Llevo cinco años en ciberseguridad y se sienten como diez

Las habilidades que de verdad permiten liderar en ciberseguridad no aparecen en ningún temario. No las certifica nadie. Y en mi caso las aprendí bastante antes de saber lo que era un DLP: detrás de la barra del negocio de mi familia, con catorce años.

Llevo cinco años en esta profesión. Pero han sido como diez. No lo digo como queja ni como mérito: es simplemente lo que pasa cuando llegas a un oficio habiendo aprendido antes la parte que nadie te examina.

Porque mi primer trabajo no fue mi primer trabajo.

Catorce años, un negocio familiar y ninguna épica

Con catorce años ya ayudaba en el negocio de mi familia. En casa, trabajar nunca se contó como una hazaña ni como una lección de vida: era lo que había que hacer. Una necesidad, no una elección. No había discurso alrededor.

Visto desde fuera suena a historia de superación. Vivido desde dentro era mucho más simple y bastante menos bonito: sábados que no eran sábados, veranos que empezaban detrás de una barra, y la sensación temprana de que las cosas no se sostienen solas.

He tardado años en entender que aquello, que en su momento parecía solo cansancio, fue la mejor formación que he recibido.

Detrás de una barra se aguanta mucho

Y no me refiero a las horas de pie.

Detrás de una barra te llevas malas contestaciones de gente que ha tenido un mal día y ha decidido que te toca a ti. Te critican delante de ti sabiendo que no puedes defenderte, porque tienes catorce años y porque el cliente, en ese momento, tiene la razón aunque no la tenga. Aprendes a tragar, a no responder lo primero que se te pasa por la cabeza y a seguir atendiendo a la siguiente persona como si nada.

Aprendes también algo menos evidente: que casi nadie te está atacando a ti. Que detrás de una mala forma casi siempre hay otra cosa —prisa, cansancio, un problema que no tiene nada que ver contigo—, y que si consigues no tomártelo como personal, la conversación cambia por completo.

Esa es, sin exagerar, la misma habilidad que uso hoy cuando un cliente entra a una reunión enfadado o cuando alguien de un equipo salta por algo que no era el problema real.

Hablar con dirección cuando dirección es tu padre

Hay otra parte que se aprende pronto en un negocio familiar y que después vale oro: hablar con quien manda en un momento de crisis.

En un negocio de tu familia, la dirección es tu padre. Aprendes a separar lo profesional de lo personal, o lo intentas. No te queda de otra.

Yo solo quería jugar al LoL

Conviene no adornar esto.

Yo era un crío que quería jugar al LoL, cacharrear con el ordenador hasta romperlo (y luego intentar arreglarlo, que es donde empezó todo lo demás) y jugar al fútbol. No quería aprender resiliencia ni trato con el cliente. Quería que me dejaran en paz un sábado.

El cambio fue grande. Y ordenar prioridades tan pronto tuvo un precio que en su momento no supe medir.

También es verdad que el mismo crío que rompía cosas en el ordenador acabó dedicándose a esto. Así que algo de aquello se quedó por el camino, y no fue lo peor.

«Eres muy maduro para tu edad»

Esa frase la llevo escuchando desde pequeño. Durante años la recibí como un cumplido.

Ahora lo veo claro: no era madurez, era que había tenido que madurar. No es lo mismo. La responsabilidad que llega pronto y no es opcional te instala unos reflejos que después parecen carácter: saber estar, aguantar la presión sin dramatizar, preguntar en lugar de suponer, entender que a nadie le interesan tus excusas sino qué vas a hacer ahora.

Por cierto, hace tiempo que ya no me lo dicen. Ahora tengo canas y la frase ha dejado de tener gracia.

Lo que de verdad te permite liderar en ciberseguridad

Todo lo anterior, sumado a la parte técnica, es lo que ha hecho que en cinco años haya podido dirigir proyectos, coordinar equipos y, en la última etapa, refundar un área de seguridad de la información desde casi cero hasta consolidarla en un equipo de más de diez profesionales.

No lo cuento para ponerme una medalla. Lo cuento porque, cuando toca explicar cómo se llega ahí, casi todo el mundo mira a las certificaciones. Y la respuesta honesta está mucho más atrás.

Lo que tengo son muchas horas escuchando. Muchas horas resolviendo mientras escuchaba dramas que no eran míos, en la barra y después en salas de reuniones. Aprendiendo a distinguir lo que alguien dice de lo que le pasa.

Las siglas ya llegarán cuando toque: se estudian, se pagan y se aprueban. Cuando quieran, me certifico. Lo otro no se saca en un examen.

Es explicar un riesgo a quien no tiene por qué entenderlo. Es dar una mala noticia a tiempo en vez de tarde. Es que alguien de tu equipo se atreva a decirte que te has equivocado. Es sostener la calma el día que todo se cae, porque la gente mira al que lidera antes de mirar la consola.

Es también, por cierto, el motivo por el que acabé cofundando USOARIT: porque el cuello de botella de la mayoría de las empresas técnicas no es la tecnología, son los equipos y los procesos.

Justo lo que la IA no te va a quitar

Estamos en un momento en el que buena parte del trabajo técnico se está automatizando a una velocidad que hace unos años parecía ciencia ficción. Yo uso IA todos los días y me hace mejor profesional.

Pero hay un terreno donde, hoy por hoy, no compite: la confianza.

Nadie delega en una máquina la conversación difícil con un comité de dirección. Nadie le pide a un modelo que sostenga la moral de un equipo en una semana mala, que note que alguien lleva meses quemado, o que decida qué se le dice a un cliente cuando la noticia es mala. Leer a las personas, generar confianza y asumir responsabilidad siguen siendo profundamente humanos.

Lo que se aprende detrás de una barra a los catorce años se ha vuelto, curiosamente, una de las cosas más difíciles de sustituir.

Las cinco cosas que más me han servido (y ninguna es técnica)

Si estás empezando y te preguntas qué trabajar además del temario, esto es lo que a mí me ha movido la aguja:

1. Traducir. Contar un riesgo técnico en el idioma de quien decide el presupuesto. Si dirección no entiende lo que dices, el problema es tuyo, no suyo.
2. Dar malas noticias pronto. Un incidente contado a tiempo es un incidente gestionable. Contado tarde es un incidente y además una crisis de confianza.
3. Escuchar de verdad. Distinguir lo que alguien dice de lo que le pasa. Casi ningún conflicto de equipo va sobre lo que aparenta ir.
4. No tomártelo como personal. Detrás de casi toda mala forma hay prisa, miedo o cansancio. Quien no se lo lleva a lo personal resuelve el doble.
5. Sostener la calma. El día que todo se cae, la gente mira a quien lidera antes de mirar la consola. Ese gesto vale más que cualquier runbook.

Ninguna de las cinco se aprende leyendo. Las cinco se aprenden teniendo a alguien delante.

Lo que ha costado

Tampoco quiero vender esto como una historia limpia, porque no lo es.

Llegar hasta aquí me ha costado horas. Muchas. Horas que no he pasado con mi familia. Planes que no hice. Aficiones que se quedaron en pausa demasiado tiempo. La ambición y el compromiso con el trabajo tienen una factura, y no siempre la paga uno solo: también la pagan los que están cerca.

He aprendido —tarde— que resistir más horas no es una virtud, y que la parte de mí que más ha aportado en el trabajo no salió de las noches largas, sino de la gente que tuve delante. Hoy elijo distinto: sigo siendo igual de exigente, pero he dejado de confundir intensidad con entrega. Precisamente porque todo aquello me ha traído hasta una vida que me llena y que me deja disfrutar de las cosas pequeñas.

Gracias

Estoy orgulloso de lo que he construido. Y tengo bastante claro de dónde salió.

Salió de una familia que me enseñó, sin sentarme nunca a explicármelo, que el trabajo se respeta, que a la gente se le atiende bien aunque venga torcida y que las cosas se sacan adelante. No hubo ninguna charla sobre valores. Hubo ejemplo, que funciona bastante mejor.

Así que gracias. De verdad.

Y si alguien está empezando y le ha tocado madurar antes de tiempo, que sepa que eso no es una mochila que arrastrar. Bien mirado, es la mitad del oficio.

Toni

Acompaño a empresas en su estrategia de seguridad y en la creación y consolidación de sus equipos, y formo a quienes van a liderarlos. Si estás en ese punto, hablamos.