Cursos y Certificaciones Recomendadas

Y no tienes que hacerlas todas. esta guía no intenta venderte certificaciones ni hacerte creer que un papel reemplaza habilidad real.

Una certificación puede ayudar, pero no hace magia. Sirve para ordenar estudio, demostrar cierto nivel de base, pasar filtros de recursos humanos o enfocar una ruta. Lo importante es entender cuando conviene tomarla, para que perfil sirve y que no debes esperar de ella.

Antes de pagar cualquier examen, revisa siempre la página oficial, el temario actualizado, el precio, la vigencia, el idioma, los requisitos y si realmente se alinea con tu objetivo. O sea, no compres un curso solo porque esta en oferta.

Regla General: El Algoritmo ATS

No estudies certificaciones como si fueran trofeos para tu ego. muchas certificaciones no las haces por lo que aprendes, si no por lo que parecen.

En el mundo corporativo, las certificaciones iniciales (como Security+) rara vez impresionarán a un Director de Seguridad (CISO). El verdadero propósito táctico de estas certificaciones es "Hackear" el filtro de Recursos Humanos (ATS - Applicant Tracking System).

Cuando aplicas a un empleo, tu currículum es escaneado por un robot que busca palabras clave. Si la vacante pide "Security+" y tú no lo tienes, el robot desecha tu CV antes de que un humano lo lea. Las certificaciones son tu llave maestra para superar el algoritmo y llegar a la entrevista técnica.

Úsalas así:

• Para inyectar palabras clave en tu CV y pasar el filtro ATS de RRHH.
• Para ordenar fundamentos cuando estás perdido.
• Para demostrar disciplina estructurada ante un reclutador.

No las uses así:

• Para saltarte fundamentos.
• Para parecer experto sin práctica.
• Para gastar dinero por presión.
• Para coleccionar badges sin proyectos.
• Para sustituir laboratorios, reportes y experiencia.

Si Estás Empezando

Si estas en cero, no te asustes. Todos empezaron ahí. aqui van opciones para agarrar el ritmo sin morir en el intento.

Cisco Introduction to Cybersecurity

Para quién sirve: personas que quieren una introducción amigable a conceptos de ciberseguridad.

Cuándo tomarlo: al inicio, antes de cursos más técnicos.

Qué aporta: vocabulario, amenazas comunes, panorama general y mentalidad de seguridad.

Qué no garantiza: no te vuelve analista SOC ni pentester. Es una puerta de entrada.

Fuente oficial: Cisco Networking Academy - Introduction to Cybersecurity

Google Cybersecurity Professional Certificate

Para quién sirve: principiantes que quieren una ruta estructurada hacia roles iniciales como analista de ciberseguridad o SOC.

Cuándo tomarlo: después de una introducción general, o como primer programa largo si necesitas estructura.

Qué aporta: fundamentos, riesgos, Linux, SQL, Python, SIEM, IDS, comunicación y actividades de portafolio.

Qué no garantiza: no reemplaza práctica propia ni asegura empleo. Conviene complementarlo con labs, notas y proyectos.

Fuente oficial: Google Cybersecurity Professional Certificate

ISC2 Certified in Cybersecurity

Para quién sirve: personas que quieren una certificación inicial reconocible en seguridad.

Cuándo tomarlo: cuando ya entiendes conceptos básicos y quieres validar fundamentos.

Qué aporta: principios de seguridad, continuidad, recuperación, respuesta a incidentes, controles de acceso, seguridad de red y operaciones.

Qué no garantiza: no prueba experiencia práctica profunda. Es base, no destino final.

Fuente oficial: ISC2 Certified in Cybersecurity

Base Técnica

pasa si no tienes base técnica? Te vas a sentir perdido todo el tiempo. Mejor construir los cimientos antes de querer construir la casa.

CompTIA A+

Para quién sirve: personas que no tienen base sólida de hardware, sistemas operativos, soporte y troubleshooting.

Cuándo tomarlo: si vienes desde cero absoluto o no entiendes bien computadoras, sistemas y soporte técnico.

Qué aporta: base de IT general.

Qué no garantiza: no es una certificación de ciberseguridad, pero puede ayudarte si te falta base técnica.

Fuente oficial: CompTIA A+

CompTIA Network+

Para quién sirve: estudiantes que necesitan entender redes sin entrar todavía a profundidad Cisco.

Cuándo tomarlo: antes de seguridad web, Blue Team, cloud o pentesting si las redes todavía se sienten confusas.

Qué aporta: fundamentos de redes, conectividad, troubleshooting, protocolos y seguridad básica.

Qué no garantiza: no reemplaza práctica configurando redes ni lectura profunda de tráfico.

Fuente oficial: CompTIA Network+

CCNA

Para quién sirve: personas que quieren una base fuerte de redes.

Cuándo tomarlo: si te interesa SOC, network security, cloud, infraestructura o quieres entender redes con más profundidad.

Qué aporta: fundamentos de red, IP connectivity, servicios IP, seguridad básica, automatización y troubleshooting.

Qué no garantiza: no es una certificación de ciberseguridad pura, pero redes es una base enorme para seguridad.

Fuente oficial: Cisco CCNA

Seguridad General

Esta es probablemente la certificación más conocida. No es la mejor ni la peor. Es simplemente la que más aparece en los filtros de RRHH.

CompTIA Security+

Para quién sirve: personas que quieren una base amplia y reconocible de ciberseguridad.

Cuándo tomarlo: después de redes básicas, Linux básico y fundamentos generales.

Qué aporta: vocabulario común, riesgo, amenazas, controles, criptografía, IAM, operaciones y seguridad de arquitectura.

Qué no garantiza: no te vuelve experto. Sirve como base y puede ayudar con filtros junior.

Fuente oficial: CompTIA Security+

Blue Team y SOC

Si te interesa el lado defensivo, esta sección reúne opciones relacionadas con Blue Team y operaciones de seguridad.

TryHackMe Pre Security y SOC Level 1

Para quién sirve: principiantes que quieren practicar conceptos en laboratorios guiados.

Cuándo tomarlo: después de estudiar fundamentos o en paralelo con redes, Linux y Blue Team básico.

Qué aporta: práctica guiada, exposición a herramientas y ejercicios.

Qué no garantiza: no reemplaza investigar logs reales ni escribir reportes propios.

Fuente oficial: TryHackMe

Blue Team Level 1

Para quién sirve: personas enfocadas en SOC, defensa, análisis de incidentes y Blue Team.

Cuándo tomarlo: cuando ya tienes base de redes, Linux, logs, SIEM y respuesta a incidentes.

Qué aporta: enfoque defensivo y validación práctica orientada a Blue Team.

Qué no garantiza: no sustituye experiencia en un SOC real, pero puede ayudarte a demostrar enfoque.

Fuente oficial: Centri — Blue Team Level 1 (BTL1)

Actualización 2026: Security Blue Team cambió su marca a Centri. La certificación BTL1 conserva su nombre.

Microsoft SC-200

Para quién sirve: personas que quieren trabajar con Microsoft Sentinel, Defender, XDR, KQL y operaciones de seguridad en ecosistema Microsoft.

Cuándo tomarlo: cuando ya tienes base de SOC y quieres especializarte en herramientas Microsoft.

Qué aporta: investigación, hunting, respuesta y mitigación usando productos Microsoft.

Qué no garantiza: no reemplaza entender seguridad fuera del stack Microsoft.

Fuente oficial: Microsoft Certified: Security Operations Analyst Associate

AppSec y Seguridad Web

Esta sección reúne referencias para seguridad de aplicaciones web y AppSec.

PortSwigger Web Security Academy

Para quién sirve: estudiantes de seguridad web, AppSec, bug bounty o pentesting web en laboratorios legales.

Cuándo tomarlo: después de entender HTTP, HTML básico, APIs y fundamentos web.

Qué aporta: explicaciones claras, laboratorios interactivos, OWASP, SQL Injection, XSS, CSRF, SSRF, access control y más.

Qué no garantiza: no basta con resolver labs; necesitas aprender a reportar, explicar impacto y proponer mitigaciones.

Fuente oficial: PortSwigger Web Security Academy

OWASP WebGoat

Para quién sirve: personas que quieren practicar vulnerabilidades web en una app deliberadamente vulnerable.

Cuándo tomarlo: cuando ya entiendes HTTP y quieres ver fallas comunes con práctica controlada.

Qué aporta: entorno de aprendizaje seguro para conceptos OWASP.

Qué no garantiza: no replica por completo la complejidad de aplicaciones reales.

Fuente oficial: OWASP WebGoat

Cloud

Hoy en día casi todo esta en la nube. Ignorar cloud es como ser mecánico y no saber que son los autos eléctricos.

AWS Certified Cloud Practitioner

Para quién sirve: personas que quieren entender AWS Cloud, servicios y terminología de alto nivel.

Cuándo tomarlo: si estás entrando a cloud y todavía no tienes base de servicios, responsabilidad compartida, IAM, storage y billing.

Qué aporta: vocabulario cloud y visión general de AWS.

Qué no garantiza: no te vuelve cloud security engineer. Es una base de entrada.

Fuente oficial: AWS Certified Cloud Practitioner

Microsoft SC-900

Para quién sirve: personas que quieren fundamentos de seguridad, cumplimiento e identidad en Microsoft.

Cuándo tomarlo: si te interesa cloud, IAM, compliance o ecosistema Microsoft desde nivel básico.

Qué aporta: fundamentos de seguridad, compliance e identidad.

Qué no garantiza: no es una certificación técnica profunda.

Fuente oficial: Microsoft SC-900

Red Team Ético

aqui es donde muchos quieren llegar. Pero ojo: saltarse la base para llegar a pentesting es como querer correr una maratón sin haber caminado nunca.

eJPT

Para quién sirve: personas que quieren una primera certificación práctica de pentesting.

Cuándo tomarlo: después de redes, Linux, web básica y laboratorios controlados.

Qué aporta: metodología básica, enumeración y práctica guiada.

Qué no garantiza: no te vuelve pentester senior.

Fuente oficial: INE eJPT

PNPT

Para quién sirve: personas que quieren evaluación práctica con enfoque de pentest y reporte.

Cuándo tomarlo: después de tener base sólida y experiencia en laboratorios.

Qué aporta: metodología, Active Directory, movimiento lateral, reporte y comunicación.

Qué no garantiza: no es para empezar desde cero.

Fuente oficial: TCM Security PNPT

OSCP

Para quién sirve: personas que ya tienen base fuerte y quieren una certificación práctica reconocida en ofensiva.

Cuándo tomarlo: más adelante, no al inicio.

Qué aporta: disciplina, enumeración, explotación en laboratorio y resistencia técnica.

Qué no garantiza: no cubre todo AppSec moderno, cloud, Blue Team o seguridad empresarial.

Fuente oficial: OffSec OSCP

GRC, Gestión y Largo Plazo

ISO 27001 Foundation / Lead Implementer

Para quién sirve: personas interesadas en sistemas de gestión de seguridad de la información, controles, políticas y auditoría.

Cuándo tomarlo: si te interesa GRC, compliance o gestión de seguridad.

Qué aporta: estructura para entender controles, gestión y auditoría.

Qué no garantiza: no reemplaza experiencia implementando controles en una organización.

CISSP

Para quién sirve: profesionales con experiencia que necesitan demostrar visión amplia de seguridad.

Cuándo tomarlo: más adelante, cuando ya tengas experiencia real y contexto de negocio.

Qué aporta: lenguaje de gestión, riesgo, arquitectura, seguridad y gobierno.

Qué no garantiza: no es una certificación junior ni una prueba de habilidad técnica manual.

Fuente oficial: ISC2 CISSP

Ruta Recomendada

Si estas empezando y no elegir, te dejó una ruta que funciona. No es la única, pero es la que a mi me hubiera gustado tener el primer día:

1. Cisco Introduction to Cybersecurity.
2. Google Cybersecurity Certificate o ISC2 CC.
3. Network+ o CCNA si redes te cuestan.
4. Security+ si quieres validar fundamentos generales.
5. PortSwigger Web Security Academy si te interesa AppSec.
6. TryHackMe SOC Level 1 o BTL1 si te interesa Blue Team.
7. AWS Cloud Practitioner o SC-900 si te interesa cloud.

No tomes todo al mismo tiempo. Elige una ruta principal y una secundaria.

Cómo Decidir Si Vale La Pena

Antes de pagar cientos de dólares por una certificación, haz un análisis corporativo de tu perfil:

• ¿Qué rol específico quiero buscar?
• ¿Esta certificación aparece como un "Requisito Obligatorio" en las vacantes reales de LinkedIn en mi país?
• ¿Tengo la base técnica suficiente o solo voy a memorizar un banco de preguntas (Dumps)?
• ¿Puedo demostrar lo aprendido construyendo un Home Lab (Portafolio)?
• ¿El Retorno de Inversión (ROI) justifica el gasto en mi etapa actual?

Si no puedes responder esas preguntas, detente. Construir un proyecto práctico en tu computadora es casi siempre mejor inversión que comprar un examen por ansiedad.