Agotamiento en equipos de seguridad: un riesgo operativo gestionable

Cuando se habla del agotamiento de los equipos de seguridad, la conversación suele quedarse en el bienestar individual: pausas activas, charlas sobre estrés, algún beneficio adicional. Todo eso tiene su lugar, pero deja de lado lo principal. Un equipo agotado detecta peor, se equivoca más y pierde a las personas que mejor conocen el entorno. Eso es un riesgo operativo, y como cualquier otro riesgo operativo se puede identificar, medir y tratar con controles.

Este artículo propone mirar el agotamiento desde la operación: qué lo causa en el trabajo diario de seguridad, qué indicadores muestran que la carga es insostenible y qué controles concretos la reducen. No reemplaza el trabajo de Recursos Humanos ni de salud ocupacional; lo complementa desde el lugar donde se genera la carga.

Qué es el agotamiento y qué no es

La Organización Mundial de la Salud incluye el agotamiento (burn-out) en la Clasificación Internacional de Enfermedades, CIE-11, con el código QD85. La CIE-11 fue adoptada en 2019 y entra en vigor en enero de 2022. La OMS lo describe como un síndrome que resulta del estrés crónico en el trabajo que no se ha gestionado con éxito, y lo caracteriza en tres dimensiones:

• Sensación de falta de energía o agotamiento.
• Mayor distancia mental respecto del trabajo, o sentimientos negativos o cínicos hacia él.
• Menor eficacia profesional.

Dos precisiones de la OMS importan para este enfoque. Primero, no lo clasifica como una condición médica, sino como un fenómeno ocupacional, dentro del capítulo de factores que influyen en el estado de salud. Segundo, el concepto se refiere específicamente al contexto laboral. Es decir: su origen está en cómo se organiza el trabajo, y ahí es donde la organización puede actuar.

Una advertencia: los líderes de equipo no diagnostican a nadie. Si una persona muestra señales de estar mal, el camino es la conversación respetuosa y la derivación a los canales de salud ocupacional o RRHH que tenga la organización. Lo que sí corresponde a la gestión de operaciones es actuar sobre la carga y las condiciones que la generan.

Para darle un marco de gestión, la norma ISO 45003:2021 ofrece orientación sobre cómo gestionar los riesgos psicosociales dentro de un sistema de gestión de seguridad y salud en el trabajo. Incluye factores como la carga y el ritmo de trabajo, los horarios, la claridad de roles y el apoyo disponible. Es una referencia útil para que el tema tenga dueño, evaluación y seguimiento, como cualquier otro riesgo.

Por qué es un riesgo operativo

En un equipo de seguridad, la capacidad de atención es parte del control. Un analista agotado no es solo una persona que la está pasando mal: es un control de detección que funciona por debajo de su diseño. Los efectos se agrupan en cuatro frentes:

• Detección degradada. Con cientos de alertas sin acción por turno, el equipo aprende a cerrarlas rápido. La alerta que importa se pierde en el ruido o se descarta por costumbre.
• Más errores. El capítulo "Being On-Call" del libro de SRE de Google señala que el estrés empuja a decidir por intuición y atajos en lugar de con método. En seguridad, eso se traduce en contenciones mal aplicadas, cambios urgentes sin revisar o escalamientos que no se hacen.
• Rotación. Los perfiles de seguridad con experiencia son difíciles de reemplazar. Cada salida no planificada abre un periodo de cobertura reducida mientras se busca, contrata y forma a la persona siguiente.
• Pérdida de conocimiento. Gran parte del conocimiento útil de un equipo de seguridad no está escrito: qué es normal en cada sistema, qué falso positivo se repite, a quién llamar. Cuando la persona se va, ese conocimiento se va con ella.

Por eso conviene que el riesgo esté en el registro de riesgos del área, con un responsable, indicadores y controles, y no solo en las conversaciones de pasillo.

Causas operativas, síntomas y controles

Las causas que más pesan suelen estar en la forma de operar, no en las personas:

• Volumen de alertas sin acción. Reglas que nadie ajusta, fuentes duplicadas y alertas por causas técnicas que no indican un incidente real.
• Guardias mal diseñadas. Rotaciones con pocas personas, turnos que se encadenan, sin compensación ni descanso posterior a una noche de incidentes.
• Trabajo manual repetitivo. Enriquecer cada alerta a mano, consultar las mismas cinco consolas, copiar datos entre herramientas. El libro de SRE llama toil a este trabajo: manual, repetitivo, automatizable y sin valor duradero.
• Ambigüedad de roles. No está claro quién decide una contención, quién comunica, qué le toca al equipo de seguridad y qué a infraestructura. La persona más disponible termina haciéndolo todo.

El diagrama muestra cómo se relacionan causas, síntomas y controles, y dónde conviene actuar.

Controles que reducen la carga

Reducir el ruido

Revisa periódicamente cada regla de detección: cuántas alertas generó, cuántas llevaron a una acción real y cuántas fueron falsos positivos. Las que nunca generan acción se ajustan, se agrupan o se retiran, con registro de la decisión. El mismo criterio que usamos para las alertas de disponibilidad aplica aquí: avisar por síntomas con impacto, no por cualquier anomalía. Lo desarrollamos en alertas sin fatiga con SLO.

Rotaciones de guardia sostenibles

El libro de SRE de Google propone como referencia que la guardia no supere el 25 % del tiempo de una persona y que un turno de 12 horas no reciba más de dos incidentes, porque cada uno exige análisis y seguimiento. Los números exactos se ajustan a cada contexto, pero el principio se mantiene: la carga de guardia tiene un techo, se mide y, si se supera de forma sostenida, se corrige con más personas en la rotación, menos ruido o redistribución de servicios. También conviene definir descanso después de noches con incidentes y una compensación clara.

Automatizar lo repetitivo

Enriquecer alertas con datos de inventario, reputación o identidad, abrir el ticket con el contexto completo y ejecutar contenciones estándar ya aprobadas son tareas candidatas a automatizar. Para elegir por dónde empezar sin perder el foco, sirve tratar estas tareas como un backlog con dueño y cadencia, como explicamos en gobernar el backlog de automatización.

Roles claros

El NICE Framework del NIST (SP 800-181 Rev. 1) describe el trabajo de ciberseguridad como enunciados de tareas, conocimientos y habilidades. Usarlo como vocabulario común ayuda a escribir qué hace cada rol, qué decide y qué no le corresponde, y a detectar personas que acumulan tareas de varios roles sin que nadie lo haya decidido.

Postmortems sin culpa

Tras cada incidente relevante, un análisis escrito que busque las causas que contribuyeron sin culpar a personas. Reduce el miedo a equivocarse, que es en sí una fuente de estrés, y convierte cada incidente en una mejora concreta. Las acciones deben quedar en el registro de problemas, como describimos en gestión de problemas.

Formación y conocimiento compartido

Un plan de formación con tiempo protegido, runbooks actualizados y rotación de responsabilidades reduce la dependencia de pocas personas. Es la mejor defensa contra la pérdida de conocimiento cuando alguien se va o se ausenta.

Indicadores de carga y controles asociados

Para que el riesgo se gestione, necesita indicadores. La tabla propone un conjunto inicial. Los umbrales son ilustrativos: cada organización debe fijar los suyos con su línea base.

Indicador	Cómo medirlo	Señal de alerta (ilustrativa)	Control asociado
Alertas por turno y proporción con acción real	Herramienta de detección y tickets	La mayoría de las alertas se cierran sin acción	Revisión y ajuste de reglas
Avisos fuera de horario por persona	Registro de la herramienta de guardia	Por ejemplo, más de dos noches interrumpidas por semana	Rediseño de la rotación y del criterio de aviso
Tiempo en tareas manuales repetitivas	Registro de tiempo por categorías durante unas semanas	Por encima del límite acordado, por ejemplo 50 %	Backlog de automatización
Horas extra y vacaciones postergadas	Datos agregados de RRHH	Tendencia creciente durante varios meses	Redistribución de carga o refuerzo
Concentración de conocimiento	Runbooks y sistemas con una sola persona capaz	Sistemas críticos que dependen de una persona	Formación cruzada y documentación
Acciones de postmortem vencidas	Registro de problemas	Acciones que se repiten de un incidente a otro	Revisión en el comité de riesgos del área

Dos cuidados al medir. Usa datos agregados por equipo, no rankings individuales; el objetivo es ver la carga del sistema, no vigilar a las personas. Y cuando uses datos de RRHH, acuerda con esa área y con quien gestione la protección de datos personales qué se puede usar y con qué nivel de detalle.

Cómo gobernarlo

1. Registra el riesgo en el inventario de riesgos del área, con un responsable en la dirección de seguridad.
2. Establece la línea base de los indicadores durante uno o dos meses antes de cambiar nada.
3. Acuerda umbrales y techos de carga con la dirección, RRHH y salud ocupacional.
4. Prioriza controles según las causas que más pesan en tu línea base, no según la herramienta disponible.
5. Revisa trimestralmente los indicadores junto con los de detección y respuesta, para que la carga del equipo se lea como parte del desempeño del control.

Si tu equipo está pasando de un modelo de administración tradicional a prácticas de confiabilidad, muchos de estos controles ya forman parte de esa transición; lo describimos en de administradores a SRE. Antes de definir indicadores que usen datos de personas o de cambiar condiciones de guardia, valida el enfoque con RRHH, Legal y el responsable de protección de datos.