Las juntas directivas están fallando en materia de ciberseguridad
A
estas alturas, la mayoría de las juntas directivas están convencidas de la necesidad de invertir en ciberseguridad. Entienden que un incidente cibernético grave implica altos costos, daña la reputación de la marca, puede devastar las operaciones, destruir la confianza del consumidor e incluso generar preocupaciones existenciales para la organización. Año tras año, la situación de la ciberseguridad sigue empeorando. Por ejemplo, el informe sobre delitos del FBI realizado en 2024, publicado la primavera pasada, reveló que las pérdidas por ciberdelitos aumentaron un 33% en comparación con el año anterior.
Con base en nuestras entrevistas a profundidad con más de 75 directores y ejecutivos que interactúan con juntas directivas, nos preocupa que, a pesar de que estas han puesto mayor énfasis en el riesgo cibernético, su capacidad para mitigarlo solo ha mejorado ligeramente.
Esto es lo que los directores deben hacer de manera diferente.
La falta de experiencia en ciberseguridad
Muchas juntas directivas reconocen que carecen de suficiente experiencia en ciberseguridad. Sin embargo, incluso cuando logran incorporar directores con conocimientos en la materia, los beneficios pueden verse limitados por la rapidez con la que evoluciona el entorno cibernético.
Lo que deben hacer las juntas directivas: En primer lugar, los directores deben evaluar la claridad, relevancia y accesibilidad de los informes de seguridad. En segundo lugar, deben confirmar que los esfuerzos y la cultura de ciberseguridad de la organización estén enfocados en la resiliencia y la continuidad del negocio, en lugar de centrarse de manera limitada en la implementación y prueba de controles técnicos. En tercer lugar, deben asegurarse de que las conversaciones sobre ciberseguridad sean frecuentes y estratégicas. Además, las juntas directivas deberían incorporar consultores externos para fortalecer su capacidad de ejercer una gobernanza adecuada en materia de ciberseguridad.
La IA es tanto una oportunidad como un riesgo
La IA está revolucionando la ciberseguridad de la misma forma en que está transformando los negocios: los actores maliciosos ahora pueden utilizarla para agilizar la generación de malware (código dañino que puede atacar sus sistemas) y aumentar la escala y la velocidad de los ciberataques mediante la automatización. Además, la IA puede emplearse para crear correos electrónicos de phishing sorprendentemente creíbles (por ejemplo, spear phishing asistido por IA), así como imágenes, audio y video para ataques personalizados altamente dirigidos, lo que puede derivar en pérdidas de millones de dólares.
Lo que deben hacer las juntas directivas: Las juntas directivas deben tratar la IA tanto como una oportunidad estratégica como un riesgo en términos de ciberseguridad y gobernanza. En la práctica, esto implica garantizar una supervisión estructurada de las amenazas impulsadas por IA, sus implicaciones éticas y las vulnerabilidades operativas.
Hágase preguntas como:
— ¿Estamos priorizando la integración de la IA porque realmente genera valor o solo porque todos los demás lo están haciendo?
— ¿Estamos haciendo concesiones innecesarias entre la adopción de IA y los riesgos asociados a ella?
— ¿Cómo están cambiando nuestros procesos clave debido a la IA y cuáles serían las implicaciones si esos procesos se vieran interrumpidos como resultado?
Las juntas directivas deben ejercer una supervisión significativa (comprendiendo las capacidades de la IA, definiendo objetivos estratégicos claros y comprometiéndose con la implementación de medidas de seguridad adecuadas) que esté a la altura del ritmo de los esfuerzos estratégicos que impulsan la integración de la IA.
El cumplimiento normativo no es sinónimo de seguridad
Las organizaciones lo suficientemente grandes como para contar con una junta directiva, a menudo, obtienen poco valor (o ninguno) de las regulaciones en ciberseguridad. Dado que cuentan con recursos suficientes para contratar talento de alto nivel en esta área, las regulaciones a las que están sujetas suelen ser irrelevantes o llegar en momentos poco oportunos.
Lo que deben hacer las juntas directivas: Las juntas directivas deben poner énfasis en los incentivos internos, la rendición de cuentas y la disciplina operativa, tratando la ciberseguridad como un componente central de la resiliencia y la competitividad a largo plazo.
Hágase preguntas como:
— ¿En qué medida los elementos de ciberseguridad están integrados en el desarrollo de nuestros productos y servicios?
— ¿La junta directiva está abordando la ciberseguridad de forma proactiva o reactiva?
— ¿Cómo puede una mejor ciberseguridad mejorar la experiencia del cliente y la reputación de la marca?
Las juntas directivas deben indagar activamente para identificar a los socios de alto riesgo, confirmar que las amenazas externas estén plenamente integradas en los planes de continuidad del negocio y verificar que existan redundancias adecuadas para funciones críticas. Asimismo, los directores deben incentivar a sus socios a adoptar una postura más avanzada, que reconozca el cumplimiento normativo como un factor de resiliencia y una ventaja competitiva.
© 2026 Harvard Business School Publishing Corp. | De: hbr.org | Distribuido por: The New York Times Syndicate.
Artículo en inglés
At this point, most boards are convinced of the necessity for cybersecurity investments. They get that a serious cyber event is a costly, brand-damaging situation that can devastate operations, dismantle consumer confidence and even conjure up existential concerns. Year-over-year the cybersecurity situation keeps getting worse. For example, the 2024 FBI crime report, published last spring, revealed that cybercrime losses increased 33% compared to the previous year.
Based on our in-depth interviews with more than 75 directors and board-facing executives, we are concerned that despite boards placing greater emphasis on cyber risk, their ability to mitigate it has only marginally improved.
Here’s what directors need to do differently.
THE LACK OF CYBERSECURITY EXPERTISE
Many boards recognize that they’re thin on cybersecurity expertise. Yet, even when they succeed in recruiting cyber-savvy directors, the benefits may be constrained by the rapid pace of change in the cyber landscape.
WHAT BOARDS SHOULD DO: First, directors should evaluate the clarity, relevance and accessibility of security briefings. Second, they should get confirmation that the organization’s cyber efforts and culture are focused on resilience and business continuity, rather than a narrow emphasis on implementing and testing technical controls. Third, they should ensure that discussions on cybersecurity are regular and strategic. Additionally, boards should bring in outside consultants to shore up their ability to provide proper cyber governance.
ARTIFICIAL INTELLIGENCE IS BOTH AN OPPORTUNITY AND A RISK
AI is revolutionizing cybersecurity just as it’s revolutionizing business: Malicious actors can now use it to streamline the generation of malware — harmful code that can attack your system— and increase the scale and speed of cyberattacks through automation. Further, AI can be used to create disconcertingly believable phishing emails (e.g., AI-supported spear phishing), as well as imagery, audio and video for customized targeted attacks, which can lead to multimillion-dollar losses.
WHAT BOARDS SHOULD DO: Boards must treat AI as both a strategic opportunity as well as a cybersecurity and governance risk. In practice, this means ensuring structured oversight of AI-driven threats, ethical implications and operational vulnerabilities.
Ask questions like:
— Are we prioritizing the integration of AI because it creates actual value or because everyone else is doing it?
— Are we making compromising tradeoffs between AI adoption and AI risk that are unnecessary?
— How are our core processes changing due to AI and what are the implications if those processes are disrupted as a result?
Boards must provide meaningful oversight — understanding AI capabilities, articulating strategic objectives and committing to the deployment of appropriate security guardrails — that will keep pace with the strategic efforts driving AI integration.
COMPLIANCE ISN’T SECURITY
Organizations large enough to have a board often get marginal value — if any — from cybersecurity regulations. As they have sufficient resources to hire top cyber talent, the regulations they are shackled with are often irrelevant and ill-timed.
WHAT BOARDS SHOULD DO: Boards should emphasize internal incentives, accountability and operational discipline, treating cybersecurity as a core component of resilience and long-term competitiveness.
Ask questions like:
— To what extent are cyber elements integrated into the development of our products and services?
— Is the board addressing cyber in a proactive or reactive manner?
— How can improved cybersecurity improve customer experiences and brand reputation.
Boards should actively probe to identify high-risk partners, confirm that external threats are fully integrated into business continuity plans and verify that appropriate redundancies exist for critical functions. Directors should encourage partners to adopt a more advanced posture — toward recognizing compliance as a driver of resilience and competitive advantage.
La IA generativa podría solucionar las evaluaciones de desempeño (o empeorarlas aún más)
La IA puede alejar las evaluaciones de desempeño de las narrativas laborales y acercarlas a evidencia directa del trabajo en la práctica.
Es difícil utilizar la IA en equipo. Estas 3 prácticas pueden ayudar
He aquí tres prácticas que pueden ayudar a desarrollar la «química humano-IA en los equipos» a medida que evoluciona el lugar de trabajo.
¿Cuáles son los problemas de su empresa en materia de IA?
El “Ethical Nightmare Challenge” (ENC) es un marco de trabajo que puede integrarse con programas existentes de gestión de riesgos de IA.
