Nuestra defensa digital se resquebraja: por qué se queman nuestros CISO

Cuando las personas ajenas a nuestro sector piensan en ciberseguridad, imaginan sobre todo tecnología: firewalls, cifrado, correos de phishing y hackers anónimos golpeando muros digitales. Esa imagen es en parte correcta, pero ignora un factor crucial: las personas. Y no hablamos del empleado medio que de vez en cuando hace el e-learning obligatorio, sino de los profesionales que están en primera línea cada día: CISO, responsables de seguridad, analistas SOC, gestores de incidentes y hackers éticos.

Detrás de esa primera línea se desarrolla una crisis silenciosa: estrés prolongado, carga mental constante y cifras de burnout al alza. Las personas que protegen nuestros datos y sistemas más importantes se agotan a un ritmo acelerado, y eso no es un simple problema de recursos humanos, sino un riesgo estratégico tanto para las organizaciones como para la sociedad. Cuando estos defensores están demasiado cansados para mantenerse alerta, aumenta la probabilidad de errores y nuestras líneas de defensa digital se debilitan de forma directa.

Esta crisis no es un riesgo teórico, es algo que se siente a diario en los equipos y las organizaciones. Hay mucho debate al respecto en LinkedIn y con frecuencia me preguntan si la situación es realmente tan grave, específicamente en el rol del CISO. Por eso decidí profundizar en el tema, basándome en publicaciones científicas, artículos y podcasts. No es, por tanto, un artículo puramente académico, sino una perspectiva de CISO con casi 25 años de experiencia en ciberseguridad, en la que he observado esta dinámica una y otra vez: en mis propios equipos, con compañeros y en las organizaciones a las que asesoro.

Las cinco tendencias de la investigación reciente y de la práctica que quiero destacar aquí muestran la magnitud que ha alcanzado el problema. Juntas dejan claro cómo la presión personal, la fricción organizativa y una estrategia deficiente van erosionando, paso a paso, nuestra ciberresiliencia.

1. Los profesionales de ciberseguridad están bajo una presión extrema

Percibir la ciberseguridad como un trabajo de oficina normal es un error peligroso. Aunque el trabajo no parezca físicamente exigente, la realidad psicológica se asemeja a un estado constante de alerta en una zona de conflicto digital. La presión es incesante, la amenaza omnipresente y lo que está en juego, inimaginablemente alto. La investigación compara de forma acertada el entorno de trabajo de un experto en ciberseguridad con una "situación de guerra".^[1] Los profesionales viven bajo tensión constante, sabiendo que un solo momento de distracción o una respuesta lenta puede tener grandes consecuencias para su organización. Esta presión constante puede derivar en agotamiento.

Lo he visto ocurrir varias veces en mi propio entorno, y la investigación demuestra que no es la excepción sino la norma. Los estudios muestran que los niveles de burnout en nuestro sector a veces superan los de sanitarios de primera línea, como los médicos de urgencias.^[2] El agotamiento emocional en particular, un componente central del burnout, es un aspecto habitual y desgastante del trabajo. Este agotamiento no solo es difícil para la persona, también supone una amenaza directa porque reduce funciones cognitivas como la atención y la toma de decisiones, precisamente las que son cruciales para una ciberresiliencia eficaz.

2. La mayor amenaza no es un hacker, sino un CISO quemado

La seguridad de una organización está directamente vinculada al bienestar de su dirección y su equipo directivo. Un Chief Information Security Officer (CISO) que se balancea mentalmente al límite es un riesgo estratégico que ninguna empresa puede permitirse. El estrés continuado y la gran responsabilidad crean una situación insostenible, con consecuencias potencialmente desastrosas tanto para la persona como para la organización.

El coste profesional de esta crisis se refleja en estadísticas alarmantes vinculadas al rol de CISO:

• La permanencia media de un CISO en una gran empresa se sitúa entre 18 y 26 meses, frente a los casi cinco años del resto de los miembros del consejo. Esto apunta a un alto nivel de rotación e inestabilidad para la organización.^[9]
• Nada menos que el 90% de los CISO estaría dispuesto a aceptar una reducción salarial a cambio de menos estrés. De media, renunciarían a 9.642 dólares (unos 8.200 euros) al año por ello.^[3]
• En los Países Bajos, el 56% de los CISO afirma haber sufrido o presenciado un burnout en el último año, un claro aumento respecto al 43% del año anterior.^[4]

Estas cifras se ven agravadas por una sensación de ambigüedad de rol y una falta de autoridad real, algo que se comparte con frecuencia en sesiones exclusivas para CISO. Muchos CISO se sienten responsables sin tener el mandato para impulsar cambios fundamentales. Un CISO expresó esta frustración así: "Te excluyen del resto de la organización. Hay ambigüedad en lo que se te pide y lo que se te proporciona. Eso es duro, la C no es real, no eres un director."^[5]

Esta profunda frustración suele originarse en la dinámica entre el departamento de seguridad (el CISO) y la sala de juntas, donde esta brecha termina debilitando aún más la defensa de la organización. Como CISO sientes la responsabilidad a diario, pero para actuar realmente sobre ella dependes de la dirección o del consejo. Hay suficientes CISO que, por pura frustración con este proceso, tiran la toalla. Los CISO que siguen dando la batalla, una y otra vez, corren el riesgo de quemarse.

3. La brecha con la dirección hace la defensa más vulnerable

Una ciberseguridad eficaz no es una función de TI aislada, sino un pilar estratégico que debe estar anclado en la cúpula de la organización. Cuando el CISO y la dirección o el consejo no están alineados, surge una vulnerabilidad peligrosa. Este desajuste debilita la organización y aumenta la presión sobre los equipos. Esto lo respaldan también datos preocupantes:

• Aunque el 68% de los consejeros ve la ciberseguridad principalmente como parte del presupuesto de TI, el 60% se preocupa al mismo tiempo por que las amenazas sean más avanzadas que sus defensas.^[6] Esto apunta a una discrepancia entre la percepción del problema y la asignación de recursos estratégicos.
• La alineación entre el consejo y los CISO holandeses ha caído drásticamente, de un máximo del 80% en 2024 a solo el 59% en 2025.^[4] Quizás una señal de alarma del creciente distanciamiento entre dirección y CISO.
• Como consecuencia directa, el 45% de los CISO holandeses siente que le faltan recursos para alcanzar sus objetivos.^[4]

Esto se convierte poco a poco en un círculo vicioso: la dirección ve la seguridad como una partida de gasto, por lo que los recursos siguen siendo limitados. El CISO no puede entonces responder adecuadamente a las amenazas crecientes, lo que genera más estrés y una mayor probabilidad de un ataque exitoso. Esta brecha culmina en el riesgo más tangible: la pérdida de datos, donde el 92% de los CISO que sufrieron pérdida de datos indica que los empleados salientes jugaron un papel, frente al 73% un año antes.^[4] Una consecuencia directa de una cultura que quema a sus principales defensores. Sin embargo, esta fricción organizativa también tiene un impacto emocional profundamente personal cuando un ataque realmente ocurre, mientras la dirección era consciente de los riesgos y de las peticiones del CISO de más recursos.

Cuando en estas circunstancias ocurre un incidente, resulta amargo que ese CISO pueda tener pruebas por escrito de que sus peticiones de más recursos fueron denegadas una y otra vez, pero, ¿de qué sirve eso? Aunque es un sector amplio, a veces parece un pueblo pequeño donde todo el mundo sabe quién era el CISO de la organización X cuando algo salió mal. No solo una mancha para la organización, sino también para la persona, aunque se hubieran seguido todos los procesos para reforzar la resiliencia.

4. Un ciberataque deja profundas cicatrices emocionales

Las secuelas de un incidente cibernético grave suelen analizarse en términos técnicos: pérdida de datos, tiempo de inactividad, daño financiero. Sin embargo, lo que a menudo se pasa por alto es el profundo impacto psicológico en los profesionales que estuvieron en medio de la crisis. Sobrevivir a un ataque es una experiencia traumática que puede dejar cicatrices emocionales duraderas.

El recorrido emocional de un profesional durante un ataque comienza con "incredulidad y desesperación", seguido de un sentimiento profundamente personal de "culpa y duda sobre uno mismo".^[1] Sin embargo, psicológicamente resulta llamativo que en medio de esta crisis también se reporten sentimientos de "determinación y autoeficacia". Esta es una respuesta al estrés clásica: la adrenalina y el enfoque en una misión concreta pueden enmascarar temporalmente el daño psicológico subyacente. Aunque esto es eficaz a corto plazo para la respuesta al incidente, a menudo acelera el agotamiento emocional a largo plazo.

Cuando la adrenalina desaparece, quedan las cicatrices. El "cinismo creciente" reportado es más que un simple cambio de ánimo, es un síntoma de desilusión profesional.^[1] Este cinismo, combinado con el "miedo a que se repita y pensamientos de cambiar de carrera", puede derivar en burnout y pérdida de talento. Estos costes humanos suelen permanecer invisibles, y la solución no pasa por más tecnología, sino por un enfoque centrado en las personas.

Por experiencia, reconozco ambas caras de una crisis, la positiva y la negativa. Una sensación casi eufórica durante y después del incidente, si termina razonablemente bien, pero luego llega un proceso que no trata solo del valor de una buena preparación, del trabajo en equipo y la profesionalidad de los equipos de seguridad y TI, sino también de cómo se llegó hasta ahí, si se podría haber evitado, y la pregunta personal: "¿se me pasó algo o hice algo mal?"

5. La solución no es más tecnología, sino mejor liderazgo

En la carrera por adelantarse a las ciberamenazas, el reflejo automático suele ser invertir en las últimas soluciones tecnológicas. Aunque considero que la tecnología es esencial para una buena ciberresiliencia, no aborda el núcleo de la crisis de burnout. La estrategia más eficaz para reforzar la resiliencia de los equipos de seguridad reside en la dinámica humana y organizativa, con un liderazgo fuerte y de apoyo como eje central.

La investigación muestra que ciertos factores de liderazgo y organización pueden aliviar considerablemente el estrés durante una crisis:

• Un buen liderazgo y una comunicación interna clara son cruciales para mantener la conciencia situacional y el enfoque, permitiendo que los equipos sigan funcionando eficazmente bajo presión.^[1]
• Los líderes que actúan como "porteros" de sus equipos de respuesta a incidentes, protegiéndolos de preguntas innecesarias de medios u otros departamentos, alivian notablemente el estrés y permiten al equipo centrarse en la solución.^[1]
• Un líder proactivo que fomenta la comunicación abierta y la seguridad psicológica crea un entorno donde los miembros del equipo se sienten respaldados, lo que contrarresta el riesgo de burnout.^[7]
• Las intervenciones organizativas, como ofrecer apoyo social y ajustar políticas para gestionar la carga de trabajo, han demostrado ser significativamente más eficaces que las medidas dirigidas solo al individuo, como la formación en gestión del estrés.^[8]

Invertir en el desarrollo del liderazgo y en una cultura de apoyo no es una "soft skill" ni un lujo, debería formar parte de la estrategia de seguridad. Un equipo mentalmente sano y resiliente constituye la defensa más sólida frente a cualquier amenaza, y puedo dar fe de ello.

Conclusión: es hora de defender a nuestros defensores

La paradoja de la ciberseguridad moderna: necesitamos con urgencia el conocimiento humano para proteger nuestro mundo digital, pero no protegemos a los propios profesionales. Hemos construido un sistema que los agota, los aísla y los quema de forma sistemática. La crisis silenciosa de estrés y burnout ya no es un asunto secundario, es una amenaza directa para nuestra seguridad colectiva.

Proteger nuestros datos y sistemas empieza por proteger a las personas que vigilan nuestros activos digitales. Ahora que vemos el coste humano de nuestra defensa digital, la pregunta real no es si podemos permitirnos una fuga o un robo de datos, sino si podemos permitirnos ignorar el bienestar de nuestros defensores. Esto exige una conversación honesta y abierta. ¿Qué pasos está dando tu organización para mantener resilientes a los profesionales de seguridad?

Cuatro pasos que el consejo puede dar este mes

1. Incluye las amenazas y las medidas en la agenda del consejo al menos cuatro veces al año, como punto fijo, no solo cuando algo sale mal.
2. Deja el mandato por escrito. Describe qué decisiones toma el CISO por su cuenta y cuáles se elevan al consejo.
3. Construye la relación antes de la crisis. Quien todavía necesita presentaciones durante un incidente, ya llega tarde. Quien ya se conoce tiene a las personas adecuadas en la mesa en una hora, en lugar de al día siguiente.
4. Pregunta a tu CISO no solo qué necesita, sino también qué se ha quedado fuera por no encajar en el presupuesto o el calendario. Esa segunda lista es tu perfil de riesgo real.

La normativa europea de ciberseguridad (NIS2) está cambiando el equilibrio: el consejo debe aprobar personalmente las medidas de gestión del riesgo, supervisar su aplicación y tener conocimientos suficientes para evaluar riesgos y medidas de seguridad. Lo que esa normativa exige en concreto se explica en NIS2 explicado. ¿Quieres seguir hablando de esto, con tu consejo o con Jeroen personalmente? Ayudamos a los consejos a convertir el riesgo técnico en decisiones a través de Cyber Security Executive Services, y apoyamos a los CISO mediante asesoramiento en seguridad y CISO-as-a-Service.

Fuentes

1. Virtanen, T. (2024). Psychological Effects of Continuity Threatening Cyber Incidents. European Conference on Cyber Warfare and Security.
2. Reeves, A., Pattinson, M., & Butavicius, M. (2023). Is Your CISO Burnt Out yet? Examining Demographic Differences in Workplace Burnout Amongst Cyber Security Professionals. Human Aspects of Information Security and Assurance.
3. Leonhard, W. (2020). Security Now! Transcript of Episode #754. Gibson Research Corporation, en referencia al estudio de Nominet de 2019/2020.
4. Proofpoint (2025). Voice of the CISO Report 2025.
5. Piazza, A., Vasudevan, S., & Carr, M. (2022). Am I hired as a Firefighter? Exploring the role ambiguity and board's engagements on job stress and perceived organizational support of CISOs.
6. Ernst & Young LLP (2025). 2025 EY Cybersecurity Study: Bridging the C-suite disconnect.
7. ASIS International. Tackling Burnout in the High-Stakes World of Security.
8. CDC. Module 8 Outline: Organizational approaches to reducing burnout risk.
9. Cybersecurity Ventures & Sophos (2026). 2026 CISO Report.

Sobre el autor

Jeroen Schipper

Chief Security Advisor en DEFION. Asesora a consejos y CISO sobre ciberresiliencia, estrategia de seguridad y el lado humano de la defensa digital, con casi 25 años de experiencia en el sector.

Servicios relacionados

¿Quieres reforzar el liderazgo en seguridad y el respaldo del consejo?

DEFION ayuda a consejos y CISO a alinear responsabilidad y mandato antes de que un incidente exponga esa brecha de la peor manera.

Contactar