Si bien las principales causas del agotamiento de los CISO reciben una cobertura considerable en las conferencias y en los medios de comunicación —cuestiones como las últimas amenazas a la ciberseguridad, los recortes presupuestarios o la creciente presión por parte del consejo de administración para garantizar la seguridad de su organización—, existe un factor de estrés de larga data y cada vez mayor que pasa desapercibido: la pérdida de una buena parte de su plantilla debido a la rotación natural.
Sustituir al personal cualificado puede suponer todo un reto para los responsables de seguridad de la información de , sobre todo teniendo en cuenta la creciente escasez de personal en este sector tan exigente. Sin embargo, la rotación de personal puede plantear otros problemas, quizá menos evidentes, para los responsables de seguridad, los directivos de las empresas, los miembros del consejo de administración y todas las demás personas encargadas de supervisar la ciberseguridad.
«No se trata solo de sustituir a un empleado, sino de recuperar la confianza, la experiencia y la percepción de la situación que se pierden cuando este abandona la empresa», afirma Pablo Riboldi, director de seguridad de la información (CISO) de BairesDev, una empresa de desarrollo de software «nearshore».
«Dado que el panorama de amenazas evoluciona rápidamente, la pérdida de empleados cualificados puede socavar la estabilidad en materia de seguridad y las perspectivas de crecimiento de una empresa», afirma. «En algunos casos, la rotación de personal puede incluso aumentar el riesgo de que los sistemas estén mal configurados, de que se pasen por alto vulnerabilidades o de que se retrase la detección de amenazas».
Y no es solo la pérdida de trabajadores de primera línea, como los que forman parte de su equipo de inteligencia sobre amenazas de , , lo que pone en peligro la ciberseguridad. La inestabilidad también se debe a la rotación entre los altos cargos: ejecutivos de alto nivel, como el director financiero, el director de sistemas de información, el director de tecnología o incluso los responsables de las líneas de negocio, que pueden desempeñar un papel clave a la hora de garantizar la seguridad de las organizaciones.
Es posible que los CISO tengan limitaciones a la hora de retener a otros altos directivos, pero pueden tomar iniciativas para prepararse ante una eventual renovación de sus equipos de seguridad. Y, tal y como indican las estadísticas del sector, no parece que las tasas de rotación vayan a mejorar a corto plazo.
Por qué es hora de prestar atención a la rotación del personal del equipo de seguridad
Las cifras relativas a la plantilla son desalentadoras: aproximadamente el 60 % de los más de 500 profesionales de la ciberseguridad de Estados Unidos y Canadá encuestados afirmaron que estaban planteándose cambiar de trabajo, según el «Informe de referencia sobre la remuneración del personal de ciberseguridad 2025 », publicado en febrero por la empresa de investigación IANS Research y la consultora de selección de personal Artico.
«No se trata solo de sustituir a un empleado, sino de recuperar la confianza, la experiencia y la percepción de la situación que se pierden cuando este abandona la empresa.»Pablo Riboldi, responsable de seguridad de la información (CISO), BairesDev
Solo un tercio de los encuestados afirmó que recomendaría a su empresa, y menos del 40 % se mostró satisfecho con sus oportunidades de promoción. Si bien la remuneración sigue siendo un factor a la hora de decidir si permanecer en el puesto de trabajo actual, la capacidad de desarrollar nuevas competencias y ascender dentro de la organización tiene un mayor impacto en la retención, según señala el informe.
Y los CISO no pueden permitirse perder ni uno solo de los talentos con los que cuentan. En su estudio « 2024 Cybersecurity Workforce Study», la asociación profesional de ciberseguridad ISC2 constató que el tamaño de la plantilla activa a nivel mundial solo había aumentado un 0.1 % con respecto al año anterior. El déficit de mano de obra ascendió a 4.8 millones en todo el mundo, lo que supone un aumento del 19 % con respecto al año anterior. Y la plantilla total necesaria para satisfacer la demanda ascendió a 10.2 millones, lo que supone un aumento del 8.1 %.
«Los cambios frecuentes en el personal clave pueden provocar lagunas en el conocimiento institucional, ralentizar los tiempos de respuesta ante incidentes y retrasar la puesta en marcha de iniciativas estratégicas», afirma Riboldi.
Aquí, en Focal Point, hemos estado analizando las distintas formas de garantizar el buen funcionamiento de los departamentos de seguridad, desde cómo gestionar la rotación de los CISO hasta las estrategias específicas utilizadas por los responsables de seguridad que aparecen en nuestra serie «: Historias de éxito de los CISO». Hemos realizado una encuesta entre los responsables de seguridad de la información (CISO) y otros expertos para recabar consejos sobre cómo hacer frente a la creciente presión que supone la rotación del personal de los equipos de seguridad. A continuación, le presentamos seis buenas prácticas que debe tener en cuenta.
1. Establezca un proceso estructurado de gestión del conocimiento
A veces, el mayor problema no es tanto que las personas abandonen la empresa, sino los conocimientos que se llevan consigo.
«. Los CISO deberían definir de forma proactiva las funciones críticas de seguridad… y garantizar su cobertura mediante la formación cruzada interna o mediante canales de talento externo listos para actuar.»Casey Marquette, director ejecutivo de Covenant Technologies
Documentar los procedimientos de seguridad, las configuraciones de los sistemas y los manuales de respuesta ante incidentes garantiza que los conocimientos esenciales no se pierdan cuando una persona abandona la empresa, afirma Riboldi.
«Una base de conocimientos centralizada y actualizada periódicamente permite que las transiciones se desarrollen sin contratiempos y capacita a los miembros restantes del equipo para que puedan tomar el relevo con confianza cuando sea necesario», afirma. «Es importante documentarlo todo; si algo ha ocurrido una vez, es muy posible que vuelva a ocurrir».
[Lea también: Cómo gestiona el CISO de Barclays las relaciones con los organismos reguladores]
La elaboración de un mapa de competencias puede ayudar a las empresas a hacer frente a la rotación de personal, aconseja Casey Marquette, director ejecutivo de Covenant Technologies, una empresa proveedora de servicios de selección y contratación de personal en los ámbitos de las tecnologías de la información y la ciberseguridad. «Los CISO deben identificar de forma proactiva las funciones de seguridad críticas —[por ejemplo] la respuesta a incidentes, la gestión de identidades y la seguridad en la nube— y garantizar su cobertura mediante la formación cruzada interna o mediante canales de talento externo listos para actuar». Las organizaciones que carecen de un plan pierden un tiempo precioso —«y, a menudo, visibilidad», afirma— cuando figuras clave abandonan la empresa de forma inesperada.
2. Invierta en la formación polivalente y en la redundancia de funciones
Riboldi coincide en que las organizaciones deben garantizar que los miembros del equipo de seguridad reciban una formación multidisciplinar que les permita cubrir las responsabilidades de sus compañeros. «Esto no solo aumenta la flexibilidad del equipo, sino que también reduce las interrupciones operativas cuando alguien abandona la empresa», afirma.
«. Animar a los miembros del equipo a comprender las distintas funciones dentro del ámbito de la seguridad garantiza la continuidad operativa.»Anthony Nyberg, director del Centro para la Sucesión Ejecutiva en la Escuela de Negocios Darla Moore de la Universidad de Carolina del Sur
La redundancia de funciones también contribuye a conservar las capacidades clave, incluso durante transiciones repentinas.
«Animar a los miembros del equipo a comprender las distintas funciones que conllevan las tareas de seguridad garantiza la continuidad operativa», afirma Anthony Nyberg, director del Centro para la Sucesión Ejecutiva de la Escuela de Negocios Darla Moore de la Universidad de Carolina del Sur.
3. Establezca canales de comunicación claros
«Una comunicación transparente genera confianza y facilita unas transiciones más fluidas», añade Nyberg.
«Si se lleva a cabo una evaluación y adaptación continuas de los planes de seguridad, y si esto es comprendido por los distintos responsables, tanto a nivel directivo como dentro del ámbito de competencias del CISO, la organización en su conjunto podrá estar mejor preparada para hacer frente a las amenazas en constante evolución y a los cambios de personal».
Del mismo modo que los responsables de seguridad de la información (CISO) deben comunicar claramente sus necesidades a los directores generales y al consejo de administración, también deben explicar a su personal por qué se les pide que hagan algo y cuáles son los resultados esperados. Los empleados deben sentir que están haciendo algo significativo para contribuir a reforzar la seguridad en sus organizaciones y que forman parte de un equipo. Los empleados que se sustituyen entre sí acaban adquiriendo nuevas competencias que pueden resultarles útiles tanto para su promoción lineal como no lineal.
La comunicación también implica saber escuchar. Los CISO deben mantenerse en contacto con el personal para recabar opiniones sobre cómo se desarrolla el flujo de trabajo y cómo se pueden mejorar los procedimientos.
4. Implemente protocolos rigurosos de salida de la empresa
Las organizaciones deben elaborar listas de comprobación exhaustivas para la salida de empleados que incluyan la recuperación de la información y los procedimientos corporativos, la revocación de las credenciales de acceso, la auditoría de las cuentas con privilegios y la revisión de los registros de acceso, afirma Riboldi. «Esto resulta fundamental para evitar una filtración de datos o un acceso no autorizado tras una baja.»
«El personal de seguridad suele disponer de permisos de acceso de nivel superior», afirma Marquette. «El proceso de baja debe incluir la revocación de las credenciales en todos los sistemas».
5. Aprovechar las colaboraciones externas
Las empresas pueden plantearse la externalización para complementar sus funciones que requieren mayor cualificación, al tiempo que delegan las tareas rutinarias a una organización que destaque en ese tipo de trabajo, afirma Doug Saylors, responsable del área de ciberseguridad de ISG, una empresa global de investigación y asesoramiento tecnológico.
«Los proveedores de servicios se caracterizan por la rotación de personal y ofrecen… una amplia reserva de recursos —e ideas— cuando es necesario.»Doug Saylors, líder de práctica en ciberseguridad, ISG
«Los proveedores de servicios saben gestionar bien la rotación del personal y ofrecen [un] mecanismo contractual que garantiza la calidad del servicio», afirma Saylors. «Esto permite a su equipo interno centrarse en las tareas de mayor valor y acceder a una amplia reserva de recursos —e ideas— cuando sea necesario.»
6. Evaluar el acceso de los altos directivos a datos confidenciales
¿Qué pasaría si se marchara el director general, o el director financiero, el director de sistemas de información, el director de marketing, el director de recursos humanos o cualquier otro miembro de la alta dirección? Se trata de personas que, con frecuencia, disponen de un acceso privilegiado a los datos más sensibles de la empresa, incluidos los relacionados con la ciberseguridad.
Los CISO deben asegurarse de que ninguno de esos datos salga de la empresa junto con estos directivos cuando abandonen la misma. Se trata de un aspecto fundamental de la gestión de identidades y accesos (IAM) de , y de garantizar que los CISO sepan qué directivos tienen qué niveles de acceso y en qué proyectos estaban trabajando. Adquirir esos conocimientos mientras el directivo sigue en el cargo significa que los responsables de seguridad no tendrán que ponerse al día más adelante, cuando esa persona abandone la empresa.
Esto supone una carga adicional que recae directamente sobre los hombros del CISO: debe comunicar al director general o al consejo de administración la necesidad de que los responsables de seguridad estén al corriente de los cambios inminentes en la dirección, de modo que puedan estar mejor preparados cuando se produzca la salida y adoptar las medidas adecuadas, como protocolos sólidos de salida de la empresa.
