¿Cómo iniciarse en ciberseguridad?

Durante años oímos una y otra vez repetida la misma pregunta de todos aquellos que quieren incorporarse al mundo de la ciberseguridad: ¿por dónde debo empezar? ¿cuál es el mejor camino? La verdad es que no tiene una respuesta simple y mucho menos única, porque no hay una persona que sea igual a otra y al final cada uno tiene sus gustos y preferencias. La seguridad informática o ciberseguridad normalmente es vocacional, es decir requiere muchas horas de dedicación y esfuerzo "extras". Debemos encontrar lo que nos gusta.

¿Qué puestos de trabajo existen en ciberseguridad?

Lo normal es que empieces trabajando en un nivel 1 de un SOC (Centro de Operaciones de Seguridad) o en otro departamento haciendo las prácticas o colaborando con una beca, pero ¿en qué concretamente?

Lo primero que hay que tener claro es que la ciberseguridad no es una disciplina única, dentro de la misma hay muchas categorías y puestos especializados, y la lista sigue creciendo cada año.

A mi me gusta encasillar los puestos según el framework de ciberseguridad del NIST que describe 5 funcionalidades principales dentro del ciclo de vida de la gestión de riesgos de ciberseguridad de una organización:

• Identificar: especialistas en Governance Risk and Compliance (GRC) se encargan de la identificación y prevención de amenazas, proporcionando información para decidir de la mejor manera dónde y cómo destinar recursos para mejorar la seguridad, mitigando los riesgos allí donde existan y sean más elevados, tanto a nivel técnico como organizativo.
• Proteger: arquitectos y administradores de seguridad, ingenieros y técnicos de sistemas y de redes y especialistas en devops que son los encargados de diseñar, operar y mantener actualizados las diferentes plataformas de seguridad. Con tanta diversidad de productos y fabricantes a menudo requieren formaciones específicas. 
• Detectar: analistas del SOC, analistas de ciberinteligencia (estos más trasversales), threat hunters, analistas de malware, especialistas en SIEM, hackers éticos (aquí incluyo pentesters y red/purple teamers) y otros encargados de analizar y detectar los fallos y las vulnerabilidades de los sistemas de la empresa. Requieren la adopción de soluciones de monitorización continua que detecten actividad anómala y otras amenazas a la continuidad operativa. La parte ofensiva se encarga de simular adversarios de cara a poner a prueba y mejorar estos sistemas de detección.
• Responder: especialistas en respuesta ante incidentes y analistas forenses. Encargados de recopilar y analizar información sobre el incidente, realizar todas las actividades necesarias para contenerlo y erradicarlo e incorporar las lecciones aprendidas en las estrategias de respuesta revisadas.
• Recuperar: profesionales enfocados a desarrollar e implementar actividades efectivas para restaurar las capacidades o los servicios que se vieron afectados debido a un incidente. Las organizaciones deben contar con un plan de recuperación, poder coordinar las actividades de restauración con partes externas e incorporar las lecciones aprendidas en su estrategia de recuperación actualizada. 

Además cuando entréis en una empresa seguro que os hablarán o escucharéis opr los pasillos acerca del CSO, CISO y del DPO. Para que no os pillen fuera de juego os dejo también qué significa y debe hacer cada uno:

• CSO (Chief Security Officer): es el responsable de la seguridad de la empresa y se ocupa de establecer los planes de continuidad de negocio y recuperación de desastres, comprender las necesidades normativas y asegurarse de que todas las actividades son planificadas y ejecutadas para satisfacer los objetivos de la empresa. En empresas pequeñas el CISO y el CSO pueden coincidir.
• CISO (Chief Information Security Officer): es el director de seguridad de la información, cuya función es alinear la seguridad de la información con los objetivos de negocio. Establece las políticas de seguridad de la empresa y las medidas y controles necesarios.
• Delegado de Protección de Datos (DPO): responsable de informar y asesorar a todos los empleados de la organización sobre las obligaciones a que están sujetos por la normativa, además de supervisar su cumplimiento y actuar como punto de contacto con la autoridad competente. Es una figura introducida por el nuevo GDPR. En ciertas categoría de organizaciones, puede coincidir con el Compliance Officer.

¿Qué estudiar para dedicarse a ésto?

Vale, ya nos hacemos una idea de la "fauna" en cuanto a diversidad de puestos que existen en ciberseguridad y podemos tener ya alguna preferencia en cuánto a qué queremos dedicarnos. Ahora bien la pregunta, incluso primigenia, es: ¿cómo me preparo para ello, qué estudio?

Si has estudiado previamente un grado universitario o un módulo de formación profesional técnicos y no estás trabajando en ésto ya, te recomendaría que valorases la opción de realizar un máster de ciberseguridad.

La oferta es amplia (y en ocasiones cara) pero son un claro impulsor para asomar la cabeza en este mundo cuanto antes, sobretodo porque suelen incluir prácticas empresariales donde literalmente las organizaciones se rifan a los alumnos.

Además muchos de estos masters cuentan con profesores y conferenciantes de alta calidad y relevancia, incluyen horas de laboratorio y hasta te preparan e incluyen certificaciones como por ejemplo CISSP y CISM.

Si quieres valorar esta opción te aconsejo que eches un vistazo a los catálogos de formación de seguridad que pone a nuestra disposición el INCIBE (Instituto Nacional de Ciberseguridad):

• El Catálogo de másteres en ciberseguridad en España recopila un total de 76 programas de Máster y 3 Grados.
• El Catálogo de instituciones que ofrecen formación en ciberseguridad en España reúne 120 centros donde se puede realizar algún estudio en ciberseguridad, en modalidad máster o en otro formato.

Otra de las grandes cuestiones en cuanto a formación es el tema de las certificaciones. Si me preguntaras por el tema de hacking te diría que ahora en España claramente hay una tendencia hacia el OSCP (hace muchos años era el CEH) pero siempre va a depender un poco del puesto concreto que quieras desempeñar. 

En cualquier caso, el número de certificaciones se ha disparado también con el paso de los años. Prueba de ello es el espectacular mapa de Paul Jeremy:

¿Impresionante verdad? Realmente no sabe uno ni por dónde tirar.. pero os animo a que entréis en Linkedin u otros portales de empleo y busquéis las certificaciones requeridas por las empresas en algunos de los puestos que os interesan.

A parte de los masters y las certificaciones también hay un catálogo de cursos y formaciones bastante amplio, incluido en español y de gran calidad. Para no hacer publicidad ni discriminar a nadie no voy a exponer aquí la lista que personalmente considero muy interesante, pero si buscáis el tema que os atrae seguro que se os abre otro interesante abanico de posibilidades.

También destaco el tema de los laboratorios, hoy en día existen plataformas como HacktheBox o TryHackme que nos ofrecen la posibilidad de disponer de entornos super útiles para practicar incluso a veces de forma totalmente gratuita. Con el tiempo, si te interesas en la parte ofensiva incluso podrás participar en programas de Bug Bounty (recompensas por encontrar bugs) con el que agenciarte algo de dinerillo extra.

Otro aspecto importante es el tema del inglés. Yo soy un fiel defensor de la comunidad hispano-hablante y siempre que puedo intento escribir y llevar la palabra en castellano, no sólo porque me resulta más fácil si no por un tema de apego cultural. Pero hay que reconocer que hoy en día manejar el idioma de Shakespeare es importante y fundamental, lo vas a necesitar.

Por último y voy a resaltarlo en mayúsculas la ciberseguridad requiere muchas veces de ser AUTODIDACTA. Internet es una locura en cuanto recursos, cientos de blogs, libros, podcasts, vídeos... no los desaproveches.

Y sobretodo interactúa y comparte. Lejos queda el falso tópico del informático aislado que pasa horas sólo frente al ordenador. No está sólo, está en hablando en grupos como el nuestro de Telegram u otros, visitando Conferencias como nuestra h-c0n, jugando CTFs en equipo, be social!

¿Cuánto me pagaran?

Evidentemente los sueldos varían mucho en función de cada puesto, el país, la empresa y el proyecto, la experiencia y formación de cada uno y hasta la pericia que tengamos a la hora de negociar con Recursos Humanos.

Hace unos meses en el blog hicimos una encuesta sobre los salarios de ciberseguridad en España donde encontraréis resultados bastantes concluyentes (obviando alguna troleada).

Lo que está claro es que el sueldo de los especialistas en ciberseguridad supera considerablemente el salario medio: a fecha de este artículo es de 34.852€ en Madrid.

Otro dato de interés es el salario medio del primer empleo el cual es de 19.774€.

¿Preparado para dar el salto?

Si me preguntaran cuáles son los oficios con más futuro en los años venideros tengo claro que aquellos relacionados con la ciberseguridad estarían siempre en mi lista. Nadie puede negar el imparable crecimiento en la demanda de estos puestos, en 2022 y sólo en Europa se necesitarán más de 350.000 nuevos expertos en ciberseguridad.

Además, actualmente la tasa de empleabilidad después de terminar los estudios y a la hora de incorporarse al mundo laboral es mayor al 90% en menos tres meses. 

Así que con todo ésto ¿cómo no voy a recomendaros, animaros a qué os enroléis en ciberseguridad? 

Si estás ya estás buscando empleo y en algún proceso de selección os dejo también unas preguntas por si queréis prepararos una entrevista en un puesto similar. 

En cualquier caso a todos os deseo mucha suerte y os animo a comentar aquí en este artículo cualquier duda o comentario. Espero que os sirva de ayuda y a todos los que estáis pensando en introduciros en este maravilloso mundo, ¡bienvenidos!