Cómo empezaría hoy a formarme en ciberseguridad

«¿Qué tengo que estudiar para trabajar en ciberseguridad?»

Es una pregunta que aparece mucho, y casi nunca llega sola. Detrás vienen las opciones: ¿Ingeniería Informática?, ¿un grado específico de ciberseguridad?, ¿un máster?, ¿certificaciones?, ¿cursos?, ¿aprender por mi cuenta?

No creo que exista un itinerario perfecto. Hay muy buenos profesionales de seguridad que llegaron desde la informática, pero también desde telecomunicaciones, matemáticas, derecho, gestión de riesgos, otras ingenierías, comunicación o psicología. Y hay gente excelente que se formó por su cuenta. Cada camino deja fortalezas distintas.

Pero si alguien me preguntase qué elegiría yo para construir una base técnica desde cero, mi respuesta sería bastante clara: volvería a estudiar Ingeniería Informática.

En este artículo explico por qué, y también por qué eso no la convierte en el único camino. Es mi opinión, a partir de cómo me formé y de lo que me ha servido después trabajando en seguridad. Habrá quien, con otro recorrido, lo vea distinto y con buenos argumentos.

Antes de aprender seguridad, tuve que aprender qué estaba protegiendo

Soy ingeniero informático, y siempre he sido bastante curioso con la tecnología.

Me gusta entender qué ocurre por debajo: cómo se comunican dos sistemas, por qué algo que funcionaba deja de hacerlo, cómo está construido lo que uso todos los días. Ya conté en otro artículo que de crío cacharreaba con el ordenador hasta romperlo y después intentaba arreglarlo. Mirando hacia atrás, creo que eso explica bastante bien por qué terminé en ciberseguridad.

No tenía un plan trazado para acabar aquí. Tenía curiosidad por saber cómo funcionaban las cosas, y la carrera fue una forma bastante directa de alimentarla.

Lo que da un grado como Ingeniería Informática es exposición a muchas piezas a la vez: programación, redes, sistemas operativos, arquitectura de computadores, bases de datos, algoritmia, matemáticas e ingeniería del software.

No sales siendo experto en todo. Pero empiezas a construir un mapa.

Ese mapa es lo que más me ha servido después. Sabes que una aplicación habla con una base de datos a través de una red, que corre sobre un sistema operativo, que alguien tiene que autenticarse para usarla y que todo eso se despliega sobre una infraestructura que diseñó otra persona. Puede que no domines cada pieza, pero sabes que existe, cómo encaja más o menos con las demás y por dónde empezar a buscar cuando algo no cuadra.

Para mí, la seguridad viene después

Casi todo lo que hago en seguridad se apoya en algo que aprendí antes y que, en su momento, no tenía nada que ver con la seguridad.

Primero entiendes cómo funciona una red: direccionamiento, enrutamiento, qué servicio escucha en qué puerto. Después entiendes mucho mejor por qué importa segmentar, qué significa que algo esté expuesto y qué está haciendo realmente un firewall.

Primero entiendes cómo está construida una aplicación. Después entiendes sus vulnerabilidades, porque sabes de dónde salen: de una entrada que nadie validó, de una sesión mal gestionada, de una dependencia que nadie actualizó.

Primero entiendes la autenticación, los protocolos y cómo se gestiona una identidad. Después tiene mucho más sentido hablar de Zero Trust o de acceso condicional, porque los ves como lo que son: decisiones sobre quién accede a qué y en qué condiciones.

Primero entiendes cómo se almacena la información y cómo se mueve entre sistemas, personas y servicios. Después puedes hablar con más criterio de prevención de fuga de datos (DLP) y protección de la información.

Tampoco quiero exagerar el orden. Nadie domina todas las capas antes de tocar nada de seguridad, y muchas veces es la propia seguridad la que te empuja a entender mejor lo que hay debajo. Pero cuando alguien aprende a manejar herramientas de seguridad sin saber qué sistema tiene delante, se acaba notando: al interpretar una alerta, al proponer un control que rompe algo en producción o al explicar un riesgo sin saber muy bien de dónde viene.

¿Y los grados específicos en ciberseguridad?

No descartaría un grado por llamarse «Ciberseguridad». Hay planes de estudios bien construidos, y tiene sentido que existan.

Lo que haría es leer el plan de estudios con calma. Y la pregunta que me haría es: ¿cuánta informática voy a aprender?

Miraría qué peso tienen la programación, las redes, los sistemas operativos, la arquitectura, las bases de datos, el cloud, las matemáticas y la lógica, y la ingeniería del software. Si todo eso está bien cubierto y la seguridad se construye encima, me parece una opción muy razonable.

El nombre del grado me preocupa poco. Lo que me preocuparía es que se sacrifique demasiada base para llegar demasiado pronto a herramientas concretas de seguridad.

Aprender una herramienta no es lo mismo que entender el sistema sobre el que trabaja. Las herramientas cambian cada pocos años, y los fundamentos de una red o de un sistema operativo cambian mucho más despacio. Cuando la herramienta de turno desaparece, lo que queda es lo segundo.

¿Y los másteres?

Para mí, un máster tiene más sentido como especialización: profundizar en un área, ordenar lo que ya sabes y ganar una visión estructurada de un campo concreto.

Por eso creo que se aprovecha más cuando llega después de una base previa. Esa base no tiene por qué ser Ingeniería Informática. Puede venir de telecomunicaciones, de otras ingenierías, de las matemáticas o de años de experiencia profesional en sistemas o redes. Y si el máster es de gobierno, riesgos o cumplimiento, la base adecuada puede ser otra muy distinta. Depende mucho del máster y del área.

Donde lo veo más difícil es cuando se usa un máster como sustituto de los fundamentos en un perfil técnico. Hay quien lo consigue, con mucho esfuerzo, pero un máster suele dar por supuestas cosas que, si faltan, cuesta recuperar sobre la marcha.

Las certificaciones sí tienen valor

Tengo varias certificaciones, entre ellas la AZ-500 de Microsoft y la de auditor líder ISO/IEC 27001, y les veo valor.

Una buena certificación te obliga a ordenar lo que sabes, a profundizar en una tecnología o en un marco concreto y a recorrer dominios que, por tu cuenta, probablemente te saltarías. También sirve para acreditar que has estudiado un ámbito determinado y para orientarte hacia tecnologías específicas cuando quieres especializarte.

Lo que no hace una certificación es sustituir la experiencia.

Puedes certificarte en seguridad de Microsoft sin haber diseñado nunca un entorno complejo. Puedes conocer bien la ISO 27001 sin haber vivido una implantación complicada, con resistencias internas, plazos que no cuadran y controles que sobre el papel parecían sencillos. La certificación demuestra que has estudiado algo. La experiencia llega cuando lo aplicas en un entorno real y ves dónde se tuerce.

Así que las veo como una forma muy útil de estructurar y demostrar conocimiento. Mi única reserva aparece cuando se usan como atajo para saltarse la base.

Los cursos resuelven otro problema

Los cursos son muy útiles cuando ya sabes qué quieres aprender: Azure, Active Directory, análisis de malware, Kubernetes, gestión de riesgos, seguridad cloud o seguridad de aplicaciones.

Su gran ventaja es que alguien ya ha hecho el trabajo de ordenar el recorrido. Te ahorra mucho tiempo de ir saltando entre documentación dispersa sin saber qué va primero.

El riesgo aparece cuando se acumulan sin una base común. Puedes terminar con veinte cursos hechos y la sensación de saber muchas cosas sueltas que no acaban de conectar. Cada curso te enseña una pieza, pero ninguno te explica cómo encajan todas.

Por eso vuelvo a lo del mapa. Si ya tienes una idea de cómo encaja todo, cada curso coloca una pieza en su sitio. Sin mapa, es fácil acabar coleccionando piezas.

La parte que nadie puede hacer por ti

Hay una parte de la formación que no depende del camino que elijas, y para mí es probablemente la más importante.

La tecnología cambia. Los productos cambian de nombre, de licencia y de funcionamiento: Azure Active Directory hoy se llama Microsoft Entra ID, y no fue solo un cambio de nombre. Las arquitecturas cambian. La regulación cambia: hace no tanto casi nadie hablaba de gestionar la inteligencia artificial, y hoy existe una norma como la ISO/IEC 42001 y un reglamento europeo que se aplica por fases.

Y continuamente te vas a encontrar delante de algo que no conoces: un producto que no has usado, un protocolo que no recuerdas, un requisito normativo nuevo o un incidente que no se parece a nada que hayas visto.

Para eso no hay temario. Hay documentación oficial que leer con paciencia, laboratorios que montar y romper, blogs y papers de gente que ya se ha peleado con el mismo problema, pruebas que no salen a la primera y muchas horas investigando. Los errores forman parte del proceso, y en un laboratorio salen baratos.

Una carrera, un máster o una certificación te pueden dar método y buenas bases, y eso ayuda mucho. Pero la costumbre de sentarte delante de algo nuevo y entenderlo por tu cuenta solo se construye con práctica. Creo que es de las pocas cosas que te acompañan durante toda la vida profesional, llegues por donde llegues.

Hay mucha ciberseguridad fuera de los perfiles puramente técnicos

Casi todo lo anterior lo digo pensando en perfiles técnicos. La ciberseguridad es bastante más amplia que eso, y no quiero que este artículo se lea como una barrera de entrada.

En gobierno, riesgo y cumplimiento (GRC), privacidad, legal, gestión de terceros, formación o concienciación, una base informática ayuda, pero no es lo único que pesa. Pesan también el criterio jurídico, la capacidad de analizar riesgos, de entender cómo funciona una organización por dentro, de comunicar y de cambiar hábitos.

Un abogado especializado en tecnología puede aportar muchísimo en privacidad, en contratos con proveedores o en cumplimiento normativo. Una persona que viene del mundo de los riesgos puede hacer una carrera excelente en GRC. Alguien con experiencia en comunicación o en psicología puede aportar muchísimo en concienciación, que al final trata de cambiar comportamientos, algo que en una ingeniería se estudia bastante poco.

En la parte técnica también hay grandes profesionales autodidactas o que llegaron desde telecomunicaciones y otras ingenierías. Los equipos buenos se benefician de esa mezcla: un equipo en el que todos han estudiado lo mismo tiende a ver los mismos problemas y a pasar por alto los mismos.

Y como conté en el artículo sobre liderazgo, buena parte de lo que decide si un proyecto sale adelante no es técnico. Eso tampoco se aprende en ninguna asignatura de redes.

Si empezase hoy

Si tuviese que empezar desde cero con la idea de dedicarme a la parte técnica de la seguridad, esto es más o menos lo que haría. Lo cuento como lo haría yo, con lo que sé ahora, sin pretender que valga para todo el mundo:

1. Estudiaría informática. Volvería a elegir Ingeniería Informática e intentaría tocar muchas áreas, también las que en ese momento no me pareciesen útiles.
2. Programaría, aunque no quisiera ser desarrollador. Leer y escribir código cambia cómo entiendes cualquier sistema y cualquier vulnerabilidad.
3. Aprendería bien redes, sistemas, bases de datos, arquitectura e identidad. Son las capas sobre las que después se aplica casi todo lo demás.
4. Después profundizaría en seguridad, en el área que más me atrajese: redes, cloud, identidad, aplicaciones, pentesting, malware o GRC.
5. Usaría los cursos para acelerar, las certificaciones para estructurar y, quizá, un máster para especializarme.
6. Y seguiría aprendiendo por mi cuenta, porque esa parte no se termina.

Tampoco tendría prisa por especializarme. Si una persona joven dudase entre construir primero una base informática amplia o especializarse cuanto antes, mi opinión es que construiría primero una buena base. La especialización llega, y llega mejor cuando tiene algo debajo. Entiendo que haya quien piense lo contrario, sobre todo si ya tiene muy claro a qué se quiere dedicar.

Así es como veo cada vía. Es mi forma de usarlas, no una clasificación objetiva:

La pregunta que me haría

Creo que la pregunta realmente importante no es qué título necesitas para trabajar en ciberseguridad.

Es esta: ¿estoy construyendo suficiente base para entender aquello que algún día tendré que proteger?

Hay muchas formas de hacerlo.

Ingeniería Informática fue la mía.

Y, si tuviese que empezar otra vez, probablemente volvería a elegirla.

Toni

Antonio Cebreiro Bernárdez es ingeniero informático y consultor de ciberseguridad. Sus especialidades, certificaciones y trayectoria están en su página de autor.