Cómo contratar a un responsable de programa de bug bounty / VDP en 2026

Para contratar a un responsable de programa de bug bounty o VDP, decide primero si necesitas a alguien que se haga cargo de todo el programa o un triaje gestionado externamente. Redacta la descripción del puesto en torno a cuatro funciones esenciales: triaje de informes, relación con los investigadores, responsabilidad sobre los SLA y las guardias, y decisiones sobre los niveles de pago. Criba en función del criterio real de triaje y de una trayectoria demostrada de comunicación con investigadores; después, organiza una entrevista práctica en la que la persona haga el triaje de un informe real en directo, incluida una pieza plantada de basura generada por IA.

Un responsable de programa de bug bounty / VDP se hace cargo de tu función de vulnerabilidades entrantes de principio a fin. Hace el triaje de los informes a medida que llegan, valida o refuta cada hallazgo, se comunica con los investigadores externos, controla el reconocimiento y la resolución frente a los SLA, dirige la rotación de guardias que captura los informes críticos fuera de horario y decide cuánto paga cada hallazgo válido. Es un puesto de criterio, comunicación y operaciones que además exige una base técnica profunda, no un puesto de hacking puro. Esta guía cubre el mercado de contratación de 2026, cuánto pagar, cuándo contratar y cómo cribar para dar con la persona que de verdad va a hacerse cargo de tu cola de informes.

El mercado de contratación de responsables de bug bounty / VDP en 2026

El puesto se está profesionalizando deprisa, y hay tres fuerzas que lo impulsan: la cima del mercado está reajustando las recompensas al alza, la IA inunda las colas de informes y todavía no existe un título de puesto claro para la persona que tiene que gestionar todo eso.

Entre los títulos habituales para el mismo trabajo están bug bounty program manager, VDP manager, vulnerability disclosure program manager, product security engineer (con foco en bug bounty) y, en organizaciones más grandes, security program manager (offensive / CVD). El hilo conductor es la titularidad de la cola de informes y de la relación con el investigador, no la titularidad de la base de código.

1. La cima del mercado está señalando que la investigación entrante vale dinero de verdad. En octubre de 2025, Apple anunció una evolución importante de su Apple Security Bounty, duplicando su premio máximo de 1 000 000 a 2 000 000 USD para las cadenas de exploits sin clic (zero-click), con un sistema de bonificaciones que puede llevar un solo pago por encima de los 5 000 000 USD. Duplicó o superó el importe en casi todas las categorías (cadenas de un clic de 250 000 a 1 000 000 USD, proximidad inalámbrica de 250 000 a 1 000 000, escape del sandbox de aplicaciones de 150 000 a 500 000), con efecto a partir de noviembre de 2025 (Fuente: Apple Security Research, «A major evolution of Apple Security Bounty»). Cuando el mayor programa del planeta reajusta sus precios de forma tan agresiva, todos los programas por debajo sienten la presión de formalizar cómo deciden ellos sus pagos. Y eso es trabajo de responsable de programa.

2. El volumen de informes generados por IA obliga a los programas a reforzar la plantilla. El Hacker-Powered Security Report 2025 de HackerOne señala que los hallazgos válidos relacionados con IA aumentaron un 210 % interanual, los informes de inyección de prompts subieron un 540 % y el número de programas con IA dentro del alcance o con un informe válido de IA creció un 270 %, hasta más de 1 121 programas (Fuente: HackerOne, «210% Spike in AI Vulnerability Reports»). La otra cara es la ola de «basura»: envíos automatizados y redactados por IA que están muy pulidos pero son técnicamente superficiales. HackerOne registró más de 1 100 envíos de hackbots, de los cuales aproximadamente la mitad eran válidos y el 78 % de esos eran XSS, bugs de manual y no los fallos de lógica complejos que exigen criterio humano (Fuente: HackerOne, «3 Signals from the 2025 Hacker-Powered Security Report»). La señal real al alza y el ruido al alza caen en la misma bandeja de entrada, y ambos necesitan a alguien cuyo trabajo a tiempo completo sea separar los dos.

3. No existe una categoría ocupacional clara para este puesto, y eso en sí mismo es la noticia. La Oficina de Estadísticas Laborales de EE. UU. no mantiene un código para «responsable de programa de bug bounty». La clasificación más cercana es Information Security Analysts (SOC 15-1212), con un crecimiento proyectado del 29 % entre 2024 y 2034, una de las ocupaciones de más rápido crecimiento que rastrea, con unas 16 000 vacantes al año y aproximadamente 182 800 empleos en 2024 (Fuente: BLS Occupational Outlook Handbook, Information Security Analysts). Usa esa cifra para la trayectoria de la demanda, no como salario: el 15-1212 mete al responsable de programa en el mismo saco que a los analistas de SOC, los cazadores de amenazas y los ingenieros de seguridad generalistas. La ausencia de una categoría dedicada es justo la razón por la que «cómo contrato siquiera a esta persona» es una pregunta sin respuesta para la mayoría de los fundadores.

Referencias salariales de un responsable de bug bounty / VDP para 2026

Como no existe un código ocupacional dedicado, la compensación hay que triangularla a partir de títulos adyacentes y ofertas reales publicadas. El resumen honesto: la horquilla es amplia, desde unos 115 000 USD para un enfoque de coordinador de programa júnior hasta 260 000 USD para un responsable sénior de seguridad de producto que se hace cargo de toda la función.

• Nivel coordinador de programa / analista. El agregado «bug bounty program» de Glassdoor indica una media en torno a 115 427 USD, con el percentil 90 cerca de 197 097 USD (Fuente: Glassdoor, Bug Bounty Program Salary). Esto mezcla a coordinadores, encargados de triaje y responsables, así que léelo como una señal de suelo a punto medio.
• Nivel security program manager. A principios de 2026, un Security Program Manager general promedia aproximadamente 145 000 a 149 000 USD, y un Cyber Security Program Manager promedia alrededor de 162 242 USD, con cifras de percentil 90 cerca de 167 000 USD (Fuentes: Salary.com, Security Program Manager, PayScale, Security Program Manager). Esta es el ancla adecuada para alguien que se haga cargo de un programa sin una exigencia fuerte de hacking práctico.
• Nivel sénior de seguridad de producto / responsable dedicado. Las ofertas de empleo reales de 2026 para un responsable de bug bounty que gestiona un VDP de principio a fin se agrupan en la franja de 240 000 a 260 000 USD, coherente con ingenieros de seguridad sénior que ganan 190 000 a 270 000 USD de base en empresas bien financiadas (Fuente: ZipRecruiter, Bug Bounty Jobs). Trata la cifra de 240 000 a 260 000 USD como derivada de ofertas y dependiente de la geografía y la etapa, no como una media nacional. Refleja puestos sénior en empresas tecnológicas financiadas de grandes áreas metropolitanas de coste elevado.

Dos realidades de compensación con las que contar. Primero, la ciberseguridad vive una escasez estructural de talento (la proyección de crecimiento del 29 % del BLS es la señal), así que los responsables especializados y con experiencia demostrable se pagan con sobreprecio y negocian con dureza. Segundo, en empresas cotizadas y en etapas avanzadas, la base es solo una parte de la historia: la compensación total con acciones puede quedar muy por encima de estas franjas base, así que presupuesta la compensación total, no solo el salario.

¿Cuándo deberías contratar a un responsable dedicado de bug bounty / VDP?

La mayoría de las empresas llegan a esta contratación por el camino equivocado. Lanzan un programa público, se ven desbordadas y entonces corren a apagar el fuego. Contrata antes de la avalancha. Vigila estos desencadenantes:

• Estás a punto de hacer público un programa de bug bounty. Un programa privado, solo por invitación, muchas veces puede llevarlo a tiempo parcial un ingeniero de seguridad ya en plantilla. Un programa público, donde cualquiera puede enviar, genera un volumen que necesita a un dueño dedicado desde el primer día. Aircall, por ejemplo, mantiene un programa de Bugcrowd solo por invitación y ha declarado que planea ampliar el alcance y hacerlo público (Fuente: security.txt de Aircall). El momento justo antes de hacerse público es el momento de incorporar al responsable.
• Los informes entrantes están apartando a los ingenieros del trabajo del roadmap. Cuando validar y refutar informes (sobre todo basura de IA) se convierte en un impuesto recurrente sobre tu equipo de ingeniería, un encargado de triaje dedicado se paga solo con las horas de ingeniería recuperadas.
• El cumplimiento normativo fuerza la función. Regulaciones como la Ley de Ciberresiliencia de la UE están haciendo obligatoria la divulgación coordinada de vulnerabilidades para categorías enteras de productos, y una fecha límite de cumplimiento es un desencadenante contundente para cubrir el puesto. Consulta nuestra guía de la Ley de Ciberresiliencia de la UE.
• Los investigadores se quejan en público. Los reconocimientos lentos, el silencio y los pagos disputados son la forma en que los programas acaban con un incidente de divulgación mal gestionada. Si los investigadores ya están frustrados, llegas tarde.

Construir o comprar: responsable interno frente a triaje gestionado

Antes de contratar, decide qué harán y qué no harán por ti los proveedores de plataformas. El triaje gestionado de HackerOne o Bugcrowd se encarga de la validación de primer paso, pero no es gratis y no se hace cargo de tu remediación interna, tu política de pagos ni tus relaciones con investigadores.

Precios de 2026 según fuentes públicas: los programas VDP de nivel inicial cuestan ~8 000 a 12 000 USD/año, los programas privados de bug bounty ~25 000 a 40 000 USD/año y los programas de plataforma completa a nivel empresa más de 150 000 USD/año; las tarifas de plataforma de Bugcrowd van de 30 000 a más de 150 000 USD; HackerOne añade una comisión del 5 % sobre cada pago de recompensa, y el triaje gestionado suma decenas de miles más. Una tarifa de plataforma de 50 000 USD más una bolsa de recompensas de 200 000 USD más 40 000 USD de triaje gestionado suponen un compromiso anual de aproximadamente 290 000 USD (Fuente: Ciphers Security, Bug Bounty Program Cost 2026).

Las cuentas: un responsable interno con todos los costes incluidos (~150 000 a 260 000 USD) es comparable a los servicios gestionados de nivel empresa, pero el responsable además se hace cargo de la estrategia de pagos, del seguimiento de la remediación interna y de la relación con el investigador, cosas que ninguna plataforma hace por ti. La mayoría de las empresas en crecimiento acaban en un modelo híbrido: una plataforma para la recepción y el triaje de primer paso, y un responsable interno que se hace cargo de todo lo que viene después.

Qué contratas en realidad: las cuatro funciones esenciales

Sé preciso sobre el puesto antes de redactar la descripción, porque los títulos se solapan y las competencias no. La persona que se hace cargo de esta función hace cuatro cosas distintas.

1. Triaje y validación de informes. Lee cada informe entrante, reproduce o refuta el hallazgo, deduplica frente a problemas ya conocidos y, algo crítico en 2026, reconoce la basura de IA rápido para que nunca se coma la tarde de un ingeniero. Es la parte de mayor volumen y de mayor criterio del puesto.
2. Relación con los investigadores (el libro mayor). Mantiene la relación con los investigadores externos: reconoce los informes con rapidez, comunica el estado con honestidad, hace un seguimiento de la reputación e historial de cada investigador y protege la confianza que hace que los buenos investigadores te sigan enviando informes a ti en vez de hacerlo público. Los pagos disputados viven aquí. Consulta nuestra guía de pagos disputados y equidad de SLA.
3. Guardias y seguimiento de SLA. Se hace cargo de los relojes de reconocimiento y de resolución. Un informe crítico que llega a las 2 de la madrugada de un sábado no puede esperar al lunes; el responsable dirige (o forma parte de) la rotación de guardias y responde cuando se incumple un SLA.
4. Decisiones sobre niveles de pago. Asigna cada hallazgo válido a un nivel de severidad y a una cantidad en dólares, de forma defendible y coherente. Si lo haces mal, o pagas de más por ruido o pagas de menos la investigación real y pierdes tu base de investigadores. Consulta niveles de recompensa y confianza de los investigadores.

Una especificación útil del mundo real: una oferta de Anthropic de 2026 para un Technical Program Manager, Security (Coordinated Vulnerability Disclosure) pide más de 10 años en ciberseguridad o gestión de vulnerabilidades y más de 4 años dirigiendo programas de divulgación o de respuesta coordinada, haciéndose cargo del ciclo de vida completo de la CVD (divulgación coordinada de vulnerabilidades), desde el triaje interno y la validación humana de hallazgos generados por IA, pasando por los plazos de divulgación escalonados, hasta la coordinación externa, trabajando de forma interdisciplinar con Ingeniería de Seguridad, Legal, Comunicación y Producto. Fíjate en la mención explícita a «validación humana de hallazgos generados por IA». Esa es la versión de 2026 de este puesto.

El error más común y más caro es dar por hecho que se trata de un puesto de hacking puramente práctico. Es un puesto de criterio, comunicación y operaciones que requiere suficiente profundidad técnica para validar hallazgos. Un brillante desarrollador de exploits que no sepa comunicarse con un investigador frustrado ni mantener un SLA no triunfará aquí.

Cómo redactar la descripción del puesto de responsable de bug bounty / VDP

Redacta la descripción en torno a las cuatro funciones esenciales, y separa los requisitos imprescindibles de los deseables para no encoger todavía más una bolsa de talento ya de por sí diminuta.

Responsabilidades imprescindibles que hay que dejar por escrito:

• Hacer el triaje y validar los informes de vulnerabilidades entrantes; reproducir hallazgos y deduplicar frente a problemas conocidos.
• Reconocer y descartar la basura de bajo valor generada por IA sin quemar tiempo de ingeniería.
• Hacerse cargo de la comunicación con los investigadores: reconocimientos rápidos, actualizaciones de estado honestas, gestión de disputas.
• Hacerse cargo del seguimiento de SLA (reconocimiento más resolución por severidad) y participar en la rotación de guardias.
• Asignar niveles de severidad y de pago de forma coherente frente a una matriz publicada.
• Colaborar con ingeniería en la remediación y con legal en el puerto seguro (Safe Harbor) y los plazos de divulgación.

Requisitos frente a deseables. Requisitos imprescindibles: titularidad demostrada de un programa de bug bounty o VDP (interno o como encargado de triaje en una plataforma), la capacidad de validar vulnerabilidades web y de aplicaciones, y una trayectoria de buena comunicación con investigadores. Deseables: certificaciones de seguridad ofensiva (OSCP y similares), experiencia de coordinación con CVE / CERT-CC y experiencia con una plataforma concreta (HackerOne, Bugcrowd, Synack). No pongas una certificación como obligatoria. Los responsables de programa más fuertes muchas veces vienen del lado de la investigación y se ganan el puesto con su criterio de triaje, no con insignias.

Indica el volumen. Nombra la cola esperada («triaje de ~X informes/semana en N activos») y los objetivos de SLA que esperas que mantengan. Así se filtran de forma natural los operadores que han llevado una cola real y se descarta a quienes solo han enviado informes a programas.

Para una estructura y un lenguaje que atraigan en vez de repeler, aplican los mismos principios de nuestras otras guías de contratación: empieza por el impacto y las funciones concretas, no por un muro de palabras de moda.

Señales de cribado: qué buscar

Criba a partir de pruebas, no de sensaciones, y recuerda que contratas tanto por criterio y comunicación como por profundidad técnica.

1. Criterio de triaje

La competencia central. Pide un repaso de un informe real que hayan triado: cómo lo reprodujeron, cómo decidieron que era válido o no, cómo deduplicaron y, la señal reveladora de 2026, cómo detectan la basura de IA. Las buenas respuestas citan indicios concretos: nombres de funciones alucinados, CVE inventados, texto de remediación genérico, prueba de concepto ausente o que no funciona, lenguaje de plantilla, pasos de reproducción vagos. Un candidato que no sepa articular sus heurísticas de detección de basura no ha estado en la cola durante la avalancha.

2. Comunicación con investigadores y gestión de disputas

Pregunta por un pago disputado o un investigador enfadado que hayan calmado, y por una vez en que tuvieron que rechazar un informe de un investigador de alta reputación. Escucha si hay empatía más firmeza: protegieron la relación y mantuvieron la línea sobre la validez y la severidad. Esta es la competencia que hace que la buena investigación siga llegándote a ti en vez de irse a las redes sociales o, peor, a una divulgación pública mal gestionada. Consulta cuándo los investigadores se hacen públicos.

3. Disciplina de SLA y guardias

Pregunta qué SLA de reconocimiento y resolución llevaron, y con qué frecuencia los incumplieron y por qué. Pregunta cómo gestionaron un informe crítico fuera de horario. Los buenos candidatos piensan en relojes y rutas de escalado; los flojos tratan la cola como un «lo que se pueda».

4. Razonamiento sobre niveles de pago

Dales un hallazgo y pregunta cuánto pagarían y por qué. Estás comprobando si hay un marco defendible y coherente (severidad a nivel a franja), no un número sacado del aire. Un responsable que premia de más el ruido reventará tu presupuesto; uno que premia de menos el trabajo real perderá a tus investigadores.

Cómo diseñar el proceso de entrevista

Entrevista a un responsable de programa viéndolo hacer el trabajo, no hablando de él. Un circuito práctico:

1. Criba de reclutador / responsable de contratación (30 min). Alineación con el puesto, los programas de los que se ha hecho cargo, el volumen y los SLA que mantuvo. Pide números reales.
2. Ejercicio de triaje en directo (60 min). Entrégale dos o tres informes reales y anonimizados, e incluye deliberadamente una pieza de basura de IA y un hallazgo genuinamente bueno. Pídele que haga el triaje en directo: reproducir, validar, deduplicar, asignar severidad, redactar la respuesta al investigador y decidir un pago. Este único ejercicio expone a la vez el criterio de triaje, la detección de basura, el tono de comunicación y el razonamiento sobre pagos.
3. Dramatización con un investigador (30 min). Tú haces de investigador frustrado y de alta reputación que disputa una severidad rebajada. Observa cómo mantiene la línea mientras protege la relación.
4. Análisis a fondo de sistemas y procesos (30 min). Que repase su último programa de principio a fin. ¿Dónde estaban los cuellos de botella? ¿Qué SLA se incumplieron y por qué? ¿Cómo usó, o cómo desearía haber usado, la automatización para el triaje de primer paso?
5. Interdisciplinariedad y valores. Cómo colabora con ingeniería en la remediación y con legal en el puerto seguro (Safe Harbor) y los plazos de divulgación.

Buenas preguntas de entrevista para incluir:

• «Repásame el último informe que triaste y que resultó ser basura. ¿Qué te dio la pista?»
• «Cuéntame sobre un pago disputado. ¿Cuánto pagaste y cómo lo cerraste con el investigador?»
• «¿Qué SLA de reconocimiento y resolución llevabas, y cuándo los incumpliste?»
• «¿Cómo triarías este informe ahora mismo?» (entrégale uno)
• «¿Cómo decides la severidad cuando el investigador y tus ingenieros no se ponen de acuerdo?»

Errores comunes al contratar a un responsable de bug bounty / VDP

• Contratar a un desarrollador de exploits para un puesto de operaciones. Una habilidad de hacking de élite no garantiza disciplina de triaje, empatía con el investigador ni rigor con los SLA. Criba por el puesto completo.
• Esperar a después de hacerte público. La avalancha llega el primer día de un programa público. Incorpora al responsable antes de abrir las puertas, no cuando la cola ya está ardiendo.
• Tratar las certificaciones como prueba. No existe ninguna licencia para este puesto. Muchos de los mejores responsables vienen del lado de la investigación sin credenciales de PM. Las insignias son criterios de desempate, no filtros de acceso.
• Subestimar la relación con los investigadores. Un responsable capaz de validar bugs pero incapaz de comunicarse destruirá en silencio tu base de investigadores y montará un estallido de divulgación pública.
• Ignorar el problema de la basura en la descripción del puesto. Si la descripción parece escrita en 2022, los candidatos de 2026 con experiencia darán por hecho que no entiendes el volumen al que se van a enfrentar.
• Contratar a la persona y luego entregarle una bandeja de entrada compartida y una hoja de cálculo. El fallo más evitable de todos. Cribaste buscando disciplina de SLA y pagos coherentes, y luego no les diste ningún sistema para hacer cumplir ninguna de las dos cosas.

Cómo te ayuda Kit a contratar y equipar a un responsable de bug bounty / VDP

El responsable que contrates solo será tan eficaz como el sistema que le entregues. Puedes cribar con dureza buscando criterio de triaje, comunicación con investigadores, disciplina de SLA y razonamiento coherente sobre pagos, pero si el nuevo responsable hereda una bandeja de entrada compartida y una hoja de cálculo, las métricas que evaluaste en la entrevista nunca se materializan. El módulo CSIRT / VDP de Kit es una plataforma operativa estructurada para exactamente esta función, para que las competencias que cribaste se conviertan en el sistema que maneja.

• Triaje de primer paso asistido por IA. El cribado de Kit hace un primer paso con LLM que recomienda pasar, revisar o marcar según la confianza y saca a la luz señales explícitas de basura (funciones alucinadas, CVE inventados, remediación genérica, prueba de concepto ausente, lenguaje de plantilla). Es de apoyo, no de rechazo automático, así que tu responsable resuelve los casos límite mientras la basura evidente nunca llega a un ingeniero. Esta es la respuesta operativa al problema del 210 % de volumen de IA. Consulta nuestro análisis a fondo del triaje de basura de IA.
• Libro mayor y reputación de investigadores. Un sistema de karma y reputación premia el trabajo válido y penaliza la basura y los mensajes basura, de modo que las relaciones y el historial de los investigadores viven en un solo sitio en vez de reconstruirse de memoria. Es justo el libro mayor del que se hace cargo el puesto.
• Matriz de recompensas por niveles de severidad. Los pagos se corresponden con los niveles de severidad por política (lo informativo es 0 USD, escalando según la severidad), de modo que las decisiones de pago son coherentes y defendibles: el marco que cribaste, aplicado por el sistema.
• SLA de reconocimiento y resolución, más guardias. Kit hace un seguimiento de los relojes de reconocimiento y de resolución por severidad y admite la autoasignación de guardias, de modo que la disciplina de SLA que evaluaste en la entrevista se mide, no se queda en un «lo que se pueda».
• Alcance, security.txt y controles antibasura en el origen. Un alcance publicado y un security.txt reducen el ruido fuera de alcance antes de que llegue a la cola, y la limitación de frecuencia impide que un solo actor inunde la recepción.

Contrata al operador que pueda hacerse cargo de la cola y luego dale una cola que valga la pena. Si aún no has lanzado el programa, empieza con nuestra guía cómo montar un programa de divulgación de vulnerabilidades. ¿Cribas una contratación de seguridad adyacente? Consulta cómo contratar a ingenieros de seguridad con el rendimiento en CTF. Cuando estés listo, empieza una prueba gratuita y dale a tu nuevo responsable el sistema desde el primer día.