La ciberseguridad madura no empieza en una herramienta. Empieza cuando la organización define responsabilidades, separa funciones y convierte el cumplimiento en cultura de gestión.
En muchas empresas, la ciberseguridad funciona razonablemente bien hasta que alguien pregunta algo sencillo:
“¿Quién decide esto?”
Y ahí empiezan los silencios.
IT gestiona herramientas. Compliance pide evidencias. Legal revisa contratos. Dirección quiere tranquilidad. Finanzas mira presupuesto. El proveedor recomienda soluciones. El DPO habla de protección de datos. Operaciones quiere que nada se pare. Y el CISO, si existe, intenta que todo eso tenga sentido sin que el día se convierta en una gymkana permanente.
El problema no suele ser falta de voluntad. Suele ser falta de gobierno.
La ciberseguridad madura necesita tecnología, sí. Pero también necesita una estructura clara para decidir, ejecutar, supervisar y mejorar. Sin eso, el cumplimiento se convierte en papeles, la seguridad en tareas dispersas y el riesgo en algo que todos comentan pero nadie termina de asumir.
Hard law y soft law: entender qué obliga y qué orienta
Una de las primeras confusiones en cumplimiento normativo es mezclar normas obligatorias con marcos de referencia.
No todo pesa igual.
El hard law incluye normas vinculantes: reglamentos, directivas transpuestas, leyes, reales decretos y obligaciones sectoriales. Aquí encontramos marcos como RGPD, ENS, DORA o la normativa nacional que transponga NIS2. Son reglas con consecuencias jurídicas y, en muchos casos, sancionadoras.
El soft law, en cambio, agrupa guías, estándares, buenas prácticas y marcos voluntarios o de referencia. ISO 27001, ISO 31000, guías CCN-STIC, recomendaciones de INCIBE, NIST CSF o marcos de gestión no siempre son obligatorios por sí mismos, pero ayudan a demostrar diligencia, estructurar controles y construir una forma seria de trabajar.
La diferencia importa.
Una empresa no debería tratar una obligación legal como una recomendación opcional. Pero tampoco debería despreciar los estándares voluntarios, porque muchas veces son la forma más práctica de cumplir bien con lo obligatorio.
En ciberseguridad, el cumplimiento inteligente combina ambos mundos: saber qué exige la norma y usar buenos marcos para aterrizarlo sin improvisar.
El mapa de roles: dirección, seguridad, sistemas, datos y cumplimiento
Una organización que no define roles acaba funcionando por costumbre. Y la costumbre, en seguridad, no siempre es buena asesora.
El CEO o la dirección general tienen una responsabilidad clave: marcar prioridad, asignar recursos, aprobar riesgos y evitar que la ciberseguridad se trate como una molestia técnica. No necesitan saber configurar un firewall. Necesitan saber qué riesgos pueden afectar al negocio y qué decisiones deben tomar.
El CISO, o la figura vCISO cuando no existe un CISO interno, se encarga de traducir el riesgo técnico a lenguaje de negocio. Su función no es solo “mirar seguridad”, sino ayudar a definir estrategia, prioridades, controles, políticas, gobierno, indicadores y respuesta.
El CIO o responsable de sistemas garantiza que la tecnología funcione, evolucione y soporte el negocio. Su papel es esencial, pero conviene distinguirlo del rol de seguridad. Sistemas y seguridad deben colaborar mucho, pero no siempre deberían ser exactamente lo mismo. Si quien opera todos los sistemas también se audita a sí mismo sin contrapeso, la independencia queda tocada.
El DPO, cuando aplica, vela por el cumplimiento en protección de datos personales. Su foco no es solo la seguridad técnica, sino los derechos y libertades de las personas afectadas por los tratamientos.
El responsable de datos, data owner o figura equivalente, ayuda a gobernar la calidad, uso, clasificación y ciclo de vida de la información. En empresas que usan analítica, IA o grandes volúmenes de datos, este rol empieza a ser cada vez más relevante.
El compliance officer o responsable de cumplimiento coordina obligaciones, evidencias, controles y seguimiento normativo. Su valor no está en generar documentación por generar, sino en conectar normas con procesos reales.
Y luego están las áreas operativas. Porque la seguridad no vive solo en IT. Vive en compras, finanzas, recursos humanos, comercial, operaciones, atención al cliente y dirección. Cada área toma decisiones que pueden aumentar o reducir riesgo.
La regla de independencia: una incomodidad necesaria
En empresas pequeñas o medianas es habitual que una misma persona acumule funciones. Es normal. No todas las organizaciones pueden tener un CISO, un CIO, un DPO, un compliance officer, un responsable de continuidad y un equipo SOC interno.
Pero una cosa es adaptarse al tamaño de la empresa y otra muy distinta es no separar responsabilidades críticas.
La independencia no significa crear burocracia. Significa evitar conflictos de interés.
Quien implanta un control no debería ser la única persona que valida si ese control es suficiente. Quien administra accesos no debería revisar sin supervisión si los accesos están bien concedidos. Quien contrata un proveedor crítico no debería ser el único que evalúa su riesgo. Quien gestiona una herramienta no debería ser juez único de su eficacia.
No siempre se puede separar con departamentos distintos, pero sí se puede compensar con revisiones externas, auditorías, comités, controles cruzados o acompañamiento vCISO.
Esa es una de las diferencias entre una empresa que “hace cosas de seguridad” y una empresa que empieza a gobernar la seguridad.
El modelo de las tres líneas: poner orden sin montar un ministerio
El modelo de las tres líneas ayuda a entender cómo se reparte la responsabilidad.
La primera línea está en la operación. Son las áreas que gestionan procesos, sistemas, datos y servicios. Asumen el riesgo en el día a día y aplican controles. No pueden delegarlo todo en IT, porque muchas decisiones nacen en negocio.
La segunda línea supervisa. Aquí encajan funciones como compliance, gestión de riesgos, DPO, seguridad o control interno, según el tamaño y estructura de la organización. Su papel es orientar, vigilar, establecer criterios y ayudar a que la primera línea no trabaje a ciegas.
La tercera línea aporta aseguramiento independiente. Auditoría interna o externa revisa si el modelo funciona, si los controles son eficaces y si la organización puede demostrar lo que dice.
Bien aplicado, este modelo no complica. Ordena.
Mal aplicado, puede convertirse en reuniones eternas, matrices que nadie usa y documentos que envejecen peor que un servidor sin parchear.
La clave está en hacerlo proporcional. Una pyme madura no necesita replicar la estructura de un banco. Pero sí necesita saber quién opera, quién supervisa y quién valida.
Tone at the Top: la cultura real se copia desde arriba
En cumplimiento se habla mucho del Tone at the Top. Suena muy de manual, pero la idea es sencilla: la cultura de una organización se define por lo que la dirección permite, premia y tolera.
Si dirección dice que la seguridad es importante, pero luego exige saltarse controles para ir más rápido, el mensaje real está claro.
Si se aprueban excepciones sin análisis, si se posponen inversiones críticas indefinidamente, si no se participa en simulacros, si nadie revisa indicadores y si el comité solo pregunta por ciberseguridad después de un susto, la organización aprende rápido que la seguridad es secundaria.
El Tone at the Top no se demuestra con frases bonitas en una política. Se demuestra con decisiones.
Asignar presupuesto. Exigir evidencias. Participar en comités. Aprobar apetito de riesgo. Respaldar al CISO. Escuchar a IT cuando alerta de una exposición crítica. Incluir seguridad en proveedores. Tomarse en serio la formación. Revisar incidentes sin buscar culpables fáciles.
Cuando dirección hace eso, la ciberseguridad deja de ser un discurso y empieza a convertirse en cultura.
El sistema de compliance: prevenir, detectar, responder y mejorar
Un sistema de compliance en ciberseguridad no debería entenderse como una carpeta de documentos. Debería ser un mecanismo de autorregulación diseñado para reducir riesgos legales, reputacionales, económicos y operativos.
Eso implica políticas claras, controles proporcionados, responsables definidos, evidencias, formación, canal de reporte, seguimiento, revisión y mejora.
También implica asumir una verdad incómoda: tener una política no significa cumplirla. Tener un procedimiento no significa que el equipo lo conozca. Tener una auditoría no significa que el riesgo esté resuelto. Tener una herramienta no significa que la organización la use bien.
La madurez aparece cuando el sistema funciona en la práctica.
Por ejemplo, cuando una alerta se investiga con criterio. Cuando un proveedor crítico se evalúa antes de firmar. Cuando un empleado sabe cómo reportar un posible phishing. Cuando la dirección entiende qué riesgo residual acepta. Cuando los accesos se revisan periódicamente. Cuando los incidentes se documentan y sirven para mejorar. Cuando las evidencias están disponibles sin que haya que montar una expedición arqueológica cada vez que llega una auditoría.
El error habitual: confundir cumplimiento con seguridad
Cumplir ayuda. Pero cumplir no siempre equivale a estar seguro.
Una empresa puede tener documentación correcta y una postura técnica débil. También puede tener buena tecnología y un gobierno pobre. Puede pasar una auditoría y, aun así, tener proveedores sin controlar, usuarios con permisos excesivos o backups sin probar.
El objetivo no debería ser “pasar la auditoría”. El objetivo debería ser reducir riesgo y poder demostrarlo.
La auditoría es una fotografía. El gobierno es la película.
Por eso la ciberseguridad debe trabajarse como un ciclo continuo: diagnóstico, priorización, ejecución, medición, revisión y mejora. Aquí servicios como auditoría de ciberseguridad, consultoría ENS, adaptación NIS2, ISO 27001, vCISO, análisis de riesgos, formación o respuesta a incidentes encajan como piezas de un mismo sistema, no como productos sueltos.
El valor está en conectarlo.
Cómo empezar sin perderse
La pregunta más útil para una empresa no es “qué norma tengo que cumplir primero”, sino “qué riesgo estoy gestionando peor ahora mismo”.
A veces será falta de inventario. A veces, ausencia de comité. A veces, dependencia de proveedores. A veces, usuarios sin formación. A veces, falta de monitorización. A veces, roles mezclados. A veces, documentación inexistente. A veces, demasiadas herramientas sin gobierno.
El camino sensato suele empezar con un diagnóstico de madurez. Después, un mapa de obligaciones. Luego, una matriz de riesgos y un roadmap realista. No un plan de 80 acciones imposibles para que nadie lo ejecute. Un plan priorizado, con responsables, plazos, evidencias y decisiones de dirección.
En ciberseguridad, hacer menos cosas pero bien suele ser mejor que hacer muchas a medias.
Conclusión
El gobierno de ciberseguridad no consiste en llenar la empresa de comités. Consiste en que las decisiones importantes no dependan de la intuición, la urgencia o la buena voluntad de una sola persona.
Cumplir no debería ser un ejercicio defensivo. Debería ser una forma de gestionar mejor.
Cuando los roles están claros, la dirección se implica, la operación ejecuta, compliance supervisa y la auditoría valida, la ciberseguridad empieza a parecerse menos a una carga y más a una capacidad empresarial.
En TutumSec entendemos el cumplimiento desde esa lógica: no como papeleo, sino como una arquitectura de confianza.
Porque una empresa segura no es la que más normas cita.
Es la que sabe quién decide, quién ejecuta, quién supervisa y cómo responde cuando llega el momento.