El rol del Chief Information Security Officer (CISO) nunca había estado tan expuesto. El último informe anual Voice of the CISO 2025 de Proofpoint revela un panorama inquietante: el 76 % de los responsables de ciberseguridad a nivel global prevé sufrir un ciberataque material en los próximos 12 meses, mientras crece la adopción de inteligencia artificial generativa (GenAI) y se intensifica el agotamiento profesional en el sector.
Publicado el 26 de agosto de 2025, el estudio encuestó a 1.600 CISOs en 16 países, analizando prioridades, percepciones y presiones de un colectivo que se enfrenta a un entorno cada vez más hostil. Las conclusiones son claras: el riesgo humano sigue siendo la principal vulnerabilidad, la IA es tanto aliada como amenaza, y la desconexión entre los CISOs y las juntas directivas amenaza con agravar la crisis de confianza en la ciberseguridad corporativa.
El miedo al próximo gran ataque
Uno de los datos más llamativos es que tres de cada cuatro CISOs (76 %) reconocen que sus organizaciones están en riesgo de sufrir un ciberataque grave en el próximo año. La cifra es aún más preocupante cuando se contrasta con el hecho de que el 58 % admite no sentirse preparado para responder eficazmente.
En 2024, la percepción de riesgo era del 70 %. El incremento refleja no solo la intensificación de los ataques, sino también la complejidad de los mismos: ransomware, fraude por correo electrónico, amenazas internas y secuestro de cuentas en la nube conforman un escenario fragmentado pero igualmente dañino.
La consecuencia es casi siempre la misma: pérdida de datos. Según el informe, dos tercios de los CISOs sufrieron pérdidas materiales de información en el último año, frente al 46 % en 2024.
El dilema del rescate: pagar o no pagar
En un contexto en el que los datos se han convertido en el activo más valioso, no sorprende que el 66 % de los CISOs afirme que estaría dispuesto a pagar un rescate para restaurar sistemas o evitar filtraciones. La tendencia varía por regiones: en Canadá y México la cifra asciende hasta el 84 %.
Este dato abre un debate ético y estratégico. Mientras las autoridades y expertos en seguridad desaconsejan abiertamente el pago, la presión por evitar el colapso de operaciones o la exposición de información sensible está llevando a muchas empresas a considerar esta opción como “mal menor”.
El factor humano: el eslabón más débil
El informe insiste en una realidad que se repite año tras año: las personas son la principal vulnerabilidad. El 66 % de los CISOs lo confirma, pese a que el 68 % cree que los empleados comprenden las buenas prácticas de seguridad.
La contradicción es evidente: el conocimiento no siempre se traduce en comportamiento seguro. La rotación de personal agrava el problema: el 92 % de las pérdidas de datos en 2025 se atribuyó, al menos en parte, a empleados que abandonaban la organización, frente al 73 % en 2024.
Aunque la mayoría de empresas ya utiliza herramientas de prevención de pérdida de datos (DLP), un tercio de los CISOs admite que sus sistemas siguen siendo insuficientes.
IA generativa: ¿oportunidad o riesgo?
La irrupción de la IA generativa es el gran tema transversal del informe. Para un 64 % de los CISOs, habilitar el uso de herramientas GenAI de forma segura es una prioridad estratégica en los próximos dos años. Sin embargo, el entusiasmo se enfría: en 2024, la cifra ascendía al 87 %.
Las preocupaciones son evidentes: tres de cada cinco CISOs temen fugas de datos de clientes a través de plataformas públicas de GenAI. El 80 % de los CISOs en EE. UU. lo ven como un riesgo crítico.
La respuesta no ha sido prohibir, sino gobernar. El 67 % de las organizaciones ya ha implementado guías de uso, y el 68 % explora defensas basadas en IA. Aun así, más de la mitad (59 %) sigue restringiendo el uso de estas herramientas a sus empleados.
El doble filo de la IA es evidente: acelera la innovación y la productividad, pero al mismo tiempo amplifica los riesgos humanos y expone a las empresas a nuevas formas de ataques.
La presión del cargo: burnout y falta de apoyo
El cargo de CISO es cada vez más estratégico, pero también más insostenible. El informe muestra que:
- 66 % de los CISOs afirma estar sometido a expectativas excesivas.
- 63 % reconoce haber sufrido o presenciado burnout en el último año.
- Aunque el 65 % asegura que sus organizaciones han tomado medidas para protegerlos de responsabilidades personales, un tercio considera que carece de los recursos suficientes para cumplir con sus objetivos de seguridad.
El desalineamiento con la alta dirección es otro problema: la percepción de apoyo de los consejos de administración cayó del 84 % en 2024 al 64 % en 2025. Eso sí, la preocupación por el impacto en la valoración de la empresa tras un ataque ha escalado hasta el primer puesto en la agenda de los consejos, lo que podría abrir la puerta a una mayor inversión en ciberseguridad.
Una profesión en la encrucijada
El CISO de hoy no solo debe enfrentarse a los atacantes, sino también a un tablero cada vez más complejo donde confluyen:
- Innovación tecnológica (IA, nube, entornos híbridos).
- Factores humanos (errores, rotación, cultura de seguridad).
- Presiones regulatorias y legales (cumplimiento, responsabilidad personal).
- Expectativas del negocio (minimizar costes y maximizar resiliencia).
En palabras de Patrick Joyce, CISO residente global de Proofpoint:
“Los líderes de seguridad expresan optimismo sobre la postura de ciberseguridad de sus organizaciones, pero la realidad cuenta otra historia: pérdida de datos creciente, brechas de preparación y un riesgo humano persistente”.
El futuro inmediato
Todo apunta a que 2026 será un año decisivo. Con la consolidación de la IA generativa, la escalada de ciberamenazas y la presión regulatoria en aumento, el rol del CISO se afianza como pieza clave en la estrategia empresarial.
El desafío estará en equilibrar innovación y protección, atraer y retener talento en equipos de seguridad cada vez más exigidos y mantener la confianza en un contexto de desinformación y riesgos crecientes.
Preguntas frecuentes (FAQ)
1. ¿Qué es un CISO y cuál es su papel en la empresa?
El Chief Information Security Officer (CISO) es el responsable de la estrategia de ciberseguridad en una organización. Su función abarca desde la prevención de ataques hasta la gestión de incidentes, pasando por el cumplimiento normativo y la concienciación de los empleados.
2. ¿Por qué la IA generativa supone un riesgo para la ciberseguridad?
La IA generativa puede facilitar tareas productivas, pero también aumenta el riesgo de fugas de datos cuando los empleados utilizan plataformas públicas. Además, los ciberdelincuentes ya la emplean para crear phishing más convincente o desarrollar malware avanzado.
3. ¿Qué porcentaje de CISOs estaría dispuesto a pagar un rescate tras un ciberataque?
Según el informe de Proofpoint, un 66 % de los CISOs lo consideraría. En regiones como Canadá y México, la cifra alcanza el 84 %.
4. ¿Qué medidas pueden tomar las empresas para reducir el riesgo humano en ciberseguridad?
Las claves incluyen reforzar la formación práctica (más allá de la concienciación teórica), implementar soluciones de prevención de pérdida de datos (DLP), establecer políticas claras de uso de la IA y contar con equipos especializados en riesgos internos.
vía: proofpoint
