis descripciones de puesto. Clasifícalas.

Qué entregas. Para cada uno: familia (A, B, C o D del ecosistema), nombre del cargo, y la señal del enunciado que te lo dice.

Rúbrica. 1 punto por cargo correctamente clasificado con su señal identificada. Acertar el nombre sin señalar la evidencia vale 0,5.

🏁 Capstone por ruta

Esta evaluación es transversal. Cada ruta independiente tiene además su propio capstone, con el entregable que produce ese puesto y que no se puede aprobar con el de otro:

🔗 Relacionado

• 🗂️ El ecosistema CISO
• 🧪 Laboratorio ejecutivo CISO · 🏢 Organizaciones · 🧾 Plantillas
• 🎓 Examen final por rol
• 📝 Autoevaluaciones por parte