Hay un tema que aparece en los pasillos, en las conversaciones privadas y en las renuncias silenciosas, pero casi nunca en las juntas: el agotamiento. En ciberseguridad, donde la narrativa dominante celebra la resiliencia, la disponibilidad permanente y la capacidad de responder a cualquier hora, admitir que alguien está quemado se siente casi como reconocer una debilidad profesional. Y sin embargo, es probablemente la condición más extendida en los equipos de seguridad de la región.
El problema no es que el burnout no exista, sino que rara vez se nombra. Se disimula como compromiso, se confunde con dedicación y se normaliza como parte del oficio. Un equipo que responde incidentes de madrugada, que vive pendiente de la siguiente alerta y que carga con la sensación de que un solo error puede costar caro, difícilmente va a levantar la mano para decir que ya no puede más. El silencio, en este caso, no es señal de que todo está bien: es exactamente el síntoma.
Por qué el agotamiento en seguridad es distinto
El desgaste existe en cualquier profesión, pero en ciberseguridad tiene una forma particular. Es una función que opera bajo una asimetría brutal: el atacante necesita tener razón una sola vez, el defensor necesita tenerla siempre. Esa presión no se apaga al final del día. No hay una versión de "seguridad terminada" a la que llegar; hay una vigilancia que no cede, un flujo de alertas que no para y una expectativa implícita de estar disponible cuando algo se rompa, sin importar la hora.
A eso se suma un problema de reconocimiento. El éxito en seguridad es, por definición, invisible: cuando todo funciona, no pasó nada, y "no pasó nada" rara vez se celebra. El equipo solo se vuelve visible cuando hay un incidente, es decir, cuando la conversación es sobre lo que falló. Trabajar durante meses para que no ocurra nada y recibir atención únicamente cuando algo sale mal es una receta silenciosa para el desgaste.
En LATAM, este panorama se intensifica por una realidad estructural: los equipos suelen ser pequeños. En muchas organizaciones, una o dos personas cargan con la operación completa de seguridad de toda la empresa. No hay relevos suficientes, no hay redundancia de conocimiento y la escasez de talento especializado hace que reemplazar a alguien sea lento y caro. El resultado es que las mismas personas sostienen la operación sin pausa, año tras año, hasta que algo cede.
El costo que no aparece en ningún reporte
Es tentador tratar el burnout como un asunto de bienestar personal, algo que se resuelve con vacaciones o con un mejor equilibrio de vida. Pero visto desde el negocio, el agotamiento es un riesgo operativo directo, porque degrada precisamente aquello de lo que depende la seguridad: la calidad del juicio.
Un analista agotado no deja de trabajar; deja de discriminar bien. Empieza a tratar cada alerta como ruido porque ha visto miles de falsos positivos, y el día que llega la señal real, la descarta con la misma fatiga con la que descartó el resto. Las decisiones se vuelven reactivas, la atención se estrecha y la capacidad de ver el patrón completo —eso que distingue a un buen defensor— se erosiona. Ningún tablero de indicadores mide esto, pero es el terreno donde ocurren los incidentes más costosos.
Y luego está la salida. Cuando alguien clave renuncia por desgaste, no se va solo una persona: se va el contexto, la memoria de por qué las cosas están configuradas como están y el criterio construido a lo largo de años. La organización no solo enfrenta un hueco en el organigrama, sino un punto ciego temporal en su seguridad, justo mientras entrena a quien llega. El burnout, en ese sentido, no es un problema de recursos humanos: es un problema de continuidad operativa.
Cuando el liderazgo normaliza el desgaste
Buena parte del agotamiento no se origina en la carga de trabajo en sí, sino en la cultura que la rodea. Cuando el liderazgo premia —aunque sea de forma inconsciente— a la persona que siempre está disponible, que contesta a cualquier hora y que nunca dice que no, está definiendo qué comportamiento se considera valioso. Y el equipo aprende rápido: sostenerse al límite es lo que se espera.
Existe además un componente cultural propio de la región, donde "aguantar" se lee muchas veces como una virtud profesional y pedir ayuda como una falla. Un líder que porta su propio cansancio como una medalla envía un mensaje difícil de contradecir con palabras. El tono del equipo lo marca quien lo dirige, y ese tono se construye más con lo que se tolera y se recompensa que con lo que se declara en una política interna.
Liderar contra el burnout es una decisión estratégica
Aquí es donde el rol del CISO deja de ser técnico y se vuelve de negocio. Atender el agotamiento no consiste en gestos superficiales de bienestar, sino en una pregunta estructural: ¿la operación de seguridad depende de que ciertas personas nunca fallen, nunca descansen y nunca se vayan? Si la respuesta es sí, el problema no es el equipo: es el diseño.
Una operación madura distribuye el conocimiento en lugar de concentrarlo, define criterios claros para que no todo dependa de la intuición de una sola persona y construye relevos reales para que la continuidad no descanse sobre la resistencia física de nadie. Diseñar la seguridad para que sea sostenible no es un lujo ni una concesión: es lo que permite que las decisiones sigan siendo buenas bajo presión, que es el momento en que más importan.
La seguridad no debería costar a las personas que la sostienen
La operación de seguridad más fuerte no es la que más aguanta, sino la que no necesita que nadie aguante más allá de lo sostenible. Reconocer el burnout como un tema estratégico —y no como una debilidad que se calla— es parte de lo que significa liderar la ciberseguridad como una función de negocio. Un equipo que puede pensar con claridad protege mejor que uno que solo sobrevive a la jornada. Y esa claridad, al final, no se compra ni se improvisa: se diseña.
