El burnout de los CISO es un problema de operaciones, no de sueldo

Los CISO se queman porque la carga operativa no tiene techo mientras los recursos siguen planos, no porque cobren poco. Cuatro datos verificados: los presupuestos de seguridad crecieron apenas un 4 % en 2025, el ritmo más lento en cinco años, y solo el 11 % de los CISO describe su equipo como bien dimensionado; el 46 % de los responsables de seguridad dedica más tiempo a mantener herramientas que a defender la organización; el 52 % de los CISO afirma que su ámbito de responsabilidad ya no es del todo manejable; y el burnout llega al 63 % en organizaciones sin capacidad de visibilidad completa, frente al 44 % en las que sí la tienen. La retribución es un suelo, no un techo. Lo que marca la diferencia es la disciplina operativa.

Ese último par de cifras resume todo el argumento. Dos organizaciones, el mismo panorama de amenazas, las mismas bandas salariales y 19 puntos de diferencia en burnout en función de si el trabajo se ve o no. Esa brecha no se cruza pagando más. Se cruza midiendo.

Las cifras de retención no cuadran con las de sueldo

La retribución en seguridad es buena y va a mejor, y aun así la gente se marcha. Esa contradicción es el punto de partida de cualquier conversación útil sobre retención.

IANS Research y Artico Search encuestaron a más de 500 profesionales de seguridad para su 2026 Cybersecurity Talent Report, publicado en abril de 2026. Titular: solo el 34 % piensa quedarse en su empresa actual.

La misma investigación sitúa el salario mediano de un analista de seguridad en 113 000 USD, el de un arquitecto de seguridad en unos 188 000 USD y el de un responsable funcional de seguridad en 256 000 USD, con las grandes empresas pagando entre un 18 % y un 20 % por encima de la media (datos de IANS/Artico según los publicó Security Boulevard, ya que el informe original está tras un muro de pago). Dos tercios de una profesión bien pagada están con un pie fuera.

Cuando los sueldos altos y la retención baja conviven en la misma población, lo que tienes delante no es un problema de retribución.

Qué midieron en realidad las encuestas de burnout

Las cifras de burnout se citan aquí como si fueran un único rango. No deberían. Cuatro estudios de 2025 y 2026 encuestaron a cuatro poblaciones distintas con cuatro formulaciones distintas, y mezclarlos todos en un «entre el 63 % y el 76 % de los CISO está quemado» es la vía rápida para que te tumben la nota sobre retención en cuanto alguien verifique los datos.

Fíjate en los matices. El 63 % de Proofpoint incluye a quienes presenciaron burnout en otras personas. Sophos encuestó a una población de TI mucho más amplia y contabilizó el «ocasionalmente». La cifra de Splunk habla de los equipos, y la cuentan de segunda mano sus jefes. Bitsight preguntó al mismo nivel jerárquico que Proofpoint y obtuvo un 47 %.

El resumen honesto: el burnout entre los responsables de seguridad se sitúa entre «la mitad» y «la mayoría», y el número exacto depende por completo de a quién cuentes. Con eso basta para actuar. No basta para montar una diapositiva que diga 76 %.

La palanca salarial existe, pero es pequeña

Las subidas funcionan. Solo que no funcionan como asume la mayoría de los planes de retención, y la prueba más sólida viene de los propios investigadores de retribución. IANS y Artico lo dicen sin rodeos en su informe: «La retribución sigue siendo importante, pero no es el principal motor de la retención». Dos hallazgos lo explican.

El movimiento salarial pesa más que el nivel salarial. Los empleados que reciben subidas, incluso modestas, declaran una satisfacción notablemente mayor y tienen más probabilidades de quedarse que quienes llevan el sueldo congelado. Una subida funciona como señal de que alguien se ha dado cuenta. El número absoluto importa menos que el hecho de que haya movimiento.

La percepción de respaldo organizativo eclipsa todo lo demás. Entre el personal de seguridad que percibe la seguridad como una prioridad central de la organización, el 73 % dice estar satisfecho con su carrera. Entre quienes perciben poco o ningún respaldo, ese porcentaje cae al 19 %. Son 54 puntos de diferencia en satisfacción sobre una variable con una partida presupuestaria de cero.

Así que no, no dejes de dar subidas. Pagar por debajo del mercado es la forma más rápida de perder gente por un motivo que controlas del todo. Pero entiende el techo: una subida convierte a un ingeniero resentido en un ingeniero resentido algo mejor pagado si la cola sigue sin fondo. Lo que separa al 73 % del 19 % es una sola cosa: si la organización gestiona de forma visible la seguridad como algo que importa, y «de forma visible» es una propiedad de los sistemas, no un estado de ánimo.

Adónde se van realmente las horas

La carga sube mientras la base de recursos se encoge. Las dos mitades están medidas.

La base de recursos se reduce en términos reales. El Security Budget Benchmark de IANS y Artico, con trabajo de campo desde abril de 2025 sobre 587 CISO, encontró que el crecimiento del presupuesto de seguridad se frenó hasta el 4 % interanual, el más bajo en cinco años, desde el 8 % de 2024. La seguridad como porcentaje del gasto en TI cayó del 11,9 % al 10,9 %, rompiendo cinco años de tendencia al alza. El crecimiento de plantilla tocó un mínimo de cuatro años en el 7 %, y solo el 11 % de los CISO describe su equipo como bien dimensionado.

El ámbito de responsabilidad no para de crecer. El 2026 State of the CISO Benchmark de IANS y Artico (662 CISO, campo entre abril y noviembre de 2025) encontró que el 52 % afirma que su ámbito ya no es del todo manejable, y casi siete de cada diez se plantean un cambio profesional en el próximo año. El CISO Report 2026 de Splunk muestra el mecanismo: casi todos los CISO asumen ya la gobernanza y el riesgo de la IA, cuatro de cada cinco supervisan DevSecOps y casi tres de cada cuatro dicen que el puesto se ha vuelto bastante más complejo.

El hueco se rellena con trabajo rutinario, no con defensa. El State of Security 2025 de Splunk encuestó a 2 058 responsables de seguridad de nueve países junto con Oxford Economics. Los resultados retratan una profesión dedicada al mantenimiento:

• El 46 % dedica más tiempo a mantener herramientas que a defender la organización
• El 59 % señala el mantenimiento de herramientas como su principal fuente de ineficiencia
• El 57 % pierde tiempo de investigación por carencias en la gestión de datos
• El 59 % recibe demasiadas alertas y el 55 % demasiados falsos positivos
• El 52 % dice que su equipo está sobrecargado
• El 52 % dice que el estrés laboral le ha hecho plantearse dejar la ciberseguridad por completo

Una encuesta de Sapio Research a 300 responsables de seguridad y TI, publicada por Help Net Security en marzo de 2026, añade las horas: una media de 10,8 horas extra a la semana por encima de la jornada contratada, y casi la mitad acumula 11 o más. Casi la mitad dice que el trabajo resulta emocionalmente agotador más a menudo de lo que resulta gratificante, y el efecto se agudiza en la alta dirección. Y aun así, el 94 % volvería a elegir la ciberseguridad.

Junta esos dos datos, porque ahí está el diagnóstico. Adoran el trabajo. Detestan las condiciones en las que lo hacen. Nadie deja por el sueldo un trabajo que volvería a elegir.

El caso más claro: un equipo de siete personas y un buzón de recompensas

Las encuestas te dicen cómo se siente la gente. Para entender cómo se acumula la carga en realidad, los mejores datos disponibles son propios y públicos: la entrada de julio de 2025 de Daniel Stenberg, «Death by a thousand slops», documenta con detalle operativo la entrada de informes de seguridad de curl. Las cifras de 2025:

• unos dos envíos de seguridad por semana
• solo alrededor del 5 % resultaron ser vulnerabilidades reales, frente a una tasa histórica superior al 15 %
• aproximadamente el 20 % de todos los envíos estaban generados por IA
• entre tres y cuatro personas intervienen en cada informe
• cada informe cuesta «30 minutos, a veces hasta una hora o tres. Cada uno.»
• el equipo de seguridad son siete personas, varias de las cuales solo tienen tres horas por semana para curl

Haz la cuenta, porque en esta conversación nunca la hace nadie. Dos informes a la semana, por unas 3,5 personas implicadas, por aproximadamente 1,5 horas cada una, dan del orden de 10 horas-persona por semana consumidas solo por la entrada. Los miembros del equipo tienen presupuestadas tres horas cada uno. El rendimiento es de aproximadamente una vulnerabilidad real cada diez semanas.

Eso no es un problema de plantilla. Diez ingenieros más darían la misma proporción a mayor coste. Es un proceso de entrada sin válvula: sin límite de volumen, sin reloj para ningún elemento individual, sin ningún mecanismo que convierta «nos estamos ahogando» en un número sobre el que alguien pueda actuar. La parte del volumen la tratamos en la basura generada por IA inunda el triaje de recompensas y la económica en un fallo de 25 USD que vale 500 000 USD. Esta es la cara laboral del mismo cambio.

Si diriges una función de seguridad en una empresa de 200 personas, tienes exactamente esta estructura. Lo único que no tienes es la disposición de Stenberg a publicar los números.

Cuando la carga no tiene válvula, la entrada acaba haciendo de válvula

Esto es lo que pasa cuando una carga sin límite se encuentra con una capacidad fija durante suficiente tiempo. En seis meses, tres de las operaciones de seguridad más competentes del código abierto llegaron a la misma conclusión por separado.

Enero de 2026: curl puso fin a su programa de recompensas, aceptando envíos por HackerOne hasta el 31 de enero y pasando a informes directos por GitHub desde el 1 de febrero. El razonamiento de Stenberg, según The Register, iba explícitamente de carga: «El torrente actual de envíos supone una carga alta para el equipo de seguridad de curl y esto es un intento de reducir el ruido».

Marzo de 2026: el Internet Bug Bounty suspendió los nuevos envíos a partir del 27 de marzo, tras haber pagado más de 1,5 millones de USD desde 2012. La explicación de HackerOne es la frase más importante de toda esta historia: «La investigación asistida por IA está ampliando el descubrimiento de vulnerabilidades en todo el ecosistema, y aumenta tanto la cobertura como la velocidad. El equilibrio entre hallazgos y capacidad de remediación en el código abierto ha cambiado de forma sustancial». En esa misma ventana, Node.js pasó a aceptar informes sin pagar recompensas y el OSS VRP de Google dejó de admitir envíos generados por IA.

Julio de 2026: curl declaró un «verano de dicha». Los envíos por HackerOne y el correo de seguridad quedaron apagados desde el 1 de julio hasta el 3 de agosto. El proyecto llevaba «una presión enorme durante los últimos cuatro meses, más o menos. Ahora necesitamos descansar», escribió Stenberg, y añadió con intención: «No esperamos que este diluvio se termine».

Que la mayor plataforma de triaje del mundo admita que el descubrimiento ha adelantado a la capacidad de remediación deja sin argumentos la respuesta refleja de «externaliza el triaje y ya». Externalizar mueve de sitio la caja negra en lugar de eliminarla, y el propio proveedor te está diciendo que la caja está llena.

Fíjate en lo que ninguno de los tres hizo. Nadie contrató para salir del apuro. Nadie encontró una herramienta mejor. El único control al que cualquiera de ellos podía llegar era la propia entrada. Así se ve un modelo operativo sin válvula cuando llega al límite: la última palanca disponible es el interruptor de apagado, y accionarlo es peor para todos, investigadores incluidos.

Por qué «apagarlo y ya» deja de ser una opción el 11 de septiembre

Los equipos de seguridad comerciales no tienen la opción de curl, y el plazo para eso ya se mide en semanas.

Desde el 11 de septiembre de 2026, el Reglamento de Ciberresiliencia de la UE (Cyber Resilience Act) obliga a los fabricantes que comercializan productos en el mercado europeo a enviar una alerta temprana a ENISA en 24 horas desde que tienen conocimiento de una vulnerabilidad explotada activamente, una notificación completa en 72 horas y un informe final en 14 días. Se aplica con independencia de dónde tenga la sede la empresa. Las sanciones llegan a 15 millones de euros o a un porcentaje de la facturación. Recorrimos el conjunto completo de obligaciones en qué significa el Reglamento de Ciberresiliencia de la UE para la divulgación de vulnerabilidades.

Resume la trayectoria en una línea. Volumen de entrada al alza. Tasa de informes válidos a la baja. Crecimiento presupuestario en mínimos de cinco años. Plantilla plana. Y un reloj legal de 24 horas que llega dentro de seis semanas.

Un reloj regulatorio de 24 horas no se responde con una bandeja de entrada y buena voluntad. «Tener conocimiento» es una marca de tiempo, y un regulador te pedirá que la enseñes. Eso exige un SLA de acuse de recibo que corra solo, una vía de escalado que avise a una persona concreta y un registro defendible de cuándo supiste qué. Los equipos que ya tengan todo eso vivirán el 11 de septiembre como un cambio de configuración. Los que no, lo vivirán como lo que acaba por romper a quien sostiene el buzón, un modo de fallo que ya documentamos en qué pasa cuando se ignora el reloj de la divulgación.

¿De verdad los CISO se van cada 18 meses?

Probablemente no. Esta es la parte del relato con más papeletas de ser falsa, y se repite sin filtro en casi todos los artículos sobre el tema.

La cifra alarmista viene del 2026 CISO Report de Cybersecurity Ventures, elaborado con Sophos, que sitúa la permanencia de un CISO en una gran empresa en 18 a 26 meses, frente a casi cinco años en el resto de puestos de alta dirección. Otros dos conjuntos de datos lo contradicen. El 2026 State of the CISO Benchmark de IANS y Artico, con 662 CISO encuestados, señala una permanencia media de nueve años en el puesto. El análisis de Ross Haleliuk en Venture in Security sobre 526 empresas del Fortune 500 encontró que los CISO llevan en el puesto una media de 4,5 años, con una mediana de 3,6, igual o por encima del CMO (3,5) y del CHRO (3,7). De los 36 CISO salientes del Fortune 500 que rastreó, 18 pasaron a otro puesto de dirección de seguridad y solo 2 se hicieron consultores. El famoso pronóstico de Gartner de febrero de 2023, según el cual la mitad de los responsables de ciberseguridad cambiaría de empleo antes de 2025, es una predicción sobre un año que ya ha pasado, sin ninguna validación publicada.

La síntesis honesta es más útil que cualquiera de los dos extremos. Los CISO no huyen de la profesión. Rotan entre empresas. Eso es exactamente lo que describen el «casi siete de cada diez se plantean cambiar en el próximo año» y el «solo el 34 % piensa quedarse», y encaja con el 94 % que volvería a elegir la ciberseguridad.

Rotación, no éxodo. Y la rotación es peor noticia para ti en concreto, porque quien se marcha no está rechazando el trabajo. Está rechazando cómo se gestiona ese trabajo donde está, y se lleva el mismo puesto a una empresa que lo gestiona mejor. Tampoco esperes que el mercado te saque del apuro: Cybersecurity Ventures estima 35 000 CISO empleados en todo el mundo en 2026, frente a 32 000 en 2023, para unos 359 millones de empresas. Esa estimación se elaboró en colaboración con un proveedor y sin metodología publicada, así que tómala como orientativa. Pero incluso como orientación resulta concluyente. 3 000 nuevos responsables netos en tres años no van a rescatar a nadie. La única variable que se mueve a la velocidad del problema es cuánta carga absorbe cada responsable que ya está en el puesto.

Qué medir en lugar de qué pagar

La receta se deduce de los dos gradientes medidos: los 19 puntos de diferencia en burnout que Bitsight atribuye a la visibilidad, y los 54 puntos de diferencia en satisfacción que IANS atribuye a la percepción de respaldo organizativo. Ambos son propiedades de los sistemas, no de los salarios. Cinco movimientos, ordenados por alivio conseguido por hora invertida:

1. Publica un SLA de acuse de recibo y ponle un reloj. Un número, público, aplicado de forma automática. Su valor no está en la promesa a los investigadores. Está en que «¿alguien contestó a eso?» deja de ser una pregunta que tu responsable de seguridad responde de memoria a las once de la noche.
2. Define objetivos de resolución por severidad y publícalos. Un hallazgo crítico y uno informativo no deberían compartir plazo. Publicar la matriz convierte una obligación sin límite en un compromiso acotado y defendible, que además es justo lo que un regulador europeo va a querer ver.
3. Escala según un calendario hacia una persona de guardia con nombre y apellidos, con periodos de espera. Escalar sin rotación solo avisa una y otra vez a la misma persona exhausta. Escalar sin periodos de espera produce la fatiga de alertas que ya cita el 98 % de los CISO de Splunk. Hacen falta las dos mitades.
4. Registra en el libro mayor cada decisión de recompensa y cada desembolso. El estado de un pago debería ser una consulta, no un recuerdo. «¿Llegamos a pagarle a ese investigador?» es una fuente recurrente de ansiedad para el responsable y de furia para el investigador, y desgranamos la dimensión de equidad en las disputas por el pago de recompensas.
5. Presenta MTTA, MTTR y cumplimiento de SLA al consejo cada mes. Esta es la palanca directa sobre la división entre el 73 % y el 19 %. Un equipo cuyo responsable puede enseñar que la función funciona con un estándar es un equipo que percibe respaldo organizativo, sin un euro de presupuesto adicional.

Nada de esto exige un proveedor concreto. Todo esto exige que el modelo operativo viva en algún sitio que no sea la cabeza de una sola persona. Si partes de cero, cómo montar un programa de divulgación de vulnerabilidades cubre los cimientos.

Cómo implementa esto el módulo CSIRT de Kit

Kit no es un producto contra el burnout. Es un producto de operaciones de divulgación, y el efecto sobre la retención es de segundo orden: hace que la carga sea acotada, cronometrada y visible, las tres propiedades que separan a una organización con un 44 % de burnout de otra con un 63 %.

SLA que corren con un reloj, no con la memoria. Fijas un único plazo de acuse de recibo para todo el programa, 72 horas por defecto, y un objetivo de resolución por cada nivel de severidad: súper crítico 24 h, crítico 72 h, alto 7 días, medio 14 días, bajo e informativo 30 días. A partir de ahí cada informe lleva su propio estado al día: en plazo, en riesgo o incumplido. Pasa a «en riesgo» en cuanto se consumen tres cuartas partes de su plazo, y la cola se ordena por lo que está más cerca del límite. Nadie tiene que hacer de reloj.

Escalado que avisa a una persona concreta, diseñado contra la fatiga de alertas. Cuando a un informe se le agota el plazo, Kit avisa a quien esté de guardia, publica una tarjeta de incumplimiento en Slack y abre un incidente en PagerDuty. Un periodo de espera de seis horas por informe impide que un caso atascado vuelva a avisar toda la tarde, y los hallazgos que el equipo clasifica como informativos se siguen registrando como incumplimientos sin avisar a nadie.

Rotación de guardias para que «quién se queda con el buzón esta noche» nunca esté en el aire. Puedes asignar a mano, activar una rotación diaria o semanal con el día y la hora de relevo que elijas, o sincronizar con el calendario de PagerDuty que ya mantienes. Los informes nuevos llegan a quien esté de turno, y los relevos y los cambios de guardia se anuncian. Cuando un hueco se queda sin nadie, Kit te lo dice, en lugar de que te enteres por un mensaje indignado.

Un libro mayor de pagos en lugar de una hoja de cálculo. Cada decisión sobre una recompensa y cada pago quedan escritos en un libro mayor que solo admite añadidos: aprobaciones, ajustes, desembolsos iniciados, completados y fallidos, documentos fiscales presentados, verificados y rechazados, y recompensas revocadas. Un apunte no se puede modificar después, los datos sensibles van cifrados y Kit comprueba periódicamente la coherencia de las cuentas. «¿Llegamos a pagarle a este investigador?» se consulta, en lugar de reconstruirse de memoria.

Métricas que responden a la pregunta del consejo sin extraer datos a mano. MTTA, MTTR, porcentaje de cumplimiento de SLA, total de recompensas pagadas, informes a lo largo del tiempo e informes por severidad, y cada persona ve solo los informes que cubren sus permisos. Y como los objetivos de resolución se configuran una sola vez y se publican de mayor a menor severidad en tu página pública de la política, la promesa que lee un investigador es el mismo compromiso que aplica el escalado.

Los límites, sin adornos. Kit no reduce cuántos informes llegan, no elimina el criterio de triaje ni convierte un equipo de dos personas en uno de cinco. Convierte trabajo ilimitado, invisible y guardado en la memoria en trabajo acotado, cronometrado, delegable y presentable. Según Bitsight, esa diferencia vale 19 puntos de burnout. Según IANS, la percepción de una función de seguridad bien respaldada vale 54 puntos de satisfacción profesional.

La conclusión para un plan de retención escrito este trimestre

Paga a precio de mercado y concede la subida modesta: pagar por debajo hace perder gente por un motivo que controlas del todo, y subir el sueldo funciona como señal de que alguien está prestando atención.

Y ahí para. El siguiente euro no va a una contraoferta. Va a hacer visible la cola.

Quien se marcha no está rechazando el trabajo. El noventa y cuatro por ciento volvería a elegir esta profesión. Está rechazando un empleo donde la cola no tiene fondo, nada tiene un reloj visible y no hay forma de demostrarle a nadie que el trabajo está acotado. Eso tiene arreglo y, a diferencia de una banda salarial, tiene arreglo este trimestre. Si además estás reconstruyendo el equipo, qué te dice realmente el rendimiento en CTF sobre un ingeniero de seguridad cubre la parte de contratación del mismo problema.