CISO as a Service en Chile: cuándo conviene externalizar la ciberseguridad

El modelo CISO as a Service —también conocido como CISO virtual o vCISO— consiste en contratar la función de dirección estratégica de seguridad de la información con un especialista o un equipo externo, en lugar de sostener un cargo interno de tiempo completo. Según trendtic.cl (2026), el modelo responde a una tensión concreta: el déficit de profesionales senior en ciberseguridad hace difícil para una empresa mediana atraer y retener a un especialista con la experiencia que un directorio necesita, mientras la exposición al riesgo no espera a que ese cargo se llene.

A diferencia de una consultoría puntual, el CISO as a Service opera como una relación continua: participa en instancias de dirección, revisa la postura de seguridad de forma periódica y responde ante un incidente, aunque no esté físicamente en la oficina todos los días. El diseño habitual distribuye esa dedicación en horas mensuales fraccionadas, ajustadas al tamaño y la exposición de la empresa contratante.

No todas las empresas medianas están obligadas a designar un delegado de ciberseguridad: la obligación aplica a quienes la ANCI califica formalmente como Operador de Importancia Vital (OIV), en sectores como energía, telecomunicaciones, servicios digitales, banca, salud y administración del Estado. El primer proceso de calificación avanzó en dos etapas sucesivas, así que conviene revisar el estado vigente antes de asumir que la empresa queda fuera.

La ANCI publicó la nómina final de la primera etapa del primer proceso de calificación el 17 de diciembre de 2025, tras un listado preliminar sometido a consulta pública: 915 de las 1.712 instituciones preliminarmente calificadas quedaron como OIV, distribuidas entre el sector eléctrico, telecomunicaciones, servicios digitales, banca, salud, empresas públicas y organismos del Estado. La segunda etapa siguió el mismo camino: la Resolución Exenta N.º 187, de 21 de julio de 2026, publicada en el Diario Oficial el 24 de julio de 2026, calificó otras 239 entidades, con lo que el primer proceso concluyó con 1.154 OIV. Para las entidades de la segunda etapa el plazo de 60 días corridos para designar delegado corre desde esa publicación, así que si tu empresa opera en alguno de esos sectores o es proveedora relevante de un OIV, revisa el listado vigente en anci.gob.cl antes de descartar la obligación.

Antes de contratar, el gerente general o de tecnología debe validar que el proveedor cumpla, como mínimo, los mismos estándares que la ANCI exige a un delegado de ciberseguridad, aunque la empresa no esté obligada legalmente a designarlo: independencia funcional respecto de quien ejecuta los controles técnicos, canal de reporte directo a la alta dirección y formación o experiencia verificable en gestión de riesgo tecnológico.

• Independencia declarada por contrato respecto del proveedor de infraestructura o del área de TI, propia o externalizada.
• Canal de comunicación directo con la gerencia general o el directorio, no solo con el equipo técnico.
• Experiencia demostrable en el sector de la empresa, no solo certificaciones generales.
• Nivel de servicio acordado por contrato para tiempos de respuesta ante incidentes, no una promesa genérica.
• Claridad contractual sobre qué asume el proveedor y qué responsabilidad legal permanece siempre en la empresa.

Sobre el costo, conviene ser prudente con las cifras que circulan en internet: no existe una tarifa pública y verificable para un CISO as a Service en Chile, y el sueldo de un CISO interno varía tanto por industria, tamaño de empresa y nivel de exposición regulatoria que cualquier cifra genérica resulta poco confiable. Lo que sí es consistente entre proveedores serios es el modelo de cobro: horas mensuales fraccionadas, cotizadas según el alcance y la criticidad de la empresa, no una tarifa plana publicada de antemano.