El currículo silencioso

Skill:Signal:Trust | Cinco hábitos de aprendizaje de los profesionales de ciberseguridad altamente efectivos, prologo del domingo, 19 de julio de 2026

En los primeros seis meses de este año se publicaron 35,364 registros CVE nuevos, uno cada 7.4 minutos, un ritmo que encamina a 2026 hacia aproximadamente 66,000 para el recuento de diciembre. El año pasado cerro con 48,185, un aumento de 20.6 por ciento frente a los 39,962 de 2024. El volumen crecio tan rápido que, en abril, NIST dejo de intentar enriquecer cada entrada de la National Vulnerability Database y pasó a un modelo de priorización, tras señalar que los envios habían aumentado 263 por ciento en cinco años. Cada una de esas entradas modifica un poco el valor de lo que sabías el día que aprobaste tu último examen de certificación.

Quienes realizan los estudios sobre la fuerza laboral del sector ya notaron lo que esto provoca en las carreras. Durante años, el titular fue un conteo de personas: millones de puestos vacantes y una brecha que no dejaba de crecer. En marzo, el informe de fuerza laboral de SANS/GIAC pidió a las organizaciones elegir entre “escasez de personal” y “brecha de habilidades” como su principal problema. Las habilidades ganaron 60 a 40, cuando un año antes la diferencia había sido de 4 puntos. SANS vende capacitación y certificaciones, razón suficiente para leer sus cifras con cuidado, pero la dirección del cambio es difícil de discutir: en un periodo de doce meses, uno de los estudios de referencia del sector dejó de describir una silla vacía y comenzó a describir a la persona sentada en ella.

Las habilidades tienen una cadena de suministro, y su materia prima es el aprendizaje. En este punto, la profesión mantiene un esquema curioso. La educación continua es obligatoria y casi invisible. ISC2 exige 120 créditos de educación continua en cada ciclo de tres años y sugiere 40 por año. ISACA exige los mismos 120, con un mínimo obligatorio de 20 al año. CompTIA pide 50 unidades por ciclo para Security+. Podemos resumirlo en unas 40 horas documentadas al año, cada año, durante toda una carrera, y leer en la letra pequena dos confesiones. El requisito contabiliza asistencia en lugar de aprendizaje: conectarse a un seminario web, recorrer una conferencia o soportar la sesión de un proveedor genera el mismo credito, haya cambiado o no algo en el profesional que lo registro. Además, es un mínimo diseñado para el papeleo, porque un campo cuyo valor cambia cada hora no limita sus exigencias reales a 40 horas al año. El trabajo exige aprender igual que exige aplicar parches: de manera continua y sin explicar como. Ese es el currículo silencioso: un programa permanente y autodirigido, con un mínimo de cumplimiento y sin limite superior, que nadie califica y al que nadie te enseña a asistir. La diferencia entre los profesionales que acumulan valor y quienes se estancan vive dentro de las horas que le dedican.

Para la mayoría, esas horas se llenan con lo que vende la industria: videotecas, bootcamps, guías de examen y PDF de práctica marcados con tres colores de resaltador. El educador brasileno Paulo Freire, quien enseno a leer a 300 trabajadores de la cana de azucar en unos 45 días en 1963 y fue encarcelado al año siguiente, tenía un nombre para una educación organizada de esta manera. La llamo la concepción bancaria: “La educación se transforma en un acto de depositar, en el cual los educandos son los depositarios y el educador quien deposita”. El modelo del deposito resulta comodo para todos. El proveedor cuenta inscripciones, el estudiante cuenta horas, el certificado llega a tiempo y ninguno de los tres ha demostrado que el lunes pueda hacerse algo de manera diferente. Freire dedicó su vida a la alternativa, y la edición del martes le pertenece.

La taxonomía de objetivos educativos de Benjamin Bloom, publicada en 1956 y revisada en 2001, ordena el trabajo cognitivo por niveles: recordar y comprender en la base; después aplicar y analizar; y evaluar y crear en la parte superior. Si comparamos la cultura de evaluación del sector con su trabajo cotidiano, el desajuste es evidente. Los examenes de certificación de opción multiple viven casi por completo en el sotano de esa taxonomía. El trabajo ocurre en los pisos superiores. A las 3 a. m., quien dirige un incidente evalua y crea en condiciones de incertidumbre. Ninguna cantidad de puertos memorizados sustituye esa capacidad, aunque conocerlos ayuda. Vale la pena adoptar un hábito de aprendizaje en la medida en que te permita subir esos escalones.

El título de esta serie hace una reverencia a Stephen Covey, cuyos siete hábitos servian para dirigir una vida. Estos cinco sirven para dirigir la educación que el campo te exige en silencio. Provienen de la literatura de ciencias cognitivas de los últimos cincuenta años, leida a la luz de los datos del propio sector, y cada uno tendrá una edición completa esta semana. En breve, son estos:

1. Recupera, no releas. Estudia sacando el conocimiento de tu cabeza, con el material cerrado, antes de que un incidente te obligue a hacerlo. Las pruebas de práctica son uno de los hallazgos con mayor replicación en las ciencias del aprendizaje.
2. Ponlo en el calendario y combina los temas. El estudio espaciado supera al estudio concentrado casi siempre que se han comparado, y mezclar temas relacionados supera a terminarlos uno por uno, aunque ambos métodos se sientan más difíciles mientras los usas. La edición del lunes.
3. Práctica con lo real y luego reflexiona. Actua sobre sistemas reales y reflexiona sobre el significado de esa acción. Laboratorios, ejercicios y los análisis escritos que los convierten en aprendizaje. La edición del martes, con Freire.
4. Calibra con instrumentos, no con sensaciones. La autoevaluación falla más precisamente donde la habilidad es menor. Los profesionales efectivos sustituyen “me siento preparado” por pruebas, retroalimentación y evidencia externa. La edición del miércoles.
5. Aprende en compañía y enseña para aprender. Las habilidades viven en comunidades de práctica, y prepararse para enseñar profundiza de forma medible el aprendizaje de quien enseña. La edición del jueves.

El hábito uno comienza hoy porque contradice la mayor cantidad de consejos de estudio con la menor cantidad de palabras.

En 2006, Henry Roediger y Jeffrey Karpicke realizaron en Washington University un experimento que toda persona que busca una certificación debería conocer. Los estudiantes aprendieron pasajes en prosa y después volvieron a estudiarlos o hicieron pruebas de recuerdo libre, escribiendo lo que podian recordar con el texto cerrado. Medidos cinco minutos después, quienes volvieron a estudiar parecian superiores, 81 por ciento frente a 75. Una semana después, el resultado se había invertido: el grupo evaluado retuvo 56 por ciento frente al 42 de quienes releyeron. Un segundo experimento hizo todavía más duro el contraste. Los estudiantes que estudiaron un pasaje una vez y fueron evaluados tres veces superaron, 61 por ciento frente a 40, a quienes lo estudiaron cuatro veces y fueron evaluados una sola vez después de una semana, aunque estos últimos habían leído el material más de cuatro veces. Leer se sentía como aprender. Recuperar era aprender.

El detalle que más importa para este campo es que quienes estudiaron repetidamente también eran quienes tenían mayor confianza en que recordarian. Los estudiantes que eligieron la estrategia perdedora la calificaron como ganadora. Cinco años después, Karpicke y Janell Blunt publicaron en Science un estudio que comparaba la práctica de recuperación con la elaboración de mapas conceptuales, favorita de los defensores del aprendizaje activo. La recuperación gano por cerca de 50 por ciento en una prueba realizada una semana después, incluso en preguntas que exigian inferencias. Ochenta y cuatro por ciento de los participantes obtuvo mejores resultados después de la práctica de recuperación. Setenta y cinco por ciento había pronosticado lo contrario. La sensación de fluidez al estudiar es un testigo al que conviene interrogar, tema al que esta serie volverá el miércoles.

Nada de esto depende de dos experimentos. En 2013, John Dunlosky y sus colegas publicaron una monografía que evaluo diez técnicas comunes de estudio frente a la evidencia acumulada. Dos recibieron la calificación más alta: las pruebas de práctica y la práctica distribuida, tema del lunes. Releer, resaltar y resumir, las tres técnicas que describen buena parte del estudio para certificaciones, recibieron calificaciones bajas. Un metaanalisis de 2021 en Psychological Bulletin llevo el hallazgo fuera del laboratorio al reunir 222 estudios en salones de clase con 48,478 estudiantes. El efecto de las pruebas se mantuvo a escala, en distintas materias y niveles.

Para un profesional, el mecanismo importa menos que la práctica, y esta se traduce de forma directa. Cierra el runbook y escribe de memoria los pasos para contener ransomware en un controlador de dominio; después abrelo y marca los vacios. Explica en voz alta el secuestro de rutas BGP antes de abrir el RFC y deja que los tropiezos te indiquen donde leer. Reconstruye en un pizarron la lógica de detección del trimestre pasado y comparala con el repositorio. Pide a un colega que te haga las preguntas que haría un auditor, con la carpeta de evidencias cerrada. Cada ejercicio produce la misma fricción, un poco humillante, y esa fricción es el objetivo: recuperar fortalece lo que releer solo pule.

El sector ya cree en este principio en todos los ambitos salvo en sus propios hábitos de estudio. Nadie en seguridad acepta que un control funciona porque se reviso otra vez su documentación. El control se prueba: se restaura el respaldo, se fuerza la conmutación por error, se envía la simulación de phishing, se libera al equipo rojo. Las pruebas son la forma en que esta profesión establece la verdad sobre los sistemas. El hábito uno dirige el mismo instrumento hacia el profesional.

El resto de la semana seguira el mismo patron: un hábito por día, con la evidencia y sus limites expuestos con claridad, y una aplicación pensada para la persona cuyas horas de aprendizaje son escasas y cuyo trabajo cambia de valor cada 7.4 minutos. El lunes toma el calendario. El martes va al laboratorio pasando por una campana brasilena de alfabetización. El miércoles sostiene el espejo. El jueves abre la puerta de la sala. El viernes suma todo.

P. D. Si esta serie se está ganando un lugar en tu semana, suscribete gratis a Skill:Signal:Trust. Cada edición convierte investigación y práctica de ciberseguridad en hábitos que puedes aplicar: https://www.linkedin.com/build-relation/newsletter-follow?entityUrn=7464687787661926400

Fuentes

Anderson, L. W., & Krathwohl, D. R. (Eds.). (2001). A taxonomy for learning, teaching, and assessing. Longman.

Bloom, B. S. (Ed.). (1956). Taxonomy of educational objectives: Handbook I: Cognitive domain. McKay.

CompTIA. (n.d.). Renewing Security+.

Covey, S. R. (1989). The 7 habits of highly effective people. Free Press.

Dunlosky, J., Rawson, K. A., Marsh, E. J., Nathan, M. J., & Willingham, D. T. (2013). Improving students' learning with effective learning techniques. Psychological Science in the Public Interest, 14(1).

Encyclopaedia Britannica. (n.d.). Paulo Freire. In Encyclopaedia Britannica.

FIRST. (2026, June 15). Mid-year vulnerability forecast.

Freire, P. (2000). Pedagogy of the oppressed (M. B. Ramos, Trans.; 30th anniversary ed.). Continuum.

Gamblin, J. (2026a, January 1). 2025 CVE data review.

Gamblin, J. (2026b, July 1). CVE mid-year 2026 check-in.

Instituto Paulo Freire. (n.d.). Paulo Freire chronology.

ISACA. (n.d.). Maintain CISA certification.

ISC2. (n.d.). Member policies.

Karpicke, J. D., & Blunt, J. R. (2011). Retrieval practice produces more learning than elaborative studying with concept mapping. Science, 331.

NIST. (2026, April 15). NIST updates NVD operations to address record CVE growth.

Roediger, H. L., III, & Karpicke, J. D. (2006). Test-enhanced learning. Psychological Science, 17(3).

SANS Institute & GIAC. (2026, March 11). 2026 cybersecurity workforce research report.

Yang, C., Luo, L., Vadillo, M. A., Yu, R., & Shanks, D. R. (2021). Testing (quizzing) boosts classroom learning. Psychological Bulletin, 147(4).