Gobernanza tecnológica: por qué ya no es cosa solo de técnicos

En los pasillos de las empresas latinoamericanas hay una idea que no se escucha lo suficiente: la tecnología dejó de ser una función de soporte para convertirse en el corazón estratégico de la organización. Eso cambió el perfil que se le exige a quien la lidera.

Para entender por qué esto importa, basta con una cifra: en el mundo ocurre un ciberataque cada 39 segundos. No es una exageración ni un dato de ciencia ficción, es la realidad operativa de cualquier empresa con presencia digital — que a estas alturas es prácticamente todas. El costo promedio de una filtración de datos ronda los 4,88 millones de dólares, y eso sin contar el daño reputacional, las multas regulatorias o el tiempo que la organización tarda en descubrir que fue vulnerada.

En el contexto peruano, esto no es teoría. El sector financiero ha enfrentado ataques de SIM swapping, una modalidad en la que los delincuentes se apropian del chip de telefonía de una persona, suplantan su identidad y realizan transacciones desde sus cuentas bancarias. En un caso documentado, cerca de 250 usuarios resultaron afectados. Lo revelador de este ejemplo es que la vulnerabilidad no estaba en los servidores del banco, sino en el punto de contacto entre la tecnología y la persona. Y eso obliga a repensar qué significa realmente estar seguro.

El nuevo perfil del CTO: líder estratégico, no solo técnico

Durante mucho tiempo, el CTO o CIO de una empresa tenía una función clara: administrar sistemas, mantener la infraestructura en marcha y responder cuando algo se rompía. Ese perfil ya no alcanza. La explosión de tecnologías como la inteligencia artificial, la computación en la nube, el internet de las cosas y la automatización de procesos cambió las reglas del juego.

Hoy se espera que el directivo de tecnología sea un habilitador estratégico del negocio. Eso implica diseñar arquitecturas digitales que permitan crecer sin duplicar plantilla o infraestructura cada vez que sube la demanda. Pero más importante aún, implica algo que para muchos técnicos resulta más incómodo que cualquier bug: hablar el lenguaje del dinero.

Justificar una inversión en ciberseguridad ante un directorio no es lo mismo que explicarle a un equipo de desarrolladores por qué actualizar un servidor. Si el impacto potencial de un ataque se estima en 20 millones, una inversión preventiva de 5 millones se justifica por sí sola — siempre que quien la presenta sepa construir ese argumento con cifras y criterio financiero. Esa capacidad de traducción entre el mundo técnico y el mundo del negocio es, quizás, la competencia más escasa y más valiosa en los equipos de liderazgo tecnológico.

Los 3 pilares de la gobernanza tecnológica

La gobernanza tecnológica es el conjunto de reglas y estructuras que definen cómo se toman las decisiones sobre tecnología en una organización, quién las toma y por qué. Bien entendida, no es burocracia: es la condición para que la tecnología genere valor.

Alineación estratégica

Los indicadores del área de tecnología deben responder directamente a los objetivos del negocio, no vivir en un universo paralelo de métricas técnicas que nadie más comprende.

Gobierno del dato

Los datos son el activo más valioso de cualquier organización, aunque muchas lo dicen y pocas actúan en consecuencia. La brecha más común está en que las decisiones se toman con base en información histórica, cuando lo deseable sería incorporar modelos capaces de anticipar lo que va a ocurrir. La inteligencia artificial y el aprendizaje automático ofrecen exactamente esa posibilidad, pero solo funcionan bien sobre una arquitectura de datos sólida.

Seguridad desde el diseño

La idea es simple pero poderosa: la ciberseguridad no se añade al final, sino que se incorpora desde el primer día de desarrollo. Esto exige que los equipos de cumplimiento, riesgo y seguridad trabajen dentro de los procesos ágiles, no como revisores externos que aparecen a poner objeciones al final. Cuando la seguridad entra desde el inicio, deja de ser un obstáculo y se convierte en parte del valor del producto.

Ciberresiliencia: las 4 fases del ciclo de seguridad digital

El concepto clave para entender la seguridad digital hoy es la ciberresiliencia, que supera la visión tradicional de construir muros y esperar que nadie los cruce. En su lugar, propone un ciclo de cuatro fases que se retroalimentan.

Proteger

Incluye controles como la gestión de identidades, el cifrado de información y la autenticación robusta. Es la primera línea, y muchas veces la más descuidada porque sus resultados no se ven hasta que algo falla.

Detectar

Implica monitoreo continuo y sistemas que identifiquen comportamientos anómalos antes de que se conviertan en incidentes mayores. Detectar el problema a tiempo puede ser la diferencia entre un susto y una crisis.

Responder

Se apoya en protocolos definidos —los llamados playbooks— para no improvisar cuando el problema ocurre. Quien improvisa en una crisis de seguridad, generalmente la empeora.

Recuperar

Depende de planes de continuidad que permitan retomar operaciones en el menor tiempo posible. El objetivo no es solo sobrevivir al incidente, sino volver a la normalidad.

Prevenir siempre sale más barato que reparar, especialmenten cuando el daño ya tocó la reputación

La inteligencia artificial: la misma herramienta que defiende y ataca

Pocas cosas ilustran mejor la complejidad actual de la ciberseguridad que el papel dual de la inteligencia artificial. Por un lado, permite detectar anomalías en tiempo real, automatizar respuestas ante incidentes y redirigir a los analistas hacia tareas que requieren más criterio. Por otro lado, los mismos modelos que potencian la defensa sirven para generar deepfakes, clonar páginas institucionales, elaborar mensajes de phishing extraordinariamente convincentes o ejecutar ataques de ingeniería social a escala masiva.

A esto se suma un riesgo que se subestima con frecuencia: el shadow AI, es decir, el uso no supervisado de aplicaciones de inteligencia artificial por colaboradores dentro de la organización. Cuando alguien sube información confidencial a una herramienta de IA sin conocimiento ni autorización, está creando una brecha de seguridad sin que ningún atacante externo tenga que mover un dedo.

La respuesta no es prohibir la IA ni adoptarla sin criterio. Es construir un marco institucional con estándares de uso, protocolos de seguridad y espacios controlados donde probar casos de uso reales antes de escalarlos. Las organizaciones que logren eso aprovecharán el potencial de la tecnología sin asumir riesgos evitables.

Escasez de talento en ciberseguridad e IA: el desafío regional

Las organizaciones deben conocer un conjunto creciente de marcos regulatorios: el NIST, la ISO 27001, el GDPR europeo, el PCI DSS para pagos, la legislación peruana de protección de datos personales, y los instrumentos emergentes sobre gobernanza de IA como el AI Act europeo. No se trata de adoptarlos todos al mismo tiempo, sino de entender cuáles aplican a cada contexto y construir sobre esa base un modelo de gestión de riesgos adecuado.

El desafío real no es normativo, es humano. En la región, los perfiles especializados en inteligencia artificial aplicada, ciberseguridad con visión estratégica y transformación digital no alcanzan para cubrir la demanda. Esa escasez es a la vez una señal de alarma y una oportunidad real de desarrollo profesional para quienes decidan formarse en estas áreas.

La gobernanza tecnológica como ventaja competitiva

La gobernanza tecnológica y la ciberseguridad ya no son cosa de especialistas encerrados en un sótano con servidores. Son ejes centrales de la estrategia de cualquier organización que quiera ser competitiva, sostenible y confiable. Prevenir siempre cuesta menos que reparar, y ese principio aplica tanto a las finanzas como a la reputación. Las organizaciones que entiendan esta lógica y la traduzcan en estructuras de gobernanza sólidas serán las que crezcan con seguridad en el entorno digital que ya es una realidad.

¿Listo para liderar la transformación digital?

La Maestría en Dirección de Tecnologías de la Información - CTO de la Escuela de Posgrado de la Universidad Continental está diseñada para profesionales como tú: 100% a distancia, con enfoque estratégico, financiero y en ciberseguridad.