{"id":14929,"date":"2026-11-13T09:27:26","date_gmt":"2026-11-13T09:27:26","guid":{"rendered":"https:\/\/xelere.com\/?p=14929"},"modified":"2026-11-13T13:52:08","modified_gmt":"2026-11-13T13:52:08","slug":"de-ciso-a-estratega-de-riesgo","status":"publish","type":"post","link":"https:\/\/xelere.com\/en\/de-ciso-a-estratega-de-riesgo\/","title":{"rendered":"De CISO a estratega de riesgo: el nuevo rol de seguridad en la era de la IA"},"content":{"rendered":"

Por Xelere – En colaboraci\u00f3n con Strike<\/a><\/p>\n

\n

El CISO ya no alcanza con saber de seguridad: el nuevo perfil que buscan las empresas argentinas<\/h2>\n

La ciberseguridad est\u00e1 atravesando una transformaci\u00f3n que va mucho m\u00e1s all\u00e1 de las herramientas y tecnolog\u00edas utilizadas para proteger una organizaci\u00f3n. La inteligencia artificial est\u00e1 cambiando la velocidad y sofisticaci\u00f3n de los ataques, las empresas incorporan nuevas tecnolog\u00edas a un ritmo acelerado y las exigencias regulatorias obligan a demostrar c\u00f3mo se gestionan los riesgos.<\/p>\n

En este escenario, el rol del Chief Information Security Officer (CISO) tambi\u00e9n est\u00e1 evolucionando. Ya no alcanza con conocer las amenazas, implementar controles o responder a incidentes. Hoy, quienes lideran la seguridad necesitan comprender el impacto de los riesgos tecnol\u00f3gicos sobre el negocio, anticipar escenarios y participar en decisiones estrat\u00e9gicas.<\/p>\n

En Argentina, esta transformaci\u00f3n adquiere especial relevancia. La creciente digitalizaci\u00f3n de las operaciones, la dependencia de proveedores tecnol\u00f3gicos y las nuevas exigencias regulatorias est\u00e1n redefiniendo qu\u00e9 se espera de los responsables de seguridad.<\/p>\n

Del responsable t\u00e9cnico al estratega de riesgo<\/strong><\/h3>\n

Durante a\u00f1os, el CISO estuvo asociado principalmente con la protecci\u00f3n de la infraestructura tecnol\u00f3gica: administrar controles de acceso, supervisar firewalls, establecer pol\u00edticas de seguridad y coordinar la respuesta ante incidentes.<\/p>\n

Estas responsabilidades siguen siendo fundamentales, pero ya no son suficientes.<\/p>\n

La superficie de ataque de las organizaciones se expandi\u00f3. Aplicaciones en la nube, APIs, servicios tercerizados, dispositivos conectados y herramientas de inteligencia artificial forman parte de entornos cada vez m\u00e1s complejos.Al mismo tiempo, los atacantes aprovechan la automatizaci\u00f3n para acelerar el reconocimiento de objetivos, identificar vulnerabilidades y desarrollar nuevas t\u00e9cnicas de explotaci\u00f3n.<\/p>\n

Frente a esta realidad, el CISO necesita ampliar su perspectiva. Su responsabilidad no consiste \u00fanicamente en prevenir incidentes, sino tambi\u00e9n en determinar qu\u00e9 riesgos representan una amenaza real para la continuidad operativa, cu\u00e1les requieren atenci\u00f3n inmediata y qu\u00e9 inversiones en seguridad generan mayor valor.<\/p>\n

Esto implica pasar de una mirada centrada exclusivamente en controles t\u00e9cnicos a una gesti\u00f3n del riesgo alineada con los objetivos del negocio.<\/p>\n

El nuevo CISO debe poder responder preguntas que van m\u00e1s all\u00e1 de la tecnolog\u00eda: \u00bfqu\u00e9 procesos cr\u00edticos est\u00e1n expuestos?, \u00bfcu\u00e1nto podr\u00eda costar una interrupci\u00f3n?, \u00bfqu\u00e9 vulnerabilidades representan un riesgo real? y \u00bfc\u00f3mo demostrar que las medidas implementadas est\u00e1n funcionando?<\/p>\n

El contexto argentino: m\u00e1s exigencias y mayor responsabilidad<\/strong><\/h3>\n

En Argentina, la evoluci\u00f3n del rol del CISO tambi\u00e9n est\u00e1 impulsada por un marco regulatorio que pone cada vez m\u00e1s \u00e9nfasis en la gesti\u00f3n del riesgo tecnol\u00f3gico y la resiliencia operativa.<\/p>\n

Un ejemplo es el sistema financiero. En 2023, el Banco Central de la Rep\u00fablica Argentina (BCRA) aprob\u00f3, mediante la Comunicaci\u00f3n “A” 7724<\/a>, requisitos m\u00ednimos para la gesti\u00f3n y el control de los riesgos de tecnolog\u00eda y seguridad de la informaci\u00f3n.<\/p>\n

La normativa establece lineamientos sobre gobierno de seguridad, gesti\u00f3n de riesgos, continuidad del negocio, infraestructura tecnol\u00f3gica, gesti\u00f3n de incidentes y relaciones con terceros. En otras palabras, la seguridad deja de evaluarse \u00fanicamente por la existencia de controles t\u00e9cnicos y pasa a formar parte de un modelo m\u00e1s amplio de gobierno y responsabilidad organizacional.<\/p>\n

En 2025, la Comunicaci\u00f3n “A” 8280<\/a> actualiz\u00f3 los lineamientos de respuesta y recuperaci\u00f3n ante ciberincidentes. Entre otras disposiciones, establece que los sujetos obligados deben realizar una notificaci\u00f3n inicial de los incidentes importantes y cr\u00edticos dentro de la primera hora de ocurridos o detectados, y presentar un reporte de cierre dentro de los cinco d\u00edas corridos posteriores a su resoluci\u00f3n.<\/p>\n

Adem\u00e1s, contempla incidentes originados en terceros vinculados cuando afectan los servicios o comprometen la informaci\u00f3n.<\/p>\n

En 2026, la Comunicaci\u00f3n “A” 8398<\/a> ampli\u00f3 el alcance de los requisitos de gesti\u00f3n y control de riesgos tecnol\u00f3gicos a los proveedores de servicios de pago registrados ante el BCRA, con un plazo de adecuaci\u00f3n de 180 d\u00edas.<\/p>\n

Estas disposiciones muestran c\u00f3mo la gesti\u00f3n de la seguridad requiere cada vez m\u00e1s coordinaci\u00f3n entre \u00e1reas, capacidad de respuesta, trazabilidad y evidencia.<\/p>\n

Para el CISO, esto se traduce en nuevas responsabilidades: comunicar riesgos al directorio, coordinar acciones con proveedores, justificar prioridades y demostrar que la organizaci\u00f3n est\u00e1 preparada para responder ante un incidente.<\/p>\n

Aunque estas normas se aplican a sectores y entidades espec\u00edficos, reflejan una tendencia m\u00e1s amplia: la ciberseguridad est\u00e1 dejando de ser una funci\u00f3n exclusivamente t\u00e9cnica para consolidarse como una responsabilidad estrat\u00e9gica.<\/p>\n

Las nuevas amenazas que est\u00e1n redefiniendo el rol<\/strong><\/h3>\n

La transformaci\u00f3n del CISO no responde solamente a cambios regulatorios. Tambi\u00e9n est\u00e1 relacionada con amenazas que evolucionan m\u00e1s r\u00e1pido que los modelos tradicionales de defensa.<\/p>\n

1.Inteligencia artificial y ataques automatizados<\/strong><\/h4>\n

La inteligencia artificial est\u00e1 modificando tanto las capacidades de los atacantes como las de los equipos de seguridad.<\/p>\n

Los actores maliciosos pueden utilizar herramientas de IA para acelerar tareas de reconocimiento, desarrollar campa\u00f1as de ingenier\u00eda social m\u00e1s convincentes, analizar informaci\u00f3n y facilitar determinadas etapas de un ataque.<\/p>\n

Al mismo tiempo, la adopci\u00f3n empresarial de IA introduce nuevas superficies de exposici\u00f3n: modelos conectados a informaci\u00f3n sensible, agentes con capacidad de ejecutar acciones, integraciones con sistemas internos y herramientas utilizadas por empleados sin supervisi\u00f3n del \u00e1rea de IT.<\/p>\n

Por ejemplo, una empresa argentina que incorpora asistentes de IA para atenci\u00f3n al cliente o automatiza procesos internos mediante agentes conectados a sus sistemas debe evaluar nuevos riesgos. \u00bfA qu\u00e9 informaci\u00f3n pueden acceder estas herramientas? \u00bfQu\u00e9 acciones est\u00e1n autorizadas a ejecutar? \u00bfQu\u00e9 ocurrir\u00eda si un atacante lograra manipular su comportamiento? Son preguntas que requieren incorporar la seguridad desde el momento en que se adopta la tecnolog\u00eda.<\/p>\n

Para el CISO, el desaf\u00edo es doble: proteger a la organizaci\u00f3n frente a amenazas potenciadas por IA y gestionar los riesgos que surgen de su propia adopci\u00f3n.<\/p>\n

2.El riesgo de la computaci\u00f3n cu\u00e1ntica<\/strong><\/h4>\n

Aunque la computaci\u00f3n cu\u00e1ntica criptogr\u00e1ficamente relevante todav\u00eda no es una capacidad disponible para comprometer de forma generalizada los sistemas actuales, representa un riesgo que las organizaciones deben comenzar a evaluar.<\/p>\n

Una de las principales preocupaciones es el modelo Harvest Now, Decrypt Later: la posibilidad de que atacantes recopilen hoy informaci\u00f3n cifrada para intentar descifrarla en el futuro, cuando dispongan de tecnolog\u00eda suficiente.<\/p>\n

Este escenario es especialmente relevante para organizaciones que manejan informaci\u00f3n sensible que debe mantenerse protegida durante muchos a\u00f1os, como datos financieros, informaci\u00f3n m\u00e9dica o propiedad intelectual.<\/p>\n

La transici\u00f3n hacia la criptograf\u00eda poscu\u00e1ntica, cuyos primeros est\u00e1ndares ya fueron publicados por el NIST, plantea decisiones que requieren planificaci\u00f3n, inventario tecnol\u00f3gico y coordinaci\u00f3n entre distintas \u00e1reas.<\/p>\n

Para el CISO, no se trata de anticipar una fecha exacta para el llamado “Q-Day”, sino de comprender qu\u00e9 informaci\u00f3n podr\u00eda estar expuesta y cu\u00e1ndo conviene comenzar la transici\u00f3n.<\/p>\n

3.La dependencia de terceros<\/strong><\/h4>\n

La transformaci\u00f3n digital tambi\u00e9n increment\u00f3 la dependencia de proveedores de infraestructura, servicios cloud, software y plataformas externas.<\/p>\n

Un incidente en uno de estos proveedores puede afectar la continuidad de operaciones cr\u00edticas, incluso cuando los sistemas internos de una organizaci\u00f3n no hayan sido comprometidos directamente.<\/p>\n

Por eso, gestionar la seguridad ya no significa proteger \u00fanicamente los activos propios. Tambi\u00e9n implica comprender las dependencias tecnol\u00f3gicas, evaluar los riesgos de terceros y establecer mecanismos de coordinaci\u00f3n y respuesta.<\/p>\n

Las capacidades que necesita el CISO moderno<\/strong><\/h3>\n

Frente a este escenario, el perfil de quien lidera la seguridad requiere combinar conocimientos t\u00e9cnicos con habilidades estrat\u00e9gicas y de gesti\u00f3n.<\/p>\n

    \n
  1. Traducir riesgos t\u00e9cnicos en impacto para el negocio<\/strong><\/li>\n<\/ol>\n

    Identificar una vulnerabilidad es importante, pero tambi\u00e9n lo es explicar qu\u00e9 consecuencias podr\u00eda tener su explotaci\u00f3n. El CISO debe poder comunicar riesgos en t\u00e9rminos comprensibles para el directorio: impacto financiero, interrupci\u00f3n operativa, exposici\u00f3n de informaci\u00f3n sensible o consecuencias regulatorias.<\/p>\n

      \n
    1. Priorizar con evidencia, no solamente con niveles de severidad<\/strong><\/li>\n<\/ol>\n

      No todas las vulnerabilidades representan el mismo riesgo. Su impacto depende de factores como la exposici\u00f3n del activo, la posibilidad real de explotaci\u00f3n y la criticidad del sistema afectado. Por eso, la priorizaci\u00f3n requiere ir m\u00e1s all\u00e1 de los puntajes de severidad y comprender qu\u00e9 debilidades podr\u00edan ser aprovechadas por un atacante en el entorno espec\u00edfico de la organizaci\u00f3n.<\/p>\n

        \n
      1. Incorporar automatizaci\u00f3n sin perder supervisi\u00f3n<\/strong><\/li>\n<\/ol>\n

        La IA permite acelerar actividades de an\u00e1lisis, detecci\u00f3n y validaci\u00f3n de seguridad. Sin embargo, su incorporaci\u00f3n tambi\u00e9n exige establecer mecanismos de supervisi\u00f3n, trazabilidad y control. El desaf\u00edo consiste en aprovechar la velocidad de la automatizaci\u00f3n sin perder el criterio experto necesario para interpretar resultados y tomar decisiones.<\/p>\n

          \n
        1. Coordinar la respuesta y acelerar la remediaci\u00f3n<\/strong><\/li>\n<\/ol>\n

          Detectar vulnerabilidades no es suficiente si su correcci\u00f3n queda pendiente durante semanas o meses. El CISO necesita trabajar de manera coordinada con los equipos de IT, desarrollo, operaciones y proveedores para reducir los tiempos entre la identificaci\u00f3n de un riesgo, su correcci\u00f3n y la validaci\u00f3n de que el problema fue resuelto.<\/p>\n

            \n
          1. Construir resiliencia organizacional<\/strong><\/li>\n<\/ol>\n

            La seguridad absoluta no existe. Por eso, adem\u00e1s de prevenir ataques, las organizaciones deben prepararse para contener incidentes, mantener sus operaciones cr\u00edticas y recuperarse de manera efectiva. La resiliencia requiere planificaci\u00f3n, pruebas, responsabilidades claras y capacidad de adaptaci\u00f3n.<\/p>\n

            De la teor\u00eda a la pr\u00e1ctica: c\u00f3mo prepararse para esta transici\u00f3n<\/strong><\/h3>\n

            La evoluci\u00f3n del rol del CISO tambi\u00e9n requiere cambios en la forma en que las organizaciones gestionan su seguridad. Algunas acciones concretas para avanzar en esta direcci\u00f3n son:<\/p>\n