Los indicadores de ciberseguridad para dirección son un puñado de cifras, normalmente entre seis y ocho, que dicen al CEO y al comité qué riesgo tiene hoy la empresa, si mejora o empeora y qué decisión hay que tomar. En una pyme basta con una página al mes que cubra identidades, copias de seguridad, parches, accesos privilegiados, proveedores, incidentes, formación y excepciones abiertas. Cada indicador necesita un responsable, un objetivo y una decisión asociada: si una cifra no cambia nada de lo que hace la dirección, sobra.
No es un ejercicio teórico. Según el resumen de Help Net Security del Data Breach Investigations Report 2026 de Verizon, la explotación de vulnerabilidades ha pasado a ser la principal vía de entrada en las brechas, el tiempo mediano hasta aplicar por completo un parche ha subido a 43 días y el ransomware aparece en el 48 % de las brechas. Son precisamente las cosas que un buen cuadro de mando hace visibles a tiempo.
Qué debe ver la dirección y qué no
El error más común es llevar al comité el panel del antivirus o del cortafuegos: miles de alertas bloqueadas que no permiten decidir nada. La guía de medición de seguridad de la información del NIST (SP 800-55, publicada en diciembre de 2024) insiste en lo contrario: las medidas deben conectarse con los objetivos de la organización y servir para informar a la alta dirección. Traducido a una pyme, un buen indicador cumple tres condiciones:
- Se entiende sin ser técnico. «El 96 % de las cuentas tiene doble factor» se entiende; «1.240 eventos bloqueados» no.
- Se compara con un objetivo y con el mes anterior. Lo que importa es la tendencia, no la foto.
- Activa una decisión. Presupuesto, plazo, excepción aprobada o rechazada, proveedor al que se exige algo.
Los 8 indicadores de ciberseguridad que debe ver un CEO cada mes
| Indicador | Qué mide | Decisión que provoca |
|---|---|---|
| 1. Cobertura de MFA | % de cuentas con doble factor; administradores aparte | Fecha límite y bloqueo de quien no lo active |
| 2. Copias probadas | Fecha y resultado de la última restauración real de un sistema crítico | Inversión en copia aislada o inmutable si la prueba falla |
| 3. Vulnerabilidades críticas fuera de plazo | Número y antigüedad, priorizando equipos expuestos a internet | Ventana de mantenimiento, sustitución de equipos sin soporte |
| 4. Accesos privilegiados | Nº de administradores y si se han revisado este mes | Retirar permisos que no se justifican |
| 5. Proveedores críticos | Proveedores con acceso o datos y cuántos están evaluados | Exigir cláusulas, MFA o cambiar de proveedor |
| 6. Incidentes y tiempo de respuesta | Incidentes relevantes, tiempo hasta detectarlos y contenerlos | Contratar vigilancia, ensayar el plan de respuesta |
| 7. Formación y reporte de phishing | % de plantilla formada y cuántos avisan de correos sospechosos | Refuerzo en los equipos con peores datos |
| 8. Excepciones de riesgo | Riesgos aceptados abiertos y cuántos han caducado | Renovar, cerrar o asumir formalmente el riesgo |
Por qué estos y no otros
Identidades y accesos (1 y 4). El robo de credenciales sigue alimentando buena parte de los ataques y una cuenta de administrador comprometida lo abre todo. En nuestra guía sobre cómo implantar la autenticación multifactor en una pyme explicamos qué cuentas proteger primero; el indicador sirve para comprobar que nadie se queda fuera.
Copias (2). Una copia que nunca se ha restaurado es una hipótesis. El dato útil no es «copias realizadas: 30 de 30», sino «último sistema restaurado, cuánto tardó y cuántos datos se perdieron». Es la diferencia entre parar dos horas o dos semanas, como contamos en el artículo sobre qué hacer antes, durante y después de un ataque de ransomware.
Parches (3). El mismo informe de Verizon indica que solo el 26 % de las vulnerabilidades que CISA cataloga como explotadas activamente se corrigieron por completo. Para dirección basta con saber cuántas críticas siguen abiertas fuera del plazo acordado y en qué equipos.
Proveedores (5). La participación de terceros ya está en cerca de la mitad de las brechas, según el DBIR 2026. El indicador obliga a mantener una lista de proveedores críticos y a revisar cuántos cumplen lo pactado.
Incidentes, formación y excepciones (6, 7 y 8). Miden la capacidad de reacción y la disciplina. Las excepciones caducadas son la señal más clara de que algo se aprobó «de forma temporal» y se quedó para siempre.
Cómo presentarlos en una sola página
- Un semáforo por indicador (verde, ámbar, rojo) frente a un objetivo fijado de antemano por la dirección, no por el técnico.
- La tendencia de los últimos tres meses, con una flecha o un gráfico pequeño.
- Un responsable con nombre para cada indicador.
- Las decisiones pendientes al final: dos o tres como máximo, con coste y plazo.
- Diez minutos en el orden del día del comité mensual. Si quieres encajarlo con el resto de temas tecnológicos, te sirve la agenda que proponemos para que la tecnología tenga sitio en el comité de dirección.
Errores habituales al medir la ciberseguridad
- Medir actividad («formaciones impartidas») en lugar de resultado («empleados que reportan el phishing»).
- Cambiar los indicadores cada trimestre, lo que impide ver tendencias.
- Dejar que el proveedor de sistemas se evalúe a sí mismo sin evidencias.
- Presentar solo cifras en verde. Un cuadro de mando sin rojos suele estar midiendo lo fácil.
- No fijar objetivos: sin umbral, ningún dato es bueno o malo.
Por qué la dirección ya no puede delegarlo del todo
La Directiva NIS2 hace responsables a los órganos de dirección de aprobar y supervisar las medidas de ciberseguridad en las empresas que entran en su ámbito, y sus exigencias llegan también a las pymes que les prestan servicios. Lo explicamos en qué debe hacer una pyme ante NIS2 aunque la ley española no esté aprobada. Un cuadro de mando mensual es la forma más sencilla de demostrar esa supervisión ante un cliente, una aseguradora o un auditor.
Cómo empezar en 30 días
- Semana 1: elige los 8 indicadores y su responsable. No añadas más.
- Semana 2: recoge el dato actual de cada uno, aunque sea manual y aproximado.
- Semana 3: la dirección fija el objetivo de cada indicador y el plazo para alcanzarlo.
- Semana 4: primera presentación en el comité y registro de las decisiones tomadas.
Preguntas frecuentes
¿Cuántos indicadores de ciberseguridad debe ver la dirección?
Entre seis y ocho en una pyme. Con más, la reunión se convierte en una revisión técnica y se pierden las decisiones.
¿Con qué frecuencia hay que revisarlos?
Una vez al mes en el comité, y de inmediato si hay un incidente relevante. El detalle técnico puede revisarse cada semana entre el responsable de seguridad y el de sistemas.
¿Quién los prepara si no tenemos responsable de seguridad?
El proveedor de sistemas puede aportar los datos, pero conviene que alguien independiente los interprete y proponga las decisiones. Ese es el papel de un CISO, interno o externo.
¿Hace falta una herramienta específica?
No para empezar. Una hoja de cálculo con los datos de Microsoft 365 o Google Workspace, la consola de copias y el inventario de equipos basta los primeros meses.
Conclusión
Ocho indicadores bien elegidos, con objetivo, responsable y decisión, permiten que la dirección gobierne la ciberseguridad sin convertirse en técnica. Si necesitas a alguien que diseñe ese cuadro de mando y lo presente cada mes, un CISO externo para tu pyme puede hacerlo con una dedicación proporcionada a vuestro tamaño. Y si quieres revisar por dónde empezar, solicita una conversación inicial de 30 minutos con RAZNAR.
Sigue el hilo desde aquí.
Si esto se parece a tu contexto, podemos aterrizarlo.
Convertimos estas decisiones en una hoja de ruta concreta para tu empresa: prioridades, riesgos, dependencias y primer plan de ejecucion.
