Anatomía de un CISO bajo Presión

Una sala de reuniones. Una presentación en pantalla proyecta gráficos que sólo el CISO entiende en su dimensión completa. El CEO observa en silencio. La directora de operaciones ajusta el foco: “¿Cuál es el riesgo de no hacerlo?”. No hay pausa, no hay red. Sólo una voz, la del CISO, que debe traducir lo invisible en decisiones tangibles.

Las salas de juntas son campos de batalla menos obvios que un SOC, pero igualmente letales. La diferencia es que aquí las balas no son exploits ni ataques de día cero, sino expectativas imposibles, presupuestos fragmentados, y una presión política que rara vez se menciona en las certificaciones de ciberseguridad.

Entre el riesgo aceptable y el riesgo silenciado

El primer gran dilema es de naturaleza epistemológica: no se trata sólo de identificar el riesgo, sino de decidir cuál es socialmente aceptable dentro de una organización que premia la continuidad sobre la incomodidad. Se espera que el CISO prediga lo impredecible, sin ser alarmista. Que evite el incidente, sin paralizar el negocio. Que alerte, pero sin generar pánico. Lo que se define como “crítico” puede ser degradado a “moderado” si el calendario financiero lo requiere.

Cuando el apoyo del CEO es retórico

¿Qué significa tener el apoyo del CEO cuando se necesita presupuesto para segmentar una red crítica y se responde con silencio administrativo? En muchas organizaciones, el CISO no está empoderado, está subordinado: no tiene control sobre decisiones tecnológicas estratégicas, no puede contratar libremente a su equipo, y muchas veces ni siquiera tiene acceso directo al directorio. Esta disonancia entre responsabilidad y autoridad genera un espacio psicológico profundamente corrosivo: se exige accountability sin capacidad real de maniobra.

El rostro humano del burnout ejecutivo

Trabajar bajo la constante amenaza de un incidente —sabiendo que incluso haciendo todo bien puede ocurrir— genera una forma única de fatiga: no es el cansancio del que corre, sino del que se defiende de una tormenta sin saber cuándo llegará. Algunos desarrollan mecanismos de defensa: cinismo, distancia afectiva, hipercontrol. El CISO que se agota no siempre renuncia. A veces se vuelve invisible. Aplica protocolos, repite estándares, pero ha renunciado a transformar. La innovación defensiva muere cuando se abandona la esperanza de influir.

Héroes que nadie recuerda

No hay celebraciones por los ataques que no ocurrieron. No hay bonos por las crisis evitadas. La recompensa es una expectativa incrementada. Cuando ocurre un incidente, en cambio, el CISO queda expuesto, incluso si la brecha se originó por decisiones de negocio tomadas en contra de sus recomendaciones. La visibilidad sólo aparece cuando hay sangre. En ese sentido, el rol del CISO se parece más al del pararrayos que al del arquitecto: absorbe las descargas para que el edificio siga en pie.

El falso empowerment del rol

Muchos CISOs descubren demasiado tarde que el título no implica poder. Que ser parte del comité ejecutivo no significa influencia. Que asistir a todas las reuniones no garantiza ser escuchado. Ese desajuste genera una forma silenciosa de desgaste: el de tener que simular poder mientras se navega en estructuras profundamente jerárquicas, que no comprenden —ni valoran— la anticipación como estrategia.

Sobrevivir al rol sin deformarse

Los que logran mantenerse funcionales en el tiempo comparten ciertas características: visión política, alta inteligencia emocional, capacidad de leer el clima organizacional y, sobre todo, un sentido del humor profundamente negro. Emergen así nuevos tipos de CISO: menos técnicos, más estratégicos. Más negociadores que guardianes. Más narradores que ejecutores. El control ya no se ejerce con firewalls, sino con relatos que convencen.

Reflexiones desde la trinchera

En múltiples entrevistas con CISOs en América Latina, se repite una misma frase: “Somos responsables de todo lo que puede salir mal, pero no tenemos las herramientas para que las cosas salgan bien”. No es una queja, es un diagnóstico. El CISO actual no necesita compasión. Necesita estructuras que reconozcan que la ciberseguridad no es una función técnica, sino una responsabilidad estratégica.

La anatomía de este rol bajo presión no es una historia de víctimas, sino de resiliencia. La presión no desaparecerá. Pero quizás, si dejamos de pedir héroes y empezamos a construir estructuras con sentido, el CISO pueda dejar de ser una figura trágica para convertirse en un líder completo.