Por qué la gobernanza es la pieza que falta en la estrategia de ciberseguridad

A lo largo de la última década, el debate sobre la ciberseguridad en América Latina ha pasado de centrarse en «¿cuánto debemos invertir?» a preguntarse «¿cómo protegemos los sistemas y datos críticos, reforzamos la resiliencia y respondemos a un panorama de amenazas cada vez más sofisticado?»

Los resultados de la Encuesta sobre ciberseguridad en Latinoamérica 2026 de RSM reflejan este cambio. El próximo año, el 69 % de las organizaciones prevé aumentar su presupuesto destinado a la ciberseguridad, lo que pone de manifiesto su importancia como prioridad estratégica para las empresas.

Sin embargo, la encuesta también pone de relieve que una mayor inversión no se traduce automáticamente en madurez en materia de ciberseguridad. La diferencia entre una organización que aumenta su presupuesto y otra que refuerza su resiliencia radica en cómo se gestiona dicha inversión.

¿Quién es el responsable de la estrategia y el gasto en ciberseguridad?

Una de las conclusiones más reveladoras de la encuesta es que solo el 30 % de las organizaciones cuenta con un CISO —o un cargo equivalente— responsable de dirigir la estrategia de ciberseguridad, y solo el 16 % afirma que este cargo controla el presupuesto.

La responsabilidad sobre el presupuesto suele recaer en el Director de Tecnología (CTO) (41 %) o en el Director General (CEO) (41 %), lo que puede dar lugar a prioridades contrapuestas. Los responsables tecnológicos, por ejemplo, pueden centrarse en la continuidad operativa, mientras que los responsables empresariales se centran en los resultados comerciales. Ambas perspectivas son válidas y no existe un modelo de liderazgo único que se adapte a todas las organizaciones, pero la responsabilidad de la inversión en ciberseguridad debería recaer en alguien capaz de adoptar una visión global del riesgo en toda la empresa.

Sin esa rendición de cuentas, es probable que las inversiones individuales aborden cuestiones aisladas sin contribuir a una estrategia de ciberseguridad más amplia. Con el tiempo, esto puede dejar a las organizaciones con una serie de capacidades que no funcionan de forma coordinada entre sí.

Establecer responsabilidades claras contribuye a garantizar que esas capacidades se orienten hacia objetivos comunes, como reducir el riesgo empresarial, proteger la continuidad y reforzar la resiliencia.

Cómo la gobernanza convierte la tecnología en resiliencia

Además de una rendición de cuentas clara, las empresas del mercado medio también necesitan un marco de gobernanza que les permita decidir qué riesgos son los más importantes, hacia dónde deben orientarse las inversiones y cómo debe medirse el progreso.

La gobernanza vincula las prioridades empresariales con las decisiones técnicas, lo que ayuda a las organizaciones a determinar qué controles deben reforzarse en primer lugar y cómo la inversión en ciberseguridad contribuye a alcanzar objetivos más amplios.

Además, sienta las bases para evaluar si esas inversiones están surtiendo el efecto deseado. En lugar de medir el éxito por el número de herramientas implantadas o de proyectos finalizados, las organizaciones pueden evaluar si sus capacidades en materia de ciberseguridad están reduciendo la exposición a riesgos y reforzando la confianza de las partes interesadas.

De este modo, la gobernanza contribuye a que la inversión en ciberseguridad pase de ser un conjunto de iniciativas individuales a convertirse en un enfoque coordinado para la gestión del riesgo empresarial.

La adopción de la IA y la nube ponen de manifiesto las deficiencias en materia de gobernanza en la práctica

La postura de las empresas en materia de seguridad respecto a la inteligencia artificial y las tecnologías en la nube ponen de manifiesto cómo la falta de gobernanza puede afectar a la innovación digital.

Por ejemplo, el 40 % de las organizaciones alojan más de la mitad de su entorno informático en la nube, pero solo el 8 % utiliza herramientas de gestión de la postura de seguridad en la nube (CSPM) para supervisar de forma continua la configuración y la seguridad.

Aunque existen controles alternativos de seguridad en la nube, la escasa adopción de las soluciones CSPM sugiere que muchas empresas podrían carecer de una visibilidad coherente y automatizada de unos entornos en la nube cada vez más complejos. Esto puede provocar interrupciones y costosas medidas correctivas, lo que ralentiza la transformación general hacia la nube.

En lo que respecta a la IA, el 28 % de las empresas reconoce que aún no ha implantado prácticas formales de gobernanza de la IA, a pesar de su rápida adopción en todos los procesos empresariales. Esto genera riesgos en materia de privacidad de los datos, cumplimiento normativo y precisión de los modelos, lo que dificulta el paso de la fase experimental a una adopción fiable en toda la empresa.

A la hora de desarrollar nuevas capacidades tecnológicas, las empresas deben dar prioridad al establecimiento de las estructuras de toma de decisiones, supervisión y rendición de cuentas necesarias para utilizarlas de forma segura.

¿Cuál es el futuro de la ciberseguridad en Latinoamérica?

La inversión y la innovación están cobrando impulso, pero el siguiente paso para las empresas del mercado medio de América Latina será convertir esa inversión en capacidades de ciberseguridad sostenibles.

La madurez en materia de ciberseguridad no se compra, sino que se construye mediante una toma de decisiones coherente, así como midiendo el éxito en función de la capacidad de la organización para anticiparse a los riesgos y mantener la continuidad operativa.

Para hacer frente a este reto, las empresas pueden encargar una evaluación de la madurez en materia de ciberseguridad que ofrezca conclusiones prácticas y una base clara para establecer las prioridades de las próximas medidas. A partir de ahí, pueden:

Establecer una referencia mediante la evaluación de las capacidades actuales en materia de ciberseguridad, la gobernanza, los controles y la exposición al riesgo.
Priorizar las deficiencias más graves en función de su posible impacto en la continuidad del negocio y el cumplimiento normativo.
Elaborar un plan de acción por etapas con responsabilidades y plazos bien definidos.
Adecuar el gasto al riesgo empresarial, de modo que la inversión se destine a aquellas áreas en las que pueda tener mayor repercusión.
Medir los avances y reevaluar la situación periódicamente para garantizar que las capacidades de ciberseguridad sigan evolucionando al mismo ritmo que el perfil de riesgo y el entorno tecnológico de la organización.

Esto genera un ciclo de mejora continua que ayuda a las empresas a reforzar su resiliencia, al tiempo que permite que el gasto en ciberseguridad sea más coordinado y estratégico.

La Encuesta sobre Ciberseguridad en América Latina 2026 pone de manifiesto que conseguir financiación ya no es el principal reto. Por el contrario, el establecimiento de responsabilidades claras y la implantación de prácticas de gobernanza sólidas serán los factores que determinen la capacidad de una organización para gestionar el riesgo cibernético y reforzar su resiliencia.

Las empresas que logren armonizar el liderazgo, el presupuesto, la estrategia y la gestión de riesgos estarán en mejores condiciones para adoptar nuevas tecnologías con confianza, lo que propiciará la innovación y convertirá la ciberseguridad en una fuente de ventaja competitiva.