DIRIGIR · GOBIERNO Y HOJA DE RUTA

Un plan que tu directorio pueda aprobar y tu equipo pueda ejecutar

Diagnóstico ejecutivo, prioridades con responsables y presupuesto, políticas que se cumplen e informe al directorio. Si lo necesitas, también dirigimos los proyectos del plan.

Conversemos sobre tu hoja de ruta Ver qué recibes

Qué es

Decidir qué proteger primero, con quién y con qué recursos

Gobierno y hoja de ruta es un proyecto con inicio y fin. Medimos dónde está tu empresa, ordenamos las prioridades con su costo y su responsable y dejamos por escrito las reglas mínimas. El resultado es un plan que la gerencia y el directorio pueden aprobar y que tu equipo puede ejecutar.

Para medir usamos marcos reconocidos, como el NIST Cybersecurity Framework 2.0 e ISO/IEC 27001:2022, adaptados al tamaño y a la exposición de tu empresa. Lo que llega a la gerencia está escrito en idioma de negocio: riesgo, impacto y decisión.

¿Proyecto o dirección continua?

Si necesitas que alguien dirija ese plan mes a mes y responda por él ante la gerencia y el directorio, eso es un CISO as a Service. Puedes empezar por la hoja de ruta y seguir con el CISO, o al revés.

Es para ti si…

Cuando la pregunta llega a la mesa de la gerencia

«El directorio preguntó cuál es nuestro plan de ciberseguridad.»
Y no hay uno escrito, con prioridades, responsables y presupuesto.
«TI viene pidiendo inversiones y no hemos podido priorizarlas.»
Necesitas ver cada pedido como riesgo, costo y decisión, en el mismo idioma que el resto del presupuesto.
«Un cliente, el auditor o la aseguradora nos pidió políticas.»
Y las que hay son plantillas que nadie cumple, o no existen.
«Tenemos un proyecto de seguridad aprobado y nadie que lo coordine.»
Segundo factor, respaldos, accesos o ISO/IEC 27001: está aprobado, pero avanza lento y nadie ve los bloqueos.

Qué recibes

Del diagnóstico al plan, con responsables y presupuesto

Diagnóstico ejecutivo: Dónde está hoy tu empresa, qué riesgo pesa más y lo que ya funciona, en idioma de negocio.
Registro de riesgos: Los riesgos priorizados por su impacto en tu operación, con su tratamiento y su responsable.
Hoja de ruta: Las iniciativas en orden, con responsables, hitos, dependencias y presupuesto estimado.
Mapa de responsables: Quién propone, quién decide, quién ejecuta y quién supervisa.
Políticas: Las reglas mínimas, escritas para tu operación y con quienes las van a cumplir.
Informe al directorio: Riesgo, avance y decisiones pedidas, en una página, presentado junto a tu equipo de TI.

Hoja de ruta · primeras filas

T1 · Alto: Segundo factor obligatorio en todas las cuentas de correo. Ejecuta: TI. Aprueba: gerencia general. Esfuerzo: bajo.
T1 · Alto: Respaldos aislados del ERP y una prueba de recuperación. Ejecuta: TI con su proveedor. Aprueba: gerencia de administración y finanzas. Esfuerzo: medio.
T2 · Alto: Reemplazo del firewall perimetral que ya no recibe actualizaciones de seguridad. Ejecuta: TI. Aprueba: directorio, por presupuesto. Esfuerzo: alto.
T2 · Medio: Procedimiento para autorizar cambios de cuenta bancaria de proveedores. Ejecuta: finanzas. Aprueba: gerencia general. Esfuerzo: bajo.
Ya funciona: Inventario de equipos al día y respaldo diario del servidor de archivos.

Ejemplo ilustrativo, no corresponde a un cliente real. T1 y T2 son los trimestres del plan.

Dirección de proyectos · modalidad

Una prioridad, un proyecto, una dirección

Una mejora de seguridad necesita responsables, presupuesto y una entrega que puedas aceptar.

Si lo necesitas, dirigimos los proyectos que salen de la hoja de ruta: implementar el segundo factor, ordenar los accesos, preparar la certificación ISO/IEC 27001 o llevar a la práctica un programa de datos personales. Acordamos qué debe quedar funcionando, coordinamos a quienes participan y mantenemos visibles los avances, los bloqueos y las decisiones.

DefinirAlcance, entregables y criterios de aceptación: qué debe quedar funcionando y cómo se comprueba.
CoordinarQuién decide, quién ejecuta y quién valida, entre tu equipo, tus proveedores y los especialistas.
ControlarHitos, presupuesto y cambios. Un cambio de alcance se decide a la vista, con su impacto.
EntregarRevisión de lo entregado, aceptación, pendientes y traspaso a quien lo va a operar.

Tu empresa decide y validaDesigna responsables, acuerda prioridades y recursos, resuelve lo que se escala y acepta la entrega.
Aexis dirige y coordinaArma el plan, coordina a los participantes, lleva el seguimiento y organiza la revisión de entregables y cambios.
Especialistas y proveedores ejecutanHacen el trabajo especializado acordado y entregan la evidencia para comprobarlo.

La ejecución técnica se acuerda aparte

La dirección organiza y coordina. La ejecución especializada se acuerda expresamente con tu equipo, con tus proveedores o con especialistas que te presentamos con nombre y perfil antes de firmar. También podemos tomar un proyecto que ya empezó: revisamos su estado, sus compromisos y sus decisiones pendientes, y con eso acordamos el alcance.

Cómo empieza

Primero conversamos, después acordamos el alcance

ConversarCon la dirección de Aexis, sin costo. Nos cuentas qué decisión tienes pendiente y qué te están pidiendo.
AcordarAlcance, entregables, plazos y valor por escrito, antes de contratar.
DiagnosticarEntrevistas con la gerencia y con TI, y revisión de lo que ya existe.
EntregarEntrega de la hoja de ruta y de las políticas, y presentación a la gerencia o al directorio junto a tu equipo de TI.

Escríbenos a contacto@aexis.cl. Respondemos en 2 días hábiles.

Con tu equipo

Con tu equipo de TI, no sobre él

Hablamos primero con tu equipo de TI. El diagnóstico deja por escrito lo que ya resolvió, y lo que llega al directorio tu equipo lo conoce antes. La opinión que recibe el directorio es nuestra: ni la gerencia ni TI la editan.

Los hallazgos se escriben como decisiones y recursos pendientes, con su causa y su evidencia: buscamos causas, no culpables. La única excepción es la de cualquier asesor: si un hallazgo pudiera involucrar una falta grave, un delito o un deber legal de reporte, se informa directamente a quien nos contrató.

Lo que sigue siendo de tu equipo

La operación diaria.
Las decisiones técnicas.
La relación diaria con tus usuarios.

Lo que hacemos con tu equipo

El caso de inversión y la hoja de ruta, presentados en conjunto.
Las políticas y los procedimientos que hoy no alcanzan a escribir.
La coordinación de los proyectos, si la necesitas.

Por qué ahora · con fuente

La ciberseguridad pasó a ser un tema de dirección

NIST CSF 2.0: Desde febrero de 2024, el marco suma la función Gobernar: estrategia, roles, políticas y supervisión del riesgo de ciberseguridad por parte de la dirección.
Ley N° 21.663: Los servicios esenciales y los operadores de importancia vital deben aplicar de manera permanente medidas para prevenir, reportar y resolver incidentes (art. 7). Los operadores de importancia vital, además, deben implementar un sistema de gestión de seguridad de la información, tener planes de continuidad operacional y ciberseguridad certificados, capacitar a sus trabajadores y designar un delegado de ciberseguridad que informa a sus directores, gerentes o ejecutivos principales (art. 8).
Ley N° 21.719: Modifica la Ley N° 19.628: el responsable y el encargado de datos personales deberán aplicar medidas de seguridad adecuadas al riesgo (art. 14 quinquies). Rige desde el 01.12.2026, salvo que se apruebe la postergación en trámite (boletín N° 18.623-07).
Tus clientes: Un cliente, el auditor o la aseguradora pueden pedirte políticas, responsables y evidencia. Una hoja de ruta aprobada es la base para responder.

Si tu empresa presta servicios esenciales o fue calificada como operador de importancia vital, revisa también Ley 21.663 · Marco de Ciberseguridad.

Qué no incluye

Los límites, dichos de entrada

No operamos tu infraestructura ni tu monitoreo.
No vendemos herramientas: recomendamos sin comisión de fabricante.
No certificamos ISO/IEC 27001: te preparamos; certifica un organismo independiente.
No reemplazamos a tu asesoría legal: los aspectos legales los vemos junto a ella.
La ejecución técnica especializada no está incluida: se acuerda expresamente.
No es dirección continua: eso es CISO as a Service.

Para tu equipo técnico

El mismo trabajo, con sus referencias

Marcos y entregables

NIST CSF 2.0 · función Gobernar (GV): contexto organizacional GV.OC · estrategia de gestión de riesgos GV.RM · roles, responsabilidades y autoridades GV.RR · política GV.PO · supervisión GV.OV · riesgo de la cadena de suministro GV.SC
Diagnóstico · perfil actual y perfil objetivo del CSF 2.0, con los niveles de implementación (Tiers 1 a 4) como referencia de rigor
ISO/IEC 27001:2022 · cláusulas 5.1 liderazgo y compromiso · 5.2 política · 5.3 roles, responsabilidades y autoridades · 6.1 acciones para tratar riesgos y oportunidades · 9.3 revisión por la dirección · Anexo A: A.5.1 políticas de seguridad de la información y A.5.2 roles y responsabilidades
Políticas habituales · uso aceptable · control de acceso · respaldos · proveedores · gestión de incidentes · clasificación de la información
Registro de riesgos · proceso o activo · amenaza · impacto · probabilidad · tratamiento · responsable · fecha de revisión
Dirección de proyectos · plan · matriz de responsables · control de hitos · control de cambios · informe de cierre

Preguntas frecuentes

Antes de empezar, lo que suele preguntarse

¿Cuánto cuesta?

Depende del tamaño de tu empresa y del alcance. Lo conoces por escrito antes de contratar, junto con los entregables y los plazos. La primera conversación no tiene costo.

¿En qué se diferencia de un CISO as a Service?

Gobierno y hoja de ruta es un proyecto con inicio y fin: termina con el plan aprobado. Un CISO as a Service dirige ese plan de forma continua y reporta en cada período.

¿Sirve si ya tenemos equipo de TI?

Sí. Trabajamos con tu equipo para conectar lo técnico con las decisiones, el presupuesto y la supervisión. Tu equipo sigue a cargo de la operación.

¿Las políticas son plantillas?

No. Partimos de marcos reconocidos, pero cada política se escribe para tu operación y con quienes la van a cumplir. Una política que nadie puede cumplir no protege nada.

¿Pueden dirigir un proyecto con nuestros proveedores actuales?

Sí. Coordinamos a tu equipo y a los proveedores que participen. Antes de empezar acordamos responsabilidades, entregables y dependencias; la ejecución especializada se acuerda expresamente.

¿Sirve para ISO/IEC 27001 o para la Ley N° 21.663?

Como punto de partida, sí: el diagnóstico y las políticas son la base del sistema de gestión. La preparación completa tiene su propio servicio, en ISO/IEC 27001 y Ley 21.663. Aexis no certifica: certifica un organismo independiente.

Sigue por aquí

Lo que suele venir después

Conversemos

Cuéntanos qué decisión tienes pendiente. Te decimos por dónde empezar

Una primera conversación con la dirección de Aexis, sin costo. Respondemos en 2 días hábiles.

Conversemos sobre tu hoja de ruta

Fuentes

Actualizado al 03.11.2026 · Información general; no reemplaza asesoría legal.