En la mayoría de los comités directivos, la ciberseguridad todavía se discute como una línea más dentro de "gastos de TI". Se aprueba, se recorta o se pospone con la misma lógica que se aplicaría a una licencia de software o a un servidor adicional. El problema es que esa lógica ya no corresponde a lo que la ciberseguridad representa hoy para una organización: no es un costo operativo, es una decisión sobre cuánto riesgo financiero está dispuesta a tolerar la empresa.
Y ahí es donde el CFO empieza a tener un papel que va mucho más allá de aprobar o rechazar una cifra.
El problema de dejar la seguridad fuera de la conversación financiera
Cuando el presupuesto de seguridad se decide exclusivamente entre el CISO y el área técnica, el resultado suele ser previsible: se pide más de lo que se puede justificar en términos de negocio, y finanzas responde recortando sin entender del todo qué se está sacrificando. Ninguna de las dos partes gana. El CISO siente que su criterio técnico no se valora; el CFO siente que está firmando un cheque en blanco sin visibilidad real del retorno.
Esta desconexión no es un problema de personas — es un problema de lenguaje. El CISO habla en términos de vulnerabilidades, superficie de ataque y tiempos de detección. El CFO piensa en exposición financiera, continuidad operativa y retorno sobre la inversión. Cuando esas dos lógicas no se traducen entre sí, el presupuesto de seguridad termina decidiéndose con información incompleta de ambos lados.
Por qué el CFO debería estar en la mesa desde el diseño, no solo en la aprobación
Incluir al CFO desde el diseño del presupuesto de seguridad —y no solo al final, como firma— cambia la naturaleza de la conversación. En lugar de preguntar "¿cuánto cuesta esto?", la pregunta se convierte en "¿cuánto nos costaría no tenerlo?". Esa es una pregunta que el CFO sabe responder mejor que nadie, porque es exactamente el tipo de análisis que ya aplica a otras decisiones de negocio: inversión de capital, continuidad operativa, exposición a pérdidas.
Un CFO que entiende el contexto de riesgo no está ahí para limitar el presupuesto de seguridad. Está ahí para ayudar a priorizarlo con criterio financiero: qué inversiones reducen exposición de forma medible, cuáles son urgentes frente a cuáles pueden esperar un ciclo, y cómo se compara ese gasto con el costo real de un incidente que interrumpa operaciones o comprometa información sensible.
De centro de costo a inversión con retorno medible
El cambio más importante no es agregar al CFO a una reunión más. Es replantear cómo se presenta la ciberseguridad dentro de la organización: dejar de exponerla como una lista de amenazas técnicas y empezar a presentarla como un análisis de riesgo financiero con escenarios concretos.
Eso significa que el CISO también tiene una responsabilidad en este cambio. No se trata de que el CFO aprenda a leer reportes técnicos, sino de que la seguridad se traduzca en las categorías que el negocio ya entiende: impacto en ingresos, costo de inactividad, exposición regulatoria, reputación frente a clientes. Cuando esa traducción existe, el presupuesto deja de negociarse como un favor y empieza a discutirse como cualquier otra inversión estratégica.
Una relación que se construye antes de la crisis
Las organizaciones que mejor gestionan esta relación no la improvisan cuando ocurre un incidente. La construyen antes, con revisiones periódicas donde CISO y CFO comparten un mismo panorama de riesgo, actualizado y en un lenguaje común. Cuando esa relación ya existe, una crisis no se convierte en el primer momento en que ambos se sientan a hablar de presupuesto bajo presión — se convierte en la validación de decisiones que ya se habían tomado con información compartida.
El presupuesto de seguridad seguirá siendo, en el fondo, una decisión sobre prioridades y recursos limitados. Pero esa decisión mejora cuando deja de tomarse en dos conversaciones separadas —una técnica y otra financiera— y se convierte en una sola, con ambas partes entendiendo qué está realmente en juego.
