El coste medio de un ciberataque para una pequeña o mediana empresa es más de $250,000. El salario de un director de seguridad de la información (CISO) es aproximadamente el mismo, oscilando entre 250.000 y 400.000 dólares, según el informe anual. Informe CISO 2026 de Sophos y Cybersecurity Ventures. Las pequeñas y medianas empresas (PYMES) saben que no pueden pagar el salario, por lo que tiran los dados con la esperanza de no ser atacadas. Se trata de una apuesta peligrosa que estas empresas, que constituyen la columna vertebral de la economía estadounidense, no deberían tener que asumir. Un CISO virtual (vCISO) o fraccionado (fCISO) puede proporcionar una solución práctica.

A medida que la economía estadounidense se vuelve digital, las PYMES ahora dependen de los mismos componentes básicos que las grandes empresas: servicios en la nube, sistemas de pago, acceso remoto, datos de clientes y otros proveedores externos. Pero sin un liderazgo cibernético de alto nivel, la ciberseguridad a menudo se convierte en un mosaico de herramientas, listas de verificación, trámites de seguros y cualquier orientación que ofrezca un proveedor. Eso podrán conseguir estas empresas a través de un cuestionario; no generará una resiliencia real. Casi la mitad reportó incidentes cibernéticos, que se proyecta costará a la economía mundial 12,2 billones de dólares anuales de aquí a 2031, involucrar a empresas más pequeñas.

La amenaza está creciendo tanto en tamaño como en sofisticación. Los adversarios se están desplegando IA para automatizar reconocimiento, desarrollar malware y ejecutar campañas de phishing a escala. Esto reduce el costo y la habilidad necesarios para apuntar a empresas más pequeñas en volumen. Los adversarios también recopilan datos cifrados con la intención de descifrarlos más tarde cuando tengan acceso a ellos. Computadoras cuánticas lo suficientemente grandes. Las PYMES de las cadenas de suministro de defensa, atención médica y finanzas a menudo poseen credenciales confidenciales que brindan acceso a entornos empresariales más grandes, pero la mayoría no está preparada para adoptar un cifrado resistente a los cuánticos.

Las PYMES generalmente entienden que enfrentan riesgos cibernéticos. La verdadera brecha es el liderazgo: alguien que pueda convertir las vulnerabilidades técnicas en decisiones comerciales, establecer prioridades, informar a los ejecutivos, prepararse para auditorías y responsabilizar a los proveedores. Para más PYMES, contratar un CISO a tiempo completo no es realista desde el punto de vista financiero.

Un CISO virtual proporciona liderazgo y asesoramiento en ciberseguridad remotos y bajo demanda, y generalmente brinda soporte a varias organizaciones al mismo tiempo. Un CISO fraccional es un ejecutivo dedicado a tiempo parcial que está más profundamente integrado en el gobierno, la planificación de seguridad y las operaciones diarias de una organización. Ambos modelos brindan a las organizaciones más pequeñas acceso a experiencia en ciberseguridad de alto nivel de una manera flexible y más asequible que contratar a un CISO a tiempo completo.

Washington debería facilitar que las PYMES contraten líderes fraccionarios en ciberseguridad, porque el mercado privado no está cerrando esta brecha por sí solo. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) y la Administración de Pequeñas Empresas (SBA) podrían ayudar publicando orientación para compradores: criterios examinados para evaluar proveedores, ejemplos de alcances de trabajo y entregables, y estudios de casos del mundo real que muestren a los propietarios de PYMES cómo debería ser un compromiso vCISO o fCISO de alta calidad.

Una orientación clara es importante porque muchas empresas más pequeñas no pueden distinguir fácilmente entre un verdadero liderazgo en ciberseguridad y un revendedor de herramientas, un consultor exclusivo de cumplimiento o un contrato genérico de servicios gestionados. Cualquier criterio de proveedor examinado debe enfatizar la experiencia comprobada en la creación y ejecución de programas de seguridad, la independencia de los incentivos de los proveedores y las cuotas de productos, y la capacidad de vincular la inversión en seguridad al riesgo comercial real, no solo una lista de certificaciones. Los alcances de trabajo modelo también deben detallar los conceptos básicos que cada compromiso debe ofrecer: una evaluación de riesgos inicial, una hoja de ruta de remediación priorizada y métricas simples que muestren si la seguridad está mejorando con el tiempo. Sin criterios claros para los compradores, los esfuerzos federales podrían terminar financiando servicios de baja calidad que añaden costos y trámites sin hacer que las empresas sean más seguras.

El Instituto Nacional de Estándares y Tecnología (NIST) debería reconocer estos modelos CISO en su guía del Marco de Ciberseguridad centrada en las PYMES. Eso ayudaría a las empresas más pequeñas a convertir las funciones de Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar del marco en una estructura de liderazgo clara y responsable. Esto haría que estos roles sean menos abstractos: el punto no es simplemente brindar asesoramiento, sino asumir a nivel ejecutivo la responsabilidad de las prioridades de riesgo, la supervisión de los proveedores, la preparación para incidentes y la comunicación con el propietario o la junta directiva.

El Congreso y el Departamento del Tesoro deberían considerar incentivos o créditos fiscales específicos para servicios calificados de liderazgo en ciberseguridad, vinculados a resultados mensurables de reducción de riesgos. Las actividades elegibles podrían incluir completar una evaluación de riesgos, crear un plan de respuesta a incidentes, realizar revisiones de seguridad de los proveedores, impartir capacitación a los empleados y producir una hoja de ruta de remediación. Las PYMES a menudo postergan la ciberseguridad porque cada dólar compite con la nómina, el inventario y el crecimiento. Un incentivo específico haría que el liderazgo en seguridad fuera más fácil de justificar como una inversión empresarial en lugar de un complemento opcional.

Los funcionarios federales de adquisiciones deberían exigir a los contratistas que manejan datos gubernamentales confidenciales que demuestren que tienen supervisión de ciberseguridad a nivel ejecutivo, ya sea a tiempo completo, virtual o fraccional, y deberían extender esa expectativa a los subcontratistas y proveedores relevantes. Esto es necesario porque las PYMES sirven como puntos de entrada a las cadenas de suministro de defensa, atención médica, finanzas e infraestructura crítica.

Finalmente, CISA y la SBA deberían apoyar la capacitación de la fuerza laboral dirigida por vCISO y CISO fraccional. Los empleados mejoran la seguridad cuando la capacitación viene acompañada de liderazgo, refuerzo regular y una rendición de cuentas clara, no solo una capacitación anual de concientización. El objetivo no es convertir a cada PYME en una tienda de seguridad de Fortune 500. Debería ser para dar a las empresas más pequeñas acceso al liderazgo que necesitan antes de que el próximo incidente fuerce la cuestión.

Georgianna Shea, doctora en Ciencias de la Computación, es tecnóloga jefe del Centro de Innovación Cibernética y Tecnológica de la Fundación para la Defensa de las Democracias y su Laboratorio de Innovación Cibernética Transformativa, donde Cason Smith trabajó como pasante en el verano de 2025. Cason estudia tecnología de la información integrada en la Universidad de Carolina del Sur.