🗂️ El ecosistema CISO: qué es cada cargo y en qué se diferencia

Hay una sola palabra —CISO— y al menos veinte cargos que la usan. Algunos son el mismo trabajo con distinto tamaño de organización. Otros son un modelo de contratación, no un puesto. Otros trabajan para un proveedor y asesoran a clientes que no son su empleador. Y unos cuantos ni siquiera son tipos de CISO: son cargos vecinos que la conversación de pasillo mezcla con él.

Esta página es el índice y el árbitro del ecosistema. Aquí se decide qué significa cada título, quién tiene mandato y quién solo tiene influencia, y hacia dónde ir a leer.

Fecha de consulta de las fuentes normativas y de los marcos citados: 26 de agosto de 2026. Las normas cambian; la sección 🇨🇱 Contexto chileno explica cómo verificar el estado vigente en lugar de confiar en esta página.

🧭 Por qué existe esta página

Un título no es un mandato. Dos personas con la misma tarjeta —«CISO»— pueden tener trabajos incompatibles: una firma el presupuesto de seguridad de un banco y responde ante el directorio; la otra viaja a reuniones con clientes de un fabricante de software y no controla ni un peso del presupuesto de seguridad de esos clientes.

La confusión no es inocua. Produce tres errores caros:

Todo lo que sigue existe para que esos tres errores no te pasen.

🗺️ Mapa de cargos

Cómo leer el mapa. Las líneas del bloque A son de alcance, no de subordinación automática: un Regional CISO puede reportar al Global CISO o al responsable del país, según cómo esté montada la empresa. La flecha hacia B es la única que cruza la frontera de la organización: todo lo que hay en B trabaja desde fuera. La flecha hacia D no es de mando: son pares con los que se negocia, y en el caso del DPO hay además una independencia que la norma que lo crea protege.

🧩 Las cuatro familias

A. Dirección interna y jerarquía

Son variaciones de alcance, territorio o nivel dentro del mismo oficio: dirigir el programa de seguridad de la organización que te paga. El trabajo esencial —mandato, estrategia, riesgo, presupuesto, equipo, respuesta a incidentes, relación con el directorio— es el mismo, y por eso no tienen guía propia: se desarrollan dentro de la ruta CISO.

⚠️ Ninguno de estos títulos garantiza autoridad. «Global» describe geografía, no poder. Un Global CISO sin presupuesto consolidado y sin línea al directorio tiene menos capacidad de decidir que un Divisional CISO que sí los tiene. Aplica el test del mandato.

B. Asesoría externa y relación con clientes

Aquí la persona no es empleada de la organización cuyo riesgo se discute, o lo es bajo una figura temporal y contractual. Esto cambia todo: qué puede decidir, ante quién responde y dónde está el conflicto de interés.

🚫 No son sinónimos. «Virtual» describe el cómo, «fractional» el cuánto, «interim» el hasta cuándo y «CISO as a Service» el quién responde (una empresa, no un individuo). Un mismo encargo puede ser las cuatro cosas a la vez —un vCISO fractional interino prestado por una firma como servicio— y por eso el término suelto no informa: informa el contrato.

C. Especializaciones y funciones de enlace

Recortan el trabajo del CISO por dominio (producto, nube, IA, planta industrial) o por unidad de negocio. Algunos están razonablemente asentados; otros son emergentes.

Por qué «Cloud CISO» no tiene guía propia

Se analizó y se decidió no crearla. El término designa hoy dos cosas distintas y ninguna de las dos sostiene una ruta independiente en este programa:

1. En un proveedor de nube es un puesto de la oficina del CISO del proveedor que asesora a clientes y hace evangelización: eso es, funcionalmente, un Field CISO con especialidad en nube. Su día, su audiencia y su conflicto de interés son los del Field CISO.
2. En una organización cliente designa a quien responde por la seguridad del programa de nube. Esa función ya está cubierta por dos rutas existentes: la ruta CISO para el mandato y el gobierno, y la de Cloud Security Engineer para la ingeniería (postura, IAM, CSPM, Kubernetes, respuesta en la nube).

Crear una tercera ruta habría duplicado contenido sin añadir competencias ni entregables propios, que es exactamente el criterio que este ecosistema aplica para decidir. Si te ofrecen un cargo con ese nombre, léelo con el test del mandato y sabrás en cuál de los dos casos estás.

D. Cargos vecinos que NO son tipos de CISO

Aparecen aquí para no confundirlos, no porque deriven del CISO. Convertirlos en «variantes» sería inventarse una jerarquía que no existe.

📌 Regla de honestidad. Si una oferta te presenta un CSO, un CIO o un DPO como «un tipo de CISO», la oferta está describiendo mal el puesto. Pregunta por el mandato, no por el título.

📊 Matriz comparativa central

Diez atributos separan estos cargos mejor que cualquier definición. Se presentan en tres bloques —la misma convención que la matriz de roles SecOps/DevSecOps— para que cada tabla siga siendo legible en pantalla y en el PDF. Las filas son las mismas en los tres bloques, así que se leen en horizontal como una sola matriz.

Bloque 1 — Identidad, alcance y audiencia

Bloque 2 — Poder real: autoridad, presupuesto, equipo y riesgo

Bloque 3 — Componente comercial y entregables

Resumen en una línea

⚖️ Las distinciones que no puedes confundir

1. CISO frente a Field CISO. El CISO tiene mandato interno: presupuesto, equipo y responsabilidad ante el directorio de su propia organización. El Field CISO trabaja desde un proveedor hacia clientes: no controla el presupuesto del cliente, no dirige a su equipo y no acepta su riesgo residual. Puede influir mucho y decidir nada.
2. Asesoría de proveedor frente a auditoría independiente. Un Field CISO puede participar en preventa; lo que no puede es presentar una recomendación comercial como si fuera un dictamen independiente. La diferencia se sostiene declarando el interés y separando en el documento hecho observado, hipótesis, opinión profesional y propuesta del proveedor.
3. vCISO frente a CISO. El vCISO puede ejercer funciones ejecutivas reales, pero su autoridad nace del contrato: si el contrato no dice que puede detener un despliegue, no puede. Escribirlo antes de empezar es parte del trabajo.
4. Asesorar frente a aceptar el riesgo. Quien acepta el riesgo residual es el dueño del negocio, con nombre, firma y fecha de revisión. Ningún asesor externo puede aceptarlo por él, y ningún CISO debería aceptarlo en su lugar.
5. BISO frente a CISO. El BISO conecta una unidad de negocio con el programa central: traduce en ambos sentidos y prioriza dentro de esa unidad. No sustituye al programa.
6. Product CISO frente a CISO. El Product CISO responde por la seguridad y la confianza de lo que se vende. El CISO responde por la organización que lo construye. Se solapan en el SDLC y se separan en todo lo demás.
7. AI CISO: título emergente. Existe el trabajo —inventariar modelos, gobernar datos de entrenamiento, evaluar agentes, responder por el uso de IA de terceros—, pero el título aún no está estandarizado. Comprueba el mandato antes de asumir que es un cargo ejecutivo.
8. OT CISO: la seguridad de las personas manda. En una planta, un control de ciberseguridad que impide una parada de emergencia no es un control: es un peligro. Ciberseguridad, continuidad y seguridad física se equilibran, no se ordenan por preferencia.
9. DPO: independencia protegida. El DPO no se absorbe dentro del CISO. Su función incluye supervisar el cumplimiento y poder discrepar; juntarlos en la misma persona crea un conflicto que hay que documentar y, en varios marcos, evitar.
10. Conocimiento frente a experiencia ejecutiva. Este programa te entrega el cuerpo de conocimiento y evidencias verificables de aprendizaje. No sustituye los años de trayectoria, la gestión de una crisis real, el trato con un regulador ni la defensa de un presupuesto ante un directorio. Cualquier curso que te prometa lo contrario te está vendiendo algo.

🧪 El test del mandato: cómo comprobar un cargo real

Aplícalo a una oferta de empleo, a una propuesta de vCISO o a tu propio puesto actual. Son ocho preguntas; las respuestas —no el título— dicen qué cargo es de verdad.

Si las respuestas a 2, 3 y 4 son «no», tienes un cargo decorativo: el título del CISO con las herramientas de un asesor. Es una situación legítima para negociar, no para descubrir después de firmar.

🧗 Rutas de progresión

Nadie entra por aquí. Todas estas rutas se alcanzan desde otro sitio, y el sitio de partida condiciona a cuál llegas antes.

Lo que el diagrama no dice y hay que decir:

• Field CISO y vCISO no son «el retiro» del CISO. Son oficios distintos con habilidades propias: el Field CISO necesita hablar en público, escribir para no técnicos y sostener una conversación comercial honesta; el vCISO necesita vender, contratar, delimitar alcance y traspasar. Un buen CISO puede ser un mal Field CISO.
• Se puede llegar a Field CISO sin haber sido CISO, viniendo de consultoría o de preventa técnica con suficiente altura de conversación. Lo que no se puede es fingir la experiencia ejecutiva delante de alguien que sí la tiene.
• El BISO es una escuela de CISO: obliga a traducir riesgo a lenguaje de negocio todos los días, que es la habilidad que más se echa en falta al llegar al cargo.

📚 Qué leer en este programa

Práctica común a todo el ecosistema: el laboratorio ejecutivo labs/ciso-leadership —catorce escenarios sobre organizaciones ficticias, quince plantillas reutilizables y rúbricas— y su evaluación.

🇨🇱 Contexto chileno y latinoamericano

⚖️ Esto no es asesoría legal. Es material de estudio. Las normas cambian y su aplicación depende del sector, del tamaño y de la calificación que haga la autoridad. Verifica siempre en la fuente oficial y consulta con un abogado antes de tomar una decisión.

La regla que más se incumple al hablar de cargos

Ninguna norma chilena vigente crea el cargo de «CISO» ni le asigna responsabilidad legal personal por el solo hecho de llevar el título. Las obligaciones recaen sobre la organización y, según el caso, sobre sus órganos de administración. Que en la práctica el CISO sea quien las ejecuta y quien las firma internamente es una decisión de la empresa, no una imposición legal automática. Cuando alguien te diga «la ley obliga al CISO a…», pide el artículo.

Marco vigente que conviene conocer

Qué figura aparece según el tamaño y la regulación

Esta tabla describe patrones observables del mercado, no una obligación normativa.

Cómo verificar el estado vigente

1. Ley y reglamentos: BCN · Ley Chile — comprueba la versión vigente y las modificaciones posteriores a esta fecha de consulta.
2. Instrucciones y calificación de operadores de importancia vital: ANCI.
3. Reporte de incidentes y alertas: CSIRT Nacional.
4. Sector financiero: CMF — normativa vigente y sus actualizaciones.
5. Privacidad: la autoridad de protección de datos que designa la Ley 21.719 y la propia BCN.
6. Tu sector: el regulador que te corresponda (energía, salud, transporte, telecomunicaciones).

Para el resto de Latinoamérica el patrón se repite con distintos nombres: una autoridad nacional de ciberseguridad, una autoridad de datos personales y un regulador financiero con su propia circular. Comprueba las tres antes de escribir una política que diga «cumplimos».

Ofertas de empleo como evidencia contextual

Las ofertas sirven para estudiar qué pide el mercado hoy y con qué nombre lo pide. No sirven para afirmar qué es un cargo. Si las usas, trátalas como lo que son: evidencia contextual, con fecha de consulta, sin generalizar de un anuncio a toda una profesión y sin convertir un requisito de una empresa en un requisito universal.

🌎 Marcos internacionales de referencia

Se citan como fuente de estructura y vocabulario, no como obligación. Ninguno de ellos crea el cargo de CISO ni define su jerarquía.

📄 Sobre las normas ISO e IEC: son documentos de pago y con derechos reservados. Este programa explica sus conceptos y su estructura; no reproduce su texto. Para implantar o auditar necesitas la copia oficial.

🎓 Evaluación

El ecosistema se evalúa en dos sitios, con dos propósitos distintos:

• Evaluación del ecosistema CISO — preguntas de escenario, ejercicio RACI, ejercicio de aceptación de riesgo, caso de conflicto de interés en preventa e informe ejecutivo. Comprueba que distingues quién decide, quién asesora y quién responde.
• Examen final por rol — un capstone propio para cada ruta independiente: CISO, Field CISO, vCISO, BISO, Product CISO, AI CISO y OT CISO.

📎 Fuentes y fecha de consulta

Todas consultadas el 26 de agosto de 2026.

• Biblioteca del Congreso Nacional de Chile — Ley 21.663, Ley Marco de Ciberseguridad; Ley 21.719 sobre protección y tratamiento de datos personales; Ley 19.628 sobre protección de la vida privada.
• Agencia Nacional de Ciberseguridad de Chile — sitio institucional e instrucciones sobre la Ley Marco, de donde proceden los plazos de reporte de 3 horas, 72 horas (24 horas para operadores de importancia vital) y 15 días corridos.
• CSIRT Nacional de Chile — canal de reporte de incidentes.
• Comisión para el Mercado Financiero — RAN Capítulo 20-10, Gestión de Seguridad de la Información y Ciberseguridad, vigente desde el 1 de diciembre de 2020.
• NIST — Cybersecurity Framework 2.0; AI Risk Management Framework; SP 800-82 Rev. 3, Guide to Operational Technology Security.
• ISO — ISO/IEC 27001 e ISO/IEC 42001 (documentos de pago; no se reproduce su texto).
• IEC — serie IEC 62443 para automatización industrial.
• CISA y ENISA — guías operativas y panorama de amenazas.
• OWASP SAMM y OWASP ASVS.
• ISACA, ISC2 e IAPP — cuerpos de conocimiento y certificaciones.

🔗 Relacionado

• 🧭 Índice de rutas por rol
• 🗺️ Matriz de roles SecOps y DevSecOps — la misma disciplina de separar roles, aplicada a la familia operativa.
• 🧪 Laboratorio ejecutivo CISO
• 🎓 Examen final por rol
• 📚 Parte 14 — GRC, riesgo y cumplimiento