El CISO termina su presentación ante el consejo. Pasó veinte minutos explicando el número de vulnerabilidades parcheadas, la cobertura del antivirus y el porcentaje de empleados que completaron el módulo de capacitación. El presidente del consejo pregunta: "¿Y cuál es nuestra exposición real como organización?" El CISO no tiene una respuesta preparada en ese lenguaje.
Esa brecha —entre lo que el CISO sabe y lo que el consejo necesita escuchar— es el problema estratégico más común en la función.
Por qué el rol técnico ya no es suficiente
Durante años, el CISO fue contratado por su conocimiento técnico y evaluado por métricas técnicas. Eso funcionó mientras la ciberseguridad fue percibida como un problema de infraestructura. Hoy, el riesgo cibernético está en la agenda de los consejos directivos, en los reportes de riesgos para inversores y en las conversaciones regulatorias con autoridades. Ya no es un problema técnico que el equipo de TI gestiona en silencio.
Eso cambia lo que se espera del CISO. No que deje de entender la tecnología —ese conocimiento sigue siendo fundamental para tomar decisiones de seguridad bien informadas— sino que sea capaz de traducirlo en términos que los líderes de negocio puedan usar para tomar decisiones. Riesgo financiero. Exposición regulatoria. Continuidad operativa. Reputación frente a clientes y socios.
El CISO que solo habla el primer lenguaje tiene acceso limitado a las conversaciones donde se decide el presupuesto, la estrategia y las prioridades de la organización. El que domina ambos tiene influencia real.
Las tres capacidades que definen al CISO estratégico
La primera es cuantificar el riesgo en términos de negocio. No "tenemos 47 vulnerabilidades críticas sin parchear". Sino "las vulnerabilidades no resueltas en los sistemas de facturación representan una exposición estimada de X millones de pesos en caso de un incidente, según el impacto promedio en organizaciones de nuestro sector". Ese nivel de traducción requiere metodología, datos de referencia de la industria y voluntad de hacer estimaciones imperfectas pero útiles. Los consejos directivos no necesitan precisión actuarial: necesitan orden de magnitud.
La segunda es comunicar con claridad qué protege el programa de seguridad y qué no. Ningún programa de seguridad es infalible. El CISO que presenta su programa como una garantía de que nada malo va a ocurrir está construyendo expectativas que inevitablemente va a defraudar. El que comunica con honestidad cuál es el nivel de riesgo residual que la organización acepta, qué cubren los controles y qué quedaría expuesto en un escenario adverso, genera confianza en el consejo incluso cuando el escenario es incómodo.
La tercera es operar como socio de negocio, no como guardián de la seguridad. Un CISO que llega a las conversaciones de nuevos proyectos o iniciativas de transformación digital con preguntas en lugar de objeciones, que entiende el objetivo de negocio antes de evaluar el riesgo y que propone controles que no frenan la operación tiene una posición completamente distinta en la organización. No es el que dice que no: es el que dice cómo hacerlo bien.
El obstáculo que nadie nombra
La evolución del rol no es solo una cuestión de habilidades. También es una cuestión de estructura organizacional. Un CISO que reporta al CIO —en lugar de al CEO o al consejo directivo— tiene un techo de visibilidad y de influencia que limita su capacidad de operar como líder estratégico, independientemente de sus capacidades personales. Esa línea de reporte define quién escucha al CISO, con qué frecuencia y en qué conversaciones.
Según datos de Gartner, para 2025 el 60% de los CISOs de organizaciones grandes reportaban directamente al CEO o al consejo, frente al 40% de hace cinco años. Esa tendencia refleja que las organizaciones están reconociendo que la ciberseguridad es una función estratégica. Para los CISOs que aún no tienen esa posición, el camino para conseguirla pasa por demostrar —consistentemente, en cada presentación y en cada decisión— que piensan y hablan como líderes de negocio.
¿La última vez que presentaste al consejo directivo, saliste con la sensación de que entendieron el riesgo que enfrentaba la organización o con la sensación de que asintieron sin saber bien de qué les habías hablado?
Acciones inmediatas
- Revisa tu próxima presentación de ciberseguridad al consejo y reemplaza al menos tres métricas técnicas por métricas de exposición de negocio. Cambia "número de vulnerabilidades críticas" por "valor estimado de los activos en mayor riesgo de compromiso". Cambia "cobertura del EDR" por "porcentaje de sistemas críticos con capacidad de detección activa". El consejo toma mejores decisiones con el segundo tipo de dato.
- Solicita participar en al menos una reunión de planificación estratégica de negocio en los próximos 90 días. No para presentar un reporte de seguridad: para entender las iniciativas que el negocio planea ejecutar y los riesgos que esas iniciativas introducen. Esa presencia posiciona al CISO como un contribuidor estratégico, no como un proveedor de servicios internos.
- Prepara una estimación del impacto financiero de los tres principales riesgos de ciberseguridad de tu organización. No tiene que ser un modelo actuarial: tiene que ser una estimación razonada con referencias de tu industria. Esa estimación es el argumento más efectivo para justificar inversión y es la conversación que los consejos directivos están esperando tener con sus CISOs.
- Evalúa tu línea de reporte actual y si te da acceso a las conversaciones donde se toman decisiones estratégicas. Si reportas al CIO y rara vez tienes acceso directo al CEO o al consejo, identifica qué pasos puedes dar para elevar la visibilidad de la función. Ese proceso empieza por demostrar consistentemente que el CISO tiene algo estratégico que aportar, no solo operativo.
- Desarrolla un documento de "postura de riesgo" de una página que el consejo pueda leer en cinco minutos. Estado actual del riesgo, principales exposiciones, lo que el programa de seguridad cubre y lo que queda como riesgo residual aceptado. Ese documento, actualizado trimestralmente, convierte la ciberseguridad en una conversación continua con el consejo en lugar de una presentación anual que nadie recuerda.
Si quieres desarrollar las capacidades de liderazgo estratégico del CISO en tu organización o construir una función de ciberseguridad con mayor influencia directiva, contáctanos en https://tbsek.mx/contacto/.
