El costo promedio global de una brecha de datos en 2025 fue de USD 4,44 millones, según el Cost of a Data Breach Report de IBM. Al mismo tiempo hay 4,8 millones de puestos sin cubrir en el área (ISC2), lo que empuja los salarios hacia arriba año tras año.
Esta guía cubre los tres ángulos que decide alguien que arma un presupuesto o una carrera: qué cuesta no invertir, cómo se estructura un área de seguridad y qué certificaciones devuelven lo que cuestan.
Parte 1 — Los números del negocio
Por qué las PyMEs pasaron a ser objetivo
Hasta hace una década la seguridad se planificaba con la lógica de no ser elegido. Si no eras un banco o una empresa grande, los atacantes no te miraban. Eso se rompió por razones técnicas y económicas:
- El reconocimiento se automatizó. Hay bots que escanean internet entero cada pocas horas buscando objetivos vulnerables.
- El ransomware como servicio bajó la barrera de entrada: alquilar un juego completo de herramientas no exige habilidades técnicas.
- La IA generativa mejoró la ingeniería social. El phishing es indistinguible del correo legítimo y los deepfakes de voz resultan convincentes.
- Hay mercados de credenciales comprometidas donde el acceso inicial a una empresa cuesta entre USD 50 y USD 5.000 según el tamaño. El segundo factor corta esa venta solo si cubre todos los accesos, que es donde el MFA deja huecos en casi cualquier PyME.
Una PyME es lo bastante grande para pagar un rescate y lo bastante chica para no tener defensas serias. Y hay millones: el atacante no te elige, te encuentra.
Qué cuesta un incidente
Los datos vienen del Cost of a Data Breach Report 2025 de IBM, sobre 600 organizaciones afectadas entre marzo de 2024 y febrero de 2025.
| Métrica | Valor |
|---|---|
| Costo promedio global | USD 4,44 millones |
| Costo promedio en Estados Unidos | USD 10,22 millones |
| Sector salud, el más caro | USD 7,42 millones |
| Ransomware o extorsión | USD 5,08 millones |
| Incidente con persona interna maliciosa | USD 4,92 millones |
| Tiempo promedio de identificación y contención | 241 días |
Para una PyME de LATAM los números absolutos son más chicos y proporcionalmente igual de destructivos: rescates de USD 25.000 a 500.000 y un costo total de recuperación —rescate, inactividad, consultoría y clientes perdidos— de USD 50.000 a 250.000. Entre el 30% y el 40% de las PyMEs que sufren ransomware cierran dentro de los seis meses. De qué lado caés depende casi siempre de si el respaldo sobrevivió, y para quien trabaja en la nube eso significa tener backup propio de Microsoft 365.
Los siete componentes del costo
El costo de un incidente no es el rescate. Son siete partidas:
- Detección y escalamiento: forense, investigación interna, horas perdidas.
- Notificación obligatoria a clientes, reguladores y autoridades de protección de datos.
- Respuesta: remediación técnica, restauración, expertos externos.
- Pérdida de negocio: inactividad, ventas caídas, clientes que se van.
- Daño reputacional y el costo de recuperar la confianza.
- Multas de las autoridades de protección de datos.
- Costo legal: litigios y demandas de afectados.
La cuarta es la más subestimada. Según IBM representa entre el 40% y el 50% del total en sectores donde la confianza del cliente es el activo principal.
La IA cambió las dos veredas
Cuatro hallazgos del reporte 2025:
- 1 de cada 6 brechas involucró atacantes usando IA, sobre todo para phishing y deepfakes. El filtro de correo pasó a ser control de primera línea, y la comparativa de seguridad de email para PyMEs mide cuál detecta qué y a qué precio por buzón.
- El 20% involucró shadow AI: empleados usando herramientas de IA sin autorización ni controles.
- El shadow AI agregó USD 670.000 en promedio al costo de esos incidentes.
- Las organizaciones que usaron IA y automatización en defensa ahorraron USD 1,9 millones por brecha frente a las que no.
Cómo se calcula el retorno
La pregunta no es cuánto cuesta la seguridad, sino cuál es el costo esperado de no tenerla. La fórmula es la pérdida esperada anual: probabilidad de incidente por costo del incidente. El retorno de un control es lo que esa pérdida baja, menos lo que el control cuesta.
Para una PyME de 50 empleados:
| Sin controles | Con un stack mínimo | |
|---|---|---|
| Probabilidad anual de incidente significativo | 15–25% | 3–5% |
| Costo esperado del incidente | USD 100.000 | USD 100.000 |
| Pérdida esperada anual | USD 15.000–25.000 | USD 3.000–5.000 |
El stack para 50 empleados cuesta entre USD 15.000 y 25.000 por año. Incluso en el cálculo conservador se paga solo el primer año en que evita un incidente. La probabilidad del 15-25% es una estimación de planificación, no un dato medido: sirve para ordenar la decisión, no para defenderla ante un directorio.
Cuánto gastar
| Tamaño | USD por empleado por mes |
|---|---|
| 1–5 empleados | 30–50 |
| 6–25 empleados | 20–40 |
| 26–100 empleados | 15–30 |
| Más de 100 | 15–25, con margen por volumen |
Como regla, entre el 1% y el 2% de la facturación. Los sectores regulados llegan al 3-5%. El plan de implementación por capas está en la guía de ciberseguridad para PyMEs de LATAM.
Cumplimiento
Las multas escalan con la facturación, no con la cantidad de empleados. Una PyME exitosa puede pagar una multa proporcionalmente más grande que una corporación.
| País | Norma | Tope de multa |
|---|---|---|
| Argentina | Ley 25.326 y AAIP | ARS 100 millones |
| Brasil | LGPD | 2% de la facturación anual o R$ 50 millones |
| México | LFPDPPP | 320.000 UMA |
| Colombia | Ley 1581 y Decreto 1377 | 2.000 SMLMV |
| Chile | Ley 19.628, reformada en 2024 | 20.000 UTM |
| Perú | Ley 29733 | 100 UIT |
A eso se suma PCI DSS para cualquiera que procese pagos con tarjeta. Y las certificaciones organizacionales —ISO 27001, SOC 2, NIST CSF— son requisito para vender a clientes medianos y grandes: no tenerlas cierra puertas comerciales que un descuento no compensa.
Parte 2 — Roles y carrera
El mercado en 2026
- 4,8 millones de puestos sin cubrir en el mundo (ISC2 Workforce Study 2025).
- El 62% de los empleadores reporta escasez de talento.
- Crecimiento proyectado del 32-33% en puestos de analista de seguridad hacia 2032 (Bureau of Labor Statistics de EE.UU.), muy por encima del promedio de todas las profesiones.
- USD 244.000 millones de gasto global proyectado en seguridad de la información para 2026 (Gartner).
- Salario mediano en EE.UU.: USD 135.969.
En LATAM los montos son menores y siguen siendo los mejores del mercado tecnológico local, con un diferencial sobre IT general de entre 20% y 40% según seniority y sector.
Los dos caminos
El área tiene dos progresiones de carrera distintas y ambas bien pagas. No hace falta pasar a gestionar personas para maximizar el ingreso.
El camino técnico premia profundidad, resolución de problemas complejos y dominio de herramientas. El de gestión exige comunicación con el directorio, manejo de presupuesto y paciencia política. Muchos combinan elementos de los dos o cambian de carril a mitad de camino.
Los roles, con rangos salariales
Rangos en dólares y referidos al mercado de EE.UU.; para LATAM hay que ajustar a la baja.
Operación
| Rol | Qué hace | Salario | Cómo se llega |
|---|---|---|---|
| SOC Analyst T1 | Monitoreo de alertas, triage, escalamiento | 65–85k | Security+ o CySA+ y base de IT |
| SOC Analyst T2 | Investigación y análisis de incidentes | 85–105k | 2–4 años en T1 |
| SOC T3 / Threat Hunter | Búsqueda proactiva, ingeniería de detección | 100–130k | T2 más GCIH o GCFA |
| Respuesta a incidentes | Incidentes graves, forense digital | 110–160k | Experiencia técnica más GCFA o GCFE |
Ingeniería
| Rol | Qué hace | Salario | Cómo se llega |
|---|---|---|---|
| Security Engineer | Diseño y mantenimiento de controles | 120–170k | Base de IT más especialización |
| Cloud Security Engineer | AWS, Azure, GCP, contenedores, Kubernetes | 140–200k | Experiencia en nube más AWS Security o CCSP |
| AppSec Engineer | Seguridad en el ciclo de desarrollo, SAST y DAST | 130–180k | Desarrollo más OWASP |
| Security Architect | Arquitectura de punta a punta | 180–230k | 8–12 años y visión sistémica |
Ofensivos
| Rol | Qué hace | Salario | Cómo se llega |
|---|---|---|---|
| Pentester | Pruebas de penetración y reporte | 100–160k | OSCP más 2–4 años |
| Red team senior | Emulación de adversarios | 150–220k | OSEP o CRTO |
| Investigador independiente | Programas de bug bounty | 30k–500k+ | Variable según resultados |
Gobierno, riesgo y cumplimiento
| Rol | Qué hace | Salario | Cómo se llega |
|---|---|---|---|
| Analista de GRC | Cumplimiento, auditoría, riesgo, políticas | 85–120k | NIST, ISO 27001, COBIT |
| Compliance Manager | Programas de cumplimiento y reguladores | 120–170k | CISA o CRISC |
| Privacy Officer / DPO | Privacidad, GDPR, LGPD | 110–180k | Perfil legal y técnico |
Liderazgo
| Rol | Qué hace | Salario | Cómo se llega |
|---|---|---|---|
| Security Manager | Equipos de SOC o ingeniería, día a día | 130–170k | 5–8 años y liderazgo |
| Security Director | Estrategia, presupuesto, varios equipos | 180–240k | 8–12 años |
| CISO | Responsabilidad total, reporte a directorio | 250–450k | 12+ años, CISSP o CISM |
En banca y finanzas la compensación de un CISO supera con frecuencia los USD 500.000.
Lo que no aparece en la descripción del puesto
- Los roles de respuesta a incidentes son intensos: guardias, fines de semana y presión durante una brecha activa.
- El desgaste es real. ISC2 reporta que el 60% del personal consideró dejar el área en algún momento.
- Buena parte de los puestos son remotos o híbridos, sobre todo en ingeniería y GRC, lo que traslada el problema al acceso remoto seguro de la propia empresa.
- Las habilidades son transferibles: un ingeniero argentino puede trabajar para empresas europeas o estadounidenses sin mudarse.
- El campo cambia lo bastante rápido como para quedar desactualizado en dos o tres años sin estudio continuo.
Cómo entrar desde IT u otra área
- Fundamentos de IT: redes, sistemas operativos con Linux obligatorio, nube básica, scripting.
- Certificación de entrada: Security+ o el certificado de ciberseguridad de Google.
- Laboratorio propio para practicar ataque y defensa.
- Primer rol, en general SOC Analyst T1, a los 6 a 12 meses del paso 2.
- Especialización a los 1 o 2 años: defensivo, ofensivo, nube, GRC o AppSec.
- Certificación intermedia alineada al camino elegido.
- Posición senior con 3 a 5 años en la especialidad.
- Elegir carril: seguir técnico hasta arquitecto o bifurcar hacia gestión.
Los saltos salariales grandes se acumulan en los cambios de rol cada dos a cuatro años. Esperar el ascenso interno es la vía más lenta.
Parte 3 — Certificaciones
Una certificación cumple tres funciones: pasa el filtro inicial de reclutadores y sistemas de selección, valida conocimiento ante un tercero y genera un diferencial salarial medible. No reemplaza experiencia. Combinada con experiencia equivalente es lo más potente que hay en un CV; sola es decoración.
Personales
| Certificación | Costo (USD) | Diferencial salarial | Para quién |
|---|---|---|---|
| Google Cybersecurity | 150–300 | — | Reconversión sin base de IT |
| CompTIA Security+ | ~400 | Asociada a 88k | El estándar de entrada; requisito en roles federales de EE.UU. |
| CompTIA CySA+ | ~400 | Asociada a 106k | SOC T2 e ingeniería de detección |
| CISSP | ~1.500 con estudio | +25–35k | Senior hacia gestión o arquitectura |
| CISM | ~760 más estudio | +15–28k | Camino de gestión |
| CISA | ~760 más estudio | — | Auditoría, GRC, banca y sectores regulados |
| OSCP | 1.650–2.500 | Asociada a 90–130k | Pentesters y red team; 100% práctica |
| OSEP | 1.799–2.599 | — | OSCP con experiencia, evasión y técnicas avanzadas |
| CEH | 1.199 más estudio | — | Reconocimiento de marca y licitaciones públicas |
| AWS Security Specialty | 300 | +18–25k | Cualquiera que trabaje en AWS |
| CCSP | ~600 más estudio | — | Arquitectos en nube multiproveedor |
| Microsoft SC-100 | 165 | — | Ecosistema Microsoft y Azure |
| GIAC (GCIH, GCFA, GCTI) | 950 más 7–9k de curso SANS | +10–15k cada una | Técnicos avanzados con presupuesto de la empresa |
La de AWS tiene el mejor ratio de costo a beneficio de la tabla. Las GIAC tienen el peor si las paga el profesional y uno de los mejores si las paga el empleador. CEH está menos respetada técnicamente que OSCP y sigue apareciendo como requisito en pliegos.
Organizacionales
Las obtiene la empresa, no la persona.
| Certificación | Costo e implementación | Para qué sirve |
|---|---|---|
| ISO 27001 | USD 20.000–80.000 en PyMEs, 6–18 meses | Vender a clientes grandes, sobre todo europeos |
| SOC 2 | Tipo I 3–6 meses, Tipo II 12+ meses de monitoreo | Estándar de hecho en SaaS y clientes de EE.UU. |
| PCI DSS | Cuatro niveles según volumen de transacciones | Obligatoria si se procesan tarjetas |
| HIPAA | — | Datos de pacientes en EE.UU. |
| NIST CSF | Voluntaria, no certifica formalmente | Marco de madurez y referencia para contratistas federales |
Las que no conviene pagar
Hay certificaciones que le rinden más a quien las vende que a quien las cursa: las muy nicho de un fabricante sin demanda amplia, los bootcamps de USD 10.000 a 20.000 que prometen empleo garantizado, las desactualizadas que el mercado dejó de pedir y las maestrías caras sin práctica en paralelo.
El criterio: si no aparece en al menos el 20% de las ofertas del nivel al que apuntás, no vale la inversión.
Qué comprar en cada etapa
| Etapa | Inversión | Certificaciones | Objetivo |
|---|---|---|---|
| Primer año | USD 1.000–1.500 | Google Cybersecurity, Security+, CySA+ opcional | Primer rol de SOC o ingeniería junior |
| Años 2–4 | USD 2.000–3.500 | Según carril: GCIH y GCFA, OSCP, AWS Security y CCSP, o CISA e ISO 27001 | Posiciones senior en la especialidad |
| Años 5–10 | USD 1.500–3.000 | CISSP, más CISM en gestión o CCSP en nube | Arquitecto, manager o director |
| 10+ años | Variable | Programas ejecutivos, no certificaciones técnicas | CISO |
Pasados los diez años las certificaciones dejan de mover la aguja. Lo que pesa es lo demostrado en los roles anteriores.
Para decidir
Para quien arma un presupuesto: el promedio global de una brecha es de USD 4,44 millones y las multas escalan con la facturación. Entre el 1% y el 2% de la facturación en un stack razonable es continuidad del negocio, no gasto técnico. El punto de partida está en la guía para PyMEs de LATAM y el MFA es el control con mejor relación entre costo y riesgo evitado.
Para quien planifica una carrera: hay 4,8 millones de puestos sin cubrir, las habilidades son transferibles a cualquier país y las tres certificaciones con mejor retorno documentado son CISSP, OSCP y AWS Security Specialty.
Para quien arma un área: definir los roles necesarios, adoptar un marco reconocido —ISO 27001, NIST CSF o SOC 2— y medir en reducción de pérdida esperada, no en cantidad de herramientas compradas.