Once años después de que los primeros análisis identificaran fallas estructurales en gobernanza y rendición de cuentas, las organizaciones siguen sin resolver los mismos problemas de liderazgo.
Cuando los primeros análisis sistemáticos sobre gestión de ciberseguridad comenzaron a circular en 2015, el panorama técnico era radicalmente distinto. La computación en la nube todavía estaba remodelando la tecnología empresarial, el ransomware no había alcanzado su forma industrializada actual, la inteligencia artificial no impulsaba discusiones de juntas directivas y conceptos como Zero Trust apenas empezaban a circular fuera de círculos especializados. El rol de CISO estaba menos establecido, el compromiso de las juntas directivas con el tema era inconsistente, la regulación era menos extensa y los presupuestos de seguridad eran generalmente más pequeños. Once años después, en 2026, casi todo eso cambió — excepto los problemas de gestión que ya se habían identificado entonces.
Por qué las capacidades técnicas avanzaron pero la ejecución organizacional no
Las capacidades de detección y respuesta han madurado considerablemente desde 2015. La seguridad en la nube se desarrolló rápidamente como disciplina propia, la gestión de identidades se convirtió en un eje central de protección y las operaciones de seguridad están cada vez más automatizadas. La inteligencia artificial transformó tanto el ataque como la defensa, y las organizaciones grandes operan ahora funciones de seguridad sustanciales respaldadas por portafolios tecnológicos extensos y proveedores especializados.
Sin embargo, el aumento en sofisticación no eliminó las debilidades fundamentales de gestión. Los CISO pueden seguir siendo responsables de problemas sobre los que carecen de autoridad para resolver. Las estrategias de tecnología y seguridad pueden desarrollarse en vías paralelas sin convergencia real. Los ejecutivos de negocio todavía pueden tratar la ciberseguridad como un servicio entregado por el CISO, en lugar de una dimensión de los procesos, aplicaciones y actividades que ellos mismos poseen. La gobernanza puede producir reportes extensos sin generar toma de decisiones efectiva. Los programas de transformación pueden identificar los problemas correctos sin necesariamente resolverlos.
Los problemas que se discutían en 2015 — gobernanza, rendición de cuentas, silos organizacionales, cortoplacismo y ejecución — siguen siendo los mismos problemas de gestión que enfrentan las organizaciones en 2026. El lenguaje evolucionó, pero las dinámicas de gestión subyacentes a menudo no lo hicieron.
El debate sobre la línea de reporte del CISO como síntoma de ambigüedad estructural
Durante décadas, las organizaciones han debatido si el CISO debe reportar al CIO, al CEO, al COO, al CRO o a otro ejecutivo senior. La línea de reporte al CIO ha atraído crítica particular por un conflicto percibido entre la entrega de tecnología y la protección de ciberseguridad. Pero si décadas de discusión no produjeron una respuesta universalmente satisfactoria, el problema real probablemente esté en otro lugar.
La pregunta más fundamental es qué espera la organización que sea el CISO. Algunas organizaciones ven el rol principalmente como un líder de seguridad tecnológica. Otras lo posicionan como una función de control independiente. Algunas esperan que el CISO coordine resiliencia, mientras que otras ven la posición cada vez más como un rol estratégico de protección del negocio. Esos son trabajos muy diferentes. Hasta que las organizaciones clarifiquen el propósito, la autoridad y la rendición de cuentas del CISO, los debates sobre líneas de reporte continuarán, porque la estructura organizacional está siendo utilizada para compensar la ambigüedad alrededor del rol mismo. Mover al CISO en el organigrama no puede resolver esa ambigüedad.
Tensión constructiva versus conflicto disfuncional entre CIO y CISO
La supuesta tensión entre CIO y CISO necesita una revisión de realidad. Los dos ejecutivos inevitablemente enfrentan presiones diferentes. Los CIO balancean costo, entrega, disponibilidad, innovación y transformación. Los CISO deben desafiar debilidades y asegurar que la protección y resiliencia permanezcan adecuadas. Eso crea tensión, pero la tensión puede ser constructiva y no tiene que convertirse en conflicto.
Mover al CISO fuera de la organización del CIO tampoco elimina esas prioridades en competencia. Cualquier CIO moderno debe reconocer que la ciberseguridad es inseparable de la arquitectura, la nube, la identidad, DevOps, la transformación digital, la inteligencia artificial y la resiliencia. CIO y CISO deben colaborar independientemente de la estructura formal de reporte. Lo que las organizaciones realmente necesitan es un modelo de gobernanza capaz de resolver desacuerdos cuando prioridades legítimas compiten. Ese es un requisito de liderazgo y gestión, no algo que la separación estructural pueda resolver por sí sola.
Impacto en América Latina — Dependencia de modelos importados sin adaptación local
En América Latina, donde la madurez de gobernanza de ciberseguridad varía significativamente entre sectores y países, la persistencia de estos problemas de gestión tiene consecuencias estructurales. Organizaciones en Brasil, México, Argentina y Chile han adoptado marcos de control y estándares internacionales, pero frecuentemente sin adaptar los modelos de gobernanza a las realidades locales de concentración de autoridad, rotación ejecutiva y presión regulatoria desigual.
La ambigüedad sobre el rol del CISO se amplifica en contextos donde la función misma es reciente o donde el ejecutivo carece de acceso directo a la junta directiva. La tensión entre CIO y CISO puede volverse disfuncional cuando la organización no tiene tradición de resolución estructurada de conflictos entre áreas técnicas. El resultado es que las organizaciones latinoamericanas pueden estar invirtiendo en tecnología de seguridad avanzada mientras mantienen modelos de gestión que impiden su uso efectivo — replicando el mismo patrón que se identificó en mercados más maduros hace más de una década.
Nuestro análisis
El gasto en ciberseguridad ha aumentado sustancialmente en la última década, y algunas organizaciones sin duda todavía requieren más recursos. Pero las debilidades persistentes después de años de gasto creciente deberían llevar a los ejecutivos a preguntarse si el financiamiento es siempre el problema central. El dinero puede comprar tecnología, personas y experiencia. Puede financiar transformación y acelerar remediación. Lo que no puede hacer automáticamente es establecer prioridades estratégicas, crear rendición de cuentas clara o resolver tensiones organizacionales.
La ciberseguridad puede estar subgestionada, no solo subfinanciada. Los marcos de control y las buenas prácticas han existido durante años. Las organizaciones pueden identificar debilidades, definir controles y producir planes de remediación. Saben cómo se ve la buena ciberseguridad. Las preguntas difíciles siempre fueron el cómo y el quién — cómo implementar controles en organizaciones complejas con prioridades en conflicto, cómo sostener transformación durante varios años, quién posee los cambios, quién tiene la autoridad para hacerlos realidad y quién permanece responsable cuando el progreso se estanca. Esas preguntas no pueden ser respondidas por un marco de seguridad o un producto. Son preguntas de gobernanza, gestión y liderazgo.
Si en 2037 seguimos discutiendo los mismos problemas de gestión que identificamos en 2015 y que persisten en 2026, ¿en qué punto reconoceremos que el problema no es técnico sino de modelo de liderazgo?