La confianza en el CISO no es un eslogan: para Chris Wheeler, es el ingrediente que permite que la ciberseguridad se convierta en una decisión de negocio y no solo en un tema técnico. Su camino—de operaciones en la Marina de Estados Unidos a distintos roles de seguridad y, finalmente, como CISO—le dejó una idea central: sin confianza mutua, el liderazgo en seguridad no avanza.
En esta conversación, Wheeler conecta su formación, su experiencia construyendo equipos y su visión sobre riesgos con una realidad cada vez más exigente: redes más complejas, tecnología que evoluciona rápido y la adopción acelerada de inteligencia artificial. Todo ello obliga a los CISOs a pensar como estrategas, a comunicarse mejor y a seleccionar personas que puedan ejecutar con criterios y criterio.
De la Marina al liderazgo de seguridad
Wheeler atribuye a la Marina un papel decisivo en su manera de liderar. Se incorporó en 2010 y permaneció seis años, período que describe como una etapa formativa “tipo academia de pregrado”, seguida por tiempo de entrenamiento tradicional en destructores y, más adelante, ciclos de operaciones de ciberseguridad que la institución en ese momento llamaba “information warfare”.
Uno de los ejercicios que más le marcó fue una prueba en la que debían mantener fuera de sus redes a un equipo rojo asociado a la NSA durante una semana. El rendimiento se medía con métricas concretas: disponibilidad de red, detecciones del equipo rojo y expulsiones, además de la parte de análisis forense digital.
Pero no fue solo tecnología. También fue cultura de liderazgo. Wheeler menciona un principio militar importante: “it’s up or out”. La idea es que, con el tiempo, inevitablemente se termina dirigiendo equipos de personas. En su caso, incluso al salir de la formación inicial, tuvo que liderar una división de quince marineros.
Liderar en el mundo corporativo exige adaptación
El salto al sector comercial trajo una necesidad clara: adaptar lo aprendido. Según Wheeler, en los negocios convergen tres realidades que cambian la forma de diseñar la seguridad: la tecnología avanza a gran velocidad, los entornos de red se vuelven más complejos y el rol del líder de seguridad exige también capacidad de análisis para el negocio.
Además, sostiene que una sola persona no puede ser experta simultáneamente en todo: tecnología, ciberseguridad y procesos del negocio. Por eso refinó su visión del liderazgo. Para él, un líder debe dominar el “trabajo completo” lo suficiente para comprenderlo, pero sobre todo tiene que saber enseñar dónde especializarse y cuándo conviene ejecutar de manera personal o delegar.
En otras palabras: el liderazgo moderno en seguridad no depende únicamente de ser el mejor técnico del equipo, sino de construir un equipo capaz y de convertir el conocimiento en una capacidad compartida.
Por qué la confianza en el CISO es el eje del trabajo
Cuando Wheeler habla de la personalidad necesaria para desempeñar el rol, se centra en un punto: la confianza en el CISO como rasgo decisivo. La confianza, afirma, es bidireccional.
Primero, el CISO debe ganarse la confianza para que los líderes del negocio acepten recomendaciones estratégicas que equilibren ciberseguridad frente a objetivos de maximización del rendimiento. Si la confianza falla, el debate se reduce a resistencias, prioridades desconectadas o simples desacuerdos sobre presupuesto y riesgos.
Segundo, el CISO necesita confianza en sus pares del negocio y en la propia organización, porque el trabajo requiere alineación continua y decisiones informadas.
Pero hay un tercer componente, quizá el más operativo: el CISO debe confiar en el equipo de seguridad que reclutó. Como nadie puede saberlo todo, el CISO debe saber identificar las preguntas adecuadas y a las personas correctas para abordarlas.
Wheeler recalca una condición adicional: el equipo también tiene que confiar en el CISO. En la práctica, esa reciprocidad afecta al tipo de decisiones que se toman bajo presión, a cómo se reportan incidentes y a la forma de sostener la calidad con el tiempo.
Contratar para el futuro: más que credenciales técnicas
Si el núcleo es la confianza, la contratación y la construcción de equipos pasan al centro. Wheeler señala un cambio relevante: hoy la experticia técnica clásica ya no es el único factor que determina el valor de una persona.
En la era de la IA generativa—explica—la automatización se vuelve más accesible. La analogía es clara: así como ya no se requiere ser programador entrenado para escribir código, tampoco siempre se necesita ser ingeniero de seguridad con todas las credenciales tradicionales para participar en operaciones de seguridad.
Entonces, ¿qué se busca? Personas con mentalidad orientada al futuro, capaces de incorporar la IA en su trabajo diario. Esto no elimina la necesidad técnica, pero desplaza el foco hacia la capacidad de aprender, adaptar y usar herramientas con criterio.
Además, las habilidades sociales y la inteligencia emocional ganan importancia. Wheeler entiende que un equipo coherente, con confianza entre sus miembros y con confianza hacia el líder, no se construye solo con competencias técnicas. Se construye con dinámicas sanas, colaboración real y seguridad psicológica.
Señales en el camino: mentoría, riesgo y aprendizaje
Wheeler compara la carrera con un viaje en el que ayudan los “carteles” en el camino. Para él, esos carteles suelen ser mentores y el consejo llega en dos formas: una dimensión filosófica y otra práctica.
Consejo filosófico: matemáticas del oficio y cuantificación del riesgo
Entre los aprendizajes filosóficos, destaca una idea: no puedes ser experto si no dominas la matemática de tu profesión. En su interpretación, no es únicamente entender la estructura subyacente de TI, sino los principios que influyen en la seguridad.
También subraya que todos los CISOs pueden mejorar en cuantificación del riesgo. No se trata de ser perfectos, sino de estimar probabilidades de forma razonable, describir la incertidumbre y—cada vez más—traducir esos elementos a términos financieros.
Ese enfoque conecta con una expectativa que crece alrededor del rol: el CISO debe funcionar también como analista de negocio. Su trabajo no es impedir todos los incidentes (algo imposible), sino limitar el impacto sobre lo que importa y asegurar la continuidad del negocio.
Consejo práctico: un laboratorio en casa
En lo práctico, Wheeler recomienda construir un laboratorio personal. No tiene por qué ser hardware especializado: puede adoptar muchas formas según el contexto. El propósito es mantener una curiosidad activa y experimentar con tecnología y procesos relacionados con lo que se debe proteger.
Además, menciona que las herramientas basadas en IA generativa permiten explorar, simular y probar ideas más allá del equipamiento físico. En su visión, esto ayuda a entender la seguridad de manera aplicada, no solo teórica.
Navegar el riesgo sin caer en el perfeccionismo
Wheeler advierte sobre un riesgo cultural: el “complejo del perfeccionista” en seguridad. Puede aparecer incluso con buenas intenciones, y terminar influyendo en cómo se interactúa con empleados y socios del negocio.
Para él, los CISOs que operan desde absolutos como “perfección” suelen tener dificultades para tomar decisiones de riesgo. La razón es simple: tomar decisiones con datos cuantitativos y con información financiera exige aceptar límites y operar con estimaciones, no con promesas absolutas.
En lugar de dar directrices técnicas cerradas, suele orientar a su equipo hacia un principio humano: actuar como socios empáticos de las personas con las que trabajan, buscando equilibrio personal y profesional. Así, se refuerza la capacidad de construir relaciones, escuchar, negociar cuando sea necesario y decidir con información.
IA y seguridad: avanzar rápido con guardrails
Wheeler mira con preocupación la evolución de la IA “agentic”, aunque su foco no se limita a amenazas de actores maliciosos. Su preocupación principal es mantener el ritmo de adopción de forma segura y resiliente.
Observa dos fuerzas que aceleran la adopción: desde arriba, crece la demanda de tableros directivos e inversionistas; desde abajo, la empujan desarrolladores y usuarios avanzados. Esa mezcla puede generar iniciativas rápidas, a veces sin suficiente control o sin una estrategia común.
En respuesta, su equipo impulsa una iniciativa de habilitación segura. Allí se aplican principios que ya mencionó: escuchar a las personas, construir confianza, experimentar de manera controlada y definir límites basados en riesgo.
Wheeler añade una idea de arquitectura: aunque aparezcan categorías nuevas de controles, muchas se apoyan en una arquitectura de confianza cero. Por esa razón, aumentan inversiones en gestión de identidades y accesos, inventario y clasificación de datos, y automatización a nivel transversal.
Conclusión: confianza, matemáticas y empatía como fórmula
La historia de Chris Wheeler muestra que la seguridad efectiva no se sostiene únicamente en herramientas. Para que funcione, hace falta una base firme de confianza en el CISO, tanto desde el negocio hacia seguridad como en sentido inverso: del CISO hacia su equipo y viceversa.
Además, su enfoque une tecnología con principios de seguridad, cuantificación del riesgo traducida al lenguaje del negocio y una dosis de empatía para construir relaciones duraderas. En un entorno donde la IA y la complejidad crecen, su mensaje es claro: la resiliencia se diseña con personas, procesos y decisiones informadas, no con promesas de perfección.
