Durante los últimos años, la ciberseguridad se ha encontrado en una posición cómoda dentro de las empresas, relegada al área de tecnología. Sin embargo, este modelo está quedando obsoleto, especialmente a medida que las organizaciones se vuelven cada vez más dependientes de infraestructuras tecnológicas, datos y servicios en la nube. Un fallo en cualquiera de estos componentes puede tener múltiples repercusiones, como la interrupción de operaciones, la pérdida de ingresos, la exposición de información sensible y, en última instancia, un daño irreversible a la reputación de la empresa. Este cambio de paradigma deja claro que la ciberseguridad es un asunto que debe preocupar a todos los niveles de la organización, no solo al sector tecnológico.
El último CISO White Paper 2026 destaca que el rol del Chief Information Security Officer (CISO) ha evolucionado significativamente. Ya no se trata simplemente de gestionar controles técnicos, sino de gobernar el riesgo digital y conectar este riesgo con los objetivos estratégicos de la empresa. En lugar de informar de manera técnica sobre el número de vulnerabilidades, el CISO debe traducir estas amenazas en términos comprensibles y relevantes para el directorio. Por ejemplo, comunicar que existen vulnerabilidades críticas que pueden interrumpir la operación de la organización durante días tiene un impacto mucho más tangible que simplemente listar cifras.
Además, el CISO tiene un rol crucial en la gestión y comunicación del riesgo, pero finalmente no es él quien toma las decisiones sobre el nivel de riesgo que la organización está dispuesta a asumir. Cuando se presenta un riesgo importante, debe ser una alta autoridad dentro de la empresa la que decida si se mitiga, transfiere, evita o acepta. Este tipo de discusiones es cada vez más relevante en el contexto chileno, sobre todo con la implementación de la Ley 21.663 y el establecimiento de la Agencia Nacional de Ciberseguridad (ANCI), que ha comenzado a calificar a los Operadores de Importancia Vital.
El nuevo modelo de ciberseguridad en Chile también indica la necesidad de un liderazgo claro en la materia. Los Organismos de Importancia Vital deben contar con un delegado de ciberseguridad que mantenga una relación directa con la máxima autoridad de la institución. Esta figura debe tener la independencia suficiente para reportar riesgos y brechas de cumplimiento sin interferencias, lo que subraya que la ciberseguridad no puede estar confinada al departamento responsable de la tecnología. La regulación también establece que la figura de ciberseguridad no puede ser ocupada por la misma persona a cargo de IT, garantizando así un enfoque más estratégico de la cuestión.
Llevar la ciberseguridad al directorio no implica que todos los miembros deban convertirse en expertos en la materia, sino que deben enfocarse en preguntas clave que aborden los riesgos cibernéticos de manera directa. Preguntas como qué escenarios de riesgo existen, qué procesos podrían verse alterados, y quién toma las decisiones sobre los riesgos aceptados son fundamentales. La transformación de la conversación sobre ciberseguridad es vital y, como sostiene el CISO White Paper 2026, la ciberseguridad debe ser entendida como parte integral de la estrategia empresarial. En esta era, es imperativo que las organizaciones evalúen no solo su exposición al riesgo, sino también su preparación para enfrentar las consecuencias si llegasen a materializarse.
