🛰️ Field CISO / Customer CISO

El CISO que no es tu CISO. Trabaja para un proveedor —un fabricante de seguridad, un proveedor de nube, un MSSP, una consultora— y su día transcurre delante de los clientes de ese proveedor: entiende su problema, lo traduce a lenguaje ejecutivo, comparte lo que ha visto en otras organizaciones y ayuda a que la conversación técnica llegue al directorio. No controla el presupuesto del cliente, no dirige a su equipo y no acepta su riesgo residual.

Nivel de entrada: ninguno; se llega con trayectoria en dirección de seguridad o consultoría senior · Foco: asesoría, comunicación ejecutiva, evangelización y acompañamiento comercial honesto · Certificación faro: CISSP + CISM (la credibilidad de la conversación, no el requisito formal)

Alias y variantes: Field CISO, Customer CISO, Executive Security Advisor, Security Advisor / Strategist, Office of the CISO (nombre que varios proveedores dan al equipo entero), Cloud CISO cuando el proveedor es de nube. La página del ecosistema explica por qué «Cloud CISO» cae, casi siempre, dentro de esta guía.

Fecha de consulta de las fuentes: 26 de agosto de 2026.

🧭 Qué es y por qué importa

Definición

Un Field CISO es un profesional de nivel ejecutivo dentro de un proveedor cuya materia prima es la conversación con los responsables de seguridad de los clientes. Aporta contexto —qué está pasando en el sector, qué han hecho otros, dónde suele fallar un proyecto— y ayuda a que el cliente decida mejor. Que además exista un interés comercial detrás no lo invalida: lo obliga a declararlo.

El Customer CISO es prácticamente el mismo puesto con el peso desplazado hacia la cuenta ya cliente: adopción, valor obtenido, resolución de fricciones y relación a largo plazo, en lugar de captación. Muchas empresas usan los dos nombres para el mismo trabajo; algunas los separan por el momento del ciclo de vida del cliente.

Nivel de consolidación del título

Consolidado como práctica del sector, no estandarizado como cargo. El título existe desde hace años en fabricantes de seguridad, proveedores de nube y consultoras, y su contenido es reconocible entre empresas; lo que varía enormemente es a qué área reporta (marketing, ventas, producto o la oficina del CISO del proveedor) y cuánto peso comercial explícito tiene. Eso cambia el puesto más que el nombre.

Qué problema resuelve

Tres problemas a la vez, y por eso el puesto existe:

Qué hace y qué no hace

Dónde existe este cargo

Fabricantes de seguridad (endpoint, red, identidad, datos), proveedores de nube, MSSP y MDR, consultoras grandes, integradores y algunas empresas de software con producto crítico. No existe en la organización cliente: si dentro de tu empresa hay alguien llamado «Field CISO», casi seguro es un BISO o un asesor interno con otro nombre.

🏛️ Mandato, autoridad y responsabilidad

Línea de reporte

Depende de dónde lo hayan colgado, y esto define el puesto:

Pregunta por esta línea en la entrevista: dice más del día a día que la descripción del puesto.

Autoridad y responsabilidad por el riesgo

• Sobre el cliente: ninguna. No firma políticas, no aprueba excepciones, no acepta riesgos, no dirige personas. Toda su capacidad es de influencia.
• Sobre su propia empresa: variable. Suele tener voz —a veces vinculante— en la hoja de ruta del producto, en el mensaje de mercado y en si una oportunidad concreta debería o no perseguirse.
• Presupuesto: el suyo de viajes, eventos y contenido, si acaso. Ninguno del cliente.
• Equipo propio: normalmente no; puede coordinar arquitectos de soluciones e ingenieros de preventa sin ser su jefe.

⚖️ La frase que hay que decir en voz alta en la primera reunión: «Trabajo para un proveedor que vende una solución en este espacio. Lo que les traiga puede estar sesgado por eso, así que voy a separar lo que observo de lo que opino y de lo que les propongo comprar.» Decirlo no te resta credibilidad: te la da.

Conflictos de interés y límites éticos

Este es el corazón del puesto y lo que separa a un buen Field CISO de un vendedor con un título grande.

La regla operativa, que además es el criterio con el que se te evalúa en este programa: en todo documento que entregues, separa cuatro cosas y etiquétalas.

1. Hecho observado — lo que viste, con evidencia y fecha.
2. Hipótesis — lo que infieres, con lo que la sostiene y lo que la refutaría.
3. Opinión profesional — tu juicio, marcado como juicio.
4. Propuesta del proveedor — lo que tu empresa vende, con su precio y su alternativa.

🗓️ El día, el mes y el año

Un día típico. Preparación de una reunión con la dirección de una cuenta (leer su memoria anual, su sector, sus incidentes públicos, no solo su arquitectura); esa reunión; una llamada interna con producto para trasladar una carencia que ya han mencionado tres clientes; revisión de un documento de recomendación que va a firmar tu nombre; media hora escribiendo un artículo o preparando una charla.

Un mes típico. Entre cuatro y diez cuentas activas; una o dos evaluaciones de madurez; un evento o webinar; una sesión con el equipo comercial para revisar el mensaje; una aportación formal a la hoja de ruta del producto.

Un año típico. Un ciclo de conferencias del sector; la actualización del material cuando cambia un marco de referencia (por ejemplo, la revisión de un estándar o una nueva obligación regulatoria); la construcción de dos o tres casos de referencia publicables con permiso del cliente; la retrospectiva de qué recomendaste y qué pasó después, que es la única métrica de calidad real de este trabajo.

Interlocutores

🧾 Entregables verificables

📏 KPI y KRI

Ojo con esto: la mitad de estas métricas empujan hacia el lado comercial y la otra mitad hacia el lado de la confianza. Un puesto medido solo por las primeras deja de ser un Field CISO.

🧠 Qué necesitas saber

Competencias técnicas

Necesitas amplitud con profundidad selectiva: sostener una conversación con un arquitecto sin farolear y con un director sin abrumarlo.

• Marcos y gobierno: NIST CSF (incluida la función Gobernar), ISO/IEC 27001, controles CIS, cómo se construye un programa y cómo se mide.
• Operación: cómo funciona de verdad un SOC, qué es y qué no es un SIEM, qué prometen y qué no cumplen el EDR y el XDR, cómo se mide la madurez de detección.
• Respuesta a incidentes: el ciclo completo, la diferencia entre contención y erradicación y por qué un ejercicio de mesa revela más que un simulacro técnico.
• Nube y SDLC: responsabilidad compartida, postura, identidad, cadena de suministro de software, por qué el SBOM importa y por qué no basta.
• Riesgo de terceros: el problema que tu propia empresa es para el cliente.
• IA: lo suficiente para no repetir el discurso de marketing de nadie, incluida tu empresa.

Competencias de negocio

• Leer una memoria anual y encontrar el servicio del que depende el ingreso.
• Entender el modelo de negocio del cliente lo bastante para decir qué le duele más: la caída, la multa, la fuga o el retraso del proyecto.
• Construir un caso económico honesto: coste del control frente a pérdida esperada, con las hipótesis a la vista.
• Entender tu propio modelo de negocio: cómo se factura tu producto, qué margen tiene, qué parte del descuento es real. Sin eso te usan como decorado.

Comunicación y negociación

Es la competencia que más pesa y la que menos se enseña.

• Escribir una página que un director lea entera y termine sabiendo qué decidir.
• Hablar en público sin diapositivas de producto.
• Sostener una mala noticia delante del cliente y de tu propio equipo comercial.
• Decir «no lo sé» y volver con la respuesta.
• Negociar dentro de tu empresa: defender ante ventas que una cuenta no está madura, y ante producto que una carencia es prioritaria.

Competencias regulatorias

No para dar asesoría legal —no puedes—, sino para no decir tonterías y saber cuándo derivar: qué obligaciones de reporte tiene el cliente y en qué plazos, qué régimen de datos personales le aplica, qué exige su regulador sectorial y qué parte de eso toca tu producto. Ver el contexto chileno del ecosistema.

Componente comercial

Existe y hay que gestionarlo, no negarlo:

• Participar en preventa está bien; firmar como independiente una evaluación que sustenta tu propia venta, no.
• Conocer el precio y las alternativas del cliente, incluida la de no hacer nada.
• Saber retirarte de una oportunidad que no es buena para el cliente y explicar por qué a tu empresa. Es lo que construye la reputación que hace funcionar el puesto los siguientes cinco años.

📚 Tu ruta en el programa

Empieza por la Parte 0 si te falta base técnica; el resto es el recorrido específico del puesto.

1. Fundamentos y ética - 001 · Qué es la ciberseguridad: tríada CIA, AAA y defensa en profundidad - 002 · El panorama de amenazas moderno — el material del que vive tu conversación - 003 · Frameworks de seguridad: NIST CSF, ISO 27001, MITRE ATT&CK - 025 · Ética, legalidad, alcance y divulgación responsable — la clase que sostiene este puesto
2. Gobierno y riesgo, el idioma del cliente — Parte 14 - 276 · Gobernanza · 277 · Gestión de riesgos · 278 · ISO/IEC 27001 · 279 · NIST CSF - 284 · Riesgo de terceros y proveedores — léela desde el otro lado: el tercero eres tú - 287 · Métricas KPI y KRI · 288 · Seguros cibernéticos
3. Comunicación, contrato y programa - 321 · Comunicación y reporte — el músculo central del puesto - 320 · Gobierno, aspectos legales y gestión del programa - 328 · Riesgo cuantitativo y continuidad avanzada — para hacer un caso económico defendible - 067 · Reglas de compromiso, alcance y contratos · 085 · Reporte profesional — cómo se acota y se entrega un trabajo a un cliente
4. Suficiente operación para no farolear - 181 · El SOC moderno · 183 · SIEM · 195 · Threat intelligence · 197 · Métricas y madurez del SOC - 202 · Ciclo de respuesta a incidentes · 219 · Ejercicios de mesa
5. Los dominios donde hoy están las conversaciones - 221 · Responsabilidad compartida en la nube · 231 · CSPM - 236 · Secure SDLC · 246 · SBOM y SLSA - 300 · Gobernanza y ética de la IA segura

Laboratorio y práctica

• 🧪 labs/ciso-leadership — tu laboratorio principal. Escenarios 8 (sesión de descubrimiento como Field CISO) y 9 (recomendación técnico-comercial transparente) están escritos para este puesto; los escenarios 1, 2 y 6 te dan el material que tu cliente maneja.
• 🧪 cloud-security y blue-team-soc — para no perder el contacto técnico y poder decir «esto lo he hecho» en lugar de «esto se hace».

Capstone

Ciclo completo de una cuenta, con el conflicto de interés a la vista. Sobre una organización ficticia del laboratorio:

1. Ejecuta la sesión de descubrimiento y entrega el acta con las palabras del cliente.
2. Produce una evaluación de madurez frente a NIST CSF con la evidencia de cada puntuación.
3. Entrega una recomendación técnico-comercial de tres opciones —una de ellas explícitamente sin tu producto— con las cuatro etiquetas (hecho, hipótesis, opinión, propuesta) y la declaración de interés.
4. Redacta la nota ejecutiva de una página para el directorio del cliente.
5. Escribe el informe de retroalimentación a tu producto.

Criterio de aceptación: un lector que no sepa para quién trabajas debe poder identificar, sin ayuda, qué parte del documento es un hecho y qué parte es una propuesta comercial. Si no puede, el capstone no está aprobado.

Portafolio

• El paquete completo del capstone, con los datos ficticios visibles.
• Una charla de quince minutos grabada, sin diapositivas de producto.
• Un artículo técnico-ejecutivo publicado.
• Una evaluación de madurez con su matriz de evidencias.
• Una recomendación donde recomendaste no comprar y por qué.

🎤 Preguntas de entrevista

1. Cuéntame la última vez que le dijiste a un cliente que tu producto no era su prioridad. ¿Qué pasó después, dentro y fuera de tu empresa?
2. ¿Cómo separas en un documento lo que observaste de lo que opinas y de lo que vendes?
3. Un cliente te pide una «auditoría independiente». ¿Qué le respondes exactamente?
4. ¿A quién reportarías en este puesto y cómo afectaría eso a lo que puedes decir?
5. El equipo comercial quiere que uses un incidente reciente de la competencia para meter presión. ¿Qué haces?
6. ¿Cómo mides si tu consejo fue bueno, no solo si convenció?
7. Explícame la responsabilidad compartida en la nube a un director financiero en dos minutos.
8. ¿Qué haces con lo que un cliente te cuenta en confianza cuando le sirve a otro?
9. ¿Qué carencia de tu producto actual llevarías tú mismo a la hoja de ruta y con qué argumento?
10. ¿Cuándo has cambiado de opinión por lo que te dijo un cliente?

🎓 Certificaciones

Ninguna certificación te da este puesto: te lo da la trayectoria y la capacidad de conversación. Lo que hacen las credenciales aquí es abrir la puerta y sostener la credibilidad delante de un CISO cliente que las tiene.

Ninguna de estas garantiza empleo, y presentarlas como garantía es exactamente el tipo de afirmación que este puesto no debe hacer. Ver 301 · Roadmap de certificaciones.

📈 Progresión de carrera y salario

Cargos de entrada y experiencia previa razonable

No es un puesto de entrada. Las tres vías que funcionan:

Una experiencia previa razonable —no un requisito universal, y desconfía de quien te dé un número exacto— combina años de responsabilidad sobre un programa de seguridad con exposición sostenida a clientes. Lo que se comprueba en la entrevista no son los años: es si puedes sostener una hora delante de un directorio.

Hacia dónde sigue

Field CISO → líder de la oficina del CISO del proveedor · → CISO del propio proveedor · → vuelta a un cargo interno de CISO con una red de contactos mucho mayor · → vCISO o consultor independiente · → asesoría de directorios.

Sobre la remuneración

Este programa no publica cifras para este puesto, a propósito. La retribución del Field CISO tiene una estructura particular —base más un componente variable ligado a objetivos comerciales o de cuenta— y ese reparto varía tanto entre empresas que cualquier rango sería más engañoso que útil. Lo que sí puedes hacer:

1. Preguntar en el proceso qué porcentaje es variable y de qué depende: si depende de cierres, sabes qué puesto te están ofreciendo de verdad.
2. Usar como referencia orientativa los rangos de la ruta CISO, con la advertencia que allí se hace.
3. Contrastar con estudios de remuneración con fecha y metodología publicadas, y tratar las ofertas de empleo como evidencia contextual, no como dato.

⚠️ Mitos y errores comunes

• «Field CISO es un CISO.» No lo es. Comparte vocabulario y no comparte mandato. El CISO responde por un programa; el Field CISO responde por una conversación.
• «Es un vendedor con un título elegante.» Tampoco, si el puesto está bien montado. La prueba está en si puede recomendar no comprar y seguir en la empresa al mes siguiente.
• «Mi evaluación equivale a una auditoría.» No: te paga el proveedor que además vende la solución. Es un insumo valioso y no es un dictamen independiente.
• «Como asesoro, no me alcanza la confidencialidad.» Al contrario: manejas información de varios competidores del mismo sector. Es el puesto con más obligación de compartimentar.
• «Si el cliente me hace caso, cumplí.» El éxito se mide a doce meses, no en la reunión.
• «Customer CISO y Field CISO son cosas distintas.» Rara vez. Pregunta por el momento del ciclo de vida del cliente y sabrás cuál te están ofreciendo.
• Señal de cargo decorativo: te contratan por tu nombre, te ponen en el material de marketing y no te dejan hablar con producto ni discrepar en una cuenta. Estás siendo un logotipo.

↔️ Diferencias con los cargos vecinos

📎 Fuentes y fecha de consulta

Consultadas el 26 de agosto de 2026.

• NIST Cybersecurity Framework 2.0 — marco de la evaluación de madurez que produce este puesto; la función Gobernar estructura la conversación ejecutiva.
• ISO/IEC 27001 — referencia del SGSI del cliente. Norma de pago: este programa explica sus conceptos, no reproduce su texto.
• ISACA e ISC2 — cuerpos de conocimiento de CISM, CRISC y CISSP, y sus respectivos códigos de ética profesional, que son la base de la sección de conflictos de interés de esta guía.
• ENISA y CISA — panorama de amenazas y guías sectoriales que alimentan el contexto que aportas al cliente.
• Ecosistema CISO de este programa — taxonomía, matriz comparativa y contexto chileno con sus fuentes normativas.

🚀 Siguientes pasos

1. Lee el ecosistema CISO entero: este puesto solo se entiende por contraste.
2. Haz los escenarios 8 y 9 del laboratorio ejecutivo.
3. Resuelve la evaluación del ecosistema, con especial atención al caso de conflicto de interés en preventa.
4. Rinde el examen final de Field CISO.
5. Si lo que quieres es ejercer y no asesorar, tu página es vCISO; si quieres el mandato interno, es CISO.

• ⬅️ Volver al índice de rutas
• 🗂️ El ecosistema CISO — mapa de cargos, matriz comparativa y test del mandato
• 🧾 vCISO · 🎩 CISO · 🏛️ GRC
• 🧪 Laboratorio ejecutivo CISO · 🎓 Evaluación del ecosistema
• 🏠 Inicio del programa