Si estás pensando en formarte en ciberseguridad, probablemente hayas encontrado de todo: másters, cursos, bootcamps, certificaciones, vídeos gratuitos y personas que te aseguran que su camino es el que debes seguir. Con tanta oferta, resulta complicado distinguir qué necesitas tú y qué necesita venderte quien tienes delante.
Desde mi punto de vista, conviene empezar por algo bastante sencillo: tu situación de partida. No necesita lo mismo alguien que termina sus estudios que una persona con años de experiencia lidiando con sistemas de información, un profesional del mundo legal o quien quiere cambiar por completo de rumbo laboral proviniendo de un ámbito totalmente ajeno a estos.
En Escuela Tecnológica Daferra nos centramos en GRC, ciberseguridad técnica e informática forense.
Por supuesto, creemos en nuestros cursos. Pero también sabemos que cada persona es un mundo y que hay otras opciones alternativas a la nuestra, perfectamente válidas. Algunas pueden encajarte mejor por presupuesto, disponibilidad, conocimientos previos o necesidad de obtener una titulación concreta.
Antes de elegir formación aclara en qué quieres trabajar
La palabra ciberseguridad abarca trabajos muy distintos. Para orientar la búsqueda, podemos agruparlos en tres ámbitos, aunque en la práctica se relacionen continuamente.
- El acrónimo GRC significa gobierno, riesgo y cumplimiento. Incluye entender qué necesita proteger una organización, analizar sus riesgos, establecer políticas, evaluar controles y comprobar el cumplimiento de los requisitos aplicables en base a buenas prácticas, normas y estándares internacionales de seguridad de la información, privacidad, inteligencia artificial… Puede encajar con perfiles tecnológicos, de gestión o jurídicos, siempre que adquieran la base de seguridad necesaria. En nuestro artículo sobre salidas profesionales en GRC encontrarás ejemplos.
- La ciberseguridad técnica se ocupa, entre otras cosas, de proteger redes y sistemas, encontrar vulnerabilidades, desarrollar software seguro y detectar o responder a ataques. Conviene distinguir seguridad ofensiva y defensiva: aprender pentesting no cubre por sí solo todo el trabajo de un equipo enfocado en la protección de una organización digamos tradicional, o una infraestructura crítica, por ejemplo.
- La informática forense busca reconstruir qué ha sucedido a partir de evidencias digitales. Qué, cómo, cuándo, e idealmente, quién. Exige método, preservación de las evidencias, análisis y capacidad para explicar las conclusiones. Investigar un incidente en una empresa y preparar un peritaje para un procedimiento judicial comparten técnicas, pero tienen necesidades diferentes. Si te interesa lo segundo, comprueba que el programa aborde también el contexto jurídico y la elaboración de informes.
Me parece relevante, más allá de mirar el nombre del curso, saber qué vas a ser capaz de HACER al terminarlo. Saber elaborar un análisis de riesgos tecnológicos, una auditoría de un sistema de gestión de IA, hacer un pentesting, desplegar un SIEM, analizar un dispositivo móvil o justificar un informe forense, son objetivos bastante más útiles que «convertirme en experto» en base a un papel.
Nueve alternativas para formarte en ciberseguridad
Hoy quiero repasar las nueve alternativas que planteamos en nuestra masterclass gratuita sobre ciberseguridad, con sus ventajas, inconvenientes y ejemplos que merece la pena conocer. Es una selección razonada, no un ranking exhaustivo ni una evaluación de todos los centros. Las valoraciones sobre encaje son nuestras, y meramente ilustrativas de lo que podrías investigar por tu cuenta sin más que utilizar alguna IA o si eres más de la vieja escuela, googleando un poco.
1. Autodidactismo
Aprender por tu cuenta es una alternativa real. Libros, documentación, laboratorios, vídeos y recursos abiertos permiten avanzar mucho, especialmente cuando sabes qué buscar y puedes dedicar tiempo con cierta regularidad.
- A favor: flexibilidad, control del ritmo y posibilidad de empezar con poco dinero. También desarrollas una habilidad necesaria en este sector: investigar y resolver problemas sin tener siempre a alguien al lado.
- En contra: tú diseñas el itinerario, detectas tus lagunas y decides cuándo has entendido algo de verdad. Debes ser constante y disciplinado, y saber filtrar bien qué material es bueno o no, para construir un itinerario eficaz. Es fácil acumular contenidos, saltarse fundamentos o confundir seguir un tutorial con saber resolver un caso nuevo. El coste económico puede ser reducido; el tiempo invertido, considerable.
En España, revisaría los recursos de INCIBE-CERT y la plataforma ÁNGELES del CCN. Son puntos de partida útiles para conocer problemas, prácticas y materiales próximos al contexto español. Revisa las condiciones de cada actividad: la existencia de recursos abiertos no implica que todos los cursos tengan el mismo acceso.
Para practicar seguridad técnica, hay alternativas internacionales accesibles desde España. PortSwigger Web Security Academy ofrece formación y laboratorios gratuitos de seguridad web basados en su tecnología; su ventaja es la práctica especializada, y su límite es precisamente ese foco. TryHackMe y Hack The Box permiten trabajar con entornos de laboratorio. Elige la ruta por nivel y objetivo, revisando qué incluye el acceso gratuito y qué requiere pago, pero deberías obtener primeramente en base a otras fuentes, los conceptos básicos para comprender qué estás haciendo.
En forense, los recursos y ejercicios de SANS FOR500 ayudan a identificar qué competencias exige el análisis de Windows. El curso completo es de pago; no conviene confundir los materiales de divulgación con una formación tutorizada completa.
Mi consejo: si quieres seguir este camino, ayúdate con una IA para definir unos objetivos alineados con tus intereses. En base a ello, busca los recursos necesarios (teórico-prácticos), establece tu planificación, y sé constante. Es quizás más arduo, pero no imposible. La ventaja de la flexibilidad puede ser tu mayor enemigo.
2. Grupos de expertos y comunidades
Relacionarte con gente del sector sirve para contrastar dudas, conocer especialidades y descubrir problemas que no aparecen en un temario. Además, escuchar a alguien explicar cómo trabaja ayuda a desmontar bastantes ideas preconcebidas sobre la profesión.
- A favor: contexto profesional, intercambio de conocimiento y contactos. Una conversación bien aprovechada puede evitarte semanas estudiando algo que no encaja con tu objetivo.
- En contra: una comunidad no suele ofrecer un recorrido completo, ni ofrecer tutorías individuales. La utilidad depende de la actividad del grupo, de quién participa, de tu disposición a aportar, y tus habilidades blandas (empatía, confianza que generas en los demás, etc.). También hay consejos que funcionan para una trayectoria concreta y no para la tuya.
Para GRC, ten presentes ISMS Forum y los capítulos locales de ISACA, entre ellos por ejemplo Madrid. Son referencias para acercarte a gobierno, auditoría, riesgos y seguridad corporativa. Comprueba qué actividades son abiertas y cuáles requieren inscripción o pertenencia a la asociación.
Para seguridad de aplicaciones, puedes explorar OWASP Madrid. Su especialización resulta útil si te interesa ese ámbito; necesitarás otros recursos si buscas una visión amplia de GRC o forense. En este último caso, fíjate especialmente en los talleres y ponentes especializados de las comunidades y congresos técnicos.
3. Familiares o amigos que ya trabajan en el sector
Tener cerca a alguien con experiencia profesional que pueda orientarte, es una suerte. Puede ayudarte a entender un puesto, revisar tu primer laboratorio o decirte con bastante claridad qué conocimientos te faltan.
- A favor: confianza, orientación personalizada y una aproximación al trabajo cotidiano. Para alguien que está explorando un cambio profesional, puede ser un primer contacto muy valioso.
- En contra: saber hacer un trabajo y saber enseñarlo son capacidades diferentes. Además, esa persona tiene su propia especialidad y disponibilidad. Que un amigo trabaje en pentesting no significa que conozca el mejor itinerario para dedicarte a cumplimiento o a peritaje informático, que puede ser lo que teóricamente mejor encajaría contigo.
Aquí no tiene sentido recomendar una institución. Y si necesitas seguimiento continuo, una mentoría o un programa con tutorías puede ser más adecuado que depender de favores indefinidamente.
4. Cursos especializados y bootcamps
Esta vía permite concentrar el esfuerzo en competencias concretas con una estructura definida, en un período de tiempo acotado. Parece quizás que encaja bien con los tiempos que corren. Hay cursos breves para actualizar conocimientos a modo de reciclaje, y programas más amplios para aprender una especialidad. Un bootcamp suele proponer un recorrido concentrado y práctico, pero la etiqueta por sí sola dice poco: hay que leer el programa. Hay cursos y bootcamps de muy diferente calidades, como cualquier otra cosa en el mercado.
- A favor: orientación, secuencia de aprendizaje y, cuando están incluidos, práctica y feedback del profesorado. Puede ser una buena opción para cambiar de sector o cubrir una necesidad profesional sin cursar un máster completo.
- En contra: la profundidad, el acompañamiento y los requisitos varían mucho. Un calendario intensivo puede ser difícil de compatibilizar con el trabajo. También debes comprobar qué título recibes: un diploma de una escuela, una certificación profesional y una titulación universitaria tienen alcances distintos, al menos teóricamente, y al menos en España.
Alternativas para especializarte en GRC
AENOR ofrece programas entre otros, de implantación y auditoría de ISO 27001. Los tendría en cuenta si buscas trabajar específicamente con sistemas de gestión de seguridad de la información. Su foco es una ventaja para ese objetivo; un curso de una norma concreta necesitará complementos si todavía te falta una base amplia en GRC.
La formación de ISMS Forum incluye especialización en ciberseguridad, cyber compliance, o gestión de riesgos en la cadena de suministro. Puede encajar para profundizar en seguridad corporativa o actualizar una materia. Antes de elegir, comprueba los conocimientos de partida y los ejercicios que incorpora: una formación breve de actualización no persigue lo mismo que un itinerario de entrada al sector.
Alternativas para seguridad técnica
El bootcamp de ciberseguridad de The Bridge combina ataque y defensa y ofrece distintas modalidades. Lo valoraría si te beneficia una estructura de grupo y un recorrido práctico concentrado. Su principal exigencia es reservar tiempo suficiente para seguir las actividades y consolidarlas fuera de clase; consulta el calendario de la modalidad concreta.
Hack By Security dispone de una academia orientada al hacking ético. Puede encajar si ya has identificado la seguridad ofensiva como tu objetivo. Ese enfoque específico también marca el límite: revisa cuánto necesitas complementar para trabajar en operaciones defensivas, GRC o análisis forense.
Alternativas para informática forense
En formación internacional accesible desde España, SANS es una referencia que conviene conocer. FOR500 se centra en análisis forense de Windows, mientras que FOR508 aborda respuesta avanzada a incidentes, threat hunting y análisis forense.
La especialización técnica es su principal atractivo. Como contrapartida, revisa cuidadosamente presupuesto, idioma y requisitos previos; FOR508 requiere una preparación acorde con su nivel. Para ejercer en el contexto judicial español, tendrás que valorar aparte la formación jurídica y pericial. Un curso internacional de respuesta a incidentes no equivale a un programa de peritaje adaptado a España.
Microcredenciales de la Universidad de Mondragón
La Universidad de Mondragón merece una mención específica porque permite optar por formación completa o especialización mediante microcredenciales. Además, es partner de Escuela Tecnológica Daferra.
Su oferta incluye Gestión de la ciberseguridad para GRC y Ciberseguridad técnica. En el ámbito forense, a fecha de la elaboración de este artículo, en breve dispondrán de otra credencial especializada.
A favor, el respaldo universitario. Además, puedes seleccionar una competencia concreta y trabajarla en una microcredencial, título oficial en toda la UE. Consulta las convocatorias y las condiciones de reconocimiento de créditos si quieres continuar después con otros estudios.
Dónde encajan nuestros cursos
En Escuela Tecnológica Daferra puedes consultar el curso avanzado en GRC, el bootcamp técnico de ciberseguridad y el curso de Informática Forense y Peritaje Informático. Son nuestras propuestas para trabajar estas especialidades mediante formación teórica y práctica, orientada al mundo profesional, y elaborada por expertos en activo del sector.
Pueden encajarte si buscas un itinerario centrado en alguno de esos ámbitos. Si tu prioridad es obtener un máster universitario oficial, profundizar exclusivamente en una herramienta o estudiar con una modalidad distinta, compara también las alternativas anteriores. Revisa nuestros temarios y condiciones con las mismas preguntas que harías a cualquier otro centro. Es lo razonable, y te asesoraremos de manera honesta, porque insisto, no todo vale para todos.
5. Másteres
Un máster puede ofrecer un recorrido extenso, profesorado de distintas especialidades y un proyecto final que obligue a relacionar lo aprendido. Tiene sentido cuando buscas una formación amplia y puedes asumir su carga de trabajo. Desde mi punto de vista, es una de las opciones más recomendables si puedes asumirlo por coste, esfuerzo requerido, tiempo necesario hasta alcanzar la meta, y cumplir con las condiciones de acceso a nivel de conocimientos previos y/o titulación.
- A favor: profundidad, estructura académica y oportunidad de trabajar varias áreas conectadas, como GRC+ciber técnico. En algunos programas existen opciones de prácticas o proyectos con empresas.
- En contra: inversión económica y de tiempo, requisitos de acceso y contenidos que quizá no necesites si ya tienes claro un objetivo muy concreto, e incluso nivel de profundidad. A veces el que mucho abarca poco aprieta, y los contenidos pueden ser más superficiales en el ámbito que justo a ti te interesaba (como fue mi caso). Revisa siempre si se trata de un máster universitario oficial o de formación permanente; que ambos se llamen máster no los hace equivalentes a efectos académicos.
El Máster Universitario en Ciberseguridad de la Universidad Carlos III de Madrid tiene una orientación técnica y práctica, con docencia presencial y optativas como Análisis Forense de Sistemas Informáticos. Lo tendría en cuenta si buscas esa profundidad técnica. La presencialidad y el perfil de acceso son condicionantes importantes, especialmente si trabajas fuera de Madrid o vienes de un ámbito no tecnológico.
El Máster Universitario en Ciberseguridad y Privacidad de la UOC es oficial y online. Combina contenidos técnicos con privacidad, gestión de riesgos e informática forense. Su modalidad facilita estudiar desde distintas ubicaciones; a cambio, exige organización personal y conviene revisar las optativas para que el itinerario responda a tu objetivo. Estudiar online también requiere horas de trabajo.
El Máster de Formación Permanente Online en Ciberseguridad de Mondragón cubre aspectos de GRC, seguridad técnica, gestión y análisis forense dentro de la gestión de incidentes. Puede encajar si buscas un recorrido universitario más transversal, orientado a la práctica profesional, y en una institución de prestigio.
6. Formación Profesional
La FP merece estar en esta conversación. Para una persona que quiere construir una base técnica, un ciclo como Administración de Sistemas Informáticos en Red o de Programación Multiplataforma, puede ser un camino a valorar. Para quien ya tiene la preparación de acceso, existe el Curso de Especialización en Ciberseguridad en Entornos de las Tecnologías de la Información.
Su currículo estatal incluye incidentes, bastionado, puesta en producción segura, análisis forense, hacking ético y normativa. Por tanto, ofrece contacto con las tres áreas del artículo, aunque una asignatura de normativa no tenga el mismo alcance que una especialización completa en GRC, obviamente.
- A favor: un itinerario reglado, competencias definidas y aprendizaje técnico estructurado. Es una opción que conviene comparar antes de asumir que la única entrada profesional pasa por un bootcamp privado.
- En contra: requisitos de acceso, plazas, calendario y disponibilidad geográfica. Las condiciones de prácticas, horarios y duración deben comprobarse en cada oferta; no conviene generalizarlas a todos los centros, y es difícil compatibilizarlas con una actividad profesional en paralelo. Quizás es más sencillo para gente todavía muy joven.
Como ejemplos concretos, el CIFP Carlos III de Cartagena imparte esta especialización presencial y en horario de tarde. Puede interesarte si buscas aula y tienes disponibilidad local; su horario como decíamos, condiciona la compatibilidad con otros compromisos. En Madrid, U-tad también la incluye en su oferta de especialización FP, en modalidad presencial. Compara el coste total, los recursos y las condiciones de acceso antes de decidir, dentro del ámbito geográfico de tu interés.
7. Actividades extracurriculares
Talleres, congresos, competiciones CTF (Capture The Flag) y proyectos de asociaciones permiten explorar intereses y practicar a pequeña escala. Lo veo como un complemento, o una fase exploratoria inicial, cuando todavía no sabes si por ejemplo te atrae más investigar incidentes, proteger sistemas o trabajar con riesgos.
- A favor: experimentar, colaborar con otras personas y conocer especialidades con una inversión residual (tu tiempo, en general). Un taller puede ayudarte a decidir si quieres profundizar después.
- En contra: son actividades puntuales. Su nivel puede ser demasiado básico o demasiado avanzado para ti, y asistir no garantiza practicar. Resolver retos técnicos tampoco cubre automáticamente gestión, comunicación o elaboración de informes.
En España, revisa la programación de RootedCON para encuentros y formación técnica, y la agenda de ISMS Forum si te interesa seguridad corporativa. Su utilidad depende de la actividad concreta, no solo del nombre del evento. Para forense, busca talleres que indiquen expresamente qué evidencias y metodología vas a trabajar. Hay decenas de congresos en muchas localidades a lo largo de todo el año.
Si ya estudias, pregunta también por asociaciones, o incluso proyectos tutorizados de tu centro. Si no existen, propón que se creen. Construir y participar en estas iniciativas, puede aportar más que sumar certificados de asistencia.
8. Asignaturas específicas dentro de otros estudios
Quizá ya estés cursando una carrera, FP o posgrado y puedas orientar optativas, prácticas o el proyecto final hacia ciberseguridad. Aprovechar esa posibilidad puede ahorrarte duplicar contenidos y ayudarte a decidir una especialización posterior.
- A favor: integras seguridad con tu formación de base y puedes contar con evaluación y orientación docente. Desde informática puedes acercarte a sistemas o software seguro; desde otras titulaciones, a cuestiones organizativas o jurídicas, según el plan disponible.
- En contra: una asignatura suele tener un alcance limitado y puede ser principalmente introductoria. Además, que figure en un plan de estudios no significa que puedas matricularte de ella de forma independiente.
Un ejemplo visible es el plan del máster de la UC3M, con materias de análisis de riesgos, gestión de ciberseguridad y análisis forense. Permite comprobar cómo cambia el enfoque entre asignaturas de un mismo programa. Si quieres cursar solo una competencia sin matricularte del título completo, consulta alternativas específicas como las microcredenciales de Universidad de Mondragón (ver sección Informática, Telecomunicaciones y Sistemas Empotrados).
9. Certificaciones profesionales
Las certificaciones pueden ayudarte a organizar el estudio y demostrar conocimientos frente a un criterio externo. Su utilidad depende de la certificación, del puesto al que aspiras y de la experiencia que puedas aportar junto a ella.
- A favor: un objetivo definido, evaluación y una credencial de reconocimiento internacional, que el empleador puede comprobar. Algunas incorporan pruebas prácticas; otras se centran más en conocimientos y toma de decisiones.
- En contra: examen, preparación y mantenimiento pueden suponer un coste relevante. También existe el riesgo de estudiar para aprobar sin consolidar competencias. Revisa requisitos de experiencia, renovaciones e idioma antes de pagar: aprobar un examen y obtener la certificación completa, no siempre son lo mismo.
Para GRC, las certificaciones de ISACA permiten distinguir objetivos: CISA se orienta a auditoría de sistemas de información; CRISC, a riesgos y controles; CISM, a gestión de seguridad. Esa especialización ayuda a elegir, pero hace poco útil perseguirlas todas sin una vinculación lógica con tu trayectoria previa, o la esperada a futuro.
Para una visión amplia de seguridad, CISSP puede ser un objetivo en una etapa con suficiente bagaje a las espaldas. ISC2 establece requisitos de experiencia para obtener CISSP. En mi experiencia preparando el examen insistí precisamente en que mi punto de partida no era trasladable a cualquiera.
Para seguridad ofensiva, PEN-200 y OSCP+ de OffSec son una alternativa internacional a valorar desde España. Su orientación práctica al pentesting es un atractivo para ese perfil; requiere preparación técnica y no sustituye una formación en defensa o GRC.
En forense y respuesta a incidentes, GCFA de GIAC es una referencia especializada. Su alcance técnico puede resultar útil para ese trabajo, pero no acredita por sí solo conocimiento del procedimiento judicial español. Tampoco debes dar por hecho que el precio de una formación incluye el examen asociado.
Cómo elegir tu formación en ciberseguridad
Si partes sin base técnica y quieres trabajar con sistemas, dedica atención a los fundamentos y compara FP, formación inicial guiada y práctica autónoma. Si vienes del mundo legal o empresarial y te atrae GRC, busca un programa que conecte riesgos, controles y funcionamiento de la tecnología. Si ya trabajas en seguridad, quizá necesites una microcredencial o una certificación concreta más que repetir un itinerario completo.
Para forense, pregunta qué casos vas a investigar y qué informes tendrás que elaborar. Para GRC, qué decisiones y documentos trabajarás. Para técnica, cuánto laboratorio tendrás y quién revisará tus resultados. Pide también la dedicación semanal real, el coste completo y las condiciones del acompañamiento.
Es perfectamente razonable combinar vías: una formación estructurada, práctica por tu cuenta y participación en una comunidad. La combinación dependerá de tus necesidades y de lo que puedas sostener en el tiempo. Ninguna vía, por sí sola, garantiza un puesto de trabajo. Lo único cierto es que la demanda de buenos profesionales sigue al alza, por la digitalización de la sociedad (incluyo en este saco el impacto creciente de la Inteligencia Artificial), la presión regulatoria, y el impacto del cibercrimen, en un mundo geopolíticamente más convulso.
Si todavía estás ubicándote, te recomiendo empezar por nuestra masterclass gratuita sobre ciberseguridad. Dura casi dos horas y aborda qué es el sector, las opciones profesionales, salarios, alternativas para formarte, etc. También presentamos nuestra propuesta formativa.
Después, compara. Lee los temarios, pregunta lo que necesites y elige con criterio. Yo soy muy fan de la relación valor aportado frente a precio. Todas las consultas me llegan personalmente, y estaré encantado de charlar contigo para aconsejarte de la mejor manera. Han sido muchos los casos en que he invitado a potenciales alumnos a repensar si verdaderamente quieren dedicarse a esto, o si otro tipo de opciones o entidades, por su contexto, les encajarían mejor. Es lo bueno de no tener la presión de vivir de la Escuela, sino del trabajo en consultoría de ciberseguridad.
Si Escuela Tecnológica Daferra encaja contigo, estaremos encantados de acompañarte. Y si otra opción responde mejor a tu situación, este artículo habrá cumplido igualmente su objetivo.
Si te ha parecido interesante, te agradezco que lo compartas. Gracias por leernos.
Stay secure!
Óscar
