Las juntas, la alta dirección y los equipos de ciberseguridad se hacen la misma pregunta: si ocurre un incidente, ¿la organización está lista para enfrentarlo?
La respuesta, según David Etue, director ejecutivo de Cyberbit, es que muchas empresas sí invierten fuerte en herramientas, pero no han madurado sus presupuestos para garantizar resultados. Habla de plataformas como SIEM, XDR, EDR, identidad y seguridad en la nube, además de capital humano para el área de ciberseguridad.
El problema, dice, aparece cuando esas inversiones deben funcionar en condiciones reales: información incompleta, alertas en competencia, presión de tiempo y decisiones entre distintas áreas. Ahí es donde la «capacitación» suele quedarse corta como concepto y como partida presupuestaria.
Etue sostiene que la inversión en la capa humana del sistema operativo de seguridad suele etiquetarse como «formación», aunque eso no describa bien el objetivo. Técnicamente, la excelencia importa, pero es apenas el costo de entrada. Cuando aprietan los presupuestos, esa partida queda expuesta porque se percibe como algo opcional, en lugar de una capacidad que la empresa necesita mantener.
Según Etue, las juntas no suelen preguntarse si el equipo está «entrenado» o «resiliente»; quieren saber si está listo. Y esa preparación, afirma, se demuestra cuando el equipo usa sus herramientas reales, su telemetría, sus manuales de respuesta y sus rutas de escalamiento para detectar, investigar, contener y recuperarse de un ataque.
El punto central es financiero y operativo: si la empresa ya decidió comprar tecnología de seguridad, también debe financiar a las personas que convierten ese gasto en un resultado. Etue dice que esa es la lógica que entiende un director financiero.
No plantea eliminar la capacitación técnica. De hecho, afirma que las habilidades técnicas, la actualización y el conocimiento específico del puesto son un requisito básico. Pero advierte que completar cursos, asistir a sesiones o sumar certificaciones no prueba que la organización pueda manejar un evento de ransomware, un robo de credenciales o una intrusión en la nube cuando importan la velocidad, el juicio y la coordinación.
Su propuesta es cambiar el lenguaje y también el lugar del gasto. En vez de pedir fondos para «formación», recomienda encuadrar la inversión como un esfuerzo para reducir riesgo operativo, detectar vacíos antes de un incidente, mejorar tiempos de triaje e investigación, y fortalecer la coordinación entre operaciones de seguridad y respuesta a incidentes.
Etue añade que pocos presupuestos tienen hoy una línea definida de «preparación cibernética». Por eso, muchas veces ese dinero aparece tarde, sale de remanentes o se reparte entre recursos humanos, aprendizaje y desarrollo y el centro de operaciones de seguridad. En su visión, validar la capacidad de proteger servicios críticos pertenece a la conversación de riesgo y resiliencia.
También menciona que muchos regímenes de cumplimiento exigen pruebas de planes de respuesta a incidentes y preparación de quienes responden. NIST, señala, trata los ejercicios y pruebas de respuesta como mecanismos para evaluar el desempeño del programa y preparar al personal.
La lectura de fondo es simple: cuando la burocracia corporativa trata la preparación como un gasto blando, la empresa queda más expuesta. Financiarla como una capacidad operativa refuerza disciplina, reduce improvisación y protege valor.
El mercado ya votó: las herramientas sin ejecución no generan resiliencia. En ciberseguridad, como en cualquier operación crítica, el capital busca reglas claras, responsabilidades definidas y presupuesto alineado con resultados medibles.
