{"id":8849,"date":"2025-09-18T09:00:00","date_gmt":"2025-09-18T09:00:00","guid":{"rendered":"https:\/\/www.securitytoday.de\/2026\/04\/02\/post_id-4970-2\/"},"modified":"2026-07-04T12:34:47","modified_gmt":"2026-07-04T12:34:47","slug":"el-ciso-es-un-chivo-expiatorio-por-que-el-puesto-necesita-una-reforma-profunda","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/es\/2025\/09\/18\/el-ciso-es-un-chivo-expiatorio-por-que-el-puesto-necesita-una-reforma-profunda\/","title":{"rendered":"El CISO es un chivo expiatorio: por qu\u00e9 el puesto necesita una reforma profunda"},"content":{"rendered":"<p><strong>Cuando ocurre un incidente, el CISO es el primero en salir. En SolarWinds, en Uber, en Capital One: tras cada gran incidente de seguridad, rueda siempre la misma cabeza. El director de seguridad de la informaci\u00f3n asume la responsabilidad, pero carece de presupuesto, autoridad o presencia en el consejo directivo para cumplir con su funci\u00f3n. Un an\u00e1lisis sobre una estructura de puesto t\u00f3xica.<\/strong><\/p>\n<h2>En resumen<\/h2>\n<ul>\n<li>La duraci\u00f3n media de un CISO es de 26 meses, la m\u00e1s corta entre todos los cargos de nivel directivo<\/li>\n<li>Solo el 12 por ciento de los CISO reportan directamente al CEO; la mayor\u00eda depende del CIO o CTO y no tiene autonom\u00eda presupuestaria<\/li>\n<li>Tras un incidente de seguridad, en el 60 por ciento de los casos se sustituye al CISO, incluso cuando la causa radica en subinversi\u00f3n o decisiones empresariales<\/li>\n<li>Las tasas de agotamiento profesional (burnout) entre CISO superan el 50 por ciento, la m\u00e1s alta entre todos los cargos directivos de TI<\/li>\n<\/ul>\n<h2>Responsabilidad sin poder<\/h2>\n<p>Imagine que usted es el responsable de protecci\u00f3n contra incendios de un rascacielos. Sabe que el sistema de rociadores es obsoleto, que las rutas de evacuaci\u00f3n est\u00e1n bloqueadas y que las puertas cortafuegos no cierran. Redacta informes. Escala el problema. Pero la administraci\u00f3n del edificio responde: \u00abDemasiado caro. Lo haremos el a\u00f1o que viene\u00bb. Entonces se declara un incendio. Y lo despiden a usted porque fall\u00f3 la protecci\u00f3n contra incendios.<\/p>\n<p>Esta es la realidad de la mayor\u00eda de los CISO. Identifican riesgos, los documentan, los escalan  &#8211;  y son ignorados. Por unidades de negocio que quieren entregar m\u00e1s r\u00e1pido. Por el CIO, que necesita el presupuesto para otros proyectos. Por el consejo directivo, que considera la seguridad como un centro de costes. Hasta que llega el ataque.<\/p>\n<h2>El problema estructural<\/h2>\n<p><strong>L\u00ednea de reporte:<\/strong> Un CISO que depende del CIO tiene un conflicto de intereses inherente. El CIO optimiza velocidad y eficiencia. La seguridad genera fricci\u00f3n. En esta configuraci\u00f3n, la seguridad pierde sistem\u00e1ticamente  &#8211;  no por mala intenci\u00f3n, sino por inferioridad estructural.<\/p>\n<p><strong>Realidad presupuestaria:<\/strong> La participaci\u00f3n media de seguridad en el presupuesto de TI ronda entre el 5 y el 10 por ciento. En sectores regulados, algo m\u00e1s. Esto significa que, por cada euro que gasta TI, 90 c\u00e9ntimos van a proyectos que el CISO debe proteger  &#8211;  con los 10 c\u00e9ntimos restantes.<\/p>\n<p><strong>Trampa profesional:<\/strong> El puesto es una situaci\u00f3n de doble p\u00e9rdida. Si no ocurre nada, la seguridad ha sido \u00abinnecesariamente cara\u00bb. Si ocurre algo, la seguridad ha \u00abfallado\u00bb. Ning\u00fan resultado es visible positivamente para el CISO. Los mejores CISO son invisibles  &#8211;  y los primeros en ser eliminados cuando se recorta.<\/p>\n<h2>Lo que mostr\u00f3 Joe Sullivan en Uber<\/h2>\n<p>El caso de Joe Sullivan es paradigm\u00e1tico. Como CISO de Uber, encubri\u00f3 un robo de datos  &#8211;  y fue condenado penalmente por ello. La condena fue jur\u00eddicamente correcta. Pero tambi\u00e9n revel\u00f3 que el CISO estaba solo. La decisi\u00f3n de encubrir el incidente se tom\u00f3 en un entorno que trataba los incidentes de seguridad como un riesgo empresarial a gestionar  &#8211;  no como un problema que deb\u00eda comunicarse con transparencia.<\/p>\n<p>Desde entonces, todo CISO piensa: \u00abSi algo sale mal, acabar\u00e9 en los tribunales\u00bb. Esto no genera mayor seguridad, sino CISO defensivos que se protegen mediante documentaci\u00f3n en lugar de abordar activamente los riesgos.<\/p>\n<h2>C\u00f3mo deber\u00eda funcionar el puesto<\/h2>\n<p><strong>Reporte a nivel de consejo:<\/strong> El CISO debe reportar directamente al consejo directivo o al consejo de vigilancia  &#8211;  no al CIO. En sectores regulados, NIS2 y DORA ya lo exigen. Debe convertirse en est\u00e1ndar.<\/p>\n<p><strong>Presupuesto propio:<\/strong> La seguridad necesita un presupuesto independiente que el CIO no pueda reasignar. Referencia: al menos el 10 por ciento del presupuesto total de TI, y hasta el 15 por ciento en empresas del sector cr\u00edtico (KRITIS).<\/p>\n<p><strong>Responsabilidad compartida:<\/strong> NIS2 va por el buen camino: los directores generales responden personalmente de la ciberseguridad. No solo el CISO  &#8211;  todo el consejo directivo. Cuando el CEO asume la misma responsabilidad que el CISO, las negociaciones sobre presupuestos de seguridad cambian radicalmente.<\/p>\n<h2>Conclusi\u00f3n: salvar el puesto, no sacrificar cabezas<\/h2>\n<p>El agotamiento profesional del CISO no es un problema individual, sino sist\u00e9mico. Mientras el puesto combine responsabilidad sin autoridad, seguir\u00e1 perdiendo a los mejores profesionales  &#8211;  y las empresas ser\u00e1n m\u00e1s inseguras, no m\u00e1s seguras. La reforma comienza con la l\u00ednea de reporte y termina con la distribuci\u00f3n de responsabilidades.<\/p>\n<h2>Datos clave<\/h2>\n<p><strong>Duraci\u00f3n media del CISO:<\/strong> 26 meses de media  &#8211;  frente a 72 meses del CFO y 54 meses del CIO.<\/p>\n<p><strong>Burnout:<\/strong> El 54 por ciento de los CISO declaran sobrecarga cr\u00f3nica; el 24 por ciento ha buscado activamente un puesto fuera del \u00e1rea de seguridad en los \u00faltimos 12 meses (IANS Research, 2024).<\/p>\n<h2>Preguntas frecuentes<\/h2>\n<p class=\"st-faq-hint\">Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n<details>\n<summary><strong>\u00bfNecesita toda empresa un CISO?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">A partir de cierto tama\u00f1o, s\u00ed. Por debajo de 200 empleados, suele bastar con un vCISO externo (CISO virtual), que asesora estrat\u00e9gicamente y delega la seguridad operativa en servicios gestionados. Lo decisivo es que la responsabilidad est\u00e9 claramente asignada y respaldada con autoridad.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfC\u00f3mo cambia NIS2 el papel del CISO?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">NIS2 hace responsables personalmente a los directores generales. Esto cambia la din\u00e1mica: la ciberseguridad deja de ser un asunto del CISO para convertirse en un asunto del consejo directivo. Los CISO ganan autoridad porque ahora el consejo responde personalmente y escucha activamente.<\/p>\n<\/details>\n<details>\n<summary><strong>\u00bfCu\u00e1nto gana un CISO en Alemania?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Entre 120.000 y 250.000 euros, seg\u00fan tama\u00f1o y sector de la empresa. En comparaci\u00f3n con los salarios en EE. UU. (300.000 a 600.000 d\u00f3lares), esta cifra es baja  &#8211;  una raz\u00f3n m\u00e1s del d\u00e9ficit de profesionales cualificados en este puesto en Europa.<\/p>\n<\/details>\n<h2>Art\u00edculos relacionados<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.securitytoday.de\/es\/2024\/11\/28\/nis2-und-geschaeftsfuehrerhaftung-warum-cybersecurity-jetzt-chefsache-ist\/\">NIS2 y responsabilidad de los directores: por qu\u00e9 la ciberseguridad es asunto del consejo<\/a><\/li>\n<li><a href=\"https:\/\/www.securitytoday.de\/es\/2025\/12\/11\/post_id-3617\/\">Ciberseguridad 2025: el a\u00f1o en retrospectiva<\/a><\/li>\n<li><a href=\"https:\/\/www.securitytoday.de\/es\/2025\/09\/11\/post_id-3611\/\">DORA en la pr\u00e1ctica: primeras experiencias en el sector financiero<\/a><\/li>\n<\/ul>\n<p style=\"font-weight:700;color:#e6e3da;font-size:1.05em;margin:48px 0 16px;\">M\u00e1s del ecosistema MBF Media<\/p>\n<div style=\"display:flex;flex-direction:column;gap:14px;margin-bottom:40px;\"><a href=\"https:\/\/www.digital-chiefs.de\/149-000-offene-it-stellen-wie-cios-ki-copiloten-als-fachkraeftersatz-nutzen\/\" class=\"st-net-card\" style=\"display:block;padding:16px 18px;background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;box-shadow:inset 0 1px 0 rgba(230,227,218,0.06),0 2px 10px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;\"><span style=\"display:block;margin-bottom:6px;font-size:0.72em;font-weight:700;letter-spacing:0.06em;text-transform:uppercase;color:#d65663;\">Digital Chiefs<\/span><span style=\"display:block;color:#e6e3da;line-height:1.45;\">Perspectivas C-Level sobre seguridad TI en digital-chiefs.de<\/span><\/a><a href=\"https:\/\/mybusinessfuture.com\/ki-made-in-germany-935-startups-oekosystem\/\" class=\"st-net-card\" style=\"display:block;padding:16px 18px;background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;box-shadow:inset 0 1px 0 rgba(230,227,218,0.06),0 2px 10px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;\"><span style=\"display:block;margin-bottom:6px;font-size:0.72em;font-weight:700;letter-spacing:0.06em;text-transform:uppercase;color:#aa8ac2;\">MyBusinessFuture<\/span><span style=\"display:block;color:#e6e3da;line-height:1.45;\">Liderazgo y digitalizaci\u00f3n en mybusinessfuture.com<\/span><\/a><\/div>\n","protected":false},"excerpt":{"rendered":"Cuando ocurre un incidente, el CISO es el primero en salir. En SolarWinds, en Uber, en Capital One: tras cada gran incidente de seguridad, rueda siempre la misma cabeza. El director de seguridad de la informaci\u00f3n asume la responsabilidad, pero carece de presupuesto, autoridad o presencia en el consejo directivo para cumplir con su funci\u00f3n. [&hellip;]","protected":false},"author":55,"featured_media":4971,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"ciso","_yoast_wpseo_title":"El CISO es un chivo expiatorio: por qu\u00e9 el puesto necesita una reforma profunda","_yoast_wpseo_metadesc":"CISO como chivo expiatorio: reforma urgente para proteger a tu empresa. Descubre por qu\u00e9 y c\u00f3mo cambiarlo ahora.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":["post_id-4970-2","post_id-4970"],"footnotes":""},"categories":[261],"tags":[],"class_list":["post-8849","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-es"],"evm_reading_time_minutes":6,"wpml_language":"es","wpml_translation_of":4970,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8849","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=8849"}],"version-history":[{"count":5,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8849\/revisions"}],"predecessor-version":[{"id":20185,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/8849\/revisions\/20185"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/4971"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=8849"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=8849"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=8849"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}