Por Ing. Juan Esteban Suaterna Cabrera

Durante años, el sector de la seguridad aceptó un papel que nunca debió conformarse con ocupar: el de función de soporte. Una función necesaria, sí, pero subordinada; operativamente relevante, pero estratégicamente subestimada. Nos acostumbramos a que la seguridad apareciera cuando algo fallaba, cuando había que contener una pérdida, explicar un incidente o responder una crisis. Y, en esa lógica, terminamos dejando intacta una idea profundamente limitada: que la seguridad existe para reaccionar.

Creo que ese paradigma ya no es sostenible.

No lo es porque el entorno empresarial cambió. No lo es porque los riesgos de hoy son más interdependientes, más dinámicos y más difíciles de leer con categorías tradicionales. Pero, sobre todo, no lo es porque las organizaciones ya no compiten únicamente por eficiencia o crecimiento: compiten por su capacidad de sostener la operación, absorber incertidumbre, anticipar disrupciones y ejecutar su estrategia en medio de escenarios cada vez más complejos.

En ese contexto, seguir entendiendo la seguridad como una función periférica es un error de diseño.

Mi convicción, construida desde la práctica multisectorial y desde la observación de cómo operan entornos de alta exigencia, es que la seguridad debe dejar de pensarse como un sistema de contención y empezar a asumirse como una capacidad de articulación empresarial. Una capacidad que no se limita a proteger activos, sino que protege algo mucho más importante: la posibilidad real de que el negocio avance con estabilidad, criterio y resiliencia.

Ese es el centro de la conversación que, a mi juicio, todavía muchas organizaciones no han dado con suficiente profundidad.

Porque el problema nunca ha sido la falta de controles. Tampoco la ausencia de tecnología. El problema ha sido la desconexión. Durante demasiado tiempo, el riesgo se ha administrado por un lado, los controles se han implementado por otro y la estrategia del negocio ha seguido su curso en un plano distinto. El resultado es una seguridad que trabaja, pero no siempre impacta; que actúa, pero no siempre influye; que consume recursos, pero no siempre logra demostrar cómo fortalece la continuidad, la eficiencia o la capacidad de decisión.

Y cuando una función no logra explicar su contribución en el lenguaje del negocio, queda atrapada en el terreno más frágil de la organización: el de los costos que siempre deben justificarse.

Por eso he insistido en que la evolución de la seguridad no pasa por hacer más de lo mismo con mejores herramientas. Pasa por redefinir su arquitectura. Pasa por conectarla con el riesgo como línea base, con los controles como capacidades de tratamiento y con los objetivos estratégicos como propósito superior. En otras palabras, pasa por devolverle a la seguridad un lugar dentro de la lógica de creación y preservación de valor.

Esa es precisamente la tesis que hemos venido estructurando a través del Óberon Security Intelligence Framework (OSIF): la seguridad solo alcanza verdadera madurez cuando logra integrar de manera trazable el riesgo que amenaza al negocio, el control que lo trata y el objetivo estratégico que debe proteger o habilitar.

Dicho así, puede sonar evidente. En la práctica, cambia por completo la naturaleza de la función.

Porque cuando esa integración existe, la seguridad deja de ser una capa adicional y se convierte en parte del modelo de gestión. Los controles dejan de implementarse por inercia o reacción y empiezan a responder a una lógica de negocio. La tecnología deja de ser un inventario sofisticado y empieza a operar como habilitador de visibilidad, anticipación y decisión. La conversación ejecutiva deja de concentrarse en cuánto cuesta proteger y empieza a preguntarse qué tan bien está preparada la organización para sostener su estrategia frente a la incertidumbre.

Y esa pregunta es mucho más poderosa.

He visto compañías invertir de forma importante en crecimiento, transformación y modernización, mientras todavía administran la seguridad con modelos heredados de una lógica reactiva. También he visto cómo esa desconexión termina generando pérdidas silenciosas: operaciones inestables, decisiones incompletas, riesgos mal priorizados, tecnologías subutilizadas y una baja capacidad de traducir la seguridad en resultados tangibles para el negocio.

Por eso insisto en algo que puede parecer incómodo, pero que considero necesario decir con claridad: la seguridad no ha estado marginada únicamente por una falta de reconocimiento externo; también ha estado limitada por su propia dificultad para elevar el nivel de la conversación. Durante demasiado tiempo, el sector se ha visto a sí mismo más como ejecutor que como arquitecto; más como operador que como articulador; más como custodio que como habilitador.

Ese ciclo debe romperse.

Y debe romperse porque la empresa contemporánea necesita una seguridad distinta: más integrada, más analítica, más conectada con la estrategia, más capaz de demostrar impacto sobre continuidad, eficiencia y resiliencia. Una seguridad que no espere a que el negocio la convoque cuando las cosas salen mal, sino que participe desde el inicio en la construcción de condiciones para que las cosas salgan bien.

En esa evolución, la tecnología tiene un papel determinante, pero no autónomo.

Videoanalítica, sensorización, modelos predictivos, plataformas de business intelligence y capacidades de correlación avanzada pueden transformar radicalmente el valor de la función. Pero solo cuando están insertas en una arquitectura coherente de riesgo y decisión. De lo contrario, la empresa se moderniza en apariencia, pero no necesariamente en inteligencia.

Por eso la madurez importa tanto. Y por eso medirla deja de ser un ejercicio decorativo para convertirse en una herramienta de transformación. A través del Óberon Security Maturity Index (OSMI) hemos buscado justamente hacer visible ese recorrido: el paso de una seguridad reactiva a una seguridad proactiva, de una seguridad operativa a una seguridad estratégica, de una seguridad que responde a eventos a una seguridad que construye capacidad organizacional.

Esa, en el fondo, es la discusión que vale la pena dar.

No si la seguridad es importante —eso ya nadie lo discute seriamente— sino qué tipo de seguridad necesita hoy una organización que quiera competir mejor, decidir mejor y resistir mejor.

Mi respuesta es clara: necesita una seguridad capaz de hablar el lenguaje del negocio sin perder rigor técnico; capaz de integrar control, riesgo, tecnología y estrategia en una sola lógica de valor; capaz de demostrar que no solo protege lo que la empresa tiene, sino que fortalece lo que la empresa quiere llegar a ser.

La seguridad que viene no será la que tenga más dispositivos. Ni la que produzca más reportes. Ni siquiera la que responda más rápido, aunque eso seguirá siendo importante.

La seguridad que viene será la que entienda mejor el negocio.

Y, precisamente por eso, será la que más valor sea capaz de proteger y habilitar.