NotíciasEn la prensa
Gartner recomienda que los CISO informen el riesgo cibernético en términos financieros
Gartner recomienda que los CISO cambien los paneles técnicos por estados financieros al informar el riesgo cibernético a la junta directiva. Con el 93% de los consejeros viendo el riesgo cibernético como una amenaza para el valor de la empresa, cuantificar la exposición en términos monetarios ha dejado de ser una tendencia para convertirse en una exigencia, impulsada por regulaciones como NIS2 y D
La forma en que las empresas presentan la seguridad de la información a la alta dirección está cambiando. En el Security & Risk Management Summit 2026, los analistas de Gartner Sam Olyaei y Tom Scholtz recomendaron que los CISO dejen de lado los paneles técnicos y comiencen a informar el riesgo cibernético en el mismo formato que la junta directiva ya utiliza para tomar decisiones: estados financieros.
El problema: seguridad hablando un idioma que la junta no usa
Las cifras muestran que el tema ya está en la agenda de las juntas directivas:
- El 93% de los consejeros concuerdan en que el riesgo cibernético amenaza el valor de la empresa para el accionista;
- El 98% cree que las amenazas aumentarán en los próximos dos años;
- Casi todos los líderes de seguridad ya se presentan directamente ante la junta, en comparación con aproximadamente el 25% hace una década.
Aun así, la mayoría de los informes de seguridad todavía se organizan en torno al área técnica, con recuento de vulnerabilidades, índices de madurez y alertas. Scholtz lo resumió así: "Many reports are structured around cybersecurity, not around the business" ("muchos informes están estructurados en torno a la ciberseguridad, y no al negocio").
La propuesta: el riesgo cibernético en tres estados financieros
Gartner sugiere organizar el informe de seguridad en tres visiones inspiradas en la contabilidad:
| Estado financiero | Lo que muestra en seguridad |
|---|---|
| Balance general | Retrato de la exposición actual al riesgo, con estimación de impacto financiero |
| Estado de resultados (DRE) | Efecto financiero de las amenazas y de las mejoras de seguridad |
| Flujo de caja | Hacia dónde va la inversión en seguridad, por categoría y año a año |
La recomendación también es mantener las mismas métricas de un trimestre a otro, para que la junta pueda seguir la evolución y decidir dónde invertir basándose en tendencias, y no en fotografías aisladas.
La cuantificación del riesgo dejó de ser tendencia y se convirtió en exigencia
Pocas semanas después del evento, Gartner publicó el informe Innovation Insight for Cyber Risk Quantification. Para el FAIR Institute, el documento cierra la discusión sobre si es posible cuantificar el riesgo cibernético. La cuestión ahora es cómo hacerlo de forma continua, vinculada a datos operativos reales y no solo a informes periódicos.
Algunos factores están acelerando este cambio:
- Regulación: exigencias como la NIS2 y DORA en Europa y las reglas de divulgación de la SEC en EE. UU. piden que las empresas demuestren materialidad y resiliencia;
- Adopción de metodologías: el uso o la intención de uso del modelo FAIR pasó del 46% en 2025 al 58% en 2026;
- Mercado en expansión: las soluciones de cuantificación de riesgo cibernético deben pasar de 340 millones de dólares (2024) a aproximadamente 900 millones de dólares para 2033.
Qué significa esto para las empresas
La seguridad de la información ha pasado a ser tratada como un riesgo de negocio. Quien logra traducir la exposición cibernética en valores financieros también consigue justificar la inversión, priorizar lo que realmente importa y conversar con la dirección de igual a igual.
En este escenario, medir el riesgo en términos monetarios es lo que separa a la empresa que reacciona a incidentes de aquella que decide basándose en números.
Referencias
- CISO Board Reporting: Gartner Says Drop the Dashboard, Use Financial Statements — Cybersecurity Insiders, 8 de junio de 2026
- Gartner's New CRQ Report Signals a Major Milestone for the Cyber Risk Profession — FAIR Institute, 22 de junio de 2026
- Cyber Risk Quantification in 2026: Five Trends Reshaping How Boards Think About Exposure — MetricStream