ciso-advisor

Descripción general de la skill ciso-advisor

Para qué sirve ciso-advisor

La skill ciso-advisor es una skill de liderazgo en seguridad diseñada para convertir el trabajo técnico de ciberseguridad en decisiones ejecutivas: riesgo cuantificado en dinero, secuenciación de cumplimiento, estrategia de seguridad, liderazgo durante incidentes, análisis de riesgo de proveedores e informes para el consejo directivo. Es especialmente adecuada para fundadores, líderes de seguridad, CISO fraccionales, ejecutivos de ingeniería y agentes de IA que apoyan trabajos de Security Strategy en empresas en etapa de crecimiento.

Decisiones y usuarios para los que mejor encaja

Usa ciso-advisor cuando la pregunta no sea “¿qué control debo configurar?”, sino “¿cuál debe ser el siguiente movimiento de seguridad de la empresa y cómo lo justifico?”. Encaja muy bien en decisiones como la secuencia entre SOC 2 e ISO 27001, implicaciones de HIPAA/GDPR, priorización presupuestaria, planificación de una hoja de ruta zero-trust, madurez del programa de seguridad y comunicación durante la respuesta a incidentes. La skill es especialmente útil cuando la seguridad debe respaldar ventas enterprise, reducir riesgos materiales o preparar narrativas dirigidas al liderazgo.

Qué hace diferente a la skill ciso-advisor

A diferencia de un prompt genérico de ciberseguridad, esta skill incluye material de referencia para hojas de ruta de cumplimiento, respuesta a incidentes y estrategia de seguridad, además de herramientas en Python para cuantificación de riesgos y seguimiento de cumplimiento. Su diferenciador útil está en el enfoque de negocio: Annual Loss Expectancy, solapamiento entre frameworks, estimaciones de coste, tradeoffs de calendario y rutas de escalamiento ejecutivo. Eso la hace más práctica para presentaciones al consejo, solicitudes de presupuesto, planificación de cumplimiento y priorización con criterio de CISO.

Límites importantes antes de adoptarla

ciso-advisor no sustituye a asesoría legal, a un auditor, a un breach coach ni a un equipo práctico de respuesta a incidentes. Puede ayudar a estructurar decisiones y producir borradores con calidad ejecutiva, pero los usuarios siguen necesitando asesoramiento regulatorio actualizado, evidencias específicas del entorno y validación técnica. Es menos útil para runbooks SOC de bajo nivel, procedimientos forenses, análisis de exploits o pasos de configuración específicos de un proveedor.

Cómo usar la skill ciso-advisor

Instalación de ciso-advisor y archivos que conviene revisar primero

Instala la skill en un entorno compatible con Claude skills mediante:

npx skills add alirezarezvani/claude-skills --skill ciso-advisor

Después revisa el código fuente de la skill en c-level-advisor/skills/ciso-advisor. Empieza por SKILL.md para entender los disparadores y el alcance. Luego lee references/security_strategy.md para el enfoque basado en riesgo, references/compliance_roadmap.md para la secuenciación de frameworks y references/incident_response.md para el manejo ejecutivo de incidentes. Si necesitas priorización numérica, revisa scripts/risk_quantifier.py; para solapamiento de cumplimiento y estimaciones de hoja de ruta, revisa scripts/compliance_tracker.py.

Entradas que mejoran el uso de ciso-advisor

La skill funciona mejor cuando aportas contexto de negocio, no solo una preocupación de seguridad. Incluye etapa de la empresa, industria, tipo de cliente, datos regulados, controles actuales, bloqueos comerciales, apetito de riesgo, presupuesto, fechas límite y audiencia directiva. Un prompt débil sería: “Haz un plan de SOC 2.” Un prompt más sólido sería: “Use ciso-advisor to create a 9-month SOC 2 Type II readiness roadmap for a Series A B2B SaaS company selling to US enterprise customers. We process customer PII, have no formal GRC tool, use AWS and GitHub, have 2 security engineers, and need a board-ready budget justification.”

Flujo de trabajo práctico para estrategia, cumplimiento e incidentes

Para estrategia de seguridad, pide a la skill que identifique los activos críticos, actores de amenaza, riesgos materiales y controles vinculados a resultados de negocio. Para cumplimiento, pídele que compare SOC 2, ISO 27001, HIPAA y GDPR según clientes y flujos de datos, y que luego ordene la hoja de ruta por valor comercial y reutilización de controles. Para incidentes, proporciona severidad, hechos conocidos, impacto sospechado, sistemas afectados, restricciones legales/de comunicación y plazos de decisión, de modo que la respuesta pueda separar acciones ejecutivas de contención técnica.

Uso de los scripts incluidos

Ejecuta los scripts auxiliares desde el directorio de la skill si quieres salidas estructuradas más allá del texto narrativo. python scripts/risk_quantifier.py --budget 500000 puede ayudar a enmarcar qué mitigaciones encajan en un presupuesto. python scripts/compliance_tracker.py --roadmap puede producir una vista secuenciada de cumplimiento, mientras que --gap-analysis ayuda a detectar requisitos faltantes. Trata los datos de ejemplo como un modelo inicial; reemplaza las suposiciones por tus propios valores de activos, tasas anuales, necesidades de frameworks, calendarios y estado de controles.

Preguntas frecuentes sobre la skill ciso-advisor

¿ciso-advisor es solo para CISOs?

No. La skill ciso-advisor es útil para cualquier persona responsable de decisiones de seguridad que afecten ingresos, riesgo o cumplimiento. Un fundador puede usarla para prepararse ante cuestionarios de seguridad enterprise, un líder de ingeniería puede usarla para justificar inversión en seguridad y un responsable de seguridad puede usarla para traducir hallazgos técnicos a lenguaje de consejo directivo.

¿En qué supera ciso-advisor a los prompts comunes?

Los prompts comunes suelen producir listas genéricas de controles. ciso-advisor tiene un marco de decisión más sólido: seguridad basada en riesgo, priorización por impacto económico, secuenciación de cumplimiento y respuesta ejecutiva a incidentes. Las referencias y scripts del repositorio dan más estructura al agente, por lo que es más probable que las salidas incluyan calendarios, tradeoffs, valor de negocio y lógica de escalamiento, en lugar de una checklist plana.

¿Pueden los principiantes usar esta guía de ciso-advisor de forma efectiva?

Sí, siempre que aporten hechos de negocio claros. Los principiantes deberían empezar con preguntas sobre hojas de ruta de cumplimiento o borradores de resúmenes para el consejo antes de intentar una cuantificación de riesgos compleja. La skill usa términos como ALE, SLE, ARO, SOC 2 Type II, ISO 27001, HIPAA, GDPR y zero trust, por lo que los usuarios quizá necesiten pedir definiciones o aclarar supuestos antes de aceptar recomendaciones.

¿Cuándo no debería usar ciso-advisor?

No dependas de ella como autoridad final para notificación de brechas, obligaciones legales, preparación para auditorías o determinaciones de cumplimiento médico/privacidad. Tampoco es la herramienta adecuada para comandos detallados de hardening cloud, recopilación forense, redacción de consultas SIEM o tácticas de red team. Úsala para el encuadre a nivel CISO y, cuando corresponda, involucra a auditores, asesores legales, equipos de respuesta a incidentes y responsables técnicos.

Cómo mejorar la skill ciso-advisor

Mejora los prompts de ciso-advisor con restricciones de decisión

La forma más rápida de mejorar la salida de ciso-advisor es indicar la decisión, la audiencia y las restricciones. Por ejemplo: “Recommend whether to pursue SOC 2 Type II or ISO 27001 first for EU expansion, with a 12-month timeline, $180k budget, and a board audience.” Esto obliga a la respuesta a ponderar tradeoffs en lugar de describir ambos frameworks por igual.

Añade mejores datos de riesgo y negocio

La cuantificación de riesgos depende mucho de los supuestos. Proporciona clases de activos, exposición estimada de ingresos, concentración de clientes, exposición regulatoria, madurez actual de controles, incidentes pasados, requisitos de seguros y costes de mitigación. Si la primera salida parece demasiado segura, pide un análisis de sensibilidad: “Show how the priority changes if annual likelihood is half or double the estimate.”

Itera del primer borrador a un artefacto ejecutivo

Usa la primera respuesta como borrador estratégico, no como entregable final. Pide una segunda pasada que convierta las recomendaciones en un memo para el consejo, una tabla de presupuesto, una hoja de ruta de 30/60/90 días, un registro de riesgos o una narrativa de seguridad para habilitación comercial. Para incidentes, itera hacia versiones específicas por stakeholder: actualización para CEO, resumen legal, declaración de espera para clientes, notificación al consejo y plan de acción post-incidente.

Vigila los modos de fallo comunes

Las salidas débiles habituales incluyen hojas de ruta centradas en cumplimiento que ignoran amenazas reales, puntuaciones de riesgo sin supuestos defendibles, planes de incidentes que mezclan acciones técnicas y ejecutivas, e informes para el consejo sobrecargados de jerga de seguridad. Corrige esto pidiendo a ciso-advisor que separe hechos de supuestos, vincule controles con resultados de negocio, defina al responsable de la decisión e identifique dónde se requiere validación legal, de auditoría o técnica.