Interprete con cautela la brecha de personal del ISC2
Según el estudio de 2024 del ISC2, publicado el 11 de septiembre de 2024, la brecha de personal en ciberseguridad aumentó un 19 % en un año, hasta alcanzar los 4,8 millones de puestos. La organización presenta esta brecha como la diferencia entre el personal existente y el que se considera necesario.
El ISC2 es una asociación de profesionales que otorga certificaciones. Por tanto, tiene interés en documentar la escasez. Esto no hace que el estudio sea falso, pero invita a interpretar la cifra como una estimación basada en una encuesta, y no como un número de ofertas de empleo. El método de cálculo de la brecha puede consultarse en el informe completo.
El estudio también indica que el 90 % de las organizaciones declaran carencias de competencias en sus equipos de seguridad, y que el 64 % consideran que la falta de competencias es más grave que la falta de personal.
Identifique lo que dice el estudio sobre la contratación
El estudio de 2024 aporta datos sobre la estructura de los equipos. Según este, el 31 % de los encuestados afirman que su equipo de seguridad no tiene ningún empleado de nivel inicial, y el 15 %, ninguno de nivel júnior (de uno a tres años de experiencia). El estudio indica que el 62 % de los responsables encuestados tenían puestos por cubrir. Destaca que las contrataciones dan prioridad a los perfiles intermedios y avanzados.
Estas cifras son importantes para una persona recién graduada. Sugieren que la escasez es, sobre todo, una escasez de personas con experiencia. El mercado de puestos de nivel inicial puede seguir siendo difícil, incluso cuando la brecha global es grande.
El estudio también señala que cerca de una cuarta parte de los encuestados de América del Norte y Europa experimentaron despidos en ciberseguridad durante los últimos doce meses, y el 29 % en Oriente Medio y África. Los atribuye a las restricciones económicas.
Examine las proyecciones estadounidenses
El BLS proyecta un crecimiento del empleo de analistas de seguridad de la información del 21 % entre 2025 y 2035, clasificado como mucho más rápido que el promedio del conjunto de las profesiones. Su salario mediano era de 129.180 dólares estadounidenses en mayo de 2025.
Para acceder a la profesión, el BLS indica que lo habitual es contar con un título universitario de grado en informática o en un campo afín, como ingeniería o matemáticas. Precisa que algunos trabajadores acceden con un título de educación secundaria, formación y certificaciones. Señala que muchos empleadores prefieren candidatos que tengan una certificación en seguridad de la información, sin mencionar ninguna certificación concreta.
Estas cifras describen el mercado estadounidense para una categoría profesional específica. No sustituyen las estadísticas del país de destino.
Compare el título universitario y la certificación en una tabla
La siguiente tabla recoge las funciones que suelen atribuirse al título universitario y a la certificación. Se trata de un marco de interpretación basado en las fuentes citadas, no de una clasificación.
| Criterio | Título universitario | Certificación profesional |
|---|---|---|
| Función principal | Base teórica y acceso a varias profesiones | Acreditación específica de una competencia |
| Mención en las fuentes | Formación de acceso habitual según el BLS | «Preferida por muchos empleadores» según el BLS |
| Duración | Varios años | Semanas o meses de preparación |
| Limitación | Costo y duración | Requisitos de experiencia en algunas |
Esta tabla simplifica la realidad. Un título en informática no aporta automáticamente las competencias de seguridad, y una certificación no aporta la profundidad teórica de un título universitario. Ambos se complementan, en lugar de oponerse. El propio BLS menciona los dos: el título universitario de grado como formación de acceso habitual y las certificaciones como preferencia de muchos empleadores, incluso para puestos de principiantes.
Compruebe los requisitos de las certificaciones
Las certificaciones no son equivalentes. Algunas están dirigidas a principiantes; otras presuponen años de experiencia. El ISC2 ofrece, por ejemplo, la certificación Certified in Cybersecurity (CC), presentada en su página como una certificación de nivel inicial que no exige ninguna experiencia laboral. En el otro extremo, la página de la certificación CISSP menciona un requisito de cinco años de experiencia, con ámbitos admisibles y excepciones para las prácticas; los detalles de estas reglas deben consultarse directamente en el sitio de la organización, ya que cambian.
Lo importante es que una certificación avanzada no sustituye la experiencia. Un principiante no puede obtenerla íntegramente y debe aspirar primero a certificaciones de nivel inicial y, después, a puestos que permitan acumular la experiencia requerida.
El estudio del ISC2 señala que los responsables suelen esperar combinaciones de experiencia y certificaciones difíciles de reunir. A los candidatos les conviene consultar ofertas de empleo reales para identificar las certificaciones solicitadas en su región.
Evalúe el efecto de la inteligencia artificial
El estudio de 2024 informa de que más de un tercio de los encuestados identifican la inteligencia artificial como la mayor carencia de competencias de su equipo. Otra pregunta aborda las competencias consideradas importantes: el 12 % de los responsables de contratación mencionan la IA, frente al 23 % de los profesionales. Por tanto, estos porcentajes no miden lo mismo que la carencia de competencias.
Esta diferencia sugiere que los equipos y sus responsables no perciben la necesidad de la misma manera. Invita a la prudencia: una competencia de moda no necesariamente se solicita en las ofertas de empleo.
Para un estudiante, las bases sólidas siguen siendo las redes, los sistemas operativos, la programación, la criptografía y la gestión de riesgos. Estos conocimientos se transfieren de una tecnología a otra.
Otra señal que debe interpretarse con cautela: el estudio del ISC2 es una encuesta a profesionales y responsables, por lo que refleja una percepción y no una medición objetiva de las necesidades. Las percepciones reflejan la posición de cada encuestado dentro de la organización y pueden cambiar rápidamente cuando aparece una nueva herramienta. Para elegir cursos, las descripciones actuales de los puestos siguen siendo una guía mejor que cualquier estudio de tendencias.
Adquiera experiencia concreta
Dado que la demanda se centra en la experiencia, las prácticas, los proyectos y las competiciones desempeñan un papel importante. Los concursos de tipo «captura la bandera», los laboratorios personales, las contribuciones a proyectos abiertos y las prácticas en equipos de seguridad aportan elementos que se pueden mostrar a un empleador.
Los programas universitarios que incorporan prácticas o proyectos de equipo con organizaciones reales reducen la distancia entre el título y el primer puesto. Conviene preguntar a los responsables de un programa dónde han trabajado sus graduados en los últimos dos años.
Para las personas que cambian de orientación profesional, una formación corta puede complementar un título previo en informática, redes o administración de sistemas. En ese caso, funciona como una especialización, no como un punto de partida.
Estas son algunas formas concretas de documentar una competencia:
- un laboratorio personal descrito por escrito, con las herramientas utilizadas y los resultados;
- una participación en competiciones de seguridad, con la posición obtenida;
- unas prácticas o un empleo de verano en un equipo informático, incluso sin un cargo de seguridad;
- una contribución documentada a un proyecto abierto.
¿Y en Canadá?
Las profesiones de la ciberseguridad no están reguladas en Canadá como lo están las de ingeniería o salud. El título de ingeniero, en cambio, está protegido: una persona graduada que desee utilizarlo debe tramitarlo a través del colegio profesional provincial. Los empleadores, por su parte, solicitan sobre todo títulos en informática, certificaciones y experiencia. Los organismos federales publican por separado las estadísticas de empleo por profesión; estas no deben confundirse con las cifras estadounidenses de este artículo. Las certificaciones del ISC2 son internacionales: se pueden obtener en Canadá como en otros lugares, sin depender del sistema universitario, lo que permite combinarlas con un título canadiense.
StudyCanada presenta, entre otros, el programa de informática de la Universidad de Waterloo (University of Waterloo) y el de la Universidad de Ottawa (University of Ottawa / Université d’Ottawa), así como los programas de ciberseguridad de la Universidad McGill (McGill University) y de la Université de Montréal (gestión y seguridad de los sistemas de información). La Universidad de Waterloo figura por su programa de informática general, no por un programa dedicado a la ciberseguridad.