Consecuencias psicosociales del modelo dominante en ciberseguridad

El modelo dominante de formación y desempeño en ciberseguridad genera consecuencias profundas no solo en las estructuras técnicas, sino en los sujetos que las habitan. Tanto estudiantes como profesionales y supuestos líderes operan bajo un sistema que prioriza la repetición, el cumplimiento normativo y la asimilación de procedimientos. El pensamiento estratégico, creativo o sistémico queda marginado, cuando no directamente penalizado.

Desde la psicología del aprendizaje, esto se traduce en un modelo conductista: estímulo, respuesta, refuerzo. El estudiante aprende a pasar tests, no a pensar. El profesional aprende a ejecutar playbooks, no a diseñar nuevos enfoques. El líder aprende a comunicar según KPIs, no a transformar. El resultado: un ecosistema de profesionales que operan como autómatas certificados, incapaces de pensar más allá del marco donde fueron entrenados.

Esta lógica binaria —de lo que se puede hacer y lo que no, de lo permitido por la norma y lo que queda fuera del compliance— alimenta lo que podríamos llamar "una lógica de dos opciones": si el ataque no está en la base de datos de amenazas, no existe; si el comportamiento no fue modelado, no se analiza; si la solución no viene en el manual, no se aplica. Y esto no es un problema individual. Es estructural.

Incluso los red teamers, que en teoría representan la creatividad ofensiva dentro del sector, están constreñidos por este mismo marco. Sus ejercicios se basan en emular técnicas conocidas, documentadas en marcos como MITRE ATT&CK, que si bien útiles, ya han sido asimiladas por los defensores más ortodoxos. Se copia el pasado, pero los atacantes reales están creando el futuro. El resultado es un juego perpetuo de simulaciones que, aunque útiles para justificar presupuestos o entrenar operadores, poco aportan a la anticipación real de amenazas.

La consecuencia política de este esquema también es significativa. En términos weberianos, se reproduce una élite tecnocrática que regula la entrada al campo mediante certificaciones, titulaciones y membresías. Quienes se forman fuera de ese circuito, aunque con pensamiento más ágil, quedan automáticamente excluidos de los espacios de influencia. Esto no es solo un problema de acceso: es un mecanismo que perpetúa el statu quo y desalienta la disrupción epistemológica.

En este marco, incluso el fracaso se convierte en un ritual vacío. Nadie asume responsabilidades reales porque todos cumplieron con los procedimientos. El fallo sistémico es reabsorbido como una “anomalía inevitable”, nunca como una evidencia de que el modelo necesita ser transformado. Es la institucionalización del fracaso como parte del negocio.