A. Sanchez (Fortinet): “El CISO puede tener responsabilidad legal si no protege el dato de manera adecuada”

Hace casi una década, el proveedor de ciberseguridad Fortinet creó la Oficina del CISO. Un espacio dedicado a acercarse a esta figura y conocer de primera mano qué procesos de decisión iban mutando en un mundo por aquel entonces eminentemente técnico, pero que ya empezaba a cobrar tintes estratégicos al calor de una digitalización global acelerada en todos los órdenes sociales y corporativos.

Hoy, este departamento tiene más sentido que nunca: las herramientas digitales siguen siendo el principal habilitador de la conversación, aunque esta ha girado hacia otros temas más amplios. A saber; economía, talento, regulación, responsabilidades e incluso una dimensión geopolítica derivada de los conflictos bélicos y diplomáticos que atraviesan a los distintos bloques dominantes en el tablero mundial.

Alain Sanchez es quien encarna esta figura para la región de EMEA en la multinacional estadounidense. Con más de 30 años de experiencia en la industria -desde 2018 ya en nómina de Fortinet-, se muestra como un profundo conocedor del rol del CISO y de su constante evolución.

“Esta oficina tiene que encajar con ellos y con los ejecutivos en general”, defiende en entrevista con DISRUPTORES – EL ESPAÑOL en el marco de la celebración del Mobile World Congress 2026 de Barcelona. “Paso mucho tiempo tratando cuestiones que se escapan del ámbito tecnológico”.

“Antes -prosigue- toda toma de decisiones se daba en base a documentación técnica […]. Ahora, todas las empresas tienen una estrategia, pero, por ejemplo, ¿cuentan con las personas adecuadas para ejecutarla?”, reflexiona.

"Las juntas directivas tienen que conocer el estado actual de las amenazas"

Así, sus funciones pasan, entre otras, por demostrar, a través de un informe anual, que apostar por el talento multidisciplinar es el mejor posicionamiento de ciberseguridad. O por poner de manifiesto que el retorno de la inversión (ROI, de sus siglas inglesas) es ya una realidad en todas y cada una de las divisiones corporativas, independientemente del sector.

“Durante los años de pandemia, la principal prioridad era la continuidad de los negocios”, dice. “Sin embargo, ahora es muy llamativo comprobar el impacto que tiene la seguridad en cualquier departamento, o las consecuencias económicas derivada de cualquier tipo de pérdida de datos”.

Un ejemplo revelador

Estas preocupaciones, asociadas al aumento de los ciberataques y a un control más exhaustivo por parte de los reguladores, dan cuenta de la magnitud estratégica que ha adquirido el CISO.

De hecho, hace escasos años fue paradigmático el caso de Solarwinds. La empresa norteamericana de software sufrió un incidente en su cadena de suministro en 2020 que dejó expuestos los datos de unos 18.000 clientes, incluidos los de algunas agencias federales del Gobierno de Estados Unidos.

Ante lo ocurrido, la Comisión de Bolsa y Valores del país (SEC) denunció a la compañía y a su CISO, Tim Brown, exigiendo responsabilidades penales por dar, presuntamente, información engañosa sobre sus políticas de ciberseguridad antes del ataque.

Aunque finalmente la mayoría de los cargos fueron desestimados, Brown pasó a ser el centro de debate de la industria por convertirse en el primer CISO demandado personalmente tras un ciberataque contra su propia empresa.

“Los CISOs nos encontramos en la convergencia entre la detección, la actuación y la prioridad de que el negocio tenga continuidad"

“Este es un buen ejemplo de cómo el rol de este cargo ha cambiado”, indica Sanchez. “Y creo que sí que debe tener responsabilidades legales. Es algo que ya es así en muchos territorios. Incluso en Europa, si no se toman una serie de medidas para proteger la información, un ejecutivo puede acabar en la cárcel”.

Ya es habitual que el CISO se siente en las juntas directivas porque esta “tiene que conocer el estado de la amenaza. Si un país está en riesgo, dependiendo de la industria en la que se maneje cada empresa, hay que tomar decisiones estratégicas al respecto”.

Y la presión normativa no deja de aumentar. En el Viejo Continente, el documento que contempla la protección de las infraestructuras críticas, NIS2, ya está ampliando el número de categorías amparadas por la ley debido al convulso escenario de la geopolítica.

Fortinet toma la temperatura de esta evolución a través de su unidad de investigación FortiGuard Labs. Si antes prácticamente todos los incidentes estaban relacionados con robar dinero, confiesa Sanchez, ahora se están experimentando movimientos que buscan “aniquilar” y “destruir” infraestructuras críticas.

“Los CISOs nos encontramos en la convergencia entre la detección, la actuación y la prioridad de que el negocio tenga continuidad. Este equilibrio nos permite tener un análisis muy fino de la amenaza y del riesgo para tomar decisiones documentadas”.

Inteligencia artificial

Evidentemente, durante el diálogo también hay lugar para la tecnología per sé. Más si nos encontramos en plena era de la inteligencia artificial y sus agentes autónomos. Un lienzo complejo que afecta a la seguridad en varias vertientes.

Por una parte, dentro de la operativa empresarial hay un imperativo de gobernanza por el riesgo que puede tener el uso “brutal” y “salvaje” de la IA. Lo que se conoce como shadow AI. Por otro lado, es muy útil en la detección de amenazas.

“No se trata solo de un papel técnico, la ciberseguridad abre puertas en los consejos administrativos”

Aquí, el directivo vuelve a poner el símil de sus laboratorios, en los que esta tecnología permite ser muy eficiente en los escenarios de ataques y hacer correlaciones para lograr una visión holística. “Definitivamente, la IA es una espada de doble filo”, resume.

Oportunidades en el mundo de la ciberseguridad

Para Sanchez, la multitud de roles que emanan ya de la figura del CISO manda un mensaje para los vocaciones de los jóvenes ingenieros: “No se trata solo de un papel técnico, la ciberseguridad abre puertas en los consejos administrativos”.

Además, la inteligencia artificial alivia esa brecha de conocimiento técnico para considerar perfiles “muy interesantes” con ese cerebro dual entre lo estratégico y lo técnico. “También con ese talante de comunicación interna”, añade. “El CISO tiene que aumentar la cultura en toda la organización”.

En este sentido, concluye Sanchez, “ya existe una pasarela abierta a un mundo muy interesante a nivel de carrera”.