Ciberseguridad para principiantes: roles que puedes explorar sin experiencia

Cuando pensamos en ciberseguridad, es común imaginar a una persona escribiendo código rápidamente frente a varias pantallas o intentando detener un ataque informático. Sin embargo, esta industria es mucho más amplia.

La ciberseguridad combina personas, procesos y tecnología para proteger sistemas, redes, programas y datos frente a ataques digitales. Dentro de este campo existen funciones relacionadas con análisis, documentación, gestión de riesgos, comunicación, control de accesos, pruebas técnicas y respuesta a incidentes.

El NICE Workforce Framework de NIST, una referencia utilizada para describir el trabajo en ciberseguridad, demuestra que no existe un único camino profesional. El framework organiza diferentes funciones según las tareas, conocimientos y habilidades necesarias, y puede utilizarse para descubrir carreras, diseñar programas de aprendizaje y evaluar competencias. 

Esto significa que no necesitas convertirte inmediatamente en hacker ético ni dominar todos los lenguajes de programación para comenzar. 

¿Realmente puedes trabajar en ciberseguridad sin experiencia? 

Puedes ingresar sin experiencia profesional previa en ciberseguridad, pero eso no significa comenzar sin preparación.

Las empresas suelen buscar evidencia de que puedes aplicar conocimientos básicos, aprender de manera constante, documentar procesos y resolver problemas. Esa evidencia puede provenir de proyectos personales, laboratorios, certificaciones fundamentales, pasantías, voluntariados o experiencia previa en áreas como soporte técnico. 

Una investigación de ISC2 encontró que los responsables de contratación valoran especialmente la experiencia práctica y las certificaciones fundamentales para posiciones iniciales. También identificó el trabajo en equipo, la resolución de problemas y el pensamiento analítico entre las habilidades más valoradas para los perfiles entry-level y junior. 

Por eso, tu objetivo inicial no debe ser aprender “toda la ciberseguridad”, sino identificar el rol que mejor se conecta con tus habilidades e intereses.

 1. Analista SOC o Cyber Defense Analyst 

Un Security Operations Center, conocido como SOC, es el equipo encargado de observar y analizar posibles amenazas dentro de una organización. 

Un analista SOC junior puede apoyar revisando alertas, analizando registros, documentando eventos y escalando comportamientos sospechosos. CISA describe el rol de Cyber Defense Analyst como la función que utiliza información recopilada por herramientas como firewalls, sistemas de detección de intrusos y registros de tráfico para analizar eventos y ayudar a mitigar amenazas. 

Este rol puede ser para ti si:

• Disfrutas investigar qué ocurrió y por qué. 
• Puedes mantener la concentración al revisar información.
• Te interesa entender cómo funcionan las redes y los sistemas.
• Te gusta seguir procedimientos claros. 

Para practicar, puedes aprender los fundamentos de redes, estudiar cómo se leen los logs y utilizar laboratorios que simulen alertas de seguridad. 

2. Analista de gestión de vulnerabilidades 

Una vulnerabilidad es una debilidad que podría ser aprovechada para comprometer un sistema. Los equipos de gestión de vulnerabilidades ayudan a encontrarlas, evaluarlas, documentarlas y dar seguimiento a su corrección.

 En una posición inicial podrías colaborar ejecutando escaneos autorizados, clasificando hallazgos, preparando reportes o confirmando que una actualización fue aplicada correctamente.

 Este rol puede ser para ti si: 

• Eres organizado y detallista. 
• Te interesa investigar software, configuraciones y actualizaciones. 
• Puedes explicar un problema de forma clara. 

• Disfrutas trabajar con listas de prioridades. 

   

Puedes comenzar aprendiendo conceptos como vulnerabilidad, amenaza, riesgo, parche y severidad. Después, practica únicamente en entornos creados para aprendizaje o sobre sistemas para los que tengas autorización. 

3. Analista junior de GRC 

GRC significa Governance, Risk and Compliance: gobernanza, riesgo y cumplimiento. 

Este rol no se centra únicamente en herramientas técnicas. También involucra revisar políticas, documentar controles, recopilar evidencias, apoyar evaluaciones de riesgo y verificar que los procesos de una organización se alineen con determinadas normas.

NIST incluye la gestión de riesgos entre las áreas centrales de la ciberseguridad, mientras que CISA describe funciones de política y estrategia enfocadas en desarrollar planes, lineamientos y políticas de seguridad alineados con las necesidades organizacionales y regulatorias. 

Este rol puede ser para ti si:

• Te gusta escribir, investigar y organizar información. 
• Tienes experiencia en procesos, auditoría, leyes o administración. 
• Puedes comunicar conceptos técnicos a personas no técnicas. 
• Te interesa entender cómo las decisiones empresariales afectan la seguridad. 

Perfiles provenientes de administración, finanzas, comunicaciones, recursos humanos o áreas legales pueden encontrar aquí una ruta para transferir sus habilidades. 

4. Analista de identidad y gestión de accesos

Identity and Access Management, o IAM, se enfoca en asegurar que cada persona tenga acceso únicamente a los recursos necesarios para realizar su trabajo.

En una posición inicial podrías apoyar con la creación y eliminación de usuarios, revisión de permisos, documentación de solicitudes, autenticación multifactor y seguimiento de accesos. 

La identidad y la gestión de accesos forman parte de las áreas de trabajo destacadas por NIST dentro de la protección de sistemas y datos. 

Este rol puede ser para ti si:

•  Eres cuidadoso con los detalles. 
• Te interesa la administración de usuarios y sistemas. 
• Comprendes la importancia de seguir procesos. 
• Puedes manejar solicitudes de manera responsable.

 La experiencia en mesa de ayuda, soporte técnico o administración de Microsoft 365, Google Workspace o plataformas similares puede servir como puente hacia IAM. 

5. Coordinador de concientización en ciberseguridad

No todos los incidentes comienzan con una falla técnica. También pueden surgir cuando una persona abre un archivo malicioso, reutiliza una contraseña o comparte información sensible.

Los profesionales de seguridad awareness ayudan a crear capacitaciones, campañas, guías, simulaciones y comunicaciones para que los colaboradores reconozcan riesgos como el phishing. 

La investigación de ISC2 incluye la capacitación de usuarios y la documentación de procesos entre las tareas que las organizaciones asignan a profesionales entry-level. 

Este rol puede ser para ti si: 

• Tienes habilidades de comunicación, diseño o educación. 
• Disfrutas explicar conceptos de forma sencilla. 
• Te interesa analizar el comportamiento de los usuarios. 
• Puedes transformar políticas complejas en mensajes claros. 

Es una alternativa especialmente interesante para personas provenientes de comunicación, marketing, diseño, educación o recursos humanos. 

6. Pentester junior o asistente de pruebas de seguridad 

El pentesting consiste en evaluar sistemas de manera autorizada para encontrar vulnerabilidades antes de que sean aprovechadas por atacantes. 

Es uno de los caminos más populares, pero también requiere una base técnica más sólida. Normalmente deberás comprender redes, sistemas operativos, aplicaciones web, autenticación y metodologías de prueba.

En lugar de intentar atacar sistemas reales, puedes comenzar con laboratorios, máquinas vulnerables creadas para aprendizaje y competencias de Capture the Flag. Las pruebas siempre deben realizarse dentro de entornos propios o con autorización expresa. 

Este rol puede ser una meta de segundo paso: primero construyes conocimientos fundamentales y un portafolio, y después buscas posiciones trainee o junior. 

Habilidades que deberías desarrollar primero 

No necesitas dominar todo desde el comienzo. Concéntrate en construir una base que puedas utilizar en distintos roles:

• Fundamentos de redes: direcciones IP, DNS, puertos y protocolos. 
• Conceptos básicos de Windows y Linux. 
• Autenticación, autorización y control de accesos. 
• Amenazas comunes como phishing, malware e ingeniería social.
•  Lectura básica de logs.
•  Documentación y elaboración de reportes. 
• Resolución de problemas y pensamiento analítico. 
• Comunicación y trabajo en equipo. 

Las habilidades interpersonales no son un complemento menor. ISC2 encontró que el trabajo en equipo, la resolución de problemas y el pensamiento analítico se encuentran entre las principales prioridades de quienes contratan perfiles iniciales.

Cómo obtener experiencia antes de tu primer empleo 

No tener experiencia laboral no significa que tu CV deba estar vacío. Puedes demostrar tus conocimientos mediante: 

• Proyectos personales: Crea un pequeño laboratorio, analiza registros de prueba, documenta una evaluación de riesgos o diseña una campaña contra el phishing. 
• Laboratorios y desafíos: Utiliza plataformas diseñadas específicamente para practicar de forma legal. Guarda evidencias, notas y conclusiones de cada ejercicio. 
• Portafolio: Publica reportes, diagramas, procedimientos y aprendizajes en GitHub, Notion o una página personal. No compartas información sensible ni soluciones que violen las reglas de una plataforma. 
• Pasantías y programas de aprendizaje: Las pasantías y los apprenticeships son rutas relevantes para identificar y formar talento de carrera temprana. En el estudio de ISC2, el 55 % de los responsables de contratación consideró efectivas las pasantías y el 46 % señaló los programas de aprendizaje. 
• Certificaciones fundamentales: Una certificación inicial puede ayudarte a organizar tu aprendizaje y validar conocimientos básicos, pero no sustituye la práctica. Antes de pagar por una, revisa las vacantes de tu región y confirma cuáles aparecen con mayor frecuencia. 

Una ruta sencilla para comenzar 

Durante tu primer mes puedes seguir este plan: 

• Semana 1: aprende fundamentos de redes, sistemas operativos y seguridad.
• Semana 2: investiga los diferentes roles y selecciona uno que se conecte con tus habilidades. 
• Semana 3: completa un laboratorio o proyecto relacionado con ese rol. 
• Semana 4: documenta el proyecto, actualiza tu CV y comienza a buscar pasantías, programas trainee y vacantes entry-level. 

No esperes sentir que conoces todo antes de aplicar. Muchas posiciones junior están diseñadas para continuar aprendiendo dentro del equipo. 

Tu experiencia previa también puede abrirte una puerta

Ciberseguridad no está reservada exclusivamente para quienes estudiaron informática. 

La investigación de ISC2 señala que algunas organizaciones han encontrado talento de ciberseguridad en equipos de soporte técnico, finanzas, recursos humanos, comunicaciones, servicio al cliente y marketing. 

Una persona de comunicación puede trabajar en security awareness. Alguien con experiencia administrativa puede explorar GRC. Un profesional de soporte puede avanzar hacia IAM o un SOC. 

Lo importante es identificar tus habilidades transferibles y complementarlas con conocimientos de seguridad. 

Inicia una carrera en ciberseguridad

Comenzar una carrera en ciberseguridad no requiere que seas experto desde el primer día. Requiere curiosidad, disciplina, pensamiento crítico y disposición para aprender constantemente. 

Explora distintos roles, construye proyectos pequeños y demuestra cómo aplicas lo aprendido. Tu primera oportunidad podría llegar desde un SOC, un equipo de riesgos, un área de accesos, una pasantía o incluso desde tu posición actual. 

Sigue las redes sociales de Rootstack para conocer más consejos sobre carreras tecnológicas, aprendizaje y crecimiento profesional. También puedes revisar nuestras posiciones abiertas y descubrir oportunidades para iniciar o continuar tu camino en tecnología.