¿Cuántos especialistas en ciberseguridad le faltan a Chile? La respuesta depende de a quién se le pregunte, y la dispersión es incómoda. El CSIRT, el equipo de respuesta ante incidentes del Estado, ha situado la brecha en más de 28.000 profesionales. La Agencia Nacional de Ciberseguridad (ANCI) fue citada en abril de 2026 describiendo un déficit superior a 60.000. Meses antes, al presentar junto a ChileValora los primeros perfiles laborales certificables del área, esa misma agencia apareció revelando una cifra de más de 5.000.
No se trata de instituciones que se contradicen entre sí. Es, en buena parte, una misma agencia entregando cifras distintas según el recorte y el contexto.
Conviene además separar dos cosas que suelen mezclarse. La proyección del CSIRT de 63.500 profesionales hacia 2026 no describe la brecha: describe la dotación total que el país necesitaría, dentro de una serie que parte en 57.500 para 2024 y llega a 76.800 hacia 2035. Restar una cifra de otra no entrega un déficit; entrega un error.
Para un comité ejecutivo esto puede parecer una discusión estadística. No lo es. Es el punto de partida del análisis, porque ninguna de esas cifras —ni la más baja ni la más alta— cambia la decisión que la empresa tiene enfrente. El tiempo que toma producir al profesional que falta es idéntico en los tres escenarios. Y ese reloj ya está corriendo.
El diagnóstico cómodo
La explicación habitual de la escasez tiene dos versiones. Una sostiene que las empresas no pagan lo suficiente. La otra, que faltan vocaciones. Ambas tranquilizan, porque ambas se resuelven con presupuesto o con campañas.
La evidencia salarial no acompaña a la primera. Las guías salariales publicadas para el mercado chileno en 2026 ubican a un CISO de empresa grande en torno a los $8 millones líquidos mensuales, y muestran que los cargos de seguridad ajustaron sus bandas salariales en el mismo orden de magnitud que el resto de tecnología. Si el problema fuera el precio, la corrección se vería ahí: un mercado que no consigue un insumo crítico paga más por él, y lo paga de forma visible. Las bandas de seguridad no se despegaron del resto.
El argumento vocacional se sostiene todavía menos. En el primer ciclo de sus programas de especialización, la academia 8.8 registró más de 2.400 participantes. No falta gente dispuesta a entrar al rubro. Falta tiempo.
La aritmética que ningún presupuesto acelera
ISC², el organismo que emite el CISSP —la certificación de referencia para roles de liderazgo en seguridad—, exige un mínimo de cinco años acumulados de experiencia laboral a tiempo completo en dos o más de sus ocho dominios. Un título universitario pertinente o una credencial de su lista aprobada puede cubrir hasta un año de ese requisito. Quien aprueba el examen sin tener la experiencia queda en calidad de Associate of ISC², con un plazo de seis años para acumularla.
Esto no es una estimación de mercado sujeta a debate. Es una regla de elegibilidad publicada por quien entrega el certificado.
Y en 2026 esa regla se endureció. Con efecto desde el 1 de abril, ISC² redujo cerca de a la mitad la lista de credenciales que permiten descontar ese año de experiencia: de alrededor de cincuenta a unas veinticinco. Entre las eliminadas están CEH, CISA, CRISC y OSCP, credenciales ampliamente difundidas entre profesionales técnicos. El requisito de fondo no cambió. Lo que cambió es quiénes pueden acortarlo.
La consecuencia es aritmética simple. Un profesional de TI que inicia hoy su reconversión —un proceso que las estimaciones de la industria sitúan entre 18 y 36 meses— recién al término de ese período llega al punto donde el reloj de la experiencia empieza a correr. Los cinco años se cuentan después. Ningún programa intensivo comprime ese plazo, porque el plazo no mide conocimiento: mide años trabajados y verificados por un tercero.
Por eso la proyección de que la brecha no se cierra antes de 2030 no es pesimismo, es cálculo. El jefe del CSIRT, Cristian Bravo, ha situado el cierre efectivo incluso más lejos, hacia 2033.
Hay un contraste que muestra con precisión dónde está el problema. En el National Cyber Security Index, el índice que elabora la e-Governance Academy de Estonia, Chile figura en el puesto 26 con 85 puntos según la actualización de octubre de 2025 —muy por encima de la posición 56 que ocupaba a comienzos de la década—. Dentro de ese resultado, el país obtiene el puntaje máximo en educación y desarrollo profesional, y cero en investigación y desarrollo en ciberseguridad: el índice no reconoce ni un programa de I+D con respaldo estatal ni un doctorado que cumpla su criterio. Institucionalidad madura, profundidad de capital humano avanzado ausente. El índice mide preparación del Estado, no stock de profesionales, y ese es exactamente el punto.
Quién es realmente el candidato
Los datos del primer ciclo de 8.8 Academy incluyen un dato que debería reordenar cualquier estrategia de atracción: la edad promedio de los participantes es de 38 años, y cerca del 45% llega con conocimientos básicos pero sin experiencia práctica. Se trata mayoritariamente de profesionales en especialización o reconversión, no de recién egresados.
Eso tiene consecuencias directas sobre el diseño de la oferta, y la mayoría de las empresas todavía recluta como si el candidato tuviera 24 años.
Un profesional de 38 años llega con carrera previa, con ingresos establecidos y, con frecuencia, con carga familiar y compromisos financieros de largo plazo. No puede absorber el recorte salarial que implica "entrar de cero" a una nueva especialidad: su referencia de compensación es su sueldo actual en TI, no la banda de entrada de un analista de seguridad. Una oferta que trate su experiencia anterior como irrelevante lo pierde en la primera conversación.
Tampoco tolera bien un proceso de selección de tres meses con cinco o más entrevistas y una prueba técnica extensa. Está empleado, tiene poco tiempo disponible y evalúa el proceso mismo como señal de cómo funciona la organización. En este segmento, la duración del proceso no es un detalle operativo de reclutamiento: es un filtro que opera en contra de la empresa.
Tres ajustes concretos se desprenden de esto. Ser transparente con la información salarial de un principio, porque quien tiene trabajo no postula a ciegas. Comprimir las instancias de decisión del proceso en plazo definido. Y reconocer la trayectoria previa —en infraestructura, en redes, en desarrollo, en auditoría— dentro de la nivelación del cargo, en lugar de descontarla por no ser experiencia formal en seguridad.
Lo que la empresa todavía puede decidir
La Ley 21.663, Ley Marco de Ciberseguridad, establece obligaciones para las instituciones que prestan servicios calificados como esenciales y para los operadores de importancia vital: gestionar sus riesgos de ciberseguridad, implementar medidas de protección y reportar los incidentes que sufran a la ANCI, que actúa como autoridad del sistema. La Ley 21.719 regula el tratamiento y la protección de los datos personales.
Estas obligaciones no producen profesionales. Producen demanda. Y la producen de forma simultánea sobre un conjunto amplio de organizaciones que, en la práctica, compiten por el mismo stock disponible. La regulación no expande la oferta de talento en el corto plazo; concentra la presión sobre ella.
De ahí se siguen tres decisiones que sí siguen abiertas.
Definir qué se contrata y qué se forma, y aceptar el precio de cada opción. Contratar un perfil senior en el mercado es rápido y caro, y compite contra todas las demás empresas obligadas. Formarlo internamente es lento y más barato, pero requiere comprometer horas de trabajo protegidas y un plazo que excede el ciclo presupuestario anual. Lo que no funciona es no decidir: eso equivale a comprar tarde y a un precio peor.
Convertir la formación en parte del cargo, no en un beneficio. Para un candidato en reconversión, las horas de estudio y la ruta de certificación son parte de la compensación, y probablemente la parte que define su permanencia. Una oferta que incluye horas protegidas y financiamiento de certificación compite mejor que una que ofrece un sueldo algo mayor sin ninguna de las dos cosas.
Decidir el modelo de externalización antes de que lo decida la urgencia. Hay funciones de seguridad que se pueden contratar afuera y otras que requieren criterio interno sobre el negocio y autoridad dentro de la organización. Esa distinción conviene tomarla con calma, y no cuando una vacante crítica lleva cuatro meses abierta.
Las cifras de la brecha van a seguir moviéndose, y las fuentes van a seguir sin ponerse de acuerdo. Es probable que ese debate ocupe titulares durante buena parte de la década.
Mientras tanto, el número de profesionales que estarán disponibles en Chile en 2030 ya quedó determinado, y no lo determinó el mercado laboral: lo determinaron los años que se necesitan para formar a alguien y las decisiones de dotación y formación que las empresas están tomando ahora. La única variable que sigue abierta es cómo se compite por el talento que ya existe.
