Un desafío subestimado al que se enfrentan muchas organizaciones es cómo convertir las preocupaciones en materia de ciberseguridad en debates de gobernanza significativos y en decisiones del consejo de administración.
Tres perspectivas complementarias que ayudan a dar forma a los debates sobre ciberseguridad son la madurez en ciberseguridad, el apetito de riesgo cibernético y los riesgos actuales de ciberseguridad.
El objetivo es crear una conversación en la que la experiencia, la perspectiva y el criterio del consejo de administración puedan determinar lo que sucede a continuación.
Presenté recientemente el estado de la ciberseguridad ante nuestro consejo de administración. El debate posterior confirmó que el enfoque había logrado lo que esperaba: permitió una conversación productiva sobre los riesgos más importantes y sobre los ámbitos en los que el consejo podía aportar valor.
En las semanas siguientes, compartí este enfoque con decenas de directores de seguridad de la información (CISO). Sus comentarios me animaron a escribir sobre el mismo desafío al que se enfrentan muchas organizaciones: cómo convertir una actualización al consejo de administración en un debate de gobernanza significativo.
A continuación se describe el enfoque que nos funcionó bien; no es la única forma de involucrar a un consejo de administración, pero contribuyó a generar el tipo de debate que todo CISO desea.
Comience por el entorno de riesgo de la empresa
En una empresa de ciberseguridad, el contexto es importante. Formamos parte de las cadenas de suministro de nuestros clientes. Manejamos inteligencia de amenazas sensible. Nuestro código fuente es propiedad intelectual estratégica. Y, sobre todo, nuestros clientes confían en nosotros para ayudar a proteger sus negocios.
Por tanto, un ataque exitoso contra una empresa de ciberseguridad podría afectar no solo a la propia organización, sino también a la confianza en todo el ecosistema.
Este entorno también se está volviendo más complejo. Las tensiones geopolíticas siguen remodelando la actividad cibernética, mientras que la inteligencia artificial (IA) está reduciendo drásticamente el tiempo, los conocimientos especializados y los recursos necesarios para llevar a cabo ataques sofisticados.
El Annual AI Security Report 2026 de Check Point Research muestra hasta dónde ha llegado ya esta evolución: la IA ha pasado de ayudar a los atacantes a operar directamente las intrusiones, y en algunos casos documentados ejecuta pasos de explotación con poca dirección humana.
Mientras tanto, el intervalo entre la divulgación de una vulnerabilidad y su explotación se ha reducido de días a horas. En conjunto, estos avances están cambiando tanto la escala como la velocidad del riesgo cibernético.
Iniciar el debate con este contexto creó una comprensión compartida del entorno antes de abordar cómo estábamos gestionando los riesgos.
3 formas de debatir sobre la gobernanza de la ciberseguridad
Consideré útil estructurar el debate en torno a tres perspectivas complementarias: la madurez en ciberseguridad, el apetito de riesgo cibernético y los riesgos de ciberseguridad que requerían la atención del consejo de administración en ese momento.
No se trata de enfoques contrapuestos. Cada uno aporta algo distinto al debate del consejo de administración.
1. Madurez en ciberseguridad
Una evaluación de madurez, a menudo basada en el Instituto Nacional de Estándares y Tecnología (NIST), demuestra si las capacidades fundamentales en materia de gobernanza, protección, detección, respuesta y recuperación están implantadas y siguen mejorando.
Creo que esto es una parte esencial de todo debate del consejo de administración. Sin embargo, la madurez es un indicador, no una conclusión.
Una evaluación de madurez sólida da al consejo de administración la confianza de que la organización está construyendo los cimientos adecuados en materia de ciberseguridad. Al mismo tiempo, no responde necesariamente a otra pregunta que el consejo también necesita entender: si esas capacidades están abordando de forma adecuada los riesgos de ciberseguridad a los que se enfrenta hoy el negocio.
2. Apetito de riesgo cibernético
El apetito de riesgo cibernético es otro concepto valioso de gobernanza.
Para algunas organizaciones, en particular las que cuentan con disciplinas maduras de gestión del riesgo financiero, constituye una forma eficaz de expresar la exposición cibernética y apoyar las decisiones de inversión.
En nuestro caso, sin embargo, algunos de nuestros activos más importantes (el código fuente, la confianza de los clientes y la reputación estratégica) no pueden reducirse de manera significativa a un valor financiero preciso.
Consideré que el apetito de riesgo era más útil como forma de enmarcar los debates sobre riesgos aceptables e inaceptables, y no como principio organizador de la presentación.
3. Riesgos actuales de ciberseguridad
El propio debate se organizó en torno a los riesgos de ciberseguridad que requerían la atención del consejo de administración en ese momento.
A diferencia de la madurez, que evoluciona de forma constante con el tiempo, los riesgos de ciberseguridad que merecen la atención del consejo cambian de manera continua. Las nuevas tecnologías, las nuevas técnicas de ataque y los cambios en el negocio redefinen constantemente en qué deben centrarse la dirección y el consejo.
Un ejemplo claro de ello se produjo al inicio de nuestra transformación en IA, una vez que los riesgos implicados se comprendieron mejor. En lugar de utilizar esa imagen más clara para retroceder, varios miembros del consejo llevaron el debate en otra dirección: nos pidieron que acelerásemos la transformación, siempre que pudiéramos hacerlo de forma segura.
Ese cambio, pasar de contener un riesgo a habilitar activamente una prioridad estratégica, marcó la forma en que abordamos la iniciativa a partir de entonces.
Para cada riesgo, respondimos a siete preguntas coherentes:
¿Cuál es el riesgo?
¿Por qué importa para nuestro negocio?
¿Cuál podría ser el impacto en el negocio?
¿Qué estamos haciendo para reducir la exposición?
¿Qué progresos hemos realizado?
¿Qué incertidumbre o riesgo residual persiste?
¿Dónde serían más valiosas la perspectiva, la capacidad de cuestionamiento o el respaldo del consejo?
Centrar el debate de esta manera cambió su naturaleza. En lugar de dedicar tiempo a revisar controles o proyectos de seguridad, la conversación se concentró en las prioridades, los supuestos, la velocidad de ejecución y las compensaciones. El consejo cuestionó nuestro planteamiento, puso a prueba nuestras prioridades y nos ayudó a asegurar que nos centrábamos en los riesgos más importantes.
Medir el éxito por la calidad del debate
La señal más clara de que esto funcionó fue el momento de la transformación en IA descrito anteriormente: el consejo no se limitó a reaccionar ante los riesgos que presentamos; reformuló por completo la pregunta.
Al fundamentar la conversación en el entorno de riesgo de la empresa, demostrar confianza en los cimientos de la ciberseguridad y centrarse en los riesgos que requerían atención en ese momento, el debate resultó más pertinente tanto para la dirección como para el consejo.
Ese fue el enfoque que nos funcionó. La mejor medida de una presentación ante el consejo no es cuánto abarca, sino cuánto lleva la conversación de la información al criterio, allí donde la experiencia y la perspectiva del consejo pueden realmente determinar lo que sucede a continuación.
