Marcos Polanco. Director Ejecutivo de Gobierno Corporativo y CISO de Scitum TELMEX

Me importa un carajo la ciberseguridad… ¿en serio?

Redacción de ITSitio 1 de diciembre de 2025

4 minutos de lectura

Por: Marcos Polanco. Director Ejecutivo de Gobierno Corporativo y CISO de Scitum TELMEX.

En ciberseguridad, como en la vida, los problemas nunca desaparecen, solo cambian de forma. Los ataques evolucionan, las tecnologías caducan, y los equipos aprenden —a veces a golpes— que la seguridad perfecta no existe. Pretender eliminar todos los riesgos es tan inútil como pretender eliminar todas las preocupaciones de la vida.

Hace algún tiempo leí “El sutil arte de que te importe un carajo”, de Mark Manson, y me sorprendió descubrir cuántos de sus mensajes podían aplicarse al mundo de la ciberseguridad. Su premisa central —que no se trata de eliminar los problemas, sino de elegir sabiamente cuáles valen nuestra energía— encaja perfectamente con la realidad de quienes trabajamos en la protección digital.

El secreto, como diría Manson, no está en vivir sin problemas, sino en elegir mejores problemas. Si trasladamos esa idea al terreno de la ciberseguridad, descubrimos que proteger una organización no consiste en blindarla de todo —porque eso es imposible—, sino en desarrollar la madurez necesaria para gestionar la incertidumbre (riesgos) con inteligencia y propósito.

Idea 1. La ciberseguridad no es un proyecto: es un viaje permanente

En la vida, como en la ciberseguridad, no existe el punto final. No hay un “ya estamos seguros” que dure más que unos instantes, la seguridad no se alcanza, se practica día a día, en cada actividad.

Algunos directivos aún ven la ciberseguridad como un proyecto con fecha de entrega, un software que se instala, una auditoría que se aprueba o una certificación que se obtiene. Pero la realidad es mucho más compleja: la ciberseguridad es un proceso de maduración continua, un esfuerzo que evoluciona con las personas, tecnologías y procesos.

Cada control implementado es solo un paso; cada incidente, una oportunidad para aprender. Las organizaciones verdaderamente seguras no son las que nunca sufren ataques, sino las que aprenden y se adaptan rápidamente abordando enfoques preventivos y reactivos.

Idea 2. Elegir qué batallas pelear

Intentar protegerlo todo es tan absurdo como intentar caerle bien a todos. Hay que elegir dónde poner la energía.

En lugar de vivir obsesionados por cubrir cada riesgo imaginable, las organizaciones maduras entienden que no todos los problemas merecen el mismo nivel de atención. La clave está en priorizar los riesgos que realmente pueden comprometer los objetivos estratégicos del negocio.

Un CISO con visión empresarial y conocimiento del negocio, sabe decir “no” a lo que no genera valor, y eso también es liderazgo. Porque en ciberseguridad —igual que en la vida— el miedo es mal consejero y la dispersión es enemiga del progreso. El arte está en enfocarse en lo esencial: proteger los activos críticos, garantizar la continuidad y preservar la confianza.

Al final, “importarte un carajo” no significa ser indiferente; significa reservar tu preocupación para lo que de verdad importa.

Idea 3. La responsabilidad de los altos directivos

En ciberseguridad, la responsabilidad no empieza cuando ocurre un incidente, sino mucho antes.

No se trata de buscar culpables, sino de reconocer que la seguridad es un asunto de negocio, no solo de tecnología.

Antes del incidente (enfoque proactivo): la alta dirección debe impulsar una cultura de seguridad, asignar recursos suficientes y asegurarse de que el riesgo digital esté integrado en la estrategia corporativa. No basta con aprobar presupuestos: hay que entender el porqué y el para qué de cada decisión y supervisar diligentemente.

Durante y después el incidente (enfoque reactivo): la responsabilidad se manifiesta en la serenidad con la que se gestiona la crisis, la calidad de la comunicación y el respaldo al equipo técnico. En medio del caos, el liderazgo debe ser el ancla de la organización. Asumir responsabilidad implica aprender del evento, reforzar los controles y comunicar con transparencia. Enfrentar los hechos con honestidad y madurez es una fortaleza, no una debilidad.

La responsabilidad digital no se firma en un acta de comité, sino que se ejerce en cada decisión. Los altos directivos no necesitan saber configurar un dispositivo de seguridad, pero sí deben comprender que la ciberseguridad es parte de sus responsabilidades, tan relevante como otras (finanzas, laboral, fiscal, reputacional, etc.).

Idea 4. La satisfacción de resolver problemas significativos

Manson afirma que la felicidad surge de resolver problemas significativos. En ciberseguridad, eso se traduce en encontrar satisfacción en lo invisible: las brechas que no ocurrieron, los ataques contenidos a tiempo, los aprendizajes que evitan una crisis futura.

El trabajo de un equipo de seguridad rara vez tiene glamour. Si todo sale bien, nadie se da cuenta. Pero ahí reside su valor: en mantener la operación, la confianza y la reputación sin necesidad de reflectores. Es decir, generar y preservar valor para la organización, resolver problemas reales —no solo cumplir indicadores o checklists—.

Idea 5. La humildad como escudo

Una de las ideas más poderosas de Manson es aceptar que no somos especiales. En ciberseguridad, esto se traduce en una realidad muy clara: a todos nos puede pasar.

Las organizaciones que creen que están fuera del radar son las más vulnerables. La soberbia digital es el enemigo silencioso de la resiliencia. Aceptar la posibilidad del fallo no es pesimismo, es madurez.

La humildad digital implica probar, auditar, aprender, compartir, colaborar con otros sectores, participar en ejercicios de simulación, reconocer las propias limitaciones y construir una cultura que premie la mejora, no la negación. La arrogancia no solo es mala consejera; es una vulnerabilidad más.

En conclusión, podemos decir que, el “sutil arte” de la ciberseguridad consiste en aprender a que te importe lo suficiente como para actuar, pero no tanto como para paralizarte. No se trata de vivir con miedo, sino de vivir con conciencia.

La seguridad digital no es un escudo absoluto ni una lista de pendientes eternos. Es una práctica de responsabilidad, foco, estrategia y propósito. Cuando las organizaciones entienden eso, dejan de ver la ciberseguridad como un gasto o una obligación… y empiezan a verla como lo que realmente es: una forma de hacer negocios, una forma de liderazgo.

Quizás el reto no es que nos importe más la ciberseguridad…sino que nos importe mejor.