🧾 Plantillas reutilizables del laboratorio ejecutivo

Quince plantillas para los catorce escenarios. Están escritas para copiarse y rellenarse: cópialas a tu propio documento y sustituye los campos. Cada una lleva una nota de uso que explica el error que esa plantilla existe para evitar.

⚖️ Ninguna de estas plantillas es un documento legal. Son material de estudio. Un acta de aceptación de riesgo o una declaración de trabajo reales deben revisarse con el área legal de tu organización.

📇 Índice

1 · RACI

Para qué: dejar por escrito quién hace, quién responde, a quién se consulta y a quién se informa. El error que evita: que dos personas crean que la decisión es de la otra.

R — Responsible: quien ejecuta la tarea. A — Accountable: quien responde por el resultado. Solo puede haber uno por fila. C — Consulted: se le consulta antes de decidir. I — Informed: se le informa después.

Reglas de validación de la plantilla:

1. Exactamente una A por fila. Si hay dos, la fila está mal.
2. La A de «aceptar un riesgo residual» nunca es el CISO ni un asesor externo.
3. Si una fila no tiene ninguna R, esa actividad no va a ocurrir.
4. Si alguien es A y R en todas las filas, no tienes un RACI: tienes una lista de tareas de una persona.

2 · Registro de riesgos

Para qué: la herramienta central del oficio. El error que evita: riesgos sin dueño, sin fecha y sin residual, que es lo mismo que no tenerlos.

Fila de ejemplo:

3 · Aceptación formal de riesgo

Para qué: dejar constancia de que el negocio decidió no tratar un riesgo. El error que evita: que el CISO o un asesor externo cargue con una decisión que no le corresponde.

ACTA DE ACEPTACIÓN DE RIESGO

Identificador del riesgo:  R-___
Fecha de la aceptación:    ___/___/______
Vigencia de la aceptación: hasta ___/___/______  (máximo 12 meses)

1. ESCENARIO DE RIESGO
   [Causa, evento y consecuencia, en una frase comprensible sin jerga técnica]

2. IMPACTO ESTIMADO Y SUPUESTOS
   Impacto: [dinero / horas de indisponibilidad / personas / incumplimiento]
   Supuestos usados: [los que sostienen la cifra]
   Probabilidad estimada y en qué se basa: [___]

3. OPCIONES DE TRATAMIENTO EVALUADAS
   Opción A: [descripción] — coste [___] — riesgo residual [___] — plazo [___]
   Opción B: [descripción] — coste [___] — riesgo residual [___] — plazo [___]
   Opción C: no tratar — riesgo residual [___]

4. DECISIÓN
   Se acepta el riesgo residual [alto/medio/bajo] por el siguiente motivo de negocio:
   [___]

5. CONDICIONES DE LA ACEPTACIÓN
   Controles compensatorios que se mantendrán: [___]
   Indicadores que se vigilarán: [___]
   Hechos que obligan a reabrir esta decisión antes del vencimiento: [___]

6. FIRMAS
   Acepta el riesgo (dueño del proceso de negocio):  Nombre / Cargo / Firma / Fecha
   Toma conocimiento (CISO o responsable de seguridad): Nombre / Cargo / Firma / Fecha
   Toma conocimiento (Legal o Cumplimiento, si aplica): Nombre / Cargo / Firma / Fecha

Reglas: la aceptación caduca; quien acepta es del negocio; el CISO «toma conocimiento», no acepta; y un riesgo aceptado sigue en el registro, no desaparece.

4 · Cuadro de KPI y KRI

Para qué: que la dirección vea el estado del programa en una pantalla. El error que evita: tableros con cuarenta métricas que nadie mira y ninguna que obligue a decidir.

Reglas: máximo diez indicadores en la vista ejecutiva; cada uno con una decisión asociada; si un indicador no cambia ninguna decisión, sácalo del tablero.

5 · Informe ejecutivo de una página

Para qué: que alguien sin formación técnica termine de leer sabiendo qué tiene que decidir. El error que evita: informes técnicos disfrazados de ejecutivos.

INFORME EJECUTIVO DE SEGURIDAD — [Organización] — [Periodo]

1. LO QUE NECESITA SABER (3 líneas)
   [Estado general en lenguaje llano. Sin siglas sin definir. Sin nombres de herramientas.]

2. LO QUE NECESITA DECIDIR HOY
   Decisión 1: [___]  ·  Plazo: [___]  ·  Coste: [___]  ·  Si no se decide: [___]
   Decisión 2: [___]  ·  Plazo: [___]  ·  Coste: [___]  ·  Si no se decide: [___]

3. LOS TRES RIESGOS QUE MÁS PESAN
   [Riesgo] — impacto en [dinero/servicio/clientes] — dueño — estado

4. QUÉ MEJORÓ Y QUÉ EMPEORÓ DESDE EL INFORME ANTERIOR
   Mejoró: [___]        Empeoró: [___]

5. CUATRO NÚMEROS
   [Indicador y valor]  ·  [Indicador y valor]  ·  [Indicador y valor]  ·  [Indicador y valor]

6. LO QUE NO ESTAMOS HACIENDO Y POR QUÉ
   [Honestidad explícita: qué queda fuera del alcance actual y qué haría falta para cubrirlo]

Reglas: una página de verdad; cada sigla se define la primera vez; el punto 6 no es opcional —es lo que separa un informe de una campaña de autopromoción—.

6 · Plan de 30/60/90 días

Para qué: los primeros meses en un cargo nuevo. El error que evita: llegar cambiando cosas antes de entender la organización, o pasar noventa días «escuchando» sin producir nada.

Reglas: una mejora visible en los primeros 30 días compra credibilidad para los otros 60; no prometas resultados de seguridad en 90 días, promete capacidad de decidir.

7 · Análisis de impacto al negocio (BIA) con RTO y RPO

Para qué: saber qué hay que levantar primero y cuánto se puede perder. El error que evita: tiempos de recuperación fijados por TI en lugar de por el negocio.

Una fila con RTO acordado pero sin RTO real medido no es un BIA: es una lista de deseos.

8 · Guion de ejercicio de mesa (tabletop)

Para qué: ensayar la crisis antes de vivirla. El error que evita: ejercicios donde todo el mundo acierta porque nadie tiene información incompleta ni reloj.

EJERCICIO DE MESA — [Nombre] — [Fecha] — Duración: [90–150 min]

OBJETIVOS DE APRENDIZAJE (3 máximo)
  1. [___]   2. [___]   3. [___]

PARTICIPANTES Y ROLES
  Facilitador · Anotador · Dirección · CISO · TI/Operaciones · Legal · Comunicaciones ·
  Recursos Humanos · [Prevención de Riesgos, si es OT] · Observadores

REGLAS
  - Se juega con la información que hay, no con la que se desearía.
  - No se resuelve por «llamamos al proveedor y lo arregla».
  - Las decisiones se anotan con la hora.
  - No se busca culpables: se buscan huecos de proceso.

INYECTOS

  T+00  [Hecho inicial]
        Preguntas: ¿esto es un incidente? ¿quién lo declara? ¿a quién se avisa?
  T+20  [Escalada: aparece un dato que cambia la gravedad]
        Preguntas: ¿se detiene el servicio? ¿quién autoriza?
  T+45  [Presión externa: un cliente, un periodista o un plazo regulatorio]
        Preguntas: ¿qué se comunica, a quién, quién lo firma?
  T+70  [Decisión incómoda: coste alto, información incompleta]
        Preguntas: ¿quién decide? ¿con qué criterio? ¿queda registrado?
  T+90  [Recuperación: qué se restaura primero y cómo se verifica que está limpio]

CIERRE
  - Cronología de decisiones reconstruida.
  - Tres cosas que funcionaron · tres que no · tres acciones con dueño y fecha.
  - Qué documento faltaba y quién lo escribe.

9 · Evaluación de terceros

Para qué: el riesgo que entra por contrato. El error que evita: cuestionarios de 200 preguntas idénticos para el proveedor de café y para el que tiene acceso remoto a producción.

Regla de proporcionalidad: la profundidad de la evaluación la fija la criticidad, no el tamaño del proveedor.

10 · Declaración de trabajo para vCISO

Para qué: delimitar un encargo externo. El error que evita: que la autoridad, la dedicación y la responsabilidad queden implícitas y se descubran durante una crisis.

DECLARACIÓN DE TRABAJO — SERVICIOS DE DIRECCIÓN DE SEGURIDAD (vCISO)

1. PARTES Y VIGENCIA
   Cliente: [___]   Prestador: [___]   Del [___] al [___]   Modalidad: [virtual/presencial/mixta]
   Tipo de encargo: [fractional / interim / servicio gestionado]

2. FUNCIONES INCLUIDAS
   [Lista cerrada. Ejemplos: estrategia y plan director; registro de riesgos; redacción de
   políticas para aprobación; dirección del comité de seguridad; evaluación de terceros;
   preparación de auditorías; dirección de la respuesta a incidentes graves.]

3. FUNCIONES EXCLUIDAS EXPRESAMENTE
   [Ejemplos: operación de herramientas; soporte a usuarios; auditoría independiente del propio
   trabajo; representación legal.]

4. AUTORIDAD CONCEDIDA
   ¿Puede detener un despliegue?           [Sí / No]  Condiciones: [___]
   ¿Puede vetar la contratación de un proveedor? [Sí / No]  Condiciones: [___]
   ¿Puede aprobar políticas?               [No, propone. Aprueba: ___]
   ¿Puede comprometer gasto?               [Hasta ___ , con visto bueno de ___]

5. QUIÉN DECIDE EN EL CLIENTE
   Aprueba políticas:            [Nombre / Cargo]
   Acepta riesgos residuales:    [Nombre / Cargo]   ← nunca el prestador
   Autoriza gasto:               [Nombre / Cargo]
   Declara un incidente grave:   [Nombre / Cargo]

6. DEDICACIÓN Y DISPONIBILIDAD
   Dedicación pactada: [___ horas/días al mes]   Medición: [___]
   Comités y reuniones fijas: [___]
   Disponibilidad para crisis: [___]  Tarifa y condiciones fuera de dedicación: [___]

7. ACCESOS Y CONFIDENCIALIDAD
   Accesos concedidos: [___]  Controles sobre esos accesos: [___]
   Confidencialidad: [alcance y duración, en ambos sentidos]
   Exclusividad sectorial: [Sí / No]  Alcance: [___]

8. ENTREGABLES Y PERIODICIDAD
   [Registro de riesgos · plan director · actas · informe mensual · evaluación de terceros …]

9. RESPONSABILIDAD Y SEGURO
   Límite de responsabilidad: [___]   Seguro de responsabilidad profesional: [___]

10. TRASPASO Y SALIDA
    Contenido del paquete de traspaso: [___]
    Plazo de preaviso: [___]
    Cláusula de salida si las recomendaciones críticas se ignoran de forma reiterada: [___]

11. FIRMAS
    Por el cliente: [___]        Por el prestador: [___]

11 · Formulario de descubrimiento para Field CISO

Para qué: entender antes de proponer. El error que evita: llegar a la primera reunión con una demostración de producto en lugar de con preguntas.

SESIÓN DE DESCUBRIMIENTO — [Cliente] — [Fecha] — [Asistentes]

DECLARACIÓN DE INTERÉS (se lee en voz alta al empezar)
  "Trabajo para [proveedor], que vende [tipo de solución]. Lo que les traiga puede estar sesgado
   por eso. En el documento voy a separar hechos, hipótesis, opinión y propuesta comercial."

A. EL NEGOCIO
   1. ¿De qué servicio digital depende más el ingreso?
   2. ¿Cuál es la ventana del año en que una caída duele más y cuánto cuesta una hora?
   3. ¿Qué proyecto se juega la organización este año?

B. LA OBLIGACIÓN
   4. ¿Qué regulador o contrato les impone requisitos de seguridad? ¿Quién los firma?
   5. ¿Qué auditoría o certificación tienen encima en los próximos doce meses?
   6. ¿Han tenido que reportar un incidente? ¿Cómo fue?

C. EL RIESGO DECLARADO (con sus palabras)
   7. ¿Qué es lo que más les quita el sueño? (anotar literal)
   8. ¿Qué creen que pasaría hoy si les cifraran todo un viernes por la noche?
   9. ¿Qué han intentado y no funcionó?

D. LA REALIDAD OPERATIVA
   10. ¿Cuántas personas tiene el equipo y en qué se les va el día?
   11. ¿Qué está externalizado y bajo qué acuerdo de servicio?
   12. ¿Cuándo fue la última prueba de restauración y qué resultado dio?

E. LA DECISIÓN
   13. ¿Quién aprueba una compra de este tamaño y con qué criterio?
   14. ¿Qué presupuesto existe y cuándo se define?
   15. ¿Qué tendría que ser cierto para que dijeran que no?

CIERRE
   - Resumen devuelto en voz alta, con sus palabras, para confirmar que entendí.
   - Compromiso concreto: qué envío, cuándo y qué necesito de ustedes.

12 · Informe y paquete de confianza de producto

Para qué: responder de una vez y bien a lo que preguntan todos los clientes. El error que evita: un folleto que solo dice cosas buenas.

13 · Inventario de sistemas de IA

Para qué: el primer entregable de cualquier programa de gobierno de IA. El error que evita: discutir política de IA sin saber cuántos sistemas hay.

La columna «cómo se descubrió» es la más informativa del inventario: dice cuánto de tu organización está fuera de tu vista.

14 · Registro de riesgos de IA

Para qué: caracterizar el riesgo de IA con escenarios comprobables. El error que evita: registros llenos de categorías abstractas («sesgo», «alucinación») que no permiten decidir nada.

15 · Roadmap de seguridad OT

Para qué: planificar en un entorno donde solo hay una ventana de intervención al año. El error que evita: planes de TI trasplantados a una planta.

Regla dura: ninguna iniciativa que pueda interferir con una función instrumentada de seguridad entra en el roadmap sin la revisión conjunta con seguridad de proceso, y si queda duda razonable, no entra.

🔗 Relacionado

• 🧪 Laboratorio ejecutivo CISO
• 🏢 Organizaciones ficticias
• 🎓 Evaluación del ecosistema CISO
• 🗂️ El ecosistema CISO