Compara ocho roles comunes de ciberseguridad por su trabajo diario, habilidades clave y un primer paso práctico gratuito.
El trabajo en seguridad no es un solo empleo. Algunas personas pasan el día leyendo alertas en una consola de monitoreo. Otras prueban aplicaciones web con autorización, escriben el código que evita esos fallos o reconstruyen una laptop comprometida a partir de evidencias. Si estás empezando o cambiando de carrera, la forma más rápida de elegir es comparar cómo se ve el trabajo día a día y probar uno o dos roles con práctica gratuita antes de pagar un curso.
Este artículo cubre ocho roles comunes: analista de SOC, respondedor de incidentes, ingeniero de seguridad de aplicaciones (AppSec), pentester, analista de análisis forense digital y respuesta a incidentes (DFIR), analista de gestión de vulnerabilidades, analista de gobernanza, riesgo y cumplimiento (GRC) e ingeniero de seguridad. Para cada uno verás el trabajo diario, las habilidades centrales, un primer paso práctico sin costo y los artículos del Manual de Campo que entrenan esas habilidades. La última sección es una hoja de autoevaluación. Elige dos roles, anota tres habilidades para cada uno y decide por cuál artículo empezar.
Los títulos de cargo cambian de una empresa a otra. Toma estas descripciones como una imagen de trabajo, no como una garantía de lo que incluye un cargo concreto.
El NIST describe el NICE Framework como "un lenguaje común que describe el trabajo en ciberseguridad". El marco está documentado en la publicación especial NIST SP 800-181, Revisión 1, finalizada en noviembre de 2020. Agrupa los roles de trabajo en categorías y áreas de especialidad, y cada rol se describe por las tareas, conocimientos y habilidades que exige. Empleadores, escuelas y programas de formación usan este vocabulario, así que una oferta de empleo que nombra un rol suele usar lenguaje NICE, aunque agregue sus propias palabras.
La Cyber Career Pathways Tool de CISA, publicada a través del National Initiative for Cybersecurity Careers and Studies (NICCS), te permite seleccionar un rol de trabajo, leer sus enunciados y comparar dos roles lado a lado. La herramienta indica que usa la versión 2.2.0 de los componentes del NICE Framework. Cada rol de abajo menciona el rol de trabajo más cercano, tal como lo lista la herramienta. Los títulos del marco son amplios (Defensive Cybersecurity, Digital Forensics) y distintos de los nombres de cargo, y los componentes se han revisado desde la publicación de 2020. Por eso, revisa cada uno en la herramienta antes de citarlo en tu currículum.
Quien empieza suele armar una lista de herramientas: Nmap, Burp Suite, Wireshark, Splunk. Una herramienta es un instrumento, y el rol decide qué pregunta intentas responder. Un analista de SOC pregunta si una alerta describe un evento real y qué más hizo ese equipo. Un pentester pregunta qué podría alcanzar un atacante dentro de un alcance acordado. Un analista de GRC pregunta si los controles coinciden con el riesgo descrito por escrito. Primero elige la pregunta. Las herramientas vienen después.
Rol NICE más cercano: Defensive Cybersecurity.
Trabajo diario. El analista de SOC (Security Operations Center) trabaja una cola de alertas. Cada alerta se clasifica: ¿es un verdadero positivo, un falso positivo o algo que necesita una revisión más profunda? La mayor parte del día se va en leer eventos de registro, seguir un evento hasta los eventos relacionados, verificar si un usuario o equipo se comportó como se esperaba y escribir notas breves que otro analista pueda seguir. Lo que parece un incidente real sube a los respondedores.
Habilidades centrales. Leer logs, reconocer eventos comunes de Windows y Linux, nociones de redes (DNS, HTTP, puertos), escribir consultas de búsqueda, documentar con claridad y saber cuándo escalar.
Primer paso práctico gratuito. En tu propio PC con Windows, abre PowerShell como administrador y lee los últimos 20 eventos de inicio de sesión fallido del registro de Seguridad. El ID de evento 4625 corresponde al inicio de sesión fallido. No ejecuté este comando para este artículo, así que verás lo que registre tu equipo:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 | Select-Object TimeCreated, MessageAnota qué significa cada evento y si reconoces la cuenta. Si la lista sale vacía, eso también es un resultado. No leas registros de equipos que no son tuyos.
Lee primero: ¿Qué es un SIEM? Logs, consultas y alertas, Cómo funciona HTTP, Archivos y permisos en Linux.
Rol NICE más cercano: Incident Response.
Trabajo diario. El respondedor entra cuando una alerta se convierte en incidente. Coordina la contención (aislar un equipo, deshabilitar una cuenta, bloquear una dirección), la erradicación (eliminar la vía de acceso que usó el atacante) y la recuperación. Lleva una línea de tiempo, informa a TI, a jurídico y a la dirección, y decide cuándo el incidente está cerrado. Gran parte del trabajo es comunicación clara bajo presión de tiempo.
Habilidades centrales. Triaje, evaluación de compromisos al contener, construcción de líneas de tiempo, redacción de estados, entender cómo el phishing y las credenciales robadas suelen moverse por una red, y manejo básico de evidencias para que el análisis posterior siga siendo posible.
Primer paso práctico gratuito. Escribe la línea de tiempo de un caso inventado, en un archivo de texto simple. Por ejemplo: "10:02 el usuario abre un adjunto; 10:04 aparece una nueva tarea programada; 10:10 conexión saliente a una dirección desconocida". Junto a cada línea, anota qué registro o artefacto confirmaría ese hecho. No necesitas herramientas. La habilidad está en ordenar los hechos y separar lo que sabes de lo que sospechas.
Lee primero: Cómo escribir tu primer informe de seguridad, Modelado de amenazas con STRIDE, ¿Qué es un SIEM?.
Rol NICE más cercano: Software Security Assessment, a menudo junto a Secure Software Development.
Trabajo diario. El ingeniero de AppSec ayuda a los equipos de desarrollo a evitar vulnerabilidades antes de publicar. Revisa diseños y código, provee patrones seguros y bibliotecas compartidas, configura verificaciones automáticas en los pipelines de compilación y revisa los hallazgos con los desarrolladores dueños del código. Un buen día suele terminar con un fallo corregido, no con un informe largo.
Habilidades centrales. Fundamentos de web (HTTP, cookies, sesiones, reglas de mismo origen), al menos un lenguaje de programación, las categorías del OWASP Top 10, validación de entrada, codificación de salida y lectura de código que no escribiste tú.
Primer paso práctico gratuito. Ejecuta OWASP Juice Shop, una aplicación web deliberadamente vulnerable, en tu propia máquina. Vincúlala a localhost para que solo tu computadora pueda acceder. Debes tener Docker instalado. No ejecuté este comando para este artículo, así que la salida depende de tu entorno:
docker run --rm -p 127.0.0.1:3000:3000 bkimminich/juice-shopAbre http://localhost:3000 en el navegador, elige un desafío para principiantes y anota la causa raíz y la corrección que aplicaría un desarrollador. Detén el contenedor al terminar.
Lee primero: OWASP Top 10 para desarrolladores, Inyección SQL explicada con Juice Shop, Qué es CSRF y cómo ayudan las cookies SameSite.
Rol NICE más cercano: ninguno con ese título. La herramienta no tiene un rol de pentester; lee Vulnerability Analysis y Threat Analysis para ver las tareas más cercanas.
Trabajo diario. El pentester evalúa sistemas que el dueño aceptó probar, dentro de un alcance y unas reglas de compromiso escritas. Mapea el objetivo, busca debilidades, confirma el impacto sin causar daños y escribe hallazgos que un desarrollador o administrador pueda aplicar. Gran parte del valor profesional está en el informe y en el criterio sobre qué importa. La salida de un escáner, por sí sola, no es un hallazgo.
Habilidades centrales. Redes, nociones de web y de directorios, scripting, disciplina de alcance, calificación de riesgo con CVSS, redacción de informes y una comprensión firme de la autorización.
Primer paso práctico gratuito. Escribe un documento de alcance para tu propio laboratorio antes de tocar nada. Usa el contenedor de Juice Shop del paso de AppSec o una máquina virtual que sea tuya. Anota qué está dentro del alcance (este contenedor, en el puerto 3000 de localhost), qué queda fuera (todo lo demás, incluido tu router, las redes de tus vecinos y cualquier sitio que no te pertenezca), quién autorizó el trabajo y los horarios de inicio y fin. El documento es parte de la práctica. Las pruebas empiezan solo cuando existe.
Lee primero: ¿Qué es una vulnerabilidad?, ¿Qué es CVSS?, Ética y privacidad en OSINT, Cómo crear una red Docker aislada para laboratorios.
Rol NICE más cercano: Digital Forensics.
Trabajo diario. El analista de DFIR examina evidencias de sistemas que podrían estar comprometidos: imágenes de disco, capturas de memoria, registros de eventos, artefactos de navegador y de archivos. El objetivo es reconstruir lo que pasó, dejar registrado cómo se llegó a cada conclusión y mantener las evidencias sin cambios. El respondedor decide el siguiente paso; el analista de DFIR explica qué pasó, con pruebas.
Habilidades centrales. Sistemas de archivos, hashes, artefactos de Windows y de Linux, herramientas de análisis de disco y memoria, cadena de custodia, notas cuidadosas y el conocimiento de malware suficiente para describir su comportamiento sin ejecutar muestras en una máquina normal.
Primer paso práctico gratuito. Calcula el hash SHA-256 de un archivo que descargaste de una fuente confiable. Los hashes son la herramienta básica para demostrar que una evidencia no cambió. En Git Bash, sobre un archivo que elijas:
sha256sum ~/Downloads/ejemplo.pdfAnota la salida junto al nombre del archivo y la fecha. Si el editor publica un hash de la descarga, compara ambos valores. La verificación de hash lee el archivo y nunca lo ejecuta. No abras ni ejecutes archivos desconocidos para ver qué hacen.
Lee primero: Hashes de archivos y VirusTotal: ética, Archivos y permisos en Linux, ¿Qué es Bash? Conceptos básicos de shell para estudiantes de seguridad.
Rol NICE más cercano: Vulnerability Analysis.
Trabajo diario. El gestor de vulnerabilidades mantiene un inventario de activos y de sus debilidades conocidas, decide qué correcciones van primero, da seguimiento a responsables y plazos, e informa del avance. La parte difícil es la priorización. Un escáner puede generar miles de hallazgos, y el trabajo consiste en decidir cuáles importan a esta organización esta semana, según lo que está expuesto a internet y de lo que depende el negocio.
Habilidades centrales. Inventario de activos, lectura de registros CVE y CVSS, entender los ciclos de parches, priorización basada en riesgo, trabajo con los dueños de los sistemas y flujos basados en tickets.
Primer paso práctico gratuito. Abre una CVE reciente en el sitio público del NVD (nvd.nist.gov). Lee su descripción y su vector CVSS. Luego escribe tres frases: cuál es la falla, qué condiciones necesitaría un atacante y qué haría un responsable en un sistema que administra. Consultas públicas como esta son inofensivas. No consultes ni pruebes sistemas que no sean tuyos.
Lee primero: ¿Qué es una vulnerabilidad?, ¿Qué es CVSS?.
Rol NICE más cercano: Security Control Assessment, con superposición con Cybersecurity Policy and Planning.
Trabajo diario. El analista de GRC (gobernanza, riesgo y cumplimiento) convierte los requisitos de seguridad en políticas, controles y evidencias. Mantiene registros de riesgo, reúne evidencias para auditorías, verifica que los proveedores cumplan lo que dice el contrato y ayuda a la dirección a decidir qué riesgos aceptar, reducir o transferir. Poco de este trabajo pasa por la terminal. Mucho es lectura cuidadosa y contrastar afirmaciones escritas con lo que los sistemas hacen de verdad.
Habilidades centrales. Redacción de políticas, evaluación de riesgos, marcos comunes como el NIST Cybersecurity Framework e ISO/IEC 27001, recolección de evidencias, entrevistas con partes interesadas y redacción clara.
Primer paso práctico gratuito. Escribe un registro de riesgos de una página para tu propia laptop. Usa cinco filas: pérdida del equipo, contraseña débil, sistema operativo desactualizado, phishing y falla de respaldo. Para cada fila, escribe la probabilidad y el impacto con palabras simples, el control que usas hoy y un próximo paso. Guárdalo en un archivo de texto. Si puedes explicar en una frase por qué importa un control, estás haciendo el trabajo.
Lee primero: Modelado de amenazas con STRIDE, ¿Qué es HTTPS y TLS?, Cifrado, codificación y hash.
Rol NICE más cercano: Cybersecurity Architecture y Secure Systems Development.
Trabajo diario. El ingeniero de seguridad diseña y construye sistemas de protección: configuración de identidad y acceso, inicio de sesión único y autenticación multifactor, segmentación de red, gestión de secretos, líneas base de configuración segura y pipelines de detección. Trabaja entre desarrollo y operaciones, y mide si un control funciona después de desplegarlo, no solo si se instaló.
Habilidades centrales. Administración de sistemas operativos (Linux o Windows), criptografía a nivel de uso (claves, hash, TLS), identidad y mínimo privilegio, infraestructura como código, scripting y control de cambios con cuidado.
Primer paso práctico gratuito. Crea un par de claves SSH en tu máquina y aprende cuál archivo es el público. No ejecuté este comando para este artículo, así que la salida depende de tu configuración. Elige una frase de contraseña cuando se te pida:
ssh-keygen -t ed25519 -f ~/.ssh/lab_ed25519 -C "clave de laboratorio"Luego lista ~/.ssh. El archivo que termina en .pub es el que puedes compartir. El archivo sin extensión es la clave privada, y nunca va a un chat, un commit ni una captura de pantalla.
Lee primero: Claves públicas y privadas explicadas, ¿Qué es SSH y cómo funcionan las claves SSH?, Cómo funciona el hash de contraseñas con Argon2id.
Este artículo no tiene un laboratorio que necesite servidor. El ejercicio es una autoevaluación y toma unos 30 minutos.
Copia esta plantilla en un archivo de texto:
Rol 1:
Habilidades que tengo:
1.
2.
3.
Habilidades que necesito desarrollar:
1.
2.
3.
Artículo para empezar:
Primer paso práctico hecho el (fecha):
Lo que me sorprendió:
Rol 2:
(mismas líneas de arriba)La hoja está terminada cuando puedes decir, en dos frases, qué rol probarías primero y por qué.
Elegir solo por el título. Los títulos significan cosas distintas en empresas distintas. Lee el trabajo diario y la lista de habilidades antes de decidir.
Empezar por herramientas ofensivas. Saber ejecutar un escáner no enseña qué significa su salida. Aprende primero cómo funcionan las redes, las solicitudes web y los permisos de Linux.
Saltarse el alcance. Cualquier práctica contra un sistema que no es tuyo es un problema legal y ético, aunque el objetivo parezca inofensivo. Tu propio contenedor, tu propia máquina y un alcance escrito y explícito son los únicos puntos de partida de este artículo.
Tratar un curso terminado como prueba. Un certificado demuestra que estudiaste. Una línea de tiempo, un registro de riesgos, un documento de alcance o un fallo corregido demuestran lo que puedes producir. Guarda los artefactos de cada paso práctico.
Ejecutar archivos desconocidos para ver qué hacen. Usa hashes, abre el archivo en un visor de texto o lee la documentación. La ejecución pertenece a un laboratorio controlado, no a tu computadora de uso diario.
Cuando tengas dos roles en tu hoja, lee los enunciados de rol del NICE para cada uno en la herramienta de CISA. Algunos roles también enlazan a los microdesafíos de TryCyber, que ofrecen ejercicios prácticos breves para tareas centrales. Después recorre los artículos del Manual de Campo en el orden indicado para tu primer rol. Revisa la hoja dentro de un mes y actualízala con lo que realmente hiciste.
Si le pides a un asistente de IA que explique una línea de log o un fragmento de código, verifica la respuesta con la documentación oficial del evento o del lenguaje. Una explicación es un punto de partida para tu propia lectura, no una fuente.
NotHoly publica este Manual de Campo. Ninguno de los pasos de arriba necesita una cuenta de NotHoly ni un asistente de IA.
Carrera y metodología
Lee la política de un programa de bug bounty sobre alcance, safe harbour y divulgación, y escribe una lista de verificación antes de probar.