E
l punto de partida del informe es una brecha estructural entre responsabilidad y capacidad real de control. Aunque casi todos los responsables de seguridad han incorporado ya el riesgo de la inteligencia artificial a su ámbito de actuación, solo una minoría afirma gobernarlo de forma efectiva. Esta distancia no expresa un fallo técnico puntual, sino un problema de gobierno: la función ha heredado nuevas superficies de riesgo sin que su mandato, sus recursos ni su posición organizativa hayan crecido al mismo ritmo.
Este desajuste tiene consecuencias directas. Se traduce en una exposición creciente al incidente, a la sanción y a la pérdida de confianza, en un contexto en el que la seguridad debe responder a la vez por la inteligencia artificial, las identidades no humanas, la convergencia entre IT y OT, la protección del dato en interacción y la resiliencia operativa.
El problema central ya no consiste en proteger un perímetro, sino en gobernar una superficie de riesgo mucho más amplia, cambiante y conectada.
Índice de temas
Donde se ha desplazado el rol
El análisis muestra que el cambio más profundo no es tecnológico, sino funcional. El CISO ya no responde solo de controles técnicos, sino de un resultado de negocio: que la organización siga siendo confiable cuando se enfrenta a una disrupción, a una auditoría o a un incidente relevante. Ese desplazamiento convierte la seguridad en una función de gobierno, no solo de operación.
La nueva naturaleza del puesto se entiende mejor a través de las cuatro audiencias ante las que responde de forma simultánea:
- El regulador: exige controles demostrables, trazabilidad y evidencia inspeccionable; ya no basta con declarar políticas o intenciones.
- El consejo: exige traducir el riesgo técnico al lenguaje del negocio, en términos de impacto, continuidad, coste y responsabilidad.
- La organización: necesita que la seguridad habilite la transformación y no se limite a bloquearla, especialmente en el uso de nuevas tecnologías como la IA.
- El propio cargo: asume una exposición personal creciente, en un entorno regulatorio donde la rendición de cuentas se desplaza desde la organización hacia quienes la dirigen y la instrumentan.
Aunque casi todos los responsables de seguridad han incorporado ya el riesgo de la inteligencia artificial a su ámbito de actuación, solo una minoría afirma gobernarlo de forma efectiva
La complejidad del rol no proviene de sumar tareas, sino de sostener una misma responsabilidad frente a interlocutores que exigen lenguajes, evidencias y decisiones distintas. La madurez del puesto se mide, por tanto, menos por su capacidad de operar controles aislados que por su capacidad de traducir, coordinar y rendir cuentas de forma coherente ante esas cuatro presiones simultáneas.
Las tensiones estructurales
La transformación del rol convive con contradicciones que el CISO no puede resolver en solitario. El informe identifica tensiones recurrentes entre la amplitud de la responsabilidad asumida y la insuficiencia del mandato real para ejercerla. En muchas organizaciones se exige a la función gobernar nuevas superficies de riesgo con presupuestos, equipos y estructuras heredadas de un modelo de seguridad mucho más acotado.
Estas tensiones se concentran en cuatro planos principales:
- Autoridad sin recursos proporcionales: el perímetro de responsabilidad crece, pero los medios siguen anclados en el modelo anterior.
- Responsabilidad sin línea directa al consejo: se responde de riesgos estratégicos sin disponer siempre de la posición organizativa necesaria para influir sobre ellos.
- Urgencia normativa frente a deuda técnica: las exigencias regulatorias avanzan más rápido que la capacidad de modernizar los entornos heredados.
- Sobrecarga y escasez de talento: la presión operativa aumenta en paralelo a la dificultad para incorporar perfiles especializados.
El riesgo más relevante no está únicamente en cada tensión por separado, sino en el hueco que se abre entre lo que la dirección cree que la función puede garantizar y lo que realmente puede entregar con los medios disponibles. Cuando ese hueco no se reconoce ni se gobierna, la seguridad deja de ser una capacidad organizativa y se convierte en una expectativa imposible que termina materializándose en el siguiente incidente.
La IA como punto de convergencia
La inteligencia artificial es el frente donde todas las tensiones anteriores se hacen visibles a la vez. No solo introduce nuevos riesgos, sino que acelera la convergencia entre identidades automatizadas, uso del dato en tiempo real, decisiones autónomas y cruce entre entornos IT y OT. La función de seguridad debe gobernar simultáneamente la IA como objeto de protección y la IA como instrumento de defensa.
Se exige al CISO gobernar nuevas superficies de riesgo con presupuestos, equipos y estructuras heredadas de un modelo de seguridad mucho más acotado
La conclusión es clara: los modelos de seguridad heredados ya no ofrecen visibilidad suficiente sobre el riesgo emergente. El nuevo perímetro no es la red ni el dispositivo, sino el contexto de cada interacción, donde identidad, dato, comportamiento y automatización deben evaluarse de forma continua.
Gobernar por dominios
La respuesta propuesta por el informe no consiste en multiplicar proyectos de cumplimiento, sino en cambiar la unidad de gobierno. En lugar de organizar la seguridad norma a norma, el planteamiento más eficaz es gobernar por dominios estables de riesgo, como la identidad, la IA y los datos, el entorno OT, y la detección y respuesta. Sobre esos dominios se construyen controles únicos, reutilizables y alineados con el marco más exigente.
Este enfoque permite reducir duplicidades, evitar esfuerzos de evidencia repetidos y hacer visibles tanto los solapes entre marcos como los huecos que ninguna norma cubre por completo. Además, desplaza el cumplimiento desde una lógica de hitos puntuales hacia un sistema continuo de gobierno, medición y mejora. El valor no está en adecuarse una vez a una norma, sino en sostener un modelo que pueda demostrar, corregir y elevar su nivel de madurez de forma permanente.
Condiciones para ejercer de garante
El informe concluye que ninguna organización puede pedir al CISO que actúe como garante de la confianza digital sin darle las condiciones necesarias para hacerlo. La primera es una posición que llegue al consejo y permita traducir el riesgo en decisiones de dirección. La segunda, un mandato y unos recursos proporcionales a la responsabilidad que ya se le ha asignado.
A estas se suman otras tres condiciones: métricas expresadas en lenguaje de negocio, una red de apoyo que amplíe la capacidad interna sin delegar la responsabilidad, y un modelo de madurez que entienda el cumplimiento como un sistema vivo de mejora continua. Sin estas cinco condiciones, la organización no convierte la responsabilidad formal del CISO en capacidad real de gobierno.
El diferencial no reside en disponer de más tecnología, sino en dar a la función de seguridad la posición, el mandato y el modelo operativo necesarios para gobernarla. En este contexto, la confianza digital deja de ser una consecuencia esperable de la ciberseguridad y se convierte en el activo central que el CISO debe proteger: el único que no se restaura con una copia de seguridad.
