Por Edgar Ramiro Sánchez Meza, Director Estratégico en Kallëm Digital Resilience.
Integrar la ciberseguridad desde el diseño permite gestionar riesgos antes de que se conviertan en reprocesos, mientras el CISO amplía su participación en las decisiones de Tecnología y Negocios.
Ejes de análisis
- Seguridad desde el inicio
- El CISO como articulador
- Innovación, riesgo y resiliencia
La innovación digital plantea un desafío para las organizaciones: avanzar con agilidad sin acumular riesgos que posteriormente puedan comprometer la operación, los datos o la confianza de clientes y socios.
La presión por desarrollar y desplegar nuevas soluciones tiene una consecuencia que empieza a hacerse visible. El State of Software Security 2026 de Veracode señala que el 82% de las organizaciones analizadas presenta deuda de seguridad, entendida como vulnerabilidades conocidas que permanecen sin resolver durante más de un año. En 2025, este porcentaje alcanzaba el 74%.
La ciberseguridad y la gobernanza, por tanto, no están llamadas a frenar la innovación, sino a contribuir a que pueda sostenerse y escalar sin trasladar riesgos innecesarios hacia el futuro. Esto requiere dejar atrás un modelo en el que Seguridad interviene únicamente cuando una solución está próxima a entrar en producción.
El Cost of a Data Breach Report 2026 de IBM ubica en USD 4,99 millones el costo promedio global de una brecha de datos, un 12 % más que el año anterior. Esta cifra muestra cómo un incidente de seguridad puede afectar la continuidad de las operaciones, los resultados del negocio y la confianza de clientes y socios.
Seguridad desde el inicio
Incorporar seguridad desde las primeras etapas de una iniciativa permite identificar riesgos cuando todavía existe capacidad para modificar el diseño y evitar correcciones posteriores.
Principios como Security by Design y estrategias Shift Left llevan la seguridad hacia etapas tempranas del ciclo de desarrollo. El modelado de amenazas, las revisiones de arquitectura y la definición anticipada de requisitos permiten identificar exposiciones antes de que una solución llegue a producción. Así, la seguridad se convierte en parte de la calidad del producto desde su diseño.
La automatización también tiene un papel en este proceso. Integrar controles dentro del desarrollo y despliegue mediante prácticas DevSecOps facilita la identificación temprana de vulnerabilidades y reduce la necesidad de introducir correcciones cuando una iniciativa se encuentra en etapas avanzadas.
Este enfoque también alcanza a proveedores y servicios externos. Nube, integraciones, plataformas de terceros y nuevos ecosistemas digitales amplían las dependencias de las organizaciones. La gestión del riesgo debe considerar qué información y sistemas están expuestos, cuáles son las condiciones contractuales y qué capacidad de respuesta existe ante un incidente relacionado con un tercero.
El CISO como articulador
El liderazgo del CISO va más allá de la gestión técnica de la seguridad. Su participación desde la concepción de los proyectos permite incorporar el riesgo a las decisiones de Tecnología y Negocio, en lugar de evaluarlo cuando las soluciones están próximas a entrar en producción.
Su función también implica articular Seguridad, Tecnología y Negocio. Seguridad aporta conocimiento sobre amenazas y controles; Tecnología comprende la arquitectura, las dependencias y los requerimientos de las soluciones; mientras Negocio determina el valor esperado y las prioridades de cada iniciativa. Esta coordinación permite tomar decisiones considerando tanto las oportunidades como los riesgos asociados.
Para asumir este papel, el CISO necesita traducir aspectos técnicos en elementos que puedan ser comprendidos por los responsables de la toma de decisiones. Hablar de seguridad en términos de continuidad, exposición, impacto y prioridades facilita que el riesgo forme parte de las conversaciones del negocio y no permanezca únicamente dentro de los equipos especializados.
El liderazgo también alcanza a las personas. La innovación segura requiere que los equipos comprendan los riesgos y asuman la seguridad como parte de sus responsabilidades. Esto supone fortalecer la capacitación de acuerdo con los distintos roles y promover una relación entre Seguridad, Tecnología y Negocio basada en la colaboración y no únicamente en la supervisión
Innovación, riesgo y resiliencia
Innovar con seguridad no significa eliminar el riesgo. Cada nueva solución, integración o servicio incorpora exposiciones que deben ser identificadas y gestionadas de acuerdo con su impacto para el negocio.
La prevención es una parte de esa gestión. Las organizaciones también necesitan prepararse para detectar incidentes, responder de manera efectiva y recuperar sus operaciones cuando una amenaza se materializa. La resiliencia permite que la innovación avance sobre una base capaz de sostener la continuidad incluso frente a situaciones adversas.
El desafío para el liderazgo está en encontrar un equilibrio entre incorporar nuevas tecnologías y mantener niveles de riesgo acordes con las prioridades de la organización. Esto supone conocer qué riesgos acompañan una iniciativa, determinar cuáles pueden aceptarse y establecer controles para aquellos que requieren tratamiento.
La ciberseguridad puede así dejar de ser una revisión al final del proceso y participar desde el momento en que una iniciativa comienza a tomar forma. Su aporte permite crear las condiciones para innovar con una comprensión del riesgo, proteger la continuidad y preservar la confianza sobre la que se sostienen las relaciones del negocio.
