Cómo empezar en ciberseguridad: 10 lecciones que me costaron 4 años (y a ti te van a ahorrar tiempo)

Llevo 4 años en ciberseguridad. Pasé de no tener ni idea a trabajar como hacker ético, sin carrera universitaria. He hackeado legalmente a empresas del Euro Stoxx 50, además de instituciones públicas y compañías del sector aeroespacial.

Y en este artículo voy a comprimir todo lo que he aprendido a base de equivocarme. Cosas que ningún curso te enseña sobre cómo empezar en ciberseguridad, y que a mí me costó años descubrir.

Si estás pensando en dar el paso, o llevas meses estudiando sin ver resultados, estas 10 lecciones te van a ahorrar buena parte del camino que yo hice a ciegas. Vamos con ellas.

Lección 1: las certificaciones no te dan trabajo, la certificación sí

Deja que me explique, porque sé que suena confuso.

La mayoría de gente que quiere entrar en ciberseguridad se dedica a acumular certificaciones. La de Google, la de IBM, la de Cisco… Cuantas más, mejor, piensan. Y luego van a una entrevista con cuatro logos en el CV, les preguntan «cuéntame qué sabes hacer» y no saben por dónde empezar.

El problema no es certificarse. El problema es certificarse sin criterio. No necesitas cinco certificaciones. Necesitas la correcta para el trabajo al que apuntas. Si quieres entrar como analista SOC, la Security+ te abre puertas. Si quieres entrar en pentesting, puedes empezar con la eJPT.

Yo conseguí mi primer trabajo como analista de ciberseguridad gracias a la eJPT. Una sola certificación. Pero era la correcta para el puesto. Y detrás había horas de laboratorios, máquinas resueltas y práctica real. El papel abrió la puerta. Lo que había detrás es lo que me dio el trabajo.

Por qué la certificación correcta te contrata

¿Y por qué funciona así? Porque las empresas de ciberseguridad no te contratan solo por lo que sabes hacer. Te contratan por lo que pueden vender con tu perfil.

Cuando una consultora se presenta a una licitación para auditar a un banco o a una administración pública, tiene que demostrar que su equipo tiene las certificaciones que el cliente exige. El pliego dice: «necesitamos profesionales certificados en X, Y y Z». Si la consultora no puede poner esos nombres con esas certificaciones en la propuesta, ni siquiera entra en el proceso. No importa lo bueno que sea el equipo.

Por eso la certificación correcta te da trabajo. No porque demuestre que sabes, sino porque permite que la empresa que te contrata venda tus servicios. Tú eres un activo comercial. Si tienes cinco certificaciones genéricas que nadie ha pedido en ningún pliego, sobras.

Esto es algo que nadie te cuenta cuando empiezas. Piensas que las certificaciones son para ti. Y en parte sí, porque aprendes. Pero en la práctica, son la forma que tiene la empresa de demostrarle al cliente que el equipo que le pone delante está cualificado.

Lección 2: tu primer trabajo no requiere ser técnico, requiere actitud

El 80% de los trabajos junior en ciberseguridad no necesitan que seas un genio técnico. Necesitan que aprendas rápido, que te comuniques bien, que seas responsable y que no seas un problema.

Enviar bien un correo a un cliente puede ser más importante que saber explotar una SQL Injection. Porque en tu primer trabajo la empresa sabe que no vienes formado. Lo que quieren es alguien con la actitud correcta al que puedan enseñar. La técnica se enseña. La actitud no.

Yo conseguí trabajo antes que ingenieros con máster. No porque supiera más, sino porque tenía la mentalidad correcta y podía demostrar que aprendía rápido. Y he visto el caso contrario: gente técnicamente preparada que no consigue trabajo, o que lo pierde en los primeros meses. ¿Por qué? Porque no responden los correos a tiempo. Porque en las reuniones no adaptan el lenguaje al cliente. Porque cuando les piden algo que no han hecho antes, en vez de buscarse la vida, se quedan esperando a que alguien se lo explique. Eso no es falta de conocimiento. Es falta de actitud. Y las empresas lo detectan en la primera semana.

Qué significa «tener actitud» en la práctica

¿Con actitud a qué me refiero exactamente? A cosas muy concretas: investigar la empresa antes de la entrevista, llevar preguntas preparadas, mandar un correo de seguimiento después, pedir feedback si no te seleccionan, tener el LinkedIn actualizado con un resumen que no sea un copia-pega genérico. Todo eso comunica una cosa: «esta persona se toma esto en serio».

Una pregunta que siempre hago en las entrevistas es: «¿Qué esperáis de mí en los próximos seis meses si me contratáis?». Esa pregunta cambia la conversación. El entrevistador te dice exactamente qué necesita la empresa, y a partir de ahí tú te centras al 100% en cumplir esas necesidades. Si me dicen que necesitan que domine cierta herramienta o tecnología, me enfoco en eso antes de empezar.

Y quiero ser sincero: la empresa no te contrata para que aprendas. Te contrata para que produzcas. Un junior que tarda 3 meses en ser productivo le cuesta dinero a la empresa durante 3 meses. Un junior que llega el día uno habiendo preparado lo que le dijeron en la entrevista, y aporta desde la primera semana, es alguien a quien quieren mantener. Eso es actitud. Y eso es lo que te da ventaja sobre candidatos con mejor CV pero peor mentalidad.

Lección 3: ver cursos no te hace mejor profesional

Esta posiblemente sea la fórmula del fracaso: curso, YouTube, otro curso, otra plataforma, otra certificación. Llevas meses así. O años. Sin laboratorios, sin portfolio y sin trabajo.

Una hora de práctica en un laboratorio vale más que diez horas de vídeo. Porque te obliga a pensar, a buscar y a resolver. Y eso es exactamente lo que vas a hacer en un trabajo real.

Yo estuve 4 años trabajando en un sector completamente distinto al hacking. Sabía que quería dedicarme a esto desde los 9 años, pero no daba el paso. ¿Por qué? Porque no tenía dirección. Consumía contenido pero no practicaba. Y sin práctica, no avanzas. El día que dejé de ver y empecé a hacer, todo cambió. En 6 meses tenía mi primer trabajo.

Y lo he visto en mis alumnos. Los que consiguen trabajo más rápido no son los que han hecho más cursos. Son los que desde el día uno montan su laboratorio, resuelven máquinas, documentan lo que hacen y construyen un portfolio. He tenido alumnos que con 3 meses de práctica real consiguen lo que otros no consiguen en 2 años de cursos. La diferencia nunca es la cantidad de contenido consumido. Es la cantidad de problemas resueltos.

Lección 4: necesitas checkpoints, no un objetivo lejano

«Quiero ser pentester». Eso no es un objetivo. Es un sueño sin fecha ni pasos intermedios. Si tu único objetivo es ese, te vas a frustrar y lo vas a dejar, porque está demasiado lejos y no ves progreso.

Lo que funciona son los checkpoints. Pasos intermedios que te acercan al objetivo y que, además, cada uno te aporta algo: experiencia, contactos, un sueldo, una pequeña victoria que te mantiene en marcha.

Mi primer checkpoint no fue «ser pentester». Fue «conseguir cualquier trabajo relacionado con ciberseguridad en 6 meses». Lo conseguí. Ocho meses después, analista de ciberseguridad. Después, pentester. Cada checkpoint construyó sobre el anterior. Sin el primero, el tercero no habría sido posible.

Simplifica el proceso: las tres preguntas

Si tuviera que resumir cómo empezar en ciberseguridad en una sola frase sería: simplifica el proceso.

Cuando estás empezando, quieres hacer de todo. Redes, Linux, programación, herramientas, certificaciones, CTFs, laboratorios, inglés. Sientes que necesitas aprenderlo todo a la vez y no sabes por dónde empezar. Y lo que acaba pasando es que haces un poco de todo y no avanzas en nada.

El truco es reducir todo eso a tres preguntas:

¿Dónde estoy ahora?
¿Dónde quiero estar en 6 meses?
¿Cuál es el obstáculo concreto que me separa?

Si puedes responder esas tres preguntas con claridad, las prioridades se ordenan solas. Y si no puedes, eso es lo primero que tienes que resolver, porque estás corriendo sin saber hacia dónde.

Te pongo un ejemplo real. Me escriben personas que dicen: «llevo un año estudiando y no consigo trabajo». Les pregunto qué han hecho ese año. Y me responden: «he hecho un curso de redes, otro de Linux, he empezado Python, tengo medio curso de Burp Suite, he mirado lo del OSCP, he practicado un poco en TryHackMe y estoy pensando en hacer la Security+».

¿Lo ves? Eso son siete cosas a medias. Ninguna terminada. Ninguna que puedas mostrar en una entrevista. Si tu checkpoint es «analista SOC en 6 meses», entonces necesitas la Security+, practicar en un SIEM, un portfolio de alertas investigadas y entender el proceso de ataque. Nada más. Todo lo demás sobra ahora mismo. Simplificas, te enfocas y avanzas.

Lección 5: la especialización temprana es una trampa

La mayoría quiere especializarse antes de tener las bases. Quieren hacer pentesting web sin saber redes. Quieren hacer threat hunting sin saber Linux. Quieren aprender Burp Suite sin entender qué es una petición HTTP.

Tu perfil profesional funciona como un edificio. Si los cimientos son débiles, da igual lo bonito que sea el ático: se va a caer. Las bases son redes, sistemas operativos y scripting básico. Sin eso, cualquier especialización es frágil.

Cuando yo era analista de redes, no hacía hacking. Hacía redes. Y eso es exactamente lo que me permitió entender cómo funcionan los sistemas antes de intentar romperlos. Si hubiera saltado directamente a pentesting sin esa base, me habría estrellado. Primero aprendes cómo funciona. Después aprendes cómo se rompe.

Aprende de forma escalable, cubriendo lagunas

Es normal que aún no sepas todo lo que tienes que aprender. Lo importante es que no tienes que saberlo todo ya.

Si quieres aprender Burp Suite y en el proceso te das cuenta de que tienes que gestionar peticiones HTTP, pero no sabes qué son, ese es el momento de parar. Frenas, buscas esa información y entiendes el siguiente paso. Esto me sigue pasando a mí a día de hoy:

Quiero aprender una tecnología nueva.
Al empezar, detecto lagunas de conocimiento (es normal, la ciberseguridad es enorme).
Paro, identifico qué es lo que no entiendo y aprendo esa parte específica para cubrir el hueco.

Así puedes seguir aprendiendo de forma escalable. Lo que no puedes hacer es estar aprendiendo algo sin la información necesaria y aun así continuar, sin entender realmente el fundamento de lo que estás haciendo.

Lección 6: la mayoría falla en la entrevista, no en la técnica

Hay gente que sabe hacer el trabajo pero no sabe contarlo. Saben encontrar una vulnerabilidad pero no saben explicar por qué importa. Dominan toda la suite de Kali Linux pero no saben hablar con alguien que no es técnico.

Si no puedes explicar lo que encontraste y por qué el cliente debería preocuparse, no sirves en una auditoría real. Porque el informe es la mitad del trabajo. El cliente no ve tu pantalla. Ve tu informe. Y si el informe no comunica, el trabajo no existe.

Muchos me decís que no queréis venderos, que preferís que vuestro trabajo hable por vosotros. La teoría es muy bonita, pero en la entrevista tenemos que hacer que el reclutador vea lo que nosotros queremos que vea. Por eso hay que prepararse y enfocarse en las necesidades que tiene esa persona delante.

Los tres errores básicos que te dejan fuera

Los errores más comunes que veo son básicos:

No saber cuál es el puesto. Me he encontrado con gente que llegaba a la entrevista y decía «no me acuerdo de qué era el puesto». Eso no puede ocurrir: si no muestras interés desde el principio, no lo vas a mostrar después.
No saber nada sobre la empresa. Se prepara en 15 minutos y marca la diferencia.
No saber nada sobre la persona que te va a entrevistar. Un vistazo a su perfil te da temas de conversación y contexto.

Pero hay un error más profundo que engloba a todos: no saber explicar cómo lo que tú haces le sirve a la empresa.

Conecta lo que haces con lo que la empresa necesita

Cuando a alguien le preguntan «¿qué haces en tu trabajo?» y responde algo vago como «busco que todo esté seguro» o «hago auditorías», eso no dice nada. No te diferencia de nadie.

Ahora imagina que te preguntan «¿qué haces como pentester?» y respondes: «evalúo la postura de seguridad del cliente identificando vectores de ataque reales siguiendo la metodología OWASP, documento cada hallazgo con su nivel de riesgo asociado al estándar CVSS y sus medidas correctivas, y el resultado es que el cliente sabe exactamente dónde está expuesto y qué priorizar para no ser el siguiente titular de una brecha de seguridad». Eso es otra conversación. Eso es alguien que entiende para qué sirve su trabajo dentro del negocio del cliente.

Lo mismo con un analista SOC. Si dices «monitorizo alertas», estás fuera. Si dices «clasifico y priorizo alertas de seguridad en tiempo real, investigo las que son reales, documento la cadena de ataque y escalo con recomendaciones concretas para que el equipo pueda actuar antes de que el incidente se propague», estás demostrando que entiendes tu función, no solo que sabes usar un SIEM.

Antes de cada entrevista, pregúntate: ¿cómo aporta lo que yo hago a que esta empresa sea más segura, más rentable o más competitiva? Si puedes responder eso con ejemplos concretos, vas con ventaja sobre el 90% de los candidatos. Porque la mayoría nunca se ha hecho esa pregunta.

Lección 7: el buen networking vale más que cualquier curso

La mayoría de los trabajos en ciberseguridad no se consiguen enviando CVs a ciegas por LinkedIn. Se consiguen porque alguien te conoce, sabe lo que haces y te recomienda. O porque alguien te dice «oye, en mi empresa buscan a alguien así, ¿te interesa?».

Cada persona que conoces en este sector es una puerta potencial. Conferencias, comunidades online, CTFs, canales de Discord, eventos presenciales. Todo eso es networking. Yo no habría llegado a donde estoy sin las conexiones que hice en el camino. No inventé mi ruta: pregunté a quién ya lo había conseguido, escuché a quién tenía los resultados que yo quería y adapté mi plan.

La red se construye antes de necesitarla

Aquí está el error que casi todo el mundo comete: construyen su red cuando la necesitan. Empiezan a conectar con gente del sector cuando están desesperados buscando trabajo. Y en ese momento ya es tarde, porque cuando le escribes a alguien que no te conoce de nada para pedirle un favor, se nota. Y no funciona.

La red se construye cuando no estás pidiendo nada. Cuando participas en una comunidad, resuelves dudas de otros, compartes un writeup que has hecho, comentas en el post de alguien que trabaja en lo que tú quieres trabajar. Haces eso durante meses sin pedir nada a cambio, y cuando llega el momento en que necesitas una referencia, no tienes que pedirla: te la ofrecen. Porque ya te conocen y ya confían en ti.

Si ahora mismo no tienes red, empieza hoy. Comenta algo útil en el post de un profesional que admiras. No le pidas nada. Solo aporta. En 6 meses tendrás una red que el 90% de los juniors no tiene.

Cómo aprovechar de verdad un evento presencial

Y ahora los eventos presenciales, porque es donde más oportunidades se desperdician. La mayoría va sin plan: se sientan, escuchan las charlas, se toman un café y se van a casa. Eso no es networking, es ser espectador.

Si vas a un evento, ve con un objetivo claro y concreto. Por ejemplo: «hoy hablo con 10 personas que no conozco». No con tu grupo de amigos. Con gente nueva. Y no vas a pedirles trabajo: te presentas, preguntas en qué trabajan, qué herramientas usan, qué les gusta de su trabajo. Escuchas. Y al final, intercambias LinkedIn.

Si hay empresas con stand, pásate por todos. Por todos, no solo por los que te suenan. Pregúntales qué perfiles buscan, qué tecnologías usan, qué valoran en un junior. Esa información vale oro porque te la dan directamente las personas que contratan. Si después les mandas una solicitud diciendo «nos conocimos en tal evento, me comentaste que buscabais perfiles con experiencia en X, y he estado trabajando en eso», esa solicitud tiene diez veces más probabilidad de que la lean que un CV enviado en frío.

Trata el networking como una parte más de tu formación. Porque una conversación de 5 minutos con la persona correcta puede ahorrarte 6 meses de búsqueda de empleo.

Lección 8: si no encuentras trabajo, tu perfil no es válido (todavía)

Esta es la lección que más duele oír. Pero es la más importante.

El mercado de ciberseguridad no está saturado. Las empresas están contratando. Si llevas meses buscando trabajo y no te llaman, el problema no es el mercado. Es tu perfil. Algo no encaja. Puede que no tengas práctica suficiente. Que tu CV no comunique bien. Que no estés apuntando a las ofertas correctas. Que te falte una habilidad que el mercado pide y tú no tienes.

La pregunta que tienes que hacerte no es «¿por qué está el mercado tan difícil?». La pregunta correcta es: «¿qué le falta a mi perfil para que una empresa me contrate mañana?». Esa pregunta no es cómoda. Pero es la que te mueve.

Y probablemente ya sabes cuál es el problema, pero lo estás evitando. Es como el dueño de un restaurante que dice que necesita mejor marketing, mejor web, mejor posicionamiento. Pero si le preguntas «¿has probado tu propia comida últimamente?», se queda callado. Porque sabe que la comida es mediocre. Confrontarlo es incómodo, así que sigue invirtiendo en lo que no es el problema.

En ciber pasa lo mismo. Tu CV es genérico y parece igual que el de otros 200 candidatos. No tienes un solo proyecto documentado que enseñar. Tu red de contactos es cero. Pero como esos problemas son incómodos de resolver, te refugias en lo que sí te gusta: estudiar más, hacer otro curso, empezar otra certificación. Y el problema gordo sigue ahí.

Mide tu búsqueda como un proceso

Hay una forma muy concreta de dejar de engañarte. Trata tu búsqueda de empleo como un proceso con pasos que puedes medir. Hazte estas preguntas: ¿cuántos CVs he mandado este mes? ¿Cuántas respuestas he recibido? ¿Cuántas entrevistas he tenido? ¿En cuántas he pasado de la primera ronda?

Si mandas 50 CVs y no recibes ninguna respuesta → el problema es tu CV o dónde estás aplicando.
Si recibes respuestas pero no pasas la primera entrevista → el problema es cómo comunicas.
Si pasas la primera pero no la segunda → te falta profundidad técnica, o no sabes conectar lo que haces con lo que la empresa necesita.

El problema siempre está en un paso concreto. No en «el mercado». Cuando lo encuentras, lo arreglas, y el siguiente intento es completamente distinto.

Mis primeros meses no fueron fáciles, pero fueron necesarios. Y funcionaron porque no me dije «el mercado está difícil». Me dije «mi perfil no es suficiente todavía, ¿qué le falta?». Y cada semana le añadía algo: una máquina resuelta más, un contacto nuevo, una línea más en el CV que fuera real, no relleno. Hasta que un día el perfil fue suficiente. Y me llamaron.

Lección 9: lo que te trajo hasta aquí no te va a llevar al siguiente nivel

Las habilidades que te consiguieron tu primer trabajo no son las mismas que te van a conseguir el segundo. Cada salto requiere aprender cosas nuevas que probablemente no te gusten.

Si eres técnico y quieres crecer, tu problema probablemente no es la técnica. Es la comunicación, la gestión, la capacidad de explicar lo que haces a alguien que no entiende de seguridad. Lo que no te gusta aprender es exactamente lo que te falta.

Para pasar de analista a pentester yo no necesité aprender más herramientas. Necesité aprender a escribir informes que un director general pudiera entender. Necesité comunicarme con clientes que no sabían qué era un puerto abierto. Necesité trabajar con metodología, no solo con técnica. Eso es lo que me llevó al siguiente nivel.

Al igual que para buscar la primera oportunidad hay que esforzarse, si quieres subir de nivel (mejor empresa, mejor proyecto, más salario), también tienes que aportar más. No hay atajo.

Lección 10: el hacking te lo enseñan los cursos, la mentalidad te la dan los errores

Lo que separa a los que llegan de los que no, nunca es la técnica. Es la tolerancia al fracaso y la capacidad de buscar en Google (o en ChatGPT) lo que no sabes. Eso no se enseña en ningún curso. Se entrena.

Mi primer «hack» fue el portátil capado del colegio. Tenía 9 años. Nadie me enseñó a hacerlo y yo no sabía ni lo que era. Lo hice a base de probar cosas, romperlas y volver a intentarlo. Esa curiosidad de entender qué hay debajo, de querer saber cómo funciona algo para poder cambiarlo: eso es la mentalidad hacker. Y es lo que de verdad marca la diferencia a largo plazo.

Recapitulando: por dónde empezar en ciberseguridad

Si te quedas con lo esencial de estas 10 lecciones, cómo empezar en ciberseguridad se resume en unos pocos principios:

Elige una certificación, la correcta para el puesto al que apuntas, con práctica real detrás.
Cuida la actitud tanto como la técnica: en tu primer trabajo pesa más de lo que crees.
Practica más de lo que consumes. Una hora de laboratorio vale por diez de vídeo.
Ponte checkpoints con fecha, no un objetivo lejano y difuso.
Construye las bases (redes, sistemas, scripting) antes de especializarte.
Aprende a explicar tu trabajo, porque la entrevista se gana comunicando.
Haz networking antes de necesitarlo.
Si no te llaman, arregla tu perfil en lugar de culpar al mercado.

Todas estas lecciones me costaron tiempo, errores y frustración. Si este artículo te ahorra aunque sea uno de esos errores, ha merecido la pena escribirlo.

Y si quieres el camino estructurado para aplicar todo esto desde cero (el plan, los laboratorios, la comunidad y el acompañamiento directo), puedes seguirme en YouTube aquí

Paz, bits y código.