AEXIS · CONSULTORA DE CIBERSEGURIDAD · SANTIAGO, CHILE
Un responsable de ciberseguridad externo, con la dedicación que tu empresa necesita, que dirige el programa junto a tu equipo de TI y reporta a tu gerencia y a tu directorio.
Qué es
Un CISO (del inglés Chief Information Security Officer) es el responsable de la seguridad de la información de una empresa. En un CISO as a Service, ese rol lo ejerce un profesional externo, con una dedicación acordada por escrito: dirige el programa junto a tu equipo de TI y reporta a tu gerencia y a tu directorio en idioma de negocio.
También se le llama CISO externo, CISO virtual o vCISO.
«Hoy nadie responde por la ciberseguridad.»
TI sostiene la operación, pero nadie tiene el encargo de priorizar el riesgo y rendir cuentas a la gerencia.
«El directorio, el auditor o la aseguradora preguntaron quién es el responsable.»
Necesitas a alguien a cargo, un plan con prioridades y un informe que muestre el avance.
«La ley o un cliente nos piden gestionar este riesgo.»
La Ley N° 21.663 o la Ley N° 21.719 te alcanzan, o un contrato exige un responsable de seguridad con nombre.
«Mi equipo de TI no da abasto con la operación y la estrategia a la vez.»
Tu CISO toma la estrategia, las políticas y el reporte. Tu equipo sigue a cargo de la operación.
Si tu empresa es operador de importancia vital
La Ley N° 21.663 exige a los operadores de importancia vital designar un delegado de ciberseguridad, que actúa como contraparte de la Agencia Nacional de Ciberseguridad e informa a los directores, gerentes o ejecutivos principales que defina tu empresa (art. 8, letra i). La ley no dice que ese rol sea el mismo que el de un CISO: quién lo asume y cómo lo apoya tu CISO as a Service lo definimos contigo y con tu asesoría legal.
Qué recibes
La dedicación y la frecuencia se acuerdan en la propuesta. Lo que recibes queda por escrito y es tuyo.
Informe de ejemplo
Decisiones concretas y el avance arriba; el detalle técnico, aparte y para quien lo necesita.
Informe al directorio · Tres decisiones para este período
Ejemplo ilustrativo, no corresponde a un cliente real.
Un hallazgo, dos idiomas
Ejemplo ilustrativo, no corresponde a un cliente real.
Cómo se contrata
La dedicación depende del tamaño de tu empresa, de lo que te exigen y de lo que ya tienes. Por eso no hay un paquete único: la propuesta define todo esto por escrito, antes de firmar.
Quién sería tu CISO
En la propuesta, antes de firmar, te presentamos con nombre y perfil a la persona que asume como tu CISO. Esa persona rinde cuentas a la dirección de Aexis, que responde por el servicio.
Si el plan necesita especialidades técnicas, las ejecutan especialistas que también te presentamos con nombre y perfil antes de firmar.
Preguntas frecuentes
Depende de la dedicación y del alcance. A diferencia de un CISO de planta, pagas la dedicación que tu empresa necesita y no un cargo de jornada completa. Lo conoces por escrito antes de firmar, y la primera conversación no tiene costo.
Un informe por período, con decisiones concretas. La frecuencia del informe y del comité se acuerda en la propuesta.
No. Trabaja con tu equipo de TI: lo que llega al directorio, ellos lo conocen antes y su contexto va en el informe. La opinión es nuestra: ni TI ni la gerencia la editan.
Aexis no es un servicio de emergencia ni opera un SOC. Siendo cliente, tu CISO coordina la respuesta, y qué cubre fuera del horario acordado se acuerda en el contrato. Qué hacer si algo está pasando ahora.
Por eso todo queda por escrito: alcance, entregables y salida se definen en el contrato. Lo que se produce queda documentado y es tuyo.
Si algo pasa
Siendo cliente, tu CISO coordina la respuesta con tu equipo de TI y tus proveedores, acompaña a la gerencia y al directorio en las decisiones y apoya los reportes que correspondan.
Qué cubre fuera del horario acordado y ante un incidente se acuerda en el contrato, antes de empezar. Aexis no opera un SOC ni monitoreo 24/7 y no es un servicio de emergencia. Por eso el plan deja definido de antemano a quién llama tu equipo, en qué orden y quién decide.
Si está pasando ahora y aún no eres cliente
Desde un equipo que no esté comprometido, cambia las claves, cierra todas las sesiones abiertas y activa el segundo factor en el correo; revisa si hay reglas que reenvían correos hacia fuera; avisa de inmediato a tu banco si hubo pagos; no borres correos ni registros, y llama a tu técnico o proveedor de TI. Puedes reportar el incidente al CSIRT Nacional en csirt.gob.cl o llamando al 1510. Si hubo un delito, como un fraude o una extorsión, puedes denunciarlo ante la PDI, Carabineros o la Fiscalía.
Antes del incidente
Durante y después
Con tu equipo de TI
Tu CISO trabaja como un par de tu jefe de TI: lleva a la gerencia y al directorio, con evidencia y en idioma de negocio, lo que el equipo viene pidiendo.
Lo que llega al directorio, tu equipo de TI lo conoce antes, y su contexto va en el informe. La opinión que recibe el directorio es nuestra: ni la gerencia ni TI la editan. Como además dirigimos el programa, el informe lo declara.
Los hallazgos se escriben como decisiones y recursos pendientes, con su causa y su evidencia: buscamos causas, no culpables. La única excepción es la de cualquier asesor: si un hallazgo pudiera involucrar una falta grave, un delito o un deber legal de reporte, se informa directamente a quien nos contrató.
Lo que sigue siendo de tu equipo
Lo que hace tu CISO con tu equipo
Si trabajas en TI, lee cómo trabajamos con equipos de TI.
Detección y monitoreo
Para empresas que tienen, o están por contratar, un servicio de MDR o un SOC. Se contrata dentro de CISO as a Service; si sólo necesitas la licitación o la revisión del contrato de tu proveedor, conversémoslo.
Un SOC (centro de operaciones de seguridad) o un MDR (servicio de detección y respuesta gestionadas) vigila tus sistemas y responde a las alertas. Aexis no opera ni revende ese servicio, y por eso puede revisar con independencia a quien lo hace.
Con tu equipo de TI definimos qué debe detectar tu empresa y con qué registros, preparamos y acompañamos la licitación si aún no tienes proveedor y, si ya lo tienes, revisamos que cumpla lo contratado. Al directorio le llega qué se detecta, qué cumple tu proveedor y qué hay que decidir.
Sigue por aquí
Conversemos
Una primera conversación con la dirección de Aexis, sin costo. Respondemos en 2 días hábiles.
O escríbenos directo
No es un canal de emergencia. Qué hacer si algo está pasando ahora.
Actualizado al 03.11.2026 · Información general; no reemplaza asesoría legal.
