La gran simplificación: por qué la ciberseguridad no es un campo para principiantes

Hay ideas que triunfan no porque sean correctas, sino porque son comercialmente irresistibles. La noción de que la ciberseguridad puede convertirse en una carrera de entrada pertenece a esa categoría. Suena moderna, inclusiva y alineada con la ansiedad de esta época: faltan profesionales, sobran amenazas, las empresas están asustadas y las instituciones académicas encontraron una narrativa perfecta. Bastaría con tomar a un estudiante con interés tecnológico, exponerlo a un currículo de dos o tres años —o a veces de meses—, enseñarle un conjunto de herramientas, algunos marcos normativos y ciertos laboratorios controlados, para devolverlo al mercado convertido en “especialista en ciberseguridad”. La fórmula es limpia, seductora y, precisamente por eso, sospechosa.

El problema no es moral. No se trata de cuidar un club privado ni de defender una élite profesional con celo gremial. El problema es estructural. La ciberseguridad no trabaja sobre objetos simples. Trabaja sobre sistemas vivos, heterogéneos e imperfectos. Un incidente serio rara vez es una falla aislada. Suele ser la convergencia entre red (comunicación entre equipos), identidad (gestión de usuarios y privilegios), software, nube, lógica de negocio, errores humanos, deuda técnica y adversarios con imaginación. Enseñar ciberseguridad como si fuera una disciplina autónoma equivale a enseñar medicina como si bastara memorizar nombres de órganos. El estudiante puede repetir terminología, pero no sabe leer el cuerpo. En seguridad ocurre lo mismo: puede reconocer un dashboard (panel de monitoreo), pero no entiende el sistema que ese dashboard resume.

La promesa académica falla donde más importa: confunde alfabetización con criterio. Una cosa es introducir a alguien en conceptos de riesgo, amenazas, controles y buenas prácticas. Otra muy distinta es sostener que ya está listo para defender activos complejos, interpretar actividad anómala o decidir si una alerta refleja ruido, fraude o una intrusión silenciosa. La ciberseguridad no es una disciplina fundacional; es una disciplina de convergencia. Cuando se la vende como punto de partida, se construye sobre vacío. Y un edificio elegante construido sobre vacío no es innovación. Es una demora sofisticada antes del derrumbe.

Una disciplina construida sobre otras disciplinas

La ciberseguridad no tiene suelo propio. Ese es su primer secreto y también su primera dificultad. Vive montada sobre tecnologías, procesos y comportamientos que nacieron por otras razones: sistemas operativos (software base del equipo), redes, desarrollo de software, virtualización, servicios en la nube, bases de datos, automatización, directorios corporativos, arquitectura de aplicaciones y decisiones humanas que a veces fueron sensatas y a veces fueron tomadas un viernes a las seis de la tarde. La seguridad entra después, como capa de comprensión, fricción y defensa. Por eso sus mejores profesionales rara vez salen de la nada. Llegan desde sistemas, desarrollo, redes, fraude, operaciones, arquitectura o respuesta a incidentes. No aterrizan en seguridad; convergen hacia ella.

Ese dato conceptual importa más de lo que parece. Cuando un programa académico enseña ciberseguridad como una isla, separada del resto del mundo técnico, produce profesionales que entienden etiquetas pero no mecanismos. Pueden hablar de segmentación, pero nunca administraron una red. Pueden hablar de autenticación multifactor, pero no han lidiado con directorios, permisos heredados o aplicaciones antiguas que rompen con cualquier cambio. Pueden hablar de vulnerabilidades en APIs (interfaces de programación), pero no han construido servicios, leído dependencias o sufrido despliegues que se rompen en producción. La seguridad, entonces, queda reducida a una estética: una forma de nombrar problemas cuya anatomía real sigue oculta.

No es casual que marcos serios de talento como el NICE Framework de NIST y el ECSF de ENISA no presenten “ciberseguridad” como una caja homogénea, sino como un universo de roles, tareas, conocimientos y competencias diferenciadas. Ambos intentan poner orden precisamente porque el trabajo no es una sola cosa, y porque describir bien el oficio es el primer antídoto contra la simplificación. Sirven para alinear educación, contratación y desarrollo profesional, no para fingir que todos los caminos parten del mismo punto ni que un título introductorio vuelve madura una capacidad que depende de múltiples capas previas.

Por eso el argumento central no es que los principiantes no deban entrar al campo. Es más severo y más honesto: no deben entrar engañados sobre la naturaleza del campo. La seguridad no sustituye el conocimiento de sistemas; lo presupone. Cuando ese presupuesto no existe, lo que queda no es un profesional emergente. Es un operador expuesto a una complejidad que todavía no puede leer.

Defender no es operar herramientas

Durante años, la industria y buena parte de la educación cometieron el mismo error semántico: equipararon seguridad con uso de herramientas de seguridad. El resultado ha sido una generación de perfiles que saben navegar consolas, lanzar escáneres, seguir flujos de tickets y ejecutar playbooks (guías predefinidas), pero que no necesariamente saben interpretar un sistema bajo presión. Y defender, en la práctica, es exactamente eso: interpretar bajo presión.

Un entorno corporativo real no se comporta como un laboratorio. En un laboratorio, el ataque está casi siempre encapsulado. Hay un objetivo, un vector visible, un resultado esperable. En la vida real, una intrusión puede presentarse como un inicio de sesión aparentemente normal, una llamada inusual entre servicios, un desvío pequeño en patrones de autenticación, una consulta que parece administrativa o un cambio casi irrelevante en una cadena de suministro digital. Lo decisivo rara vez llega subrayado. Llega diluido en la normalidad. Ahí es donde la ciberseguridad deja de parecerse a un curso y empieza a parecerse a un oficio.

Eso exige algo que no se puede improvisar: contexto. Un analista sin contexto solo puede preguntar “¿esto coincide con el playbook?”. Un profesional con contexto se pregunta “¿esto tiene sentido aquí?”. La diferencia entre ambas preguntas parece sutil, pero es abismal. La primera depende de instrucciones previas; la segunda depende de comprensión. Y un adversario competente prospera justo en ese espacio: el lugar donde lo que hace no encaja del todo en lo previsto, pero tampoco luce lo suficientemente extraño para un operador superficial.

Aquí aparece una verdad poco glamorosa. Las herramientas amplifican criterio; no lo reemplazan. Un SIEM (sistema de gestión de eventos de seguridad), una plataforma de inteligencia, un EDR (detección y respuesta en endpoints) o un escáner de vulnerabilidades son apenas prótesis sofisticadas. Sin base técnica y experiencia, terminan produciendo una ilusión de control. Mucho panel, poca lectura. Mucha visibilidad, poco entendimiento. No es que las herramientas fallen; es que el mercado a veces les exige sustituir una profundidad que nunca compró.

Por eso defender no equivale a “trabajar en seguridad” en el sentido más turístico del término. Defender es diagnosticar ambigüedad. Es reconocer cuándo una irregularidad es inocente y cuándo es la primera grieta de una cadena de ataque. Esa capacidad no se memoriza. Se acumula. Y todo proyecto académico que prometa lo contrario le está cobrando al estudiante por una versión simplificada de un oficio que, por naturaleza, castiga la simplificación.

El espejismo del “junior en ciberseguridad”

La expresión “junior en ciberseguridad” solo funciona si se entiende con precisión quirúrgica. Sirve para describir una etapa formativa, no una autonomía profesional equivalente a la de otros campos tecnológicos. En desarrollo de software, por ejemplo, un perfil inicial puede contribuir en tareas acotadas, cometer errores contenibles y aprender con rapidez a partir de revisiones. En seguridad, el margen de error es distinto porque el error no siempre es visible ni inmediato. Una mala clasificación de alerta, una validación superficial de control o una recomendación incorrecta pueden pasar desapercibidas durante semanas o meses, hasta que la organización descubre que llevaba tiempo interpretando mal su propio riesgo.

Aquí es donde algunas instituciones exageran y algunas empresas colaboran gustosas con esa exageración. El recién egresado no recibe una narrativa de “vas a iniciar un aprendizaje exigente”, sino de “ya entraste a un sector de alta demanda”. La frase parece benigna, pero arrastra una trampa. Hace creer que la escasez de talento equivale a una escasez de profundidad. Y no es lo mismo. El mercado necesita personas, sí, pero necesita sobre todo personas capaces de operar con juicio. No se resuelve una carencia de criterio multiplicando credenciales introductorias.

La propia evidencia del mercado laboral actual va en esa línea. ISC2 reportó en 2025 que los gerentes de contratación priorizan experiencia práctica en TI (tecnologías de información) o certificaciones iniciales por sobre educación formal aislada, y que la mayoría espera invertir entre cuatro y nueve meses para que perfiles de entrada manejen tareas con independencia. También mostró que, en el nivel inicial, las tareas más comunes se concentran en documentación, gestión de alertas, reportes y entrenamiento de usuarios, no en soberanía táctica sobre escenarios complejos. Es decir, el sector serio sí abre la puerta a talento nuevo, pero lo hace como material en formación, no como profesionales listos para el combate autónomo.

Eso no degrada al principiante. Lo protege. Le devuelve algo que la retórica comercial le quitó: proporción. El problema no es ser junior. El problema es ser junior y creer que el campo lo trata como si no lo fuera. La seguridad no expulsa a los nuevos; expulsa la arrogancia de creer que unas pocas capas de vocabulario equivalen a madurez técnica.

El verdadero escándalo: el Tier 1 barato que la industria compra feliz

Sería demasiado cómodo culpar solo a la academia. La industria tiene tanta o más responsabilidad, y en algunos casos la tiene de forma perfectamente consciente. El mejor ejemplo está en el Tier 1 del SOC (Centro de Operaciones de Seguridad), ese primer nivel encargado del triaje (clasificación inicial) y manejo de alertas. En teoría, es un espacio de entrada, supervisado y orientado al aprendizaje. En la práctica, muchas organizaciones lo convirtieron en una línea de ensamblaje de seguridad barata: gran volumen de eventos, mucho ruido, sueldos contenidos y la esperanza de que el proceso supla lo que la experiencia todavía no puede entregar.

El argumento económico es conocido. “No tiene sentido pagar perfiles medios o senior para revisar alertas repetitivas.” El problema es que esa frase es parcialmente cierta y estratégicamente desastrosa. El triaje parece repetitivo hasta que deja de serlo, y el día en que deja de serlo suele importar bastante más que todos los días anodinos que lo precedieron. Una alerta descartada no es solo una tarea cerrada; es una decisión de seguridad. Y cuando esa decisión se toma con escaso contexto, sin comprensión fuerte del entorno y bajo presión operativa, lo que la organización llama eficiencia puede terminar siendo simplemente una transferencia de riesgo.

ISC2 mostró algo revelador: los empleadores asignan a perfiles de entrada tareas como documentación, alert management y reporting, y consideran que las pasantías y aprendizajes son vías efectivas para identificar talento. La lectura optimista de ese dato es saludable: sí hay formas honestas de incorporar nuevos profesionales. La lectura incómoda es otra: buena parte del mercado diseñó roles que necesitan manos jóvenes porque no quiere pagar criterio maduro en la capa más ruidosa de su operación defensiva. Cuando eso ocurre sin mentoría real ni trayectorias de desarrollo, el problema deja de ser educativo y se vuelve corporativo.

La academia fabrica “turistas con credenciales” porque hay compradores para ese producto. Empresas que quieren llenar organigramas, mostrar cobertura 24/7, responder auditorías y sostener que tienen un SOC operativo, aunque parte de esa operación descanse en profesionales a quienes nunca se les permitió comprender a fondo el sistema que vigilan. El Tier 1 mal diseñado no fracasa porque sea junior; fracasa porque se le exige discernimiento mientras se le paga como si solo se le pidiera obediencia.

Cuando el compliance reemplaza a la capacidad

Hay algo todavía más corrosivo que el ahorro mal entendido: la conversión de la ciberseguridad en una coreografía de cumplimiento. Muchas organizaciones construyen equipos, compran plataformas y diseñan procesos no para comprender mejor su exposición, sino para demostrar que “están haciendo algo”. Necesitan pasar auditorías, responder reguladores, tranquilizar al directorio, producir reportes y mostrar una arquitectura defensiva legible en PowerPoint. Nada de eso es inútil. El problema aparece cuando esa capa de cumplimiento se vuelve sustituto de la capacidad real.

En ese modelo, el valor simbólico del SOC puede pesar más que su valor interpretativo. Lo importante no es si el equipo está leyendo bien la telemetría, sino si existe, si está documentado y si genera indicadores. Lo importante no es si un control reduce riesgo de manera material, sino si puede mapearse a una normativa, a un estándar o a una evidencia auditable. Esa lógica anestesia. Hace sentir que la organización maduró porque ordenó sus procesos, cuando en realidad podría estar simplemente decorando su fragilidad con vocabulario correcto.

El World Economic Forum advirtió en su Global Cybersecurity Outlook 2025 que la complejidad del entorno digital sigue aumentando por tensiones geopolíticas, interdependencias en la cadena de suministro, sofisticación criminal y nuevas superficies tecnológicas, mientras la brecha de talento empeora: dos de cada tres organizaciones reportaron brechas de habilidades de moderadas a críticas, y solo 14% declaró confiar en tener hoy las personas y competencias que necesita. El dato importa porque muestra una paradoja brutal: el mercado habla más de ciberseguridad que nunca, pero sigue sin comprar en la escala necesaria la profundidad que la complejidad exige.

Allí el compliance se vuelve una tentación peligrosa. Permite mostrar progreso sin resolver el núcleo del problema. Permite ordenar lo visible y postergar lo difícil. Permite llenar casillas mientras la comprensión sigue siendo escasa. El cumplimiento es necesario; lo que resulta letal es usarlo como reemplazo del oficio. Cuando eso ocurre, la seguridad deja de ser capacidad y se convierte en teatro corporativo de alto presupuesto.

El argumento del gatekeeping y por qué no alcanza

El reproche más previsible contra esta tesis es emocional y político: “esto es gatekeeping”, una forma elegante de decir que los veteranos quieren cerrar la puerta y proteger su territorio. La crítica no es absurda. En una industria que a veces romantiza la experiencia y convierte trayectorias difíciles en insignias de pureza, existe el riesgo de que cualquier defensa de la profundidad suene como desprecio por quienes recién empiezan. Pero confundir honestidad profesional con cierre elitista sería otro error de diseño.

Decir que la ciberseguridad no es un campo de entrada en sentido estricto no equivale a expulsar talento joven. Equivale a ordenar expectativas. Lo deshonesto no es advertir que el terreno es complejo. Lo deshonesto es vender accesos rápidos a una disciplina que castiga con especial dureza la superficialidad. El verdadero gatekeeping no ocurre cuando alguien dice “te falta recorrido”; ocurre cuando una institución vende la ilusión de que ya estás listo y el mercado, más tarde, te castiga por haberle creído.

El talento nuevo sí tiene un lugar, y uno importante. Pero ese lugar no debería definirse por autonomía prematura, sino por incorporación inteligente a rutas de desarrollo: prácticas, aprendizajes, trabajo junto a perfiles con más oficio, exposición gradual a entornos reales, tareas delimitadas y una narrativa profesional más honesta. No “ya eres especialista”, sino “estás entrando a un oficio exigente”. Eso suena menos glamoroso y mucho más útil.

Además, la propia industria valora habilidades que van bastante más allá del fetiche técnico. ISC2 encontró que entre las capacidades más priorizadas por gerentes de contratación para talento temprano aparecen trabajo en equipo, resolución de problemas y pensamiento analítico, junto con el uso de evaluaciones basadas en habilidades. Esa combinación sugiere algo importante: el problema no es si alguien parte joven, sino si parte sobre una base honesta y con potencial real de crecimiento.

Cuidar la puerta no es gatekeeping cuando del otro lado hay un precipicio. La discusión seria no debería ser quién merece entrar, sino cómo se diseña una entrada que no convierta al principiante en responsable de complejidades que todavía no puede absorber.

Si esta tesis estuviera equivocada

Vale la pena hacer el ejercicio inverso y destruir la tesis, o al menos intentar hacerlo. Supongamos que la ciberseguridad sí fuera una carrera de entrada comparable a soporte, desarrollo inicial o administración básica. En ese escenario, bastaría con una enseñanza instrumental, una exposición razonable a conceptos generales y un set de herramientas estándar para que el egresado pudiera desempeñarse con relativa seguridad. El problema es que la realidad del propio mercado contradice ese supuesto.

Si bastara la formación inicial, los empleadores no priorizarían experiencia previa en TI por sobre títulos aislados. Si bastara la formación inicial, no necesitarían meses de entrenamiento antes de soltar cierta independencia. Si bastara la formación inicial, la industria no insistiría tanto en mentoría, pasantías, aprendizajes y evaluaciones prácticas. Y si bastara la formación inicial, la brecha de talento no se presentaría como una brecha de profundidad, sino apenas como una brecha de volumen. Nada de eso es lo que muestran los datos recientes. Lo que muestran es una profesión donde el ingreso existe, pero bajo una fuerte necesidad de acompañamiento y maduración.

También podríamos decir que la automatización reducirá la necesidad de profundidad. Que la inteligencia artificial, los playbooks, la correlación automatizada y las plataformas cada vez más “inteligentes” permitirán que perfiles menos técnicos operen con seguridad. El argumento tiene algo de verdad, pero solo hasta cierto punto. Cuanto más automatizado se vuelve el entorno, más importante se vuelve entender qué automatizamos, con qué supuestos y dónde puede romperse ese supuesto. La automatización no elimina el juicio; lo desplaza hacia capas más abstractas y, por ello, a veces más peligrosas.

Entonces la tesis sobrevive al intento de demolición, pero transformada. No significa que nadie pueda empezar en ciberseguridad. Significa que empezar no es lo mismo que estar listo. Significa que el campo admite puertas de entrada, pero no atajos conceptuales. Y significa, sobre todo, que la narrativa correcta no es “cualquiera puede salir experto de aquí”, sino “podemos iniciar tu recorrido de manera seria, pero no vamos a mentirte sobre el tamaño del oficio”.

La ruta honesta hacia el oficio

Si la crítica va en serio, la alternativa también tiene que ser seria. No basta con denunciar la simplificación; hay que describir una ruta mejor. Esa ruta parte por reconocer que la ciberseguridad debería enseñarse como una especialización acumulativa, no como una promesa instantánea. En etapas tempranas puede y debe enseñarse pensamiento adversarial, fundamentos de riesgo, cultura de seguridad, identidad, nociones de arquitectura, lectura de telemetría y criterios básicos de protección. Pero la profesionalización robusta debiera apoyarse en una base previa: sistemas, redes, desarrollo, automatización, cloud, operaciones, análisis de datos o gestión tecnológica real.

Eso cambia la narrativa completa. En vez de producir “expertos rápidos”, se forman perfiles con suelo técnico que luego pueden converger hacia seguridad con mucho más sentido. En vez de currículos obsesionados con herramientas, se diseñan trayectorias centradas en mecanismos. En vez de laboratorios teatrales, se privilegian entornos que se parezcan más a sistemas reales: ambiguos, interdependientes, molestos, llenos de excepciones y decisiones heredadas. En vez de vender empleabilidad inmediata como si fuera prueba de dominio, se reconoce algo más valioso: la empleabilidad sostenible que nace de entender cómo respira una organización tecnológica.

La academia tendría que ajustar su honestidad. La industria, sus incentivos. Y el talento joven, sus expectativas. No como castigo, sino como inversión en solidez. Porque la ciberseguridad necesita sangre nueva, sí, pero no bajo la ficción de que un problema de complejidad se resuelve con marketing educativo y organigramas baratos. Necesita profesionales capaces de leer sistemas, traducir negocio, cuestionar automatismos y resistir la tentación de creer que un dashboard equivale a comprensión.

En el fondo, la tesis es menos elitista de lo que parece y más democrática de lo que algunos admitirán: no dice que pocos puedan llegar. Dice que nadie debería llegar engañado. La ciberseguridad no es un atajo laboral; es un oficio de madurez. Y cuanto antes dejemos de venderla como una salida rápida, antes empezaremos a formar gente que no solo sepa hablar de seguridad, sino sostenerla cuando el ruido se convierta en amenaza real.