El año de la resiliencia: ¿qué demandará de los CISOs el 2026?

Carl Windsor

CISO de Fortinet

Riesgo impulsado por la inteligencia artificial, disrupciones geopolíticas y continuas ciber presiones, están impulsando a los CISOs a repensar la resiliencia, la gobernanza y la continuidad del negocio.

Recientemente, Fortinet publicó “Las predicciones de los CISO para 2026”, que señalan las tendencias que están marcando el año que empieza, incluyendo la rápida adopción de la inteligencia artificial (IA) a través de toda la función del negocio, la creciente tensión geopolítica, la presión regulatoria y la continua industrialización del cibercrimen. La conclusión fue clara: la superficie de ataque se está expandiendo más rápido que lo que lo modelos tradicionales de seguridad se pueden adaptar.

Mientras que estas predicciones explican lo que viene, los CISOs tendrán que decidir cómo afrontar estos retos en un ambiente en donde la IA acelera ambos: innovación y riesgo. De acuerdo con la mirada global de ciberseguridad del Foro Económico Mundial (GCO) 2025, 72% de las organizaciones reportó un incremento en ciber riesgos el año pasado. El 2026, ese riesgo será incrementado por sistemas de IA tomando decisiones a velocidad de máquina, usualmente fuera de los flujos tradicionales de seguridad. La resiliencia ya no es solo un producto secundario de seguridad. Debe ser un principio organizador.

De CISO a director de Resiliencia

El límite entre riesgo de TI y riesgo de negocio ha colapsado, acelerado por la integración profunda de IA a las operaciones, toma de decisiones y fidelización del cliente. Los sistemas de IA ahora influencian cadenas de suministro, controles financieros, decisiones de contratación e interacciones con cliente, usualmente con mínima intervención humana.

Como resultado, los CISOs ya no son solamente responsables de asegurar sistemas. Son responsables de asegurar que los procesos de negocio impulsados por IA continúen confiables, disponibles y controlables bajo estrés. En la práctica, los CISOs han empezado a operar como directores de resiliencia.

Esta evolución refleja la realidad. La IA incremente la velocidad, escala y dependencia. En ese ambiente, cuando una falla ocurre, se propaga más rápido y más lejos. Con esto en mente, en 2026 los CISOs deberán asumir que las disrupciones involucrarán componentes impulsados por IA, ya sea por modelos comprometidos, datos infectados, agentes manipulados o mal uso de la automatización. El éxito será medido por qué tan bien las organizaciones absorben y contienen esas fallas.

¿Qué estuvieron escuchando los CISOs en el Foro Económico Mundial y por qué el 2026 es diferente?

Las discusiones dentro de la reunión anual de Foro Económico Mundial han llevado decisivamente la IA más allá de una discusión puramente tecnológica. Es ahora tratada como riesgo de gobernanza o problema de resiliencia, con implicaciones directas en estabilidad económica, infraestructura nacional y confianza global. Las conversaciones han incrementando el foco en la exposición sistémica: la concentración de las capacidades de IA, la dependencia a modelos compartidos, la dependencia de datos interfronterizo y el riesgo de falla en cascada cuando los sistemas altamente conectados y automatizados se comportan de un modo no esperado.

Fortinet participó en estas discusiones, incluyendo la Reunión Anual de Davos, de la mano de líderes gubernamentales, ejecutivos de la industria y profesionales de la seguridad, porque lo que sucede en estos foros influye en cómo el riesgo es entendido y manejado a nivel global. La ciberseguridad ya no es entendida solamente como un problema empresarial, sino como una responsabilidad compartida que involucra al sector público y al privado. Para los CISOs, estas conversaciones importan porque influencian la dirección regulatoria, expectativas ejecutivas y los estándares por los cuales la resiliencia será juzgada.

Este cambio está también reflejado en los modelos de gobernanza organizacional. Los CISO están ganando acceso directo al liderazgo ejecutivo porque ahora las juntas directivas reconocen que los riesgos relacionados a la IA no pueden ser delegados a equipos aislados. En lugar de eso, las decisiones sobre el despliegue de IA, acceso a datos, automatización y control de estructuras tienen impacto directo en la continuidad operacional, exposición regulatoria y la reputación corporativa.

Para los CISOs, la implicación es clara. En 2026, la planeación de resiliencia debe considerar explícitamente la escala, la velocidad y la opacidad impulsadas por IA. La cuestión no es si la IA será utilizada, sino si está siendo desplegada de un modo seguro, transparente y alineado con la tolerancia al riesgo organizacional. Las discusiones que ocurrieron de Davos reforzaron que esto ya no es sólo una preocupación teórica, es una responsabilidad a nivel liderazgo.

Cinco estrategias que los CISO deben adoptar de cara a 2026

Estrategia 1: construir para la continuidad de negocio en una empresa impulsada por IA

La disrupción a gran escala no es hipotética. La IA incrementa tanto la posibilidad como el alcance de una falla. Debido a esto, la planeación de continuidad del negocio deberá evolucionar de acuerdo con ello. Para empezar, los CISO deberán redefinir el Mínimo Viable de Negocio de la organización, tomando en cuenta las dependencias a IA. ¿Qué sistemas impulsados por IA son indispensables para seguir operando? ¿Qué decisiones automatizadas deberán ser pausadas o eliminadas durante un incidente? ¿Qué pasa si un modelo, configuración de datos o agente se convierte en poco confiable o queda indispuesto?

La resiliencia en 2026 significa comprender no sólo como los sistemas fallan, sino como la IA amplifica esas fallas. Los planes tradicionales de continuidad, rara vez toman en cuenta el comportamiento de la IA bajo estrés y eso debe cambiar. Adicional a ello, los simulacros deben incluir ahora escenarios de falla de IA, canales de datos corruptos y acciones autónomas que requieran una rápida intervención humana.

Estrategia 2: tratar a la IA como una capacidad de alto riesgo

La IA está siendo cada vez más integrada en toda la empresa, a menudo fuera de la visibilidad de seguridad tradicional. Los equipos de marketing utilizan herramientas generativas. Los desarrolladores integran modelos externos. Las unidades de negocio implementan la automatización para acelerar las decisiones. Cada uno de estos factores conlleva riesgos.

Los sistemas de IA pueden filtrar datos confidenciales, ser manipulados mediante órdenes de adversarios o ser obligados a adoptar comportamientos inseguros mediante la inyección inmediata. Además, la IA agéntica introduce una complejidad adicional, ya que los agentes autónomos interactúan con otros sistemas e identidades sin supervisión humana directa.

En 2026, los CISOs deberán tratar la IA como una capacidad de alto riesgo que exige una gobernanza explícita. Esto incluye definir la propiedad, aplicar controles de acceso, proteger los datos de entrenamiento e inferencia, y supervisar el comportamiento de la IA en producción. La IA debe estar sujeta al mismo escrutinio que cualquier sistema capaz de impactar significativamente el negocio.

Estrategia 3: reforzar controles de identidad para humanos, máquinas y agentes de IA

La identidad se ha convertido en el plano de control de los entornos modernos y la IA está acelerando la complejidad de dichos entornos. Las "Predicciones CISO 2026" destacaron la identidad no humana como una fuente creciente de riesgo sistémico. Una sola identidad de máquina o agente comprometida puede propagarse por entornos en segundos. Hoy en día, las identidades no humanas ya superan en número a los usuarios humanos en muchas organizaciones. Los agentes de IA añaden una nueva capa al autenticar, consultar sistemas y tomar medidas a gran escala.

En una empresa impulsada por IA, la vulneración de la identidad no es solo un incidente de seguridad. Es una falla de resiliencia. Los CISOs deben garantizar que los controles de identidad sean consistentes entre usuarios, máquinas, APIs y agentes de IA, con verificación continua y aplicación de privilegios mínimos. Al mismo tiempo, la gobernanza de la identidad también debe asumir la automatización, escalabilidad y velocidad.

Estrategia 4: reforzar la colaboración al tiempo que la IA borra los límites tradicionales

La IA disuelve las fronteras organizacionales tradicionales. Las decisiones que antes tomaban las personas ahora se distribuyen entre sistemas, equipos y flujos de trabajo automatizados. Durante los incidentes, esta complejidad puede ralentizar la respuesta si las funciones y responsabilidades no están claras.

Ninguna organización puede desarrollar resiliencia ante la IA de forma aislada. En cambio, la resiliencia depende de la colaboración. Para lograrlo, los CISOs deben alinear los liderazgos de seguridad, TI, ciencia de datos, legal, riesgo y ejecutivo con supuestos compartidos sobre los riesgos y la respuesta ante la IA. Y externamente, la colaboración con colegas, socios y organizaciones del sector público se vuelve aún más crucial a medida que las amenazas impulsadas por la IA se expanden globalmente.

Estrategia 5: asumir la disrupción acelerada por IA y mantenerse adaptativo

La IA acorta los plazos. Los atacantes se adaptan más rápido. Los errores se propagan con mayor rapidez. Las expectativas regulatorias evolucionan con mayor rapidez. En este entorno, la mentalidad adecuada es asumir una disrupción acelerada por la IA.

Esta mentalidad prioriza las pruebas continuas, la reevaluación periódica de los casos de uso de la IA y la rápida retroalimentación entre los equipos de seguridad y de negocio. Las organizaciones resilientes consideran la adaptación como una disciplina continua, no como una revisión anual.

La resiliencia como líderes es imperativa en la era de la IA

El rol del CISO nunca ha sido tan amplio ni trascendental. En 2026, los CISOs eficaces serán aquellos que entiendan la IA no solo como una tecnología, sino como una fuerza que transforma el riesgo, la gobernanza y la continuidad.

La resiliencia favorecerá a los líderes que se preparen para la disrupción impulsada por la IA, pongan a prueba sus suposiciones y garanticen que sus organizaciones puedan seguir operando cuando los sistemas automatizados fallen. Esa es la labor del CISO moderno.