Cada primavera llegan las encuestas sobre la falta de profesionales de ciberseguridad y todas dicen que faltan miles. Para quien dirige una función de auditoría interna o de riesgo tecnológico, el titular importa menos que el matiz. El problema que frena el plan no suele ser falta de gente. Es falta de la gente adecuada, y la más escasa es la senior.
Qué escasea de verdad
Un perfil junior aprende a ejecutar una prueba en semanas. Aprender a calibrar lo que encuentra tarda años, porque se adquiere con casos y no con formación.
Ese criterio es el que permite mirar un proveedor que cambia condiciones, un sistema que se conecta a otro, una norma que se activa o un incidente en curso y saber qué es grave, qué es ruido y qué evidencia hay que pedir antes de concluir. No hay atajo, y por eso el mercado no lo produce al ritmo al que lo consume.
El mercado no tiene un problema de cantidad. Tiene un problema de criterio, y el criterio tarda años en formarse.
Por qué llega antes a auditoría que a nadie
Un equipo de auditoría interna compite por ese mismo perfil con seguridad, con riesgos y con las firmas, y casi siempre paga menos que las tres.
La consecuencia no es una vacante abierta, es una lista de trabajos que se quedan fuera del plan porque nadie del equipo puede revisarlos con solvencia. Nube, identidad, agentes de IA y cadena de proveedores caen casi siempre en esa lista.
Lo habitual entonces es una de dos salidas. La primera, cubrir el trabajo con un perfil intermedio bien intencionado que sabe ejecutar pruebas pero no calibrar lo que encuentra. La segunda, externalizar la revisión entera y quedarse sin criterio propio para discutirla, que es peor. En ambos casos el informe llega al comité con conclusiones que nadie del equipo puede defender a fondo.
Qué se puede hacer este ciclo
La pregunta útil no es cómo fichar ese perfil, es dónde se está gastando hoy el criterio que ya tienes.
En la mayoría de los equipos se gasta en reunir evidencia, cuadrar exportaciones y perseguir respuestas, que es trabajo necesario y no requiere criterio. Cuando ese trabajo se ordena, las horas senior vuelven a donde valen, que es decidir qué significa un hallazgo y qué se hace con él.
Ahí conecta con la otra cara del mismo problema, que es la brecha de capacidades de la profesión.
El equipo que sale adelante no es el que consigue contratar al perfil más caro del mercado. Es el que deja de gastar a su gente senior en tareas que no piden criterio.
