Hay una conversación que casi todo CISO conoce de memoria: la del presupuesto. Llega el momento de defender la inversión en seguridad, se preparan cifras, se argumenta la urgencia, y del otro lado de la mesa está el CFO haciendo la única pregunta que importa desde su lugar: ¿por qué esto y no otra cosa? Con frecuencia, esa conversación termina en un recorte, una postergación o un "lo vemos el próximo trimestre". Y el CISO sale con la sensación de que el área financiera no entiende lo que está en juego.
Pero vale la pena invertir la mirada. El presupuesto nunca es suficiente para nadie en la organización: no lo es para operaciones, ni para ventas, ni para tecnología. El CFO no está negando la importancia de la seguridad; está haciendo su trabajo, que es asignar recursos escasos entre demandas que siempre superan lo disponible. La pregunta real, entonces, no es cómo conseguir más presupuesto, sino cómo volverse alguien en cuyo criterio el CFO confía a la hora de repartirlo.
El problema casi nunca es la cifra
Cuando una solicitud de presupuesto de seguridad se rechaza, es tentador concluir que faltó dinero. Pero muchas veces lo que faltó fue credibilidad. El CFO aprueba con más facilidad las inversiones que entiende, que puede conectar con un riesgo concreto y que provienen de alguien que ha demostrado usar bien los recursos que ya tiene. Cuando una petición llega sin ese contexto —solo con la urgencia técnica y la advertencia de que "si no lo hacemos, algo malo puede pasar"—, se vuelve indistinguible de cualquier otra área pidiendo más.
La credibilidad no se construye en la junta de presupuesto. Se construye antes, en la forma en que el CISO ha hablado del riesgo, ha rendido cuentas de lo invertido y ha demostrado que sabe distinguir lo indispensable de lo deseable. Llegar a pedir sin haber construido esa base es empezar la conversación en desventaja.
Hablar de riesgo, no de tecnología
Uno de los errores más comunes es presentar la necesidad de inversión en términos técnicos. El CFO no evalúa vulnerabilidades ni arquitecturas; evalúa exposición, probabilidad e impacto sobre el negocio. Un CISO gana credibilidad cuando traduce la conversación a ese idioma: no "necesitamos reforzar esta capa", sino "este riesgo puede interrumpir la operación durante días, y así se compara con otros riesgos que ya gestionamos".
Eso implica también reconocer con honestidad lo que no se sabe. Inflar el riesgo para conseguir presupuesto es contraproducente: la primera vez que la catástrofe anunciada no ocurre, la credibilidad se erosiona. Un líder confiable es capaz de decir "este riesgo es alto y urgente" y también "este otro puede esperar". Esa capacidad de priorizar, y no la de alarmar, es lo que hace que el CFO empiece a escuchar distinto.
Demostrar criterio sobre cada peso
Nada construye más credibilidad que demostrar que el presupuesto anterior se usó bien. Un CISO que llega a la conversación mostrando qué se hizo con lo aprobado, qué riesgo se redujo y qué decisiones se tomaron para estirar los recursos, se posiciona como un administrador responsable, no como un solicitante recurrente. El CFO no necesita que le prometan resultados; necesita evidencia de que quien pide sabe usar lo que recibe.
Parte de ese criterio consiste en mostrar que no toda respuesta al riesgo pasa por gastar más. A veces la mejor decisión es rediseñar cómo se opera, redistribuir esfuerzos o reconocer que ciertas capacidades se sostienen mejor de una forma distinta a la actual. Un CISO que llega solo con la petición de más dinero compite por presupuesto; uno que llega con opciones y trade-offs se convierte en un interlocutor de negocio.
De pedir presupuesto a compartir la decisión
El cambio más importante es dejar de ver al CFO como el obstáculo entre la seguridad y sus recursos, y empezar a verlo como un aliado en la gestión del riesgo. Cuando el CISO presenta el riesgo cibernético como una variable más del riesgo general del negocio —al lado del riesgo financiero, operativo o reputacional—, la conversación deja de ser una negociación adversarial y se convierte en una decisión compartida.
En el contexto de muchas organizaciones de la región, donde los recursos son ajustados y cada inversión se examina con lupa, esta forma de trabajar es especialmente valiosa. El CISO que logra que el CFO participe en decidir qué riesgos vale la pena mitigar y cuáles asumir conscientemente ya no está pidiendo presupuesto: está ayudando a la empresa a decidir dónde poner su dinero. Y ese es un rol mucho más difícil de recortar.
La credibilidad se gana antes de pedir
El presupuesto siempre será insuficiente, porque así es la naturaleza de asignar recursos limitados. Por eso la meta del CISO no debería ser ganar cada discusión de presupuesto, sino convertirse en alguien cuyo criterio pesa cuando se decide cómo repartirlo. Esa credibilidad no se improvisa en la junta anual: se construye hablando el idioma del riesgo, priorizando con honestidad y demostrando, peso a peso, que cada recurso se administró con criterio. Cuando eso ocurre, la conversación cambia de fondo: el CFO deja de escuchar una petición y empieza a escuchar a un socio.
