Un CEO me dijo alguna vez, con un dejo de escepticismo: “Cada vez que leo un reporte de ciberseguridad, parece que el fin del mundo está a la vuelta de la esquina.”
Y no le faltaba razón.
La industria de la ciberseguridad, en su intento por captar atención, presupuesto y urgencia, ha caído muchas veces en una narrativa de pánico. Informes con cifras apocalípticas, amenazas que “podrían colapsar el negocio en segundos”, campañas basadas en el miedo y la paranoia. ¿El resultado? Una mezcla peligrosa de saturación y desconfianza.
Porque a veces, cuando todo parece urgente, nada lo es realmente.
El miedo puede ser un disparador legítimo. Después de todo, los riesgos existen, los ataques son reales y las consecuencias pueden ser devastadoras. Pero entre alertar y alarmar hay una línea delgada… y cruzarla puede ser contraproducente.
Las áreas directivas necesitan información para decidir, no terror para paralizarse. Y cuando la narrativa gira constantemente en torno al desastre inminente, se pierde lo más importante: la posibilidad de construir una estrategia sostenible y madura frente al riesgo.
También hay una dimensión ética. ¿Es legítimo exagerar el impacto de una amenaza para vender un servicio o una solución? ¿Hasta qué punto se vale amplificar el riesgo con fines comerciales? En una industria que reclama confianza, transparencia y rigor, esa práctica puede minar la credibilidad de todos.
Y esto no es exclusivo de la ciberseguridad. En el mundo de la tecnología en general también se vende pánico: “si no migras ahora, te vas a quedar obsoleto”; “si no adoptas esta nueva arquitectura, perderás competitividad”; “si no implementas IA este año, tu competencia te va a devorar”.
El apremio se convierte en narrativa comercial. Pero eso no siempre equivale a verdad.
Ni hablemos del discurso mágico de que la inteligencia artificial lo va a resolver todo. Hay quien promete automatizar el juicio humano, blindar los sistemas, detectar lo indetectable… y todo con solo “activar un motor de IA”. Pero los riesgos no desaparecen por delegarlos. La IA necesita contexto, dirección, responsabilidad. Sin una estrategia clara detrás, puede terminar acelerando decisiones equivocadas o amplificando sesgos en vez de mitigarlos.
Este es un punto clave que muchas veces se pasa por alto: para que la ciberseguridad y la tecnología funcione como debe, necesita estar alineada con la visión del negocio. El área técnica no puede trabajar a ciegas. Si la alta dirección no comparte hacia dónde va la empresa, cuáles son sus prioridades reales, qué mercados quiere explorar o qué procesos no pueden fallar, entonces los esfuerzos de protección terminan siendo genéricos, desconectados, y por lo tanto poco efectivos.
Y al revés también: si el área técnica no logra traducir los riesgos a términos estratégicos, difícilmente conseguirá el respaldo de quienes toman decisiones. Cuando el lenguaje es puramente técnico, o está cargado de dramatismo, se pierde la oportunidad de generar confianza. Porque el miedo puede abrir una puerta… pero la confianza es lo que la mantiene abierta.
Aquí es donde vale la pena detenerse y reflexionar. Como director general, como CFO, como miembro de un consejo: ¿cómo puedes distinguir si tu organización está tomando decisiones desde la información… o desde el susto?
Un responsable de ciberseguridad maduro ya sea interno o externo, no debería venir con amenazas vagas ni con “todo es prioridad”. Debería presentar escenarios realistas, enfocados en el impacto concreto sobre el negocio. Explicar riesgos en función de procesos, no solo de vulnerabilidades. Y priorizar acciones con base en riesgo real y retorno de inversión, no según la última moda tecnológica.
Si cada conversación sobre ciberseguridad se siente como una sesión de miedo sin rumbo, si todo es urgente pero nada se concreta, si el área técnica habla en clave sin conectar con los objetivos estratégicos, quizá no se está gestionando el riesgo… quizá solo se está vendiendo miedo.
Aquí es donde el liderazgo hace la diferencia. Y también donde contar con visión externa ayuda. Cada vez más empresas están buscando perfiles que puedan servir como puente entre el negocio y lo técnico. Personas que no vivan del susto, sino que ayuden a leer el riesgo con perspectiva. No se trata de tener más proveedores o más herramientas, sino de contar con un criterio independiente que permita distinguir lo crítico de lo anecdótico, y lo estratégico de lo reactivo.
En algunos casos, ese rol lo puede jugar un asesor, un consejero externo o un miembro del comité de auditoría con experiencia tecnológica. Lo importante es que exista alguien que pueda hacer las preguntas incómodas, y al mismo tiempo traducir las respuestas para que no se queden solo en el área técnica.
La ciberseguridad no debe ser un centro de costo indefinido ni un generador de ansiedad permanente. Bien enfocada, es una palanca de sostenibilidad, de confianza y de resiliencia. Pero para eso necesita credibilidad. Y la credibilidad se construye cuando el riesgo se comunica con responsabilidad, no con dramatismo.
Vender miedo puede funcionar una vez. Tal vez dos. Pero si lo que buscamos es proteger el negocio, construir confianza y tomar decisiones inteligentes, necesitamos dejar de reaccionar al ruido… y empezar a escuchar con claridad.
Sobre el autor:
Correo: [email protected]
LinkedIn: https://www.linkedin.com/in/andresvelazquez/
Las opiniones expresadas son sólo responsabilidad de sus autores y son completamente independientes de la postura y la línea editorial de Forbes México.
Sigue la información sobre los negocios y la actualidad en Forbes México
