¿Cómo entrevistar a un CISO corporativo?
¿Cómo entrevistar a un CISO corporativo?
Con una entrevista estructurada por riesgos, evidencia y decisión. El objetivo es comparar criterio ejecutivo y capacidad de traducir marcos técnicos en decisiones concretas. Defina dominios, pesos y umbral de decisión. En Colombia, incluya tratamiento de datos, terceros críticos, continuidad y notificación de incidentes.
¿Qué debe preparar antes de la entrevista?
Antes de convocar candidatos, delimite superficie digital, países, proveedores, nube y obligaciones regulatorias. Una matriz de cuatro dominios —gobierno, operación, respuesta a incidentes y continuidad— ordena la conversación y reduce sesgos entre entrevistadores. Incluya también la relación con proveedores críticos y el alcance geográfico real.
- Exposición: datos personales, información sensible y activos críticos.
- Dependencias: proveedores con acceso a infraestructura, soporte o nube.
- Continuidad: respaldos, recuperación y tolerancia a caída operativa.
Cuando la vacante requiere acceso a mercado o cobertura regional, el mandato debe pasar a búsqueda ejecutiva.
¿Cómo conducir la entrevista?
Reserve 45 a 60 minutos y puntúe cada respuesta de 1 a 5. Asigne mayor peso a gobierno, arquitectura de control y respuesta a incidentes. Pida un caso reciente, la decisión tomada, el control aplicado y el resultado medible y trazable.
- Gobierno: relación con CEO, auditoría y comité de riesgo.
- Operación: IAM, EDR, SIEM, gestión de parches y vulnerabilidades.
- Respuesta: detección, contención, comunicación y lecciones aprendidas.
Una respuesta sólida incluye hechos, responsables y tiempos. Si el candidato se queda en teoría, la señal de madurez es baja.
¿Qué preguntas discriminan mejor?
Use preguntas que obliguen al candidato a conectar decisión técnica y efecto sobre el negocio. Ese formato separa conocimiento general de capacidad real de dirección. Busque ejemplos, métricas y tensiones con otras áreas, y confirme qué resultado cambió después de cada intervención.
- ¿Qué decisión tomó ante un incidente que afectó datos personales?
- ¿Qué control redujo exposición en nube o accesos privilegiados?
- ¿Cómo prioriza presupuesto entre prevención, detección y continuidad?
- ¿Qué tercero crítico auditaría primero y por qué?
¿Cómo cerrar la decisión?
Use un umbral interno de 70/100 y tres validaciones: referencia de negocio, referencia técnica y lectura de riesgo. Si la operación está en Colombia, revise tratamiento de datos, dependencia de terceros y notificación de incidentes. Cuando la posición impacta varias unidades, la decisión debe formalizarse en un mandato de búsqueda ejecutiva o de evaluación de potencial.