Ante la necesidad de una nueva capacidad de seguridad, la reacción más común dentro de las organizaciones es también la menos examinada: construirla en casa. Se contrata gente, se compra tecnología, se arma un equipo y se empieza. La decisión rara vez pasa por un análisis explícito; se asume que hacerlo internamente es lo natural, lo más controlado y, en el fondo, lo más serio. Delegar suena a renunciar, a perder control, a depender de otros.
Pero esa preferencia por construir casi nunca se somete a la misma pregunta que se le exige a cualquier otra inversión importante: ¿es esta la mejor manera de obtener el resultado que necesitamos? El problema no es decidir construir. El problema es no haberlo decidido de verdad, sino haber caído en ello por defecto. Y ese default, cuando no se examina, es una de las formas más costosas de operar en solitario.
El sesgo silencioso a favor de construir
Existe una inclinación natural a valorar más lo que se construye con esfuerzo propio. En el terreno de la seguridad, esa inclinación se refuerza con la idea de que solo un equipo interno puede entender de verdad el contexto de la organización, y que delegar es exponerse. Son argumentos legítimos, pero se vuelven peligrosos cuando funcionan como respuesta automática en lugar de como conclusión de un análisis.
El sesgo a favor de construir tiene una consecuencia práctica: hace invisibles los costos de la propia decisión. Cuando algo se asume como la única opción sensata, nadie calcula cuánto tiempo tomará alcanzar el nivel necesario, cuánto expertise hará falta ni qué se deja de hacer mientras tanto. Se compara el costo de delegar contra cero, cuando en realidad debería compararse contra el costo real —y muchas veces oculto— de construir.
Lo que cuesta construir desde cero
Construir una capacidad de seguridad madura no es cuestión de contratar a alguien y comprar tecnología. Es un proceso que toma tiempo: reclutar talento especializado en un mercado donde escasea, capacitarlo, ganar experiencia real —que solo llega enfrentando situaciones reales— y sostener esa capacidad frente a la rotación. Una organización que empieza de cero no obtiene una operación madura el primer día; obtiene una operación que tardará meses o años en llegar a serlo, si es que llega.
Ese tiempo tiene un costo que rara vez se contabiliza. Mientras la capacidad se construye, la organización opera con una versión inmadura de esa protección, aprendiendo sobre la marcha en un terreno donde los errores se pagan caro. El costo de construir no es solo lo que se gasta en armar el equipo; es también el riesgo que se corre durante todo el periodo en que esa capacidad todavía no está a la altura.
El análisis que casi nadie hace
Un análisis honesto de construir vs. delegar no pregunta cuál opción es mejor en abstracto, sino cuál conviene para cada capacidad específica. No todo debe construirse ni todo debe delegarse. La pregunta útil es qué capacidades son parte del núcleo del negocio y ameritan control interno total, y cuáles son funciones especializadas donde intentar replicar años de experiencia desde cero es una inversión difícil de justificar.
Ese análisis incluye variables que el sesgo por construir tiende a ignorar: cuánto tiempo tomará alcanzar la madurez necesaria, si la organización puede sostener ese nivel frente a la rotación, cuánto expertise específico se requiere y qué tan realista es acumularlo internamente. También incluye una pregunta de foco: cada peso y cada hora invertidos en construir una capacidad especializada son recursos que no se dedican al negocio central. Delegar no siempre es más barato en la factura, pero muchas veces es más inteligente en términos de tiempo, riesgo y atención.
Delegar no es perder control
La resistencia más común a delegar es el miedo a perder control. Pero conviene distinguir entre control y ejecución. Delegar la operación de una capacidad no significa renunciar a decidir sobre ella; significa dejar la ejecución especializada en manos de quien ya la domina, mientras la organización conserva el criterio, la dirección y la supervisión. De hecho, muchas veces se tiene más control real sobre una capacidad bien delegada y visible que sobre una construida a medias que nadie alcanza a sostener del todo.
En el contexto de la región, donde el talento especializado es escaso y caro y los recursos suelen estar ajustados, insistir en construirlo todo internamente puede ser precisamente lo que impide alcanzar la madurez deseada. Reconocer que ciertas capacidades se obtienen mejor a través de un operador especializado no es una concesión: es una decisión estratégica que muchas organizaciones no toman simplemente porque nunca se detuvieron a analizarla.
Decidir, no caer por defecto
Construir o delegar no tiene una respuesta única, pero sí tiene una condición previa: que la decisión se tome de verdad. El costo oculto de operar solo no está en haber elegido construir, sino en no haber elegido nada —en haber asumido que hacerlo en casa era la única opción sin poner sobre la mesa el tiempo, el expertise y el riesgo que eso implica. Hacer ese análisis, con honestidad y capacidad por capacidad, es lo que separa a una organización que decidió su modelo de seguridad de una que simplemente lo heredó de una inercia que nunca cuestionó.
En la práctica
Un ejemplo concreto de por qué este análisis importa es lo que ocurre con la segmentación bajo un enfoque de Zero Trust, una capacidad que TBSEK opera para sus clientes a través de Illumio. En el papel, la idea es clara: dividir el entorno en zonas y controlar qué puede comunicarse con qué para limitar hasta dónde llegaría un intruso. En la práctica, llevarla a cabo requiere un expertise que difícilmente se construye internamente desde cero sin tiempo ni experiencia previa: hay que entender cómo se comunican realmente los sistemas de la organización, diseñar las reglas correctas sin romper la operación, desplegarlas de forma gradual y mantenerlas conforme el entorno cambia.
Una organización que intenta construir esa capacidad desde cero suele descubrir que el proyecto se detiene justo en la parte más difícil el diseño y la aplicación fina—, precisamente donde la experiencia acumulada marca la diferencia entre una segmentación que protege y una que solo estorba. Al operar Illumio como parte de su servicio, TBSEK aporta ese expertise ya construido: el cliente obtiene el resultado un movimiento lateral efectivamente limitado sin tener que recorrer por su cuenta la curva de aprendizaje de años que implica dominar la implementación. Para un CIO o un director general que está haciendo el análisis de construir vs. delegar, este es un caso claro en el que intentar levantar la capacidad internamente rara vez compensa el tiempo y el riesgo frente a apoyarse en quien ya la domina.
