ATALAIAEl liderazgo de seguridad fractional suena vago hasta que ves el calendario. Una persona sénior trabaja unos días al mes dentro de tu organización, es responsable de la dirección y las decisiones de seguridad, y se asegura de que el trabajo lo hagan los equipos que ya hacen la ingeniería. El valor está en el ritmo: los mismos rituales, a las mismas horas, produciendo los mismos artefactos.
Esta guía describe un mes típico, los entregables que debes esperar de él y cómo termina el acompañamiento con un traspaso a una contratación a jornada completa.
La cadencia
Un líder a tiempo parcial no puede estar en todas partes, así que la semana se diseña en torno a unos pocos puntos fijos en lugar de una bandeja abierta.
| Cuándo | Ritual | Quién | Output |
|---|---|---|---|
| Semana 1, día 1 | Jornada de planificación presencial o por llamada | Lead, dirección de ingeniería | Prioridades del mes, acordadas por escrito |
| Semanal, 30 minutos | Check-in de seguridad | Lead, champions, responsable de plataforma | Bloqueos resueltos, backlog reordenado |
| Semanal, 30 minutos | Office hours | Cualquier ingeniero | Dudas de diseño resueltas, revisiones reservadas |
| Según haga falta | Cola de revisión asíncrona | Lead | Comentarios en documentos de diseño y pull requests de riesgo |
| La semana pasada | Revisión mensual | Lead, CTO o VP de Ingeniería | Informe de una página, decisiones registradas |
Entre esos puntos, el lead está localizable para incidentes y decisiones urgentes, con una ventana de respuesta acordada. Todo lo demás espera al siguiente check-in, que es lo que hace sostenible el rol con unos pocos días al mes.
Un mes, semana a semana
- Semana 1: planificarRevisa el informe del mes pasado, actualiza el registro de riesgos y acuerda de tres a cinco prioridades con la dirección de ingeniería.
- Semana 2: diseñoHaz una sesión de threat modeling sobre el cambio más arriesgado en curso y revisa los documentos de diseño abiertos.
- Semana 3: líneaRevisa las estaciones de build y release: cobertura de scanners, cola de triage, permisos del pipeline, excepciones a punto de caducar.
- Semana 4: informeEscribe el informe mensual, celebra la revisión, registra las decisiones y responde a las preguntas pendientes de clientes o auditoría.
El orden importa. Si planificas primero, las semanas intermedias se dedican a trabajo acordado, y si informas al final, el informe refleja lo que realmente pasó.
Entregables que deberías esperar
Cada mes debería dejar el mismo conjunto pequeño de artefactos, para que el progreso se vea y el traspaso final sea fácil.
- Actualización del registro de riesgos. Riesgos nuevos, valoraciones cambiadas, responsables y próximas acciones. Lo bastante corto para leerse en la revisión mensual.
- Backlog de seguridad. Elementos de trabajo ordenados en los propios trackers de los equipos, no una lista de seguridad aparte.
- Registro de decisiones. Cada decisión importante, como aceptar un riesgo, conceder una excepción o elegir una herramienta, con su razonamiento y quién la aprobó.
- Informe de una página. Prioridades, qué ha avanzado, las pocas medidas del programa que sigues y qué necesita una decisión.
- Respuestas a clientes y auditorías. Respuestas a cuestionarios y evidencias preparadas a partir de las mismas fuentes, para que las respuestas sean coherentes.
# decision-log.md entry format
## 2026-09-18 Accept: legacy admin panel without SSO until Q1
Context: panel is internal-only, behind VPN, five named users
Decision: accept risk until 2027-01-31, add access review monthly
Owner: platform lead
Agreed: CTO, security lead
Review: 2027-01-15Quién hace qué
El fallo más común es un lead a tiempo parcial que acaba siendo, sin que nadie lo decida, la única persona que hace trabajo de seguridad. Eso no escala y hace dolorosa la transición. El reparto que recomendamos:
- El lead es dueño de la dirección, las prioridades, las decisiones de riesgo y los estándares contra los que construyen los equipos.
- Los equipos de ingeniería son responsables de los cambios en código, pipelines e infraestructura, con el líder revisando donde el riesgo es alto.
- Los security champions resuelven las dudas del día a día en su equipo y escalan al responsable en los check-ins.
- La dirección es quien asume el riesgo residual, con la recomendación del responsable.
Cómo funciona el traspaso
Un engagement a tiempo parcial debe diseñarse para terminar. El traspaso suele empezar cuando el baseline está en su sitio y la carga de trabajo justifica claramente un puesto a tiempo completo.
- Define el puesto. Usa el registro de decisiones y el backlog para escribir una descripción del puesto basada en el trabajo real, y elige el perfil adecuado.
- Apoyar la contratación. Ayuda a diseñar el proceso de entrevistas, incluido un ejercicio práctico basado en tus propios sistemas, y forma parte del panel.
- Escribe el estado del programa. Un documento breve con riesgos, controles implantados, decisiones abiertas, métricas y carencias conocidas.
- Solapamiento. Haced juntos unos ciclos del ritmo mensual, con la nueva incorporación al mando y el responsable a tiempo parcial revisando.
- Dar un paso atrás. Entrega todos los rituales y artefactos y quédate disponible un periodo acordado para resolver dudas.
Bien hecho, la nueva incorporación hereda una estación que funciona en la línea en lugar de una página en blanco, y puede dedicar su primer trimestre a mejorarla en vez de a descubrirla.
Qué hacer el lunes
- Si tienes un lead fractional, comprueba que los cinco artefactos de arriba existen y viven en tus sistemas.
- Si te lo estás planteando, anota las decisiones que hoy no tiene nadie a quien tomar. Esa lista define el encargo.
- Acuerda ahora el disparador del traspaso, por ejemplo cuando la carga pase a ser a tiempo completo, para no dejarlo al azar.
Dónde encaja en la línea
En la torre (en desarrollo):