Roadmap visual de certificaciones de ciberseguridad: redes, pentesting, OSINT, malware y seguridad empresarial.

Fundamentos de redes: protocolos, topologías, cableado y troubleshooting. Base obligatoria antes de cualquier cert de seguridad.

CompTIA Network+

Domina Nmap para descubrimiento de hosts, escaneo de puertos, detección de servicios y scripts NSE.

Escaneo con Nmap

Routing, switching, IPv6, automatización y fundamentos de seguridad en infraestructura Cisco.

Cisco CCNA

La cert de seguridad de entrada más reconocida. Valida amenazas, criptografía, gestión de riesgos e identidad.

CompTIA Security+

Nivel profesional Cisco: firewalls, VPN, IPS y seguridad avanzada de infraestructura de redes corporativas.

Cisco CCNP Security

Base esencial para cualquier pentester. Acredita conocimiento en amenazas, vulnerabilidades y criptografía.

Junior Penetration Tester: primera cert práctica de pentesting. Metodología, enumeración y explotación de redes.

eJPT (eLearnSecurity)

EC-Council: técnicas de hacking aplicadas éticamente. Cubre hacking web, redes, IoT y nube.

CEH (Certified Ethical Hacker)

El estándar de oro del pentesting. Examen de 24h 100% práctico: compromete máquinas reales sin ayudas.

OSCP (Offensive Security)

PortSwigger: web pentesting avanzado con Burp Suite. Ideal para especialización en aplicaciones web.

BSCP (Burp Suite Certified)

Nivel élite: combina OSEP, OSED y OSWE. Requiere dominio de exploit dev, AD avanzado y evasión de defensas modernas.

OSCE3 (Offensive Security)

Maltego, Shodan, Google Dorks, análisis de redes sociales y metadatos. El inicio de cualquier investigación.

Fundamentos de OSINT

Phishing, pretexting, deepfakes y manipulación psicológica en reconocimiento y ataques dirigidos.

Ingeniería Social

GIAC Open-Source Intelligence: la certificación más reconocida en OSINT para profesionales de inteligencia.

SANS SEC487 / GOSI

LLMs y herramientas de IA para automatizar recolección y análisis de inteligencia en fuentes abiertas.

IA aplicada a Inteligencia

GIAC Cyber Threat Intelligence: análisis de amenazas avanzadas, atribución de actores e informes ejecutivos.

GCTI (Cyber Threat Intelligence)

Sin ejecutar el malware: strings, PE headers, disassembly con Ghidra/IDA, análisis de ofuscación y empaquetadores.

Análisis Estático de Malware

Cadenas de infección del ransomware moderno, IoCs, estrategias de respuesta y recuperación ante incidentes.

Defensa ante Ransomware

GIAC: la certificación de referencia para analistas de malware. Análisis estático y dinámico avanzado.

GREM (Reverse Engineering Malware)

GIAC Certified Forensics Examiner: análisis forense de Windows, artefactos del sistema y cadena de custodia.

GCFE (Computer Forensics)

GIAC Certified Incident Handler: gestión completa de incidentes desde detección hasta erradicación y recuperación.

GCIH (Incident Handler)

Punto de entrada universal en ciberseguridad corporativa. Reconocida por el DoD 8570 de EE.UU.

"Nunca confíes, siempre verifica." Arquitectura esencial para entornos cloud e híbridos.

Zero Trust Architecture

Cybersecurity Analyst: detección de amenazas, análisis de comportamiento, respuesta a incidentes y operaciones SOC.

CompTIA CySA+

SIEM inteligentes, detección de anomalías con ML y automatización de respuesta a incidentes.

IA en Ciberseguridad

La cert de ciberseguridad más prestigiosa a nivel gerencial. 8 dominios: desde criptografía hasta gestión de riesgos.

CISSP (ISC²)

Certified Information Security Manager: gobierno de seguridad, gestión de riesgos y programa de seguridad empresarial.

CISM (ISACA)

Milestone: director de seguridad de la información. Combina experiencia técnica, liderazgo y visión estratégica.

CISO / Security Director

Hoja de Ruta de Certificaciones en Ciberseguridad — CyberFlows

CompTIA Network+ es la certificación de redes vendor-neutral más reconocida del sector. Valida los conocimientos fundamentales necesarios para trabajar con cualquier infraestructura de red, independientemente del fabricante.

Cubre los protocolos de comunicación (TCP/IP, UDP, DNS, DHCP), topologías de red, tipos de cableado estructurado, tecnologías inalámbricas (Wi-Fi 6, Bluetooth) y conceptos de virtualización y cloud. Es especialmente valiosa para administradores de sistemas, técnicos de soporte y quienes quieren entrar al sector de ciberseguridad desde cero.

La certificación tiene una vigencia de 3 años y es reconocida por el Departamento de Defensa de EE.UU. (DoD 8570). Aunque no es obligatoria antes de Security+, muchos profesionales la recomiendan para quienes no tienen experiencia previa en redes.

Nmap (Network Mapper) es la herramienta de escaneo de redes más utilizada en el mundo, tanto en seguridad ofensiva como defensiva. Fue creada por Gordon Lyon en 1997 y sigue siendo el estándar de facto para descubrimiento de red y auditoría de seguridad.

Más allá del escaneo básico de puertos, Nmap incluye el Nmap Scripting Engine (NSE), que permite ejecutar scripts para detección de vulnerabilidades, enumeración de servicios, ataques de fuerza bruta y mucho más. Dominarlo es una habilidad indispensable para cualquier pentester, administrador de red o analista de seguridad.

Esta habilidad no tiene examen formal, pero es evaluada en certificaciones como OSCP, CEH y eJPT. El artículo de CyberFlows cubre desde los comandos básicos hasta técnicas avanzadas de evasión de firewalls.

El Cisco CCNA (Cisco Certified Network Associate) es la certificación de redes más reconocida del mercado. Aunque es vendor-specific (Cisco), los conocimientos que cubre — routing, switching, IPv6, SDN, automatización — son universalmente aplicables.

Desde 2020, Cisco unificó todos los tracks de CCNA en un solo examen (200-301) que cubre tanto redes empresariales como fundamentos de seguridad, automatización y programabilidad. Es muy valorada por empresas que trabajan con infraestructura Cisco, que representa la mayoría de las redes corporativas a nivel mundial.

Aunque no es estrictamente necesaria para entrar en ciberseguridad, el CCNA es un diferenciador clave para roles de network security, network operations center (NOC) y administración de sistemas.

CompTIA Security+ (SY0-701 en su versión más reciente) es la certificación de ciberseguridad de nivel de entrada más ampliamente reconocida en el mercado. Es el estándar de facto para quienes inician en el sector y es requerida o recomendada por miles de empleadores en todo el mundo.

Es una certificación vendor-neutral que cubre un espectro amplio: amenazas y ataques, criptografía, identidad y acceso, operaciones de seguridad, gobierno y cumplimiento. También es reconocida por el Departamento de Defensa de EE.UU. como certificación baseline (DoD 8570/8140), lo que la hace necesaria para trabajar en contratos gubernamentales.

Desde 2024, la versión SY0-701 pone mayor énfasis en habilidades prácticas y escenarios del mundo real, incorporando más preguntas de rendimiento (PBQs) que requieren resolver problemas reales en lugar de solo responder preguntas teóricas.

Cisco CCNP Security es la certificación profesional de seguridad de Cisco. A diferencia del CCNA, el CCNP tiene un formato modular: un examen core (350-701 SCOR) más un examen de concentración elegido por el candidato (firewalls, VPN, identity, email security, etc.).

Esta certificación valida habilidades avanzadas en implementación y gestión de soluciones de seguridad Cisco: firewalls de nueva generación (Firepower), IPS, AAA, VPN site-to-site e IPsec, y seguridad de infraestructura. Es altamente valorada en roles de Network Security Engineer y Security Architect.

No existe prerequisito formal de certificaciones anteriores, pero se recomienda fuertemente tener el CCNA o experiencia equivalente. Se requieren al menos 3-5 años de experiencia trabajando con soluciones de seguridad de redes.

El eJPT (eLearnSecurity Junior Penetration Tester) es considerado el mejor punto de entrada para quienes quieren comenzar en pentesting práctico. A diferencia de otras certs teóricas, el eJPT es un examen 100% basado en laboratorio: recibes acceso a una red virtual y debes comprometerla sin ayuda externa.

El examen dura 48 horas y cubre metodología de pentesting, enumeración de red, explotación de vulnerabilidades comunes, escalada de privilegios básica y pivoting. Es una certificación asequible que demuestra capacidad práctica real, no solo conocimiento memorizado.

Está mantenida por INE e incluye acceso al curso PTS (Penetration Testing Student) que es uno de los mejores materiales de aprendizaje gratuitos disponibles para principiantes en pentesting.

El CEH (Certified Ethical Hacker) de EC-Council es una de las certificaciones de seguridad ofensiva más reconocidas a nivel global, especialmente valorada en el sector corporativo y gubernamental. Cubre 20 módulos que van desde fundamentos de hacking hasta técnicas especializadas en IoT, OT/SCADA, cloud hacking y ataques con IA.

A diferencia del OSCP, el CEH tiene un componente teórico significativo y un examen de opción múltiple. Esto lo hace más accesible pero también menos valorado por la comunidad técnica de pentesting pura. Sin embargo, es muy reconocido por reclutadores y en requisitos de empleo corporativo, especialmente en Latinoamérica, India y Medio Oriente.

Desde el CEH v13, EC-Council incorporó inteligencia artificial en el currículum y una práctica en laboratorio real de 6 horas (examen práctico opcional). La certificación requiere 2 años de experiencia en seguridad de la información o la aprobación del curso oficial.

El OSCP (Offensive Security Certified Professional) es ampliamente considerado el estándar de oro en certificaciones de penetration testing. No es solo una certificación: es una prueba de resistencia de 24 horas en la que debes comprometer máquinas reales de un laboratorio, escribir un reporte profesional en las siguientes 24 horas, y enviarlo para evaluación.

El OSCP viene incluido con el curso PEN-200 (antes PWK) de Offensive Security, que incluye acceso a laboratorios de práctica con más de 70 máquinas vulnerables. El mantra oficial es Try Harder: la certificación exige autosuficiencia, creatividad y persistencia. No se permiten herramientas automáticas de explotación como Metasploit (excepto en una máquina).

Desde 2022, el OSCP incluye máquinas de Active Directory, lo que lo hace aún más relevante para entornos empresariales reales. Es el primer filtro real de muchos procesos de selección para roles de pentester senior, red team y vulnerability researcher.

El BSCP (Burp Suite Certified Practitioner) es la certificación oficial de PortSwigger, los creadores de Burp Suite. Se ha convertido rápidamente en la certificación de referencia para especialización en web application security.

El examen consiste en comprometer dos aplicaciones web en 4 horas, demostrando dominio de al menos 200 técnicas de vulnerabilidades web cubiertas en el Web Security Academy de PortSwigger (que es completamente gratuito). Cubre desde inyecciones SQL y XSS hasta vulnerabilidades avanzadas como desincronización HTTP, prototype pollution, SSRF y OAuth.

A diferencia de otras certs de web security, el BSCP es altamente respetado en la comunidad técnica por su dificultad real y su enfoque en habilidades prácticas. El material de estudio gratuito de PortSwigger Web Security Academy es uno de los mejores recursos educativos de seguridad web disponibles.

El OSCE3 (Offensive Security Certified Expert 3) es la máxima certificación de Offensive Security y una de las más difíciles del mercado. Para obtenerla, debes aprobar las tres certificaciones avanzadas de OffSec: OSEP, OSED y OSWE.

OSEP (PEN-300) cubre evasión de defensas avanzadas y ataques a Active Directory complejo. OSED (EXP-301) se enfoca en desarrollo de exploits para Windows (DEP/ASLR bypass, shellcoding). OSWE (WEB-300) cubre vulnerabilidades de aplicaciones web desde perspectiva de código fuente (white-box testing).

El OSCE3 es un diferenciador extremo en el mercado: menos del 1% de los profesionales de ciberseguridad lo poseen. Es la certificación deseada para roles de exploit developer, red team lead y vulnerability researcher senior.

OSINT (Open Source Intelligence) es la recolección y análisis de información disponible públicamente para producir inteligencia accionable. Es una habilidad fundamental tanto para la seguridad ofensiva (reconocimiento pre-ataque) como defensiva (threat intelligence, brand protection, investigaciones forenses).

Las técnicas fundamentales incluyen: búsquedas avanzadas con Google Dorks, uso de Shodan para descubrir dispositivos expuestos en internet, análisis de metadatos en documentos e imágenes, investigación en redes sociales (SOCMINT), y herramientas como Maltego para visualizar relaciones entre entidades.

Esta habilidad no tiene examen formal, pero es el fundamento de certificaciones como GOSI (SANS SEC487) y es evaluada en ejercicios de red team y CTFs. El artículo de CyberFlows cubre las técnicas más importantes con ejemplos prácticos.

La ingeniería social es el conjunto de técnicas de manipulación psicológica usadas para engañar a personas y obtener información confidencial, acceso no autorizado o que realicen acciones en beneficio del atacante. Es responsable de más del 80% de las brechas de seguridad exitosas.

Las técnicas van desde el phishing por email (la más común) hasta el vishing (llamadas telefónicas), smishing (SMS), pretexting (crear escenarios falsos para obtener información) y el uso de deepfakes para suplantación de identidad en video o audio. Con la IA generativa, estas técnicas se están volviendo exponencialmente más sofisticadas.

Como habilidad defensiva, entender la ingeniería social es fundamental para diseñar programas de concientización de seguridad, realizar pruebas de phishing internas y evaluar la resiliencia humana de una organización.

SEC487 es el curso de OSINT de SANS Institute, el líder mundial en formación de ciberseguridad. Su certificación asociada, GOSI (GIAC Open Source Intelligence), es la más reconocida del sector para profesionales de inteligencia, investigadores forenses digitales y analistas de amenazas.

El curso cubre metodologías avanzadas de OSINT, incluyendo investigación en la dark web, análisis de criptomonedas, técnicas de geolocalización por imágenes, OSINT en entornos corporativos y técnicas de anonimato para investigadores. Es especialmente valorado en agencias de inteligencia, fuerzas del orden y equipos de threat intelligence empresarial.

El costo es elevado (típico de SANS), pero la calidad del material y el reconocimiento de la certificación GOSI lo justifican para profesionales que trabajan en inteligencia de amenazas o investigaciones digitales.

La inteligencia artificial está transformando radicalmente la forma en que se hace OSINT. Los modelos de lenguaje grandes (LLMs) pueden analizar grandes volúmenes de información pública en segundos, identificar patrones y conexiones que tomarían días a un analista humano, y generar resúmenes de inteligencia accionables.

Las aplicaciones prácticas incluyen: automatización de búsquedas con agentes IA, análisis de sentimiento en redes sociales, clasificación automática de amenazas, generación de perfiles de actores de amenaza y detección de desinformación mediante deepfake detection.

Sin embargo, el uso de IA en OSINT también crea nuevos vectores de amenaza: deepfakes para suplantación, generación de desinformación a escala y ataques de spear phishing ultra-personalizados. Esta habilidad cubre ambos lados: cómo usar IA para investigar y cómo defenderse de IA usada por atacantes.

El GCTI (GIAC Cyber Threat Intelligence) valida la capacidad de recolectar, analizar y diseminar inteligencia de amenazas cibernéticas. Es la certificación de referencia para analistas de Cyber Threat Intelligence (CTI), roles de threat hunting y equipos de CSIRT/CERT.

Cubre el ciclo completo de inteligencia: planificación y dirección, recolección, procesamiento, análisis, producción y diseminación. Incluye técnicas de atribución de actores de amenaza, análisis de campañas APT, uso de plataformas TIP (Threat Intelligence Platforms) como MISP y análisis de indicadores de compromiso (IoCs).

Se requiere el curso FOR578 (Cyber Threat Intelligence) de SANS para prepararse, aunque el examen puede rendirse sin el curso oficial.

El análisis estático de malware consiste en examinar un ejecutable malicioso sin ejecutarlo. Es el primer paso en cualquier investigación de malware y permite obtener indicadores rápidos de compromiso (IoCs) sin riesgo de infección del entorno de análisis.

Las técnicas van desde lo básico (extraer strings legibles, examinar cabeceras PE, identificar imports/exports) hasta técnicas avanzadas (desensamblar el código con Ghidra o IDA Pro, desofuscar strings, identificar empaquetadores como UPX o custom packers, y analizar el control flow graph del ejecutable).

Es la habilidad base que todo analista de malware necesita antes de pasar al análisis dinámico. También es fundamental para desarrolladores de firmas AV/EDR, equipos de respuesta a incidentes y cazadores de amenazas (threat hunters). El artículo de CyberFlows cubre las técnicas esenciales con ejemplos reales.

El ransomware es la amenaza cibernética más costosa y disruptiva de la década. Entender cómo opera — desde la infección inicial hasta el cifrado y la exfiltración de datos — es fundamental para cualquier profesional de ciberseguridad defensiva.

Las cadenas de infección modernas de ransomware (como LockBit, BlackCat/ALPHV, Cl0p) son sofisticadas: comienzan con phishing o explotación de vulnerabilidades, se mueven lateralmente por la red durante semanas recopilando credenciales y datos, y solo activan el cifrado cuando han maximizado el daño potencial.

Esta habilidad cubre tanto la perspectiva técnica (IoCs, técnicas de detección, respuesta a incidentes) como la operacional (planes de continuidad, estrategias de backup, comunicación durante un incidente, negociación y pago — o no pago — del rescate).

El GREM (GIAC Reverse Engineering Malware) es la certificación de referencia para analistas de malware y reverse engineers de seguridad. Valida la capacidad de analizar malware tanto estática como dinámicamente, incluyendo técnicas avanzadas de evasión y ofuscación.

El examen cubre análisis de malware Windows (PE) y basado en scripts (JavaScript, PowerShell, VBScript), análisis en entornos de sandbox, ingeniería inversa de protocolos de C2 (command and control), y análisis de shellcode. El material de preparación es el curso FOR610 (Reverse-Engineering Malware) de SANS.

Es una certificación muy valorada en posiciones de malware analyst, threat researcher, incident responder senior y en equipos de inteligencia de amenazas de empresas de antivirus y ciberseguridad.

El GCFE (GIAC Certified Forensic Examiner) certifica habilidades de análisis forense digital enfocado en sistemas Windows. Es la certificación de entrada al mundo del forense digital y se prepara con el curso FOR500 (Windows Forensic Analysis) de SANS.

Cubre el proceso forense completo: adquisición de evidencias respetando la cadena de custodia, análisis de artefactos del sistema operativo Windows (registro, prefetch, shimcache, shellbags, LNK files, jump lists), recuperación de archivos borrados, análisis de memoria volátil y reconstrucción de timeline de actividad del usuario.

Es ideal para profesionales de respuesta a incidentes, investigadores forenses en fuerzas del orden y analistas de SOC que necesitan entender la evidencia digital en profundidad.

El GCIH (GIAC Certified Incident Handler) certifica la capacidad de detectar, responder y recuperarse de incidentes de ciberseguridad. Es la certificación de referencia para roles de Incident Responder, SOC Analyst L2/L3 y coordinadores de CSIRT.

Cubre el ciclo completo de respuesta a incidentes: preparación y planificación, identificación y alcance del incidente, contención, erradicación, recuperación y lecciones aprendidas. Incluye técnicas específicas para incidentes de malware, compromiso de cuentas, ataques de red e incidentes en la nube.

El curso de preparación es SEC504 (Hacker Tools, Techniques, and Incident Handling) de SANS, que es uno de los cursos más populares de la academia. El GCIH es requerido en muchos programas de certificación del gobierno de EE.UU.

Zero Trust es un modelo de seguridad basado en el principio de nunca confiar, siempre verificar. Abandona el concepto tradicional de perímetro de red seguro y asume que las amenazas pueden estar tanto dentro como fuera de la red corporativa.

En la era del trabajo remoto, la nube pública y los dispositivos BYOD, el modelo de castillo y foso ya no funciona. Zero Trust implementa microsegmentación, autenticación continua, acceso de mínimo privilegio y visibilidad completa de todos los flujos de datos — independientemente de dónde se encuentren el usuario o el recurso.

Las grandes plataformas cloud (Google BeyondCorp, Microsoft Azure AD Conditional Access, AWS IAM) ya implementan principios Zero Trust. NIST publicó en 2020 el SP 800-207 como guía definitiva de arquitectura Zero Trust para el gobierno federal.

CompTIA CySA+ (CS0-003 en su versión actual) es la certificación para analistas de ciberseguridad de nivel intermedio. Puente entre Security+ y certificaciones avanzadas como CISSP, cubre las habilidades operativas necesarias para trabajar en un SOC (Security Operations Center).

A diferencia de Security+, que es más amplia y teórica, CySA+ se enfoca en habilidades analíticas prácticas: uso de SIEM para detección de amenazas, análisis de logs, investigación de alertas, threat hunting proactivo y respuesta a incidentes. También cubre el uso de threat intelligence para mejorar la detección.

Desde la versión CS0-003, incorpora mayor énfasis en análisis de vulnerabilidades, operaciones en la nube y automatización de respuesta mediante SOAR (Security Orchestration, Automation and Response).

La inteligencia artificial está redefiniendo la ciberseguridad en ambas direcciones: como herramienta defensiva y como vector de ataque. Entender ambos lados es cada vez más crítico para cualquier profesional de seguridad.

En el lado defensivo, el ML permite detectar anomalías de comportamiento que escapan a las reglas tradicionales, automatizar la correlación de eventos en SIEM, predecir vectores de ataque y acelerar la respuesta a incidentes mediante SOAR. En el lado ofensivo, los atacantes usan LLMs para phishing ultraconvincente, deepfakes para fraude y ataques adversariales para evadir sistemas de detección basados en ML.

Esta habilidad es cada vez más demandada en perfiles de SOC Analyst, Threat Intelligence Analyst y Security Engineer que necesitan trabajar con plataformas modernas basadas en IA como Microsoft Sentinel, Google Chronicle o Darktrace.

El CISSP (Certified Information Systems Security Professional) es la certificación de ciberseguridad más prestigiosa y reconocida a nivel mundial en posiciones de gestión y liderazgo. Emitida por ISC2, es el estándar para roles de CISO, Security Manager, Security Architect y Director de Seguridad.

Cubre 8 dominios del Common Body of Knowledge (CBK): Seguridad y Gestión de Riesgos, Seguridad de Activos, Ingeniería de Seguridad, Seguridad de Comunicaciones y Redes, Gestión de Identidad y Acceso, Evaluación y Pruebas de Seguridad, Operaciones de Seguridad, y Seguridad en el Desarrollo de Software.

Requiere 5 años de experiencia laboral en al menos 2 de los 8 dominios (o 4 años con un título universitario). El examen usa CAT (Computerized Adaptive Testing), lo que significa que el número de preguntas varía entre 125 y 175 según el rendimiento del candidato.

El CISM (Certified Information Security Manager) de ISACA es la certificación de referencia para profesionales que gestionan, diseñan y supervisan programas de seguridad de la información en organizaciones. Es especialmente valorada en roles de gestión y cumplimiento normativo.

A diferencia del CISSP (que es más amplio y técnico-estratégico), el CISM se enfoca específicamente en 4 dominios: Gobierno de la Seguridad de la Información, Gestión de Riesgos de la Información, Gestión y Desarrollo del Programa de Seguridad, y Gestión de Incidentes de Seguridad.

Requiere 5 años de experiencia en gestión de seguridad de la información, con al menos 3 años en gestión específica. Es muy valorada en el sector financiero, salud y gobierno por su énfasis en cumplimiento normativo (ISO 27001, NIST, GDPR).

El CISO (Chief Information Security Officer) o Director de Seguridad es el máximo responsable de la estrategia de ciberseguridad de una organización. No es una certificación, sino un hito de carrera que combina años de experiencia técnica y de gestión con habilidades de liderazgo ejecutivo.

Un CISO moderno debe equilibrar múltiples responsabilidades: definir la estrategia de seguridad alineada con el negocio, gestionar el presupuesto de seguridad, comunicar el riesgo cibernético a la junta directiva, supervisar el equipo de seguridad, asegurar el cumplimiento normativo (GDPR, SOC 2, ISO 27001) y gestionar la respuesta a incidentes de alto impacto.

El camino hasta aquí típicamente requiere 10-15 años de experiencia en ciberseguridad, incluyendo roles técnicos (pentester, analista SOC, ingeniero de seguridad) y de gestión (security manager, security architect). Certificaciones como CISSP, CISM y CRISC son esperadas, pero la experiencia real es insustituible.