Catorce líneas en una diapositiva. Licencias, renovaciones, una prueba de penetración, dos contrataciones, formación en concienciación, una actualización del SIEM.
Su CFO la mira durante aproximadamente once segundos.
"¿Cuáles tres eliminaría?"
Usted no tiene respuesta. Entonces los elige él.
Y acaba de decirles algo peor que cualquier cifra de esa diapositiva. Les ha dicho que no tiene un orden de prioridades. Ahora ellos tienen uno, construido a partir de las palabras que parecían menos esenciales a alguien que no trabaja en seguridad.
Su CFO no está recortando su presupuesto. Está recortando las líneas que no puede clasificar.
Un CFO firmará doscientos mil que entiende antes de firmar cuarenta mil que no entiende. Eso no es hostilidad. Es la descripción del puesto.
Qué son las cinco líneas
No son categorías de gasto. Son categorías de decisión.
- Run: lo que ya pagamos
- Comply: lo que prometimos por escrito
- Reduce: las exposiciones que estamos reduciendo este año
- Capacity: personas, días, formación
- The bad day: lo que necesitamos cuando algo sale mal
Cuatro de esas líneas no son realmente negociables, y decirlo desde el principio es exactamente el objetivo. Deja una sola línea para debatir, que es una reunión que se puede ganar.
Aquí va cada una, y lo que la destruye.
1. Run: lo que ya se paga
Licencias, renovaciones, el servicio gestionado, la factura de logging, el mantenimiento de certificados.
Esto no es una propuesta. Es una renovación. Decirlo en los primeros treinta segundos elimina casi toda la discusión antes de que empiece, porque nadie debate la factura de la luz.
Consejo: Todo presupuesto de seguridad tiene una línea que nadie sabe explicar, normalmente una herramienta comprada por alguien que ya no está. Encuéntrela antes de que lo haga su CFO. Llegar a la reunión habiendo ya eliminado algo es la credibilidad más barata que jamás comprará, y cambia cómo se lee el resto de la página.
2. Comply: lo que se prometió por escrito
Lo que se comprometió contractualmente y lo que exige la ley. El certificado. NIS 2. DORA. La cláusula de seguridad del contrato con su cliente más grande.
Recortar aquí rompe algo que tiene un nombre concreto, y finanzas lee la exposición contractual mucho mejor de lo que lee la exposición técnica.
Consejo: Nómbrelo. «Requisito regulatorio» es invisible. «Cláusula 8.3 del contrato con nuestro cliente más grande, que se renueva en marzo» no lo es. Uno es una categoría. El otro es un número que su CFO ya puede visualizar.
3. Reduce: la única línea que merece debate
Las dos o tres exposiciones que se están reduciendo este año, con una cifra asignada a cada una.
Esta es la única línea genuinamente discrecional de la página. Lo que significa que aquí es donde debe ocurrir la conversación, y en ningún otro lugar. Si ha estructurado correctamente las otras cuatro, toda la reunión colapsa sobre esta línea por diseño.
Los números provienen de su registro de riesgos. No de su cabeza ni de un deck de un proveedor. Si su registro es una lista de controles ausentes en lugar de escenarios con consecuencias asociadas, no tiene nada que poner aquí.
Consejo: Pruebe cada entrada iniciando la frase con «el riesgo de que». Si sigue teniendo sentido, pertenece a la línea tres. «Sin MFA» no supera esa prueba. Es una brecha, no una exposición, y no sobrevivirá a un CFO que pregunte cuánto le cuesta.
4. Capacity: el primer recorte y el más caro
Personas. Días externos. Formación.
El primer recorte y el más difícil de defender, porque el coste de no tenerlo se manifiesta como lentitud y no como avería. Nadie redacta jamás un informe de incidente sobre un equipo que era demasiado reducido para abordar el trabajo.
Consejo: Vincule la capacidad a algo que tenga una fecha. «Doscientos días de soporte externo» muere en la sala. «Soporte externo suficiente para cerrar el programa de auditoría interna antes de la visita de seguimiento» sobrevive, porque ahora está protegiendo un resultado que su CFO ya sabe que existe.
5. The Bad Day: la línea que finanzas entiende mejor
Retainer de respuesta a incidentes. Forensics en espera. Asesoría legal que ya conoce su entorno.
Finanzas es donde llega la factura de emergencia, por lo que esta es la línea que leen más rápido. La comparación se escribe sola: el coste del retainer frente al coste de comprar la misma capacidad a las dos de la madrugada durante un incidente, sin margen de negociación y sin tiempo para ejecutar un proceso de compras.
Pequeño, concreto, fácil de aprobar. Además, desplaza el registro de toda la conversación del gasto al seguro, que es un lenguaje que finanzas ya habla con fluidez.
6. Reglas para la sala
Traiga su propio recorte. Entre con las cinco líneas y una segunda versión al sesenta por ciento, y diga con claridad qué deja de hacerse en la versión del sesenta por ciento. No le pedirán que justifique su presupuesto en esa reunión. Le preguntarán qué versión adoptar, que es una conversación diferente y en la que usted ahora lleva la iniciativa.
Cada línea responde a «qué pasa si es cero». Si no puede decir qué se rompe, la línea ya está muerta. Elimínela usted mismo, antes de la reunión, y cuéntelo como una victoria.
Un número por línea. Cinco números. No una hoja de cálculo. Si quieren el detalle, lo pedirán, y entonces estará respondiendo a una pregunta en lugar de defender un documento. Esas dos situaciones se sienten muy distintas desde el otro lado de la mesa.
Nombre al responsable de negocio de cada reducción. No usted. La persona que es propietaria del proceso que está protegiendo. Una línea respaldada por un director de operaciones deja de ser un coste de seguridad y se convierte en un coste de negocio que seguridad gestiona.
Nunca diga «buenas prácticas». Su CFO escucha «sin caso de negocio». Lo mismo ocurre con «estándar del sector» y «los auditores lo esperan». Ambas afirmaciones son ciertas. Ninguna es un argumento.
No está compitiendo con el no. Está compitiendo con dos comerciales más. Esa es la comparación real que se hace en la sala, así que hágala usted mismo: dos contrataciones comerciales frente a lo que evita perder la cuenta que ya tiene. Finanzas puede calcular ese precio. Finanzas no puede calcular el precio de un panorama de amenazas.
Anécdota: La reunión de presupuesto más útil que he tenido duró cuatro minutos. Abrí con la línea uno y dije que íbamos a desconectar una herramienta que habíamos pagado desde 2021 y que nadie podía vincular a ninguna decisión. Todo lo que vino después fue leído como un documento serio en lugar de una lista de deseos, y la línea tres se aprobó sin una sola pregunta. Nunca he conseguido más devolviendo dinero.
7. Si recortan la línea tres, déjelo por escrito
Puede que lo hagan. Es la línea discrecional, y discrecional es exactamente lo que significa esa palabra. Es una decisión de negocio legítima que les corresponde a ellos.
También es una aceptación de riesgo.
Por tanto, va al registro. Con fecha, descripción y su nombre. No como amenaza ni como represalia, sino porque eso es lo que establece la cláusula 6.1.3 de ISO/IEC 27001 cuando un propietario del riesgo decide convivir con algo. Su CFO es un propietario del riesgo, aunque nadie haya usado esa expresión delante de él.
Dos cosas cambian en el momento en que lo hace.
La decisión deja de ser una línea presupuestaria y se convierte en un registro de gobierno, lo que significa que aparece en la revisión por la dirección y ante su auditor. Y el año siguiente, cuando la misma exposición siga en la página, la conversación parte de una decisión que ellos tomaron y no de una solicitud que usted repite.
Esas dos reuniones se desarrollan de forma muy diferente.
Consejo: Envíe la entrada del registro la misma semana, en dos frases, con la fecha de aceptación y una fecha de revisión. No un memorando, no una advertencia. Un registro. Si necesita una nota de presentación que explique por qué lo envía, es que lo ha redactado mal.
Reflexión final
La mayoría de los presupuestos de seguridad fracasan porque son una lista de la compra defendida por la persona que quiere hacer las compras. Cinco líneas, cada una con un responsable, es un documento de gobierno que tiene números.
Mismo contenido. Una reunión completamente diferente.
"¿Cuáles tres eliminaría?"
Con catorce líneas, esa pregunta cierra la conversación. Con cinco, la abre.
Todo lo anterior corresponde al Dominio 1 del CISM. Construir el caso de negocio, alinear el gasto en seguridad con lo que la organización realmente persigue e informar a personas que no trabajan en seguridad. El Dominio 2 es de donde vienen los números de la línea tres. Si desea mantener estas conversaciones desde un marco estructurado y no desde la intuición, eso es lo que enseñamos en el **CISM: Certified Information Security Manager**. Cuatro días, acreditado por ISACA, los cuatro dominios y el examen. Certificado o reembolsado.