Por Xelere – En colaboración con Strike
El CISO ya no alcanza con saber de seguridad: el nuevo perfil que buscan las empresas argentinas
La ciberseguridad está atravesando una transformación que va mucho más allá de las herramientas y tecnologías utilizadas para proteger una organización. La inteligencia artificial está cambiando la velocidad y sofisticación de los ataques, las empresas incorporan nuevas tecnologías a un ritmo acelerado y las exigencias regulatorias obligan a demostrar cómo se gestionan los riesgos.
En este escenario, el rol del Chief Information Security Officer (CISO) también está evolucionando. Ya no alcanza con conocer las amenazas, implementar controles o responder a incidentes. Hoy, quienes lideran la seguridad necesitan comprender el impacto de los riesgos tecnológicos sobre el negocio, anticipar escenarios y participar en decisiones estratégicas.
En Argentina, esta transformación adquiere especial relevancia. La creciente digitalización de las operaciones, la dependencia de proveedores tecnológicos y las nuevas exigencias regulatorias están redefiniendo qué se espera de los responsables de seguridad.
Del responsable técnico al estratega de riesgo
Durante años, el CISO estuvo asociado principalmente con la protección de la infraestructura tecnológica: administrar controles de acceso, supervisar firewalls, establecer políticas de seguridad y coordinar la respuesta ante incidentes.
Estas responsabilidades siguen siendo fundamentales, pero ya no son suficientes.
La superficie de ataque de las organizaciones se expandió. Aplicaciones en la nube, APIs, servicios tercerizados, dispositivos conectados y herramientas de inteligencia artificial forman parte de entornos cada vez más complejos.Al mismo tiempo, los atacantes aprovechan la automatización para acelerar el reconocimiento de objetivos, identificar vulnerabilidades y desarrollar nuevas técnicas de explotación.
Frente a esta realidad, el CISO necesita ampliar su perspectiva. Su responsabilidad no consiste únicamente en prevenir incidentes, sino también en determinar qué riesgos representan una amenaza real para la continuidad operativa, cuáles requieren atención inmediata y qué inversiones en seguridad generan mayor valor.
Esto implica pasar de una mirada centrada exclusivamente en controles técnicos a una gestión del riesgo alineada con los objetivos del negocio.
El nuevo CISO debe poder responder preguntas que van más allá de la tecnología: ¿qué procesos críticos están expuestos?, ¿cuánto podría costar una interrupción?, ¿qué vulnerabilidades representan un riesgo real? y ¿cómo demostrar que las medidas implementadas están funcionando?
El contexto argentino: más exigencias y mayor responsabilidad
En Argentina, la evolución del rol del CISO también está impulsada por un marco regulatorio que pone cada vez más énfasis en la gestión del riesgo tecnológico y la resiliencia operativa.
Un ejemplo es el sistema financiero. En 2023, el Banco Central de la República Argentina (BCRA) aprobó, mediante la Comunicación “A” 7724, requisitos mínimos para la gestión y el control de los riesgos de tecnología y seguridad de la información.
La normativa establece lineamientos sobre gobierno de seguridad, gestión de riesgos, continuidad del negocio, infraestructura tecnológica, gestión de incidentes y relaciones con terceros. En otras palabras, la seguridad deja de evaluarse únicamente por la existencia de controles técnicos y pasa a formar parte de un modelo más amplio de gobierno y responsabilidad organizacional.
En 2025, la Comunicación “A” 8280 actualizó los lineamientos de respuesta y recuperación ante ciberincidentes. Entre otras disposiciones, establece que los sujetos obligados deben realizar una notificación inicial de los incidentes importantes y críticos dentro de la primera hora de ocurridos o detectados, y presentar un reporte de cierre dentro de los cinco días corridos posteriores a su resolución.
Además, contempla incidentes originados en terceros vinculados cuando afectan los servicios o comprometen la información.
En 2026, la Comunicación “A” 8398 amplió el alcance de los requisitos de gestión y control de riesgos tecnológicos a los proveedores de servicios de pago registrados ante el BCRA, con un plazo de adecuación de 180 días.
Estas disposiciones muestran cómo la gestión de la seguridad requiere cada vez más coordinación entre áreas, capacidad de respuesta, trazabilidad y evidencia.
Para el CISO, esto se traduce en nuevas responsabilidades: comunicar riesgos al directorio, coordinar acciones con proveedores, justificar prioridades y demostrar que la organización está preparada para responder ante un incidente.
Aunque estas normas se aplican a sectores y entidades específicos, reflejan una tendencia más amplia: la ciberseguridad está dejando de ser una función exclusivamente técnica para consolidarse como una responsabilidad estratégica.
Las nuevas amenazas que están redefiniendo el rol
La transformación del CISO no responde solamente a cambios regulatorios. También está relacionada con amenazas que evolucionan más rápido que los modelos tradicionales de defensa.
1.Inteligencia artificial y ataques automatizados
La inteligencia artificial está modificando tanto las capacidades de los atacantes como las de los equipos de seguridad.
Los actores maliciosos pueden utilizar herramientas de IA para acelerar tareas de reconocimiento, desarrollar campañas de ingeniería social más convincentes, analizar información y facilitar determinadas etapas de un ataque.
Al mismo tiempo, la adopción empresarial de IA introduce nuevas superficies de exposición: modelos conectados a información sensible, agentes con capacidad de ejecutar acciones, integraciones con sistemas internos y herramientas utilizadas por empleados sin supervisión del área de IT.
Por ejemplo, una empresa argentina que incorpora asistentes de IA para atención al cliente o automatiza procesos internos mediante agentes conectados a sus sistemas debe evaluar nuevos riesgos. ¿A qué información pueden acceder estas herramientas? ¿Qué acciones están autorizadas a ejecutar? ¿Qué ocurriría si un atacante lograra manipular su comportamiento? Son preguntas que requieren incorporar la seguridad desde el momento en que se adopta la tecnología.
Para el CISO, el desafío es doble: proteger a la organización frente a amenazas potenciadas por IA y gestionar los riesgos que surgen de su propia adopción.
2.El riesgo de la computación cuántica
Aunque la computación cuántica criptográficamente relevante todavía no es una capacidad disponible para comprometer de forma generalizada los sistemas actuales, representa un riesgo que las organizaciones deben comenzar a evaluar.
Una de las principales preocupaciones es el modelo Harvest Now, Decrypt Later: la posibilidad de que atacantes recopilen hoy información cifrada para intentar descifrarla en el futuro, cuando dispongan de tecnología suficiente.
Este escenario es especialmente relevante para organizaciones que manejan información sensible que debe mantenerse protegida durante muchos años, como datos financieros, información médica o propiedad intelectual.
La transición hacia la criptografía poscuántica, cuyos primeros estándares ya fueron publicados por el NIST, plantea decisiones que requieren planificación, inventario tecnológico y coordinación entre distintas áreas.
Para el CISO, no se trata de anticipar una fecha exacta para el llamado “Q-Day”, sino de comprender qué información podría estar expuesta y cuándo conviene comenzar la transición.
3.La dependencia de terceros
La transformación digital también incrementó la dependencia de proveedores de infraestructura, servicios cloud, software y plataformas externas.
Un incidente en uno de estos proveedores puede afectar la continuidad de operaciones críticas, incluso cuando los sistemas internos de una organización no hayan sido comprometidos directamente.
Por eso, gestionar la seguridad ya no significa proteger únicamente los activos propios. También implica comprender las dependencias tecnológicas, evaluar los riesgos de terceros y establecer mecanismos de coordinación y respuesta.
Las capacidades que necesita el CISO moderno
Frente a este escenario, el perfil de quien lidera la seguridad requiere combinar conocimientos técnicos con habilidades estratégicas y de gestión.
- Traducir riesgos técnicos en impacto para el negocio
Identificar una vulnerabilidad es importante, pero también lo es explicar qué consecuencias podría tener su explotación. El CISO debe poder comunicar riesgos en términos comprensibles para el directorio: impacto financiero, interrupción operativa, exposición de información sensible o consecuencias regulatorias.
- Priorizar con evidencia, no solamente con niveles de severidad
No todas las vulnerabilidades representan el mismo riesgo. Su impacto depende de factores como la exposición del activo, la posibilidad real de explotación y la criticidad del sistema afectado. Por eso, la priorización requiere ir más allá de los puntajes de severidad y comprender qué debilidades podrían ser aprovechadas por un atacante en el entorno específico de la organización.
- Incorporar automatización sin perder supervisión
La IA permite acelerar actividades de análisis, detección y validación de seguridad. Sin embargo, su incorporación también exige establecer mecanismos de supervisión, trazabilidad y control. El desafío consiste en aprovechar la velocidad de la automatización sin perder el criterio experto necesario para interpretar resultados y tomar decisiones.
- Coordinar la respuesta y acelerar la remediación
Detectar vulnerabilidades no es suficiente si su corrección queda pendiente durante semanas o meses. El CISO necesita trabajar de manera coordinada con los equipos de IT, desarrollo, operaciones y proveedores para reducir los tiempos entre la identificación de un riesgo, su corrección y la validación de que el problema fue resuelto.
- Construir resiliencia organizacional
La seguridad absoluta no existe. Por eso, además de prevenir ataques, las organizaciones deben prepararse para contener incidentes, mantener sus operaciones críticas y recuperarse de manera efectiva. La resiliencia requiere planificación, pruebas, responsabilidades claras y capacidad de adaptación.
De la teoría a la práctica: cómo prepararse para esta transición
La evolución del rol del CISO también requiere cambios en la forma en que las organizaciones gestionan su seguridad. Algunas acciones concretas para avanzar en esta dirección son:
- Conectar la estrategia de seguridad con los objetivos del negocio. Identificarlos procesos críticos y evaluar cómo los riesgos tecnológicos podrían afectar su continuidad, sus ingresos o su reputación.
- Fortalecer la gestión de terceros. Revisar las dependencias tecnológicas, establecer responsabilidades y contemplar escenarios de incidentes que involucren proveedores.
- Evaluar los riesgos asociados a la adopción de IA. Identificar qué herramientas y modelos se utilizan, qué información procesan y qué controles existen sobre sus accesos y capacidades.
- Prepararse para amenazas emergentes. Incorporar el riesgo poscuántico a la planificación de largo plazo, comenzando por identificar los sistemas criptográficos y la información que requiere protección prolongada.
- Pasar de la identificación de vulnerabilidades a la validación continua del riesgo. Para tomar decisiones informadas, no alcanza con conocer las debilidades de un entorno: es necesario comprender cuáles son realmente explotables, priorizar su remediación y comprobar que las correcciones funcionan. En este contexto, enfoques como la validación híbrida continua, que combina agentes de IA con especialistas en seguridad ofensiva, permiten incorporar evidencia técnica a la gestión del riesgo.
Estas prácticas ayudan a transformar la seguridad en un proceso más integrado con la operación y la estrategia empresarial, en lugar de tratarla como una sucesión de evaluaciones y respuestas aisladas.
Conclusión
El CISO del futuro no dejará de necesitar conocimientos técnicos. Por el contrario, deberá combinarlos con una comprensión cada vez más profunda del negocio, la regulación y las nuevas tecnologías.
La inteligencia artificial, la evolución de las amenazas y la creciente interdependencia de los sistemas están cambiando las preguntas que las organizaciones necesitan responder sobre su seguridad.
En Argentina, donde la digitalización avanza y las exigencias de gestión del riesgo tecnológico se vuelven más relevantes, esta transformación representa tanto un desafío como una oportunidad.
El verdadero diferencial del nuevo CISO no estará únicamente en su capacidad de proteger sistemas, sino en su habilidad para anticipar riesgos, demostrar qué tan expuesta está la organización y convertir esa información en decisiones concretas.
En este contexto, desde Xelere, junto con Strike, acompañamos a las organizaciones en este proceso de transformación mediante servicios de seguridad ofensiva que permiten identificar y validar vulnerabilidades, evaluar su potencial de explotación y comprender su impacto en el negocio.
De esta manera, contribuimos a transformar los hallazgos técnicos en información accionable para priorizar riesgos, orientar inversiones y fortalecer la capacidad de anticipación y respuesta.
Porque liderar la seguridad ya no consiste solamente en evitar que algo ocurra. También implica preparar al negocio para seguir funcionando cuando las amenazas evolucionan.
Artículo adaptado para el mercado argentino a partir de su versión original, publicada en el blog de Strike.