¿Qué demanda el 2026 de los CISO?

De CISO a director de resiliencia

Para la empresa de seguridad informática, el límite entre riesgo de TI y riesgo de negocio ha colapsado, acelerado por la integración profunda de la inteligencia artificial a las operaciones, la toma de decisiones y la fidelización del cliente. Los sistemas de IA ahora influencian cadenas de suministro, controles financieros, decisiones de contratación e interacciones con cliente, usualmente con mínima intervención humana.

Como resultado, los CISO ya no son solamente responsables de asegurar sistemas, pues ahora deben asegurar que los procesos de negocio impulsados por IA continúen confiables, disponibles y controlables bajo estrés. En la práctica, los CISO han empezado a operar como directores de resiliencia.

En una realidad donde la IA incrementa la velocidad, escala y dependencia, cuando una falla ocurre, se propaga más rápido y más lejos. Con esto en mente, en 2026, los CISO deberán asumir que las disrupciones involucrarán componentes impulsados por IA, ya sea por modelos comprometidos, datos infectados, agentes manipulados o mal uso de la automatización; qué tan bien se absorben y contienen esas fallas será la medida del éxito.

Cómo ha cambiado la ciberseguridad en 2026

En la reunión anual del Foro Económico Mundial, las discusiones colocaron a la IA como un riesgo de gobernanza o un problema de resiliencia, con implicaciones directas en la estabilidad económica, la infraestructura nacional y la confianza global. La atención se centró en la exposición sistémica:

• la concentración de las capacidades de IA,
• la dependencia a modelos compartidos,
• la dependencia de datos interfronterizo y
• el riesgo de falla en cascada cuando los sistemas altamente conectados y automatizados se comportan de un modo no esperado.

La ciberseguridad ya no se entiende como un problema únicamente empresarial, sino como una responsabilidad compartida que involucra al sector público y al privado, un enfoque que influencia tanto a la dirección regulatoria, como las expectativas ejecutivas y los estándares por los cuales la resiliencia será juzgada.

Además, el cambio se refleja en los modelos de gobernanza organizacional. Los CISO están ganando acceso directo al liderazgo ejecutivo porque ahora las juntas directivas reconocen que los riesgos relacionados a la IA no pueden ser delegados a equipos aislados. En lugar de eso, las decisiones sobre el despliegue de IA, acceso a datos, automatización y control de estructuras tienen impacto directo en la continuidad operacional, exposición regulatoria y la reputación corporativa.

Para los CISO, la planeación de resiliencia debe considerar explícitamente la escala, la velocidad y la opacidad impulsadas por IA. De acuerdo con Fortinet, la cuestión no es si la IA será utilizada, sino si está siendo desplegada de un modo seguro, transparente y alineado con la tolerancia al riesgo organizacional.

Cinco estrategias para los CISO

1. Construir para la continuidad del negocio impulsado por IA

La IA incrementa tanto la posibilidad como el alcance de una falla, por lo que planear la continuidad del negocio debe evolucionar de acuerdo con ello. Para empezar, los CISO deberán redefinir el Mínimo Viable de Negocio de la organización, tomando en cuenta las dependencias a IA:

• ¿Qué sistemas impulsados por IA son indispensables para seguir operando?
• ¿Qué decisiones automatizadas deberán ser pausadas o eliminadas durante un incidente?
• ¿Qué pasa si un modelo, configuración de datos o agente se convierte en poco confiable o queda indispuesto?

“La resiliencia en 2026 significa comprender no sólo como los sistemas fallan, sino como la IA amplifica esas fallas. Los planes tradicionales de continuidad, rara vez toman en cuenta el comportamiento de la IA bajo estrés y eso debe cambiar”, indican desde Fortinet.

También los simulacros deben incluir ahora escenarios de falla de IA, canales de datos corruptos y acciones autónomas que requieran una rápida intervención humana.

2. Tratar la IA como una capacidad de alto riesgo

La IA está siendo integrada cada vez más en toda la empresa, a menudo fuera de la visibilidad de seguridad tradicional. Los equipos de marketing utilizan herramientas generativas; los desarrolladores integran modelos externos; las unidades de negocio implementan la automatización para acelerar las decisiones. Cada uno de estos factores conlleva riesgos.

Los sistemas de IA pueden filtrar datos confidenciales, ser manipulados mediante órdenes de adversarios o ser obligados a adoptar comportamientos inseguros mediante la inyección inmediata. Además, la IA agéntica introduce una complejidad adicional, ya que los agentes autónomos interactúan con otros sistemas e identidades sin supervisión humana directa.

En 2026, los CISO deberán tratar la IA como una capacidad de alto riesgo que exige una gobernanza explícita que incluye:

• definir la propiedad,
• aplicar controles de acceso,
• proteger los datos de entrenamiento e inferencia, y
• supervisar el comportamiento de la IA en producción.

La IA debe estar sujeta al mismo escrutinio que cualquier sistema capaz de impactar significativamente el negocio.

3. Reforzar los controles de identidad para humanos, máquinas y agentes de IA

La identidad se ha convertido en el plano de control de los entornos modernos y la IA está acelerando la complejidad de dichos entornos. El reporte de Fortinet destacó la identidad no humana como una fuente creciente de riesgo sistémico. “Una sola identidad de máquina o agente comprometida puede propagarse por entornos en segundos. Hoy en día, las identidades no humanas ya superan en número a los usuarios humanos en muchas organizaciones. Los agentes de IA añaden una nueva capa al autenticar, consultar sistemas y tomar medidas a gran escala”, explicaron desde la empresa.

Los CISO, por tanto, deben garantizar que los controles de identidad sean consistentes entre usuarios, máquinas, API y agentes de IA, con verificación continua y aplicación de privilegios mínimos. Al mismo tiempo, la gobernanza de la identidad también debe asumir la automatización, escalabilidad y velocidad.

4. Reforzar la colaboración mientras la IA borra los límites tradicionales

La IA disuelve las fronteras organizacionales tradicionales, y las decisiones que antes tomaban las personas ahora se distribuyen entre sistemas, equipos y flujos de trabajo automatizados. Durante los incidentes, esta complejidad puede ralentizar la respuesta si las funciones y responsabilidades no están claras.

“Ninguna organización puede desarrollar resiliencia ante la IA de forma aislada”, afirman desde Fortinet. “En cambio, la resiliencia depende de la colaboración. Para lograrlo, los CISO deben alinear los liderazgos de seguridad, TI, ciencia de datos, legal, riesgo y ejecutivo con supuestos compartidos sobre los riesgos y la respuesta ante la IA”.

Externamente, la colaboración con colegas, socios y organizaciones del sector público se vuelve aún más crucial a medida que las amenazas impulsadas por la IA se expanden globalmente.

5. Asumir la disrupción acelerada por IA y mantenerse adaptativo

Los expertos de Fortinet explican que la IA acorta los plazos:

• Los atacantes se adaptan más rápido.
• Los errores se propagan con mayor rapidez.
• Las expectativas regulatorias evolucionan con mayor rapidez.

En este entorno, comentan, la mentalidad adecuada es asumir una disrupción acelerada por la IA. Esta mentalidad prioriza las pruebas continuas, la reevaluación periódica de los casos de uso de la IA y la rápida retroalimentación entre los equipos de seguridad y de negocio. Las organizaciones resilientes consideran la adaptación como una disciplina continua, no como una revisión anual.

La resiliencia del CISO es imperativa

Para Fortinet, el rol del CISO nunca ha sido tan amplio ni trascendental: “En 2026, los CISO eficaces serán aquellos que entiendan la IA no solo como una tecnología, sino como una fuerza que transforma el riesgo, la gobernanza y la continuidad”.

Así pues, la resiliencia será la recompensa de los líderes que se preparen para la disrupción impulsada por la IA, pongan a prueba sus suposiciones y garanticen que sus organizaciones puedan seguir operando cuando los sistemas automatizados fallen. Esa es la labor del CISO moderno, subraya Fortinet.