La nostra defensa digital es trenca: per què es cremen els nostres CISO

Quan les persones alienes al nostre sector pensen en ciberseguretat, imaginen sobretot tecnologia: tallafocs, xifratge, correus de phishing i hackers anònims colpejant murs digitals. Aquesta imatge és en part correcta, però ignora un factor crucial: les persones. I no parlem de l'empleat mitjà que de tant en tant fa l'e-learning obligatori, sinó dels professionals que són a primera línia cada dia: CISO, responsables de seguretat, analistes SOC, gestors d'incidents i hackers ètics.

Darrere d'aquesta primera línia es desenvolupa una crisi silenciosa: estrès prolongat, càrrega mental constant i xifres de burnout a l'alça. Les persones que protegeixen les nostres dades i sistemes més importants s'esgoten a un ritme accelerat, i això no és un simple problema de recursos humans, sinó un risc estratègic tant per a les organitzacions com per a la societat. Quan aquests defensors estan massa cansats per mantenir-se alerta, augmenta la probabilitat d'errors i les nostres línies de defensa digital es debiliten de forma directa.

Aquesta crisi no és un risc teòric, és una cosa que es sent cada dia als equips i les organitzacions. Hi ha molt debat al respecte a LinkedIn i sovint em pregunten si la situació és realment tan greu, específicament en el rol del CISO. Per això vaig decidir aprofundir en el tema, basant-me en publicacions científiques, articles i podcasts. No és, doncs, un article purament acadèmic, sinó una perspectiva de CISO amb gairebé 25 anys d'experiència en ciberseguretat, en la qual he observat aquesta dinàmica una vegada i una altra: en els meus propis equips, amb companys i en les organitzacions que assessoro.

Les cinc tendències de la investigació recent i de la pràctica que vull destacar aquí mostren la magnitud que ha assolit el problema. Juntes deixen clar com la pressió personal, la fricció organitzativa i una estratègia deficient van erosionant, pas a pas, la nostra ciberresiliència.

1. Els professionals de ciberseguretat estan sota una pressió extrema

Percebre la ciberseguretat com una feina d'oficina normal és un error perillós. Encara que la feina no sembli físicament exigent, la realitat psicològica s'assembla a un estat constant d'alerta en una zona de conflicte digital. La pressió és incessant, l'amenaça omnipresent i el que hi ha en joc, inimaginablement alt. La investigació compara de manera encertada l'entorn de treball d'un expert en ciberseguretat amb una "situació de guerra".^[1] Els professionals viuen sota tensió constant, sabent que un sol moment de distracció o una resposta lenta pot tenir grans conseqüències per a la seva organització. Aquesta pressió constant pot derivar en esgotament.

Ho he vist passar diverses vegades en el meu propi entorn, i la investigació demostra que no és l'excepció sinó la norma. Els estudis mostren que els nivells de burnout en el nostre sector de vegades superen els de sanitaris de primera línia, com els metges d'urgències.^[2] L'esgotament emocional en particular, un component central del burnout, és un aspecte habitual i esgotador de la feina. Aquest esgotament no només és difícil per a la persona, també suposa una amenaça directa perquè redueix funcions cognitives com l'atenció i la presa de decisions, precisament les que són crucials per a una ciberresiliència eficaç.

2. La major amenaça no és un hacker, sinó un CISO cremat

La seguretat d'una organització està directament vinculada al benestar de la seva direcció i el seu equip directiu. Un Chief Information Security Officer (CISO) que es balanceja mentalment al límit és un risc estratègic que cap empresa es pot permetre. L'estrès continuat i la gran responsabilitat creen una situació insostenible, amb conseqüències potencialment desastroses tant per a la persona com per a l'organització.

El cost professional d'aquesta crisi es reflecteix en estadístiques alarmants vinculades al rol de CISO:

• La permanència mitjana d'un CISO en una gran empresa se situa entre 18 i 26 mesos, davant dels gairebé cinc anys de la resta dels membres del consell. Això apunta a un alt nivell de rotació i inestabilitat per a l'organització.^[9]
• Ni més ni menys que el 90% dels CISO estaria disposat a acceptar una reducció salarial a canvi de menys estrès. De mitjana, renunciarien a 9.642 dòlars (uns 8.200 euros) l'any per això.^[3]
• Als Països Baixos, el 56% dels CISO afirma haver patit o presenciat un burnout l'últim any, un clar augment respecte al 43% de l'any anterior.^[4]

Aquestes xifres s'agreugen per una sensació d'ambigüitat de rol i una manca d'autoritat real, cosa que es comparteix sovint en sessions exclusives per a CISO. Molts CISO se senten responsables sense tenir el mandat per impulsar canvis fonamentals. Un CISO va expressar aquesta frustració així: "T'exclouen de la resta de l'organització. Hi ha ambigüitat en el que et demanen i el que et proporcionen. Això és dur, la C no és real, no ets un director."^[5]

Aquesta profunda frustració sol originar-se en la dinàmica entre el departament de seguretat (el CISO) i la sala de juntes, on aquesta bretxa acaba debilitant encara més la defensa de l'organització. Com a CISO sents la responsabilitat cada dia, però per actuar-hi realment depens de la direcció o del consell. Hi ha prou CISO que, per pura frustració amb aquest procés, tiren la tovallola. Els CISO que segueixen donant la batalla, una vegada i una altra, corren el risc de cremar-se.

3. La bretxa amb la direcció fa la defensa més vulnerable

Una ciberseguretat eficaç no és una funció de TI aïllada, sinó un pilar estratègic que ha d'estar ancorat a la cúpula de l'organització. Quan el CISO i la direcció o el consell no estan alineats, sorgeix una vulnerabilitat perillosa. Aquest desajust debilita l'organització i augmenta la pressió sobre els equips. Això també ho recolzen dades preocupants:

• Encara que el 68% dels consellers veu la ciberseguretat principalment com a part del pressupost de TI, el 60% es preocupa alhora que les amenaces siguin més avançades que les seves defenses.^[6] Això apunta a una discrepància entre la percepció del problema i l'assignació de recursos estratègics.
• L'alineació entre el consell i els CISO holandesos ha caigut dramàticament, d'un màxim del 80% el 2024 a només el 59% el 2025.^[4] Potser un senyal d'alarma del creixent distanciament entre direcció i CISO.
• Com a conseqüència directa, el 45% dels CISO holandesos sent que li falten recursos per assolir els seus objectius.^[4]

Això es converteix a poc a poc en un cercle viciós: la direcció veu la seguretat com una partida de despesa, per la qual cosa els recursos continuen sent limitats. El CISO no pot llavors respondre adequadament a les amenaces creixents, cosa que genera més estrès i una probabilitat més gran d'un atac reeixit. Aquesta bretxa culmina en el risc més tangible: la pèrdua de dades, on el 92% dels CISO que van patir pèrdua de dades indica que els empleats sortints hi van tenir un paper, davant del 73% un any abans.^[4] Una conseqüència directa d'una cultura que crema els seus principals defensors. Tanmateix, aquesta fricció organitzativa també té un impacte emocional profundament personal quan un atac realment passa, mentre la direcció era conscient dels riscos i de les peticions del CISO de més recursos.

Quan en aquestes circumstàncies passa un incident, resulta amarg que aquest CISO pugui tenir proves per escrit que les seves peticions de més recursos van ser denegades una vegada i una altra, però, de què serveix això? Encara que és un sector ampli, de vegades sembla un poble petit on tothom sap qui era el CISO de l'organització X quan alguna cosa va sortir malament. No només una taca per a l'organització, sinó també per a la persona, encara que s'haguessin seguit tots els processos per reforçar la resiliència.

4. Un ciberatac deixa profundes cicatrius emocionals

Les seqüeles d'un incident cibernètic greu solen analitzar-se en termes tècnics: pèrdua de dades, temps d'inactivitat, dany financer. Tanmateix, el que sovint es passa per alt és el profund impacte psicològic en els professionals que van estar enmig de la crisi. Sobreviure a un atac és una experiència traumàtica que pot deixar cicatrius emocionals duradores.

El recorregut emocional d'un professional durant un atac comença amb "incredulitat i desesperació", seguit d'un sentiment profundament personal de "culpa i dubte sobre un mateix".^[1] Tanmateix, psicològicament resulta cridaner que enmig d'aquesta crisi també es reportin sentiments de "determinació i autoeficàcia". Aquesta és una resposta a l'estrès clàssica: l'adrenalina i l'enfocament en una missió concreta poden emmascarar temporalment el dany psicològic subjacent. Encara que això és eficaç a curt termini per a la resposta a l'incident, sovint accelera l'esgotament emocional a llarg termini.

Quan l'adrenalina desapareix, queden les cicatrius. El "cinisme creixent" reportat és més que un simple canvi d'estat d'ànim, és un símptoma de desil·lusió professional.^[1] Aquest cinisme, combinat amb la "por que es repeteixi i pensaments de canviar de carrera", pot derivar en burnout i pèrdua de talent. Aquests costos humans solen romandre invisibles, i la solució no passa per més tecnologia, sinó per un enfocament centrat en les persones.

Per experiència, reconec totes dues cares d'una crisi, la positiva i la negativa. Una sensació gairebé eufòrica durant i després de l'incident, si acaba raonablement bé, però després arriba un procés que no tracta només del valor d'una bona preparació, del treball en equip i la professionalitat dels equips de seguretat i TI, sinó també de com s'hi va arribar, si s'hauria pogut evitar, i la pregunta personal: "se m'ha escapat alguna cosa o he fet alguna cosa malament?"

5. La solució no és més tecnologia, sinó millor lideratge

En la cursa per avançar-se a les ciberamenaces, el reflex automàtic sol ser invertir en les últimes solucions tecnològiques. Encara que considero que la tecnologia és essencial per a una bona ciberresiliència, no aborda el nucli de la crisi de burnout. L'estratègia més eficaç per reforçar la resiliència dels equips de seguretat rau en la dinàmica humana i organitzativa, amb un lideratge fort i de suport com a eix central.

La investigació mostra que certs factors de lideratge i organització poden alleujar considerablement l'estrès durant una crisi:

• Un bon lideratge i una comunicació interna clara són crucials per mantenir la consciència situacional i l'enfocament, permetent que els equips continuïn funcionant eficaçment sota pressió.^[1]
• Els líders que actuen com a "porters" dels seus equips de resposta a incidents, protegint-los de preguntes innecessàries de mitjans o altres departaments, alleugen notablement l'estrès i permeten a l'equip centrar-se en la solució.^[1]
• Un líder proactiu que fomenta la comunicació oberta i la seguretat psicològica crea un entorn on els membres de l'equip se senten recolzats, cosa que contraresta el risc de burnout.^[7]
• Les intervencions organitzatives, com oferir suport social i ajustar polítiques per gestionar la càrrega de treball, han demostrat ser significativament més eficaces que les mesures dirigides només a l'individu, com la formació en gestió de l'estrès.^[8]

Invertir en el desenvolupament del lideratge i en una cultura de suport no és una "soft skill" ni un luxe, hauria de formar part de l'estratègia de seguretat. Un equip mentalment sa i resilient constitueix la defensa més sòlida davant de qualsevol amenaça, i en puc donar fe.

Conclusió: és hora de defensar els nostres defensors

La paradoxa de la ciberseguretat moderna: necessitem amb urgència el coneixement humà per protegir el nostre món digital, però no protegim els mateixos professionals. Hem construït un sistema que els esgota, els aïlla i els crema de manera sistemàtica. La crisi silenciosa d'estrès i burnout ja no és un assumpte secundari, és una amenaça directa per a la nostra seguretat col·lectiva.

Protegir les nostres dades i sistemes comença per protegir les persones que vigilen els nostres actius digitals. Ara que veiem el cost humà de la nostra defensa digital, la pregunta real no és si ens podem permetre una fuita o un robatori de dades, sinó si ens podem permetre ignorar el benestar dels nostres defensors. Això exigeix una conversa honesta i oberta. Quins passos està fent la teva organització per mantenir resilients els professionals de seguretat?

Quatre passos que el consell pot fer aquest mes

1. Inclou les amenaces i les mesures a l'agenda del consell almenys quatre vegades l'any, com a punt fix, no només quan alguna cosa surt malament.
2. Deixa el mandat per escrit. Descriu quines decisions pren el CISO pel seu compte i quines s'eleven al consell.
3. Construeix la relació abans de la crisi. Qui encara necessita presentacions durant un incident, ja arriba tard. Qui ja es coneix té les persones adequades a la taula en una hora, en lloc de l'endemà.
4. Pregunta al teu CISO no només què necessita, sinó també què ha quedat fora per no encaixar en el pressupost o el calendari. Aquesta segona llista és el teu perfil de risc real.

La normativa europea de ciberseguretat (NIS2) està canviant l'equilibri: el consell ha d'aprovar personalment les mesures de gestió del risc, supervisar-ne l'aplicació i tenir prou coneixements per avaluar riscos i mesures de seguretat. El que aquesta normativa exigeix en concret s'explica a NIS2, DORA i CRA. Vols seguir parlant-ne, amb el teu consell o amb Jeroen personalment? Ajudem els consells a convertir el risc tècnic en decisions a través de Cyber Security Executive Services, i donem suport als CISO mitjançant assessorament en seguretat i CISO-as-a-Service.

Fonts

1. Virtanen, T. (2024). Psychological Effects of Continuity Threatening Cyber Incidents. European Conference on Cyber Warfare and Security.
2. Reeves, A., Pattinson, M., & Butavicius, M. (2023). Is Your CISO Burnt Out yet? Examining Demographic Differences in Workplace Burnout Amongst Cyber Security Professionals. Human Aspects of Information Security and Assurance.
3. Leonhard, W. (2020). Security Now! Transcript of Episode #754. Gibson Research Corporation, en referència a l'estudi de Nominet de 2019/2020.
4. Proofpoint (2025). Voice of the CISO Report 2025.
5. Piazza, A., Vasudevan, S., & Carr, M. (2022). Am I hired as a Firefighter? Exploring the role ambiguity and board's engagements on job stress and perceived organizational support of CISOs.
6. Ernst & Young LLP (2025). 2025 EY Cybersecurity Study: Bridging the C-suite disconnect.
7. ASIS International. Tackling Burnout in the High-Stakes World of Security.
8. CDC. Module 8 Outline: Organizational approaches to reducing burnout risk.
9. Cybersecurity Ventures & Sophos (2026). 2026 CISO Report.

Sobre l'autor

Jeroen Schipper

Chief Security Advisor a DEFION. Assessora consells i CISO sobre ciberresiliència, estratègia de seguretat i la vessant humana de la defensa digital, amb gairebé 25 anys d'experiència en el sector.

Serveis relacionats

Vols reforçar el lideratge en seguretat i el suport del consell?

DEFION ajuda consells i CISO a alinear responsabilitat i mandat abans que un incident exposi aquesta bretxa de la pitjor manera.

Contacta'ns