{"id":193427,"date":"2026-02-25T19:38:01","date_gmt":"2026-02-25T22:38:01","guid":{"rendered":"https:\/\/www.itsitio.com\/mx\/?p=193427"},"modified":"2026-02-27T10:30:18","modified_gmt":"2026-02-27T13:30:18","slug":"ciberseguridad-como-sistema-sociotecnico-un-enfoque-mas-alla-de-la-tecnologia","status":"publish","type":"post","link":"https:\/\/www.itsitio.com\/mx\/columna-de-opinion\/ciberseguridad-como-sistema-sociotecnico-un-enfoque-mas-alla-de-la-tecnologia\/","title":{"rendered":"Ciberseguridad como sistema sociot\u00e9cnico: un enfoque m\u00e1s all\u00e1 de la tecnolog\u00eda"},"content":{"rendered":"

Por: Marcos Polanco. Director Ejecutivo de Gobierno Corporativo y CISO de Scitum TELMEX.<\/i><\/strong><\/p>\n

En muchas organizaciones, la ciberseguridad no falla por falta de controles, sino por c\u00f3mo est\u00e1 dise\u00f1ado el sistema en el que realmente operan las personas, los procesos, la tecnolog\u00eda, la infraestructura y la cultura. Adoptar un enfoque sociot\u00e9cnico reduce la fricci\u00f3n operativa, acelera la toma de decisiones y aumenta la resiliencia. Para el liderazgo (CISO, CTO, CIO y \u00e1reas de negocio), el reto no es comprar m\u00e1s, sino orquestar mejor, menos ruido y m\u00e1s decisiones con contexto.<\/i><\/p>\n

Durante a\u00f1os hemos respondido a un entorno cada vez m\u00e1s complejo, reforzando, sobre todo, la dimensi\u00f3n tecnol\u00f3gica. Y s\u00ed, sin herramientas, controles y automatizaci\u00f3n no hay ciberseguridad. El problema aparece cuando implementamos la tecnolog\u00eda como si, por s\u00ed sola, resolviera desaf\u00edos organizacionales, operativos y humanos. Entonces la seguridad se convierte en una fricci\u00f3n: m\u00e1s complejidad, m\u00e1s puntos de falla y mayor distancia entre lo dise\u00f1ado y lo que realmente ocurre en la operaci\u00f3n diaria.<\/p>\n

Debemos cambiar nuestra pregunta de \u201c\u00bfqu\u00e9 herramienta nos falta?\u201d, a \u201c\u00bfc\u00f3mo debe operar el sistema completo para decidir mejor bajo presi\u00f3n?\u201d. Ese giro implica pensar la ciberseguridad como un sistema sociot\u00e9cnico, no como una colecci\u00f3n de soluciones tecnol\u00f3gicas.<\/p>\n

Cinco dimensiones, una sola orquestaci\u00f3n<\/b><\/span><\/b><\/h2>\n

Un sistema sociot\u00e9cnico integra elementos sociales y t\u00e9cnicos interdependientes; su desempe\u00f1o depende de la optimizaci\u00f3n conjunta del sistema y, especialmente, la calidad de las interacciones entre sus partes. Mejorar una pieza sin ajustar las dem\u00e1s suele trasladar el problema. En ciberseguridad, esa interdependencia es constante y cotidiana.<\/p>\n

En la pr\u00e1ctica, la seguridad emerge de c\u00f3mo interact\u00faan cinco dimensiones: personas (criterio, experiencia, sesgos y l\u00edmites; tomando decisiones con presi\u00f3n e informaci\u00f3n incompleta); procesos (priorizaci\u00f3n, escalamiento y respuesta ante incidentes); tecnolog\u00eda (detecci\u00f3n, visibilidad y automatizaci\u00f3n, cuyo valor depende de su integraci\u00f3n y uso); infraestructura (redes, dispositivos, oficinas, accesos, turnos y restricciones de operaci\u00f3n); y cultura (valores, supuestos compartidos, incentivos, h\u00e1bitos e interacciones y normas impl\u00edcitas que condicionan lo que se hace, m\u00e1s all\u00e1 de lo que dictan las pol\u00edticas).<\/p>\n

Estas dimensiones no pueden analizarse de manera aislada sin perder la visi\u00f3n sist\u00e9mica. A veces falta una herramienta, pero, m\u00e1s a menudo, lo que falla es la orquestaci\u00f3n: roles ambiguos, procesos que no encajan con la operaci\u00f3n, eventos sin contexto y fricci\u00f3n entre \u00e1reas.<\/p>\n

Dise\u00f1ar para la realidad humana<\/b><\/span><\/b><\/h2>\n

Es frecuente escuchar que \u201clas personas son el eslab\u00f3n d\u00e9bil\u201d. Phishing, errores de configuraci\u00f3n o decisiones equivocadas ocurren, pero culpar al individuo oculta el dise\u00f1o del sistema. Muchos entornos est\u00e1n dise\u00f1ados esperando humanos perfectos: atenci\u00f3n permanente, decisiones complejas y cumplimiento estricto en condiciones cambiantes.<\/p>\n

El enfoque sociot\u00e9cnico asume la realidad humana y dise\u00f1a para ella. Implica reducir carga cognitiva con automatizaci\u00f3n bien pensada, clarificar autoridad y responsabilidades, priorizar lo relevante sobre el ruido y fortalecer el criterio \u2014no solo el cumplimiento\u2014. Cuando el sistema acompa\u00f1a, las personas mejoran; cuando el sistema castiga buscan como evitarlo.<\/p>\n

Procesos que coordinan la acci\u00f3n bajo incertidumbre<\/b><\/span><\/b><\/h2>\n

Desde esta perspectiva, los procesos no existen para \u201ccumplir\u201d ni para producir evidencia, sino para coordinar la acci\u00f3n bajo escenarios llenos de incertidumbre. Deben ser comprensibles, ejecutables y evolutivos; retroalimentados por la experiencia \u2014incluidos los an\u00e1lisis postmortem\u2014 y por auditor\u00edas.<\/p>\n

Un proceso \u00fatil da estructura sin rigidez y acelera las decisiones en lugar de burocratizarlas. Su funci\u00f3n es reducir ambig\u00fcedad, clarificar escalamiento y facilitar traspasos fluidos entre equipos.<\/p>\n

Tecnolog\u00eda como habilitador<\/b><\/span><\/b><\/h2>\n

La tecnolog\u00eda no pierde relevancia: cambia de papel. Debemos cambiar nuestra pregunta com\u00fan de \u201c\u00bfqu\u00e9 tecnolog\u00eda compramos?\u201d a \u201c\u00bfqu\u00e9 fricci\u00f3n queremos eliminar?\u201d. La tecnolog\u00eda valiosa convierte datos en decisiones, integra contexto, reduce alertas irrelevantes y automatiza lo repetitivo liberando capacidad humana para ponerla donde m\u00e1s valor aporta.<\/p>\n

Cuando la tecnolog\u00eda se eval\u00faa por su contribuci\u00f3n al flujo de decisi\u00f3n \u2014y no por el volumen de alertas o la lista de controles\u2014, disminuye el ruido operativo y aumenta la calidad de las respuestas.<\/p>\n

El liderazgo que crea resiliencia<\/b><\/span><\/b><\/h2>\n

Este cambio redefine el liderazgo. En un modelo sociot\u00e9cnico, el CISO, CTO y CIO no solo seleccionan herramientas o administran controles, dise\u00f1an el sistema de respuesta. Orquestar interdependencias significa producir decisiones de calidad bajo presi\u00f3n, tolerar el error sin normalizarlo (y aprender de \u00e9l), equilibrar automatizaci\u00f3n y juicio humano, alinear incentivos operativos con objetivos de seguridad y reducir la fricci\u00f3n organizacional que degrada los tiempos de contenci\u00f3n.<\/p>\n

La medida del \u00e9xito tambi\u00e9n cambia. Adem\u00e1s de m\u00e9tricas t\u00e9cnicas, importan indicadores sist\u00e9micos: latencia de decisi\u00f3n (tiempo entre detectar y actuar), claridad de escalamiento, calidad de los traspasos entre equipos y aprendizaje incorporado despu\u00e9s de incidentes. En s\u00edntesis: menor ruido, mejores decisiones con contexto.<\/p>\n

Para los ejecutivos de negocio, la implicaci\u00f3n es directa: la ciberseguridad se vuelve una disciplina de dise\u00f1o organizacional aplicada a la resiliencia. El objetivo no es \u201cm\u00e1s seguridad\u201d como fin, sino reducir tiempo de decisi\u00f3n, contener el impacto y recuperar sin paralizar la operaci\u00f3n.<\/p>\n

Si el an\u00e1lisis de riesgos rumbo a 2026 deja algo claro es que no estamos ante una carencia de controles o conocimiento tecnol\u00f3gico, sino ante un problema de enfoque. Ver la ciberseguridad como sistema sociot\u00e9cnico es una respuesta pr\u00e1ctica a un contexto donde la complejidad ya supera a los enfoques puramente t\u00e9cnicos.<\/p>\n

Tres preguntas para el comit\u00e9 directivo:<\/p>\n

    \n
  1. \u00bfD\u00f3nde se toman decisiones cr\u00edticas bajo presi\u00f3n y qui\u00e9n tiene autoridad real?<\/li>\n
  2. \u00bfQu\u00e9 fricci\u00f3n degrada la respuesta (ruido, silos, aprobaciones, incentivos)?<\/li>\n
  3. \u00bfQu\u00e9 parte del dise\u00f1o asume \u2018humanos perfectos\u2019 y castiga el error en lugar de aprender?<\/li>\n<\/ol>\n

    Bien entendido, este enfoque no reemplaza la tecnolog\u00eda: la ubica en su lugar correcto; no sustituye a las personas: potencia su impacto; no elimina procesos: los hace ejecutables. Y, sobre todo, ofrece un camino m\u00e1s realista y sostenible para responder, adaptarse y aprender en un entorno donde los riesgos siguen evolucionando.<\/p>\n

    Lee m\u00e1s:\u00a0<\/span><\/h3>\n
    \n
    \n