En la era de la IA, el CISO se vuelve un estratega empresarial

La IA, catalizador de riesgos y oportunidades

En los últimos tres años, la inteligencia artificial ha intensificado esta dinámica. Erik Moreno explica que la IA representa simultáneamente una amenaza y una oportunidad, ya que "viene a ampliar todavía más esa superficie de ataque, a madurar nuestras estrategias de prevención de fuga de información, e incluso [se puede] utilizar la inteligencia artificial hoy como un gran pilar de automatización y de mejora en los servicios para ser mucho más proactivos y preventivos frente a las amenazas".

Aquí es donde la gestión del dato y la privacidad emergen como funciones críticas que, según Moreno, deberían materializarse en una figura dedicada dentro de las organizaciones, distinta tanto al CISO técnico como al responsable de gobierno de seguridad, que opere en la intersección entre tecnología y el marco jurídico que regula la protección de datos.

El CISO se vuelve estratega… con responsabilidad jurídica

Quizás el cambio más significativo en el perfil del director de seguridad de la información no es técnico. El rol ha escalado dentro de los organigramas corporativos hasta adquirir una posición estratégica con impacto directo en el negocio.

"El CISO ya ha tenido un papel mucho más estratégico dentro de la organización", afirma Moreno, quien detalla que hoy estos directivos ya empiezan a tener “incluso responsabilidad jurídica dentro de las organizaciones: puede ser acusado por negligencia en términos de algún mal cuidado de las organizaciones, y esto le suma un grado más de estrés a esta posición".

Este cambio eleva la presión sobre la función y redefine sus competencias. Hoy, dice, el CISO debe entender de riesgos financieros, normativos y regulatorios, además de actuar como asesor del negocio.

Para Moreno, el CISO contemporáneo debe dominar tres habilidades fundamentales:

1. Visión estratégica del negocio, de la transformación digital que atraviesan las organizaciones y de la gestión de riesgos;
2. Capacidad de negociación, que consiste en equilibrar seguridad y competitividad sin frenar la operación. "No podemos tener una visión de cerrar las puertas del negocio para volverlo seguro, esto nos quita competitividad", expresa; y
3. Comunicación efectiva hacia todos los niveles de la organización, para traducir los riesgos técnicos en impactos de negocio y movilizar a toda la organización.

Un giro que se está produciendo en algunas industrias, como la financiera, es que, ante la dificultad de concentrar todas estas capacidades en un solo profesional, se ha comenzado a redefinir la estructura de ciberseguridad en un modelo que divide las responsabilidades entre varios roles, comenta el director de Minsait Cyber.

Así, el sector financiero mexicano distingue en su regulación entre el CISO, que es el líder estratégico de seguridad de la información –orientado a gobierno, políticas y cumplimiento– y el jefe de ciberseguridad, de perfil eminentemente técnico, encargado de implementar controles. "En lugar de tener a una sola figura, suma dos figuras que trabajan en pro de los beneficios del cuidado de la información de los clientes y de las empresas", explica. "Sí se puede tener en una sola figura. Evidentemente lleva una curva de aprendizaje y una curva de madurez, pero qué mejor tener a estas dos figuras de manera inmediata para poder potencializar de mejor manera las estrategias de ciberseguridad", resalta. El modelo está siendo replicado por otros sectores como los de energía y retail.

A esto puede sumarse una posible tercera figura, centrada en privacidad y protección de datos, especialmente relevante en la era de la inteligencia artificial.

Una profesión sin horario que requiere pasión

Erik Moreno compara la naturaleza de la profesión de CISO con la del personal de urgencias hospitalarias: necesita disponibilidad permanente (24/7), las interrupciones son inevitables y existe una presión constante. Todo ello convierte el riesgo de burnout en una variable constante. ¿Su fórmula para gestionarlo? La ciberseguridad es su vocación.

Para el directivo, la pasión por ayudar a las organizaciones y el deseo de aprender constantemente son clave para enfrentar el estrés y la presión inherentes a esta profesión. "La única razón que yo veo para mantenernos en esto sin un burnout es que te apasione el tema de ciberseguridad. Cuando te apasiona esta temática, esta profesión, no lo ves como un burnout; lo ves como parte de tu pasión, del día a día", expresa.

Entender esta evolución en la ciberseguridad y en el papel del CIO para adaptarse adecuadamente es esencial para que las organizaciones puedan garantizar su resiliencia en un mundo cada vez más digital, indica Erik Moreno. Hoy, la seguridad ya no se define por lo que se protege, sino por la capacidad de anticipar, adaptarse y responder en tiempo real. "La ciberseguridad está tomando este rol mucho más estratégico, ya no nada más tecnológico, y eso representa un gran reto para todos los profesionales del sector", finaliza.