Para DOBLE LLAVE

______________________________________________________________________________________________

Resumen: El presente artículo analiza la estructura organizacional óptima para la gestión de riesgos tecnológicos, abordando la problemática inherente a la subordinación de la ciberseguridad ante la gerencia de Tecnologías de la Información (TI). Se examina la naturaleza fenomenológica de ambos roles, contrastando la filosofía de disponibilidad operativa frente a la de control y resiliencia. A través de la revisión de literatura reciente, estándares internacionales  y la aplicación de la Teoría de la Agencia, se argumenta que la fusión de estas gerencias genera un conflicto de interés estructural que compromete la transparencia del riesgo hacia la alta dirección. Se concluye que la independencia del Oficial de Seguridad de la Información (CISO) es un requisito indispensable para garantizar una auditoría objetiva y una gobernanza corporativa eficaz.

Palabras clave: Ciberseguridad, Seguridad de la Información, Tecnologías de la Información, Gerencia, Conflicto de interés, Gobernanza de TI, CISO, Teoría de la Agencia.

Abstract: This article analyzes the optimal organizational structure for technological risk management, addressing the inherent problems of subordinating cybersecurity to Information Technology (IT) management. It examines the phenomenological nature of both roles, contrasting the philosophy of operational availability against that of control and resilience. Through the review of recent literature, international standards, and the application of Agency Theory, it is argued that the merging of these departments generates a structural conflict of interest that compromises risk transparency toward senior management. It concludes that the independence of the Chief Information Security Officer (CISO) is an indispensable requirement to guarantee objective auditing and effective corporate governance.

Keywords: Cybersecurity, Information Security, Information Technology (IT), Management, Conflict of interest, IT Governance, CISO, Agency Theory.

Introducción

En el ecosistema empresarial contemporáneo, la arquitectura organizacional no es un mero formalismo administrativo, sino un determinante crítico de la capacidad de una entidad para gestionar riesgos. Históricamente, la seguridad de la información ha sido relegada a una función operativa dentro de los departamentos de tecnología. Sin embargo, la sofisticación de las amenazas actuales exige una reevaluación de este modelo.

Este ensayo postula que mantener a la gerencia de Ciberseguridad bajo la tutela de la gerencia de Tecnología (TI) constituye un error estratégico grave. Se explorarán las bases teóricas que demuestran por qué esta estructura fomenta un conflicto de interés insalvable, impidiendo la objetividad necesaria para la protección de los activos críticos de la organización.

Fundamentos Fenomenológicos del Conflicto

Para comprender la necesidad de la separación de roles, es imperativo disectar la naturaleza intrínseca de las funciones en disputa. La discusión sobre la ubicación jerárquica de la seguridad no debe reducirse a un debate sobre el organigrama; se trata de una «confrontación fundamental entre dos filosofías operativas divergentes: la disponibilidad frente al control, y la velocidad frente a la resiliencia».

Mientras que el mandato principal de TI es asegurar la funcionalidad, el rendimiento y la entrega rápida de servicios (uptime), el mandato de la Ciberseguridad es asegurar la disponibilidad, integridad, confidencialidad y auditabilidad, lo que frecuentemente requiere imponer pausas, controles y restricciones a esa misma velocidad operativa. Cuando una sola autoridad debe decidir entre liberar un sistema rápidamente (objetivo de TI) o retrasarlo para corregir vulnerabilidades (objetivo de Seguridad), y dicha autoridad es evaluada por su velocidad de entrega, el conflicto es inevitable y la seguridad suele ser sacrificada.

La Teoría de la Agencia y la Transparencia del Riesgo

Desde una perspectiva académica, la problemática se explica a través de la Teoría de la Agencia. En este contexto, Sánchez (2019) argumenta que la claridad en la atribución de responsabilidades es fundamental para evitar ambigüedades en la gestión. Si el CISO reporta al CIO, existe un incentivo perverso para ocultar hallazgos de seguridad que podrían interpretarse como fallas en la gestión de TI.

Literatura reciente sugiere que la «transparencia de riesgo» mejora radicalmente solo cuando existe una separación funcional efectiva. Como afirman Codina (2022) al discutir la estructura de la investigación científica, la transparencia impone un estándar de calidad; de manera similar, en la gobernanza corporativa, la independencia del CISO garantiza que la auditoría interna no se debilite y que el departamento de TI no actúe como juez y parte.

Marcos Normativos y Estándares de Auditoría

La separación de funciones es una exigencia de estándares internacionales. Al respecto, el Centro Criptológico Nacional (s.f.) establece en sus guías que las responsabilidades de seguridad deben estar claramente diferenciadas de las responsabilidades de explotación de sistemas.

Al igual que en la auditoría financiera, donde quien lleva la contabilidad no puede auditarse a sí mismo, en el ámbito tecnológico es inadmisible que quien configura los servidores sea el responsable final de certificar su seguridad (Auditoría General de la Ciudad de Buenos Aires, s.f.).

Marcos Normativos y Estándares de Auditoría

La separación de funciones no es solo una recomendación teórica, sino una exigencia de estándares internacionales de auditoría y control. Marcos como COBIT (ISACA, 2019) y las normas ISO 27001 (ISO/IEC, 2022) enfatizan la necesidad de segregar las tareas de ejecución de las de control para prevenir fraudes y errores.

La separación de funciones es una exigencia de estándares internacionales. Al respecto, el Centro Criptológico Nacional (s.f.) establece en sus guías que las responsabilidades de seguridad deben estar claramente diferenciadas de las responsabilidades de explotación de sistemas.

Al igual que en la auditoría financiera, donde quien lleva la contabilidad no puede auditarse a sí mismo, en el ámbito tecnológico es inadmisible que quien configura los servidores sea el responsable final de certificar su seguridad (Auditoría General de la Ciudad de Buenos Aires, s.f.).

La ausencia de esta segregación impide una evaluación objetiva de la postura de seguridad y contraviene los principios básicos de control interno citados por organismos de control y auditoría de sistemas.

Conclusión

La ciberseguridad ha trascendido su rol técnico para convertirse en un pilar de la estrategia de negocio. La evidencia teórica y fenomenológica indica que los objetivos de TI y Seguridad, aunque complementarios en su finalidad última de servir al negocio, son operativos divergentes en su ejecución diaria.

Mantener estas funciones unidas bajo una misma línea de mando genera un conflicto de interés estructural que opaca la visibilidad real del riesgo para la alta dirección. Por tanto, es imperativo que las organizaciones modernas emancipen la gobernanza de la ciberseguridad, otorgando al CISO una línea de reporte independiente que garantice la imparcialidad, la transparencia y la resiliencia organizacional ante un panorama de amenazas en constante evolución.

(¡Sigue nuestras noticias en Google! Para obtener información actual, interesante y precisa. Haz clic aquí y conoce todos los contenidos de DOBLE LLAVE. Encuéntranos también en X/Twitter e Instagram)

Referencias

Auditoría General de la Ciudad de Buenos Aires. (s.f.). Normas básicas de auditoría de sistemas. https://www.agcba.gov.ar

Codina, L. (2022). El modelo IMRyD de artículos científicos: ¿qué es y cómo se puede aplicar en humanidades y ciencias sociales?. Hipertext.net, (24), 1-8. https://doi.org/10.31009/hipertext.net.2022.i24.01

Sánchez, C. (08 de febrero de 2019). Normas APA – 7ma (séptima) edición. Normas APA (7ma edición). https://normas-apa.org/

ISACA. (2019). COBIT 2019 (Control Objectives for Information and Related Technologies). http://www.isaca.org

Organización Internacional de Normalización. (2022). Tecnología de la información. Técnicas de seguridad – Sistema de gestión de la seguridad de la información – Requisitos (Norma ISO/IEC 27001:2022).Universidad Nacional de Educación Enrique Guzmán y Valle. (2026). Guía para aplicar el Manual APA, Sétima Edición. Vicerrectorado de Investigación.

Fuente de imagen referencial: Suministrada por el autor del artículo

Ver en PDF:

_

En la víspera de 2026, Unión Radio, entrevistó a Rafael Núñez Aponte, en su carácter de experto sobre el tema; en el diálogo afloró la relación que se da entre el auge del comercio electrónico y los ciberataques en Venezuela, tanto por razones de temporada como en forma general.

El comercio electrónico en Venezuela ha registrado un crecimiento del 95%, eso es algo en realidad muy positivo, solo que el fenómeno ha sido aprovechado con fines negativos por la ciberdelincuencia que ha disparado un incremento proporcional de los casos de ciberataque.

Rafael Núñez, director de MásQueSeguridad y especialista en ciberseguridad, explicó que este alto tráfico genera para el cibercrimen una ampliación de posibilidades, pues utiliza dicho flujo para enviar ofertas engañosas y códigos maliciosos.

Según el especialista, la posición de Venezuela en la agenda geopolítica internacional también atrae la atención de delincuentes de otros países que operan sin fronteras.

-Venezuela está en las noticias, entonces también vienen ciberdelincuentes de cualquier otro país, llamamos su atención, y como no hay fronteras en el ámbito digital, pueden hacer ataques pescando en río revuelto. ¿Qué quiere decir eso? Bueno, vamos a ver cómo están los sistemas de Venezuela, vamos a ver cuáles son las direcciones IP y empiezan a atacar remotamente, detalla Núñez.

Ciberataques y sus métodos

Uno de los vectores de ciberataques más recurrentes en el sector bancario -como ejemplo- es el phishing, una técnica que utiliza suplantación de identidad para obtener, robar, información confidencial, que Núñez denomina como «cazabobos». Este método se basa en la ingeniería social, definida como el arte de engañar los sesgos cognitivos de las personas para que entreguen datos voluntariamente.

Rafael Núñez señala que estos ciberataques se valen de la manipulación psicológica a través de correos, mensajes de texto, WhatsApp o Telegram.

«Se hacen pasar por un amigo, por un empleado, por una persona de confianza, pero jugando con las emociones (explotándolas); es decir, la manipulación psicológica, usando el miedo, la alegría, el apúrate, el urgente, y las personas caen rápidamente», razona.

El experto venezolano advierte que los delincuentes han sofisticado sus métodos, llegando a bloquear el acceso de un usuario a su banco para luego llamarlo suplantando a la institución y solicitarle contraseñas o tarjetas de coordenadas, datos que «el banco nunca va a pedir por una llamada».

El auge del ransomware

Una de las principales preocupaciones en la actualidad para la seguridad digital en el país es el incremento de entre el 30% y el 40% de los casos de ransomware. Este término técnico se refiere a un programa informático malicioso que bloquea y encripta la información de una empresa para luego exigir un rescate económico, generalmente en criptomonedas, para liberarlo y devolver las cosas a la normalidad.

El especialista revela y destaca preventivamente que este tipo de «secuestros virtuales» ya han afectado a una operadora de telefonía de gran alcance y a una institución bancaria privada de relevancia, con ataques que provienen mayoritariamente de Europa del Este. Algo que sin lugar a dudas debe mover a la precaución.

Ante esta realidad, Núñez enfatiza la necesidad de contar con sistemas de respaldo inmutables y encriptados, además de la segmentación de datos, puesto que «no hay nada 100% seguro» y los ataques actuales pueden incluso ser alquilados, potenciados y programados con apoyo de inteligencia artificial.

Legislación y déficit de profesionales

En el ámbito institucional, Núñez, quien también es director de seguridad y hace parte de la directiva de la Cámara de Comercio Electrónico de Venezuela (Cavecom), indicó que se están impulsando reformas legales.

La actual Ley contra los Delitos Informáticos data de 2001, por lo que se encuentran en propuesta nuevas normativas para regular la inteligencia artificial y tipificar delitos modernos como el bullying, grooming y el acoso escolar por medios informáticos.

Sin embargo, se suma a la conveniente y necesaria actualización del marco legal, otro obstáculo: la falta de capital humano especializado. Núñez destacó que en Latinoamérica existe un déficit de casi cuatro millones de profesionales en seguridad de la información.

«Muchas veces la banca me pide un CISO (Oficial de Seguridad de la Información, por sus siglas en inglés) y no se consigue», acotó.

Aunque existen programas académicos en universidades ubicadas en San Antonio de Los Altos y Maracay, el especialista insiste en que hace falta un mayor impulso y formación que genere profesionales suficientes para cubrir la demanda laboral en esta materia.

“Yo mismo creé en un portal que se llama másquecampus.com,con algunoscursos actualizados y de buen nivel, pero hacen falta más iniciativas y oportunidades. En lo personal, asistimos, vamos a las maestrías internacionales, pero igual hace falta más empuje, no solamente en Venezuela, sino en Latinoamérica”, concluye el experto Rafael Núñez Aponte.

De interés:  Tendencias en ciberseguridad 2026: IA ofensiva, el retorno del ransomware y la nueva era regulatoria

DOBLE LLAVE

Con información de Unión Radio, otros medios y redes sociales

Fuente de imagen referencial principal: Freepik

Visita nuestro canal de noticias en Google News y síguenos para obtener información precisa, interesante y estar al día con todo. También en X/Twitter e Instagram puedes conocer diariamente nuestros contenidos