Esto está provocando que la demanda de expertos en seguridad aumente de tal manera que se quedan sin cubrir 3 millones de puestos en todo el mundo, según el informe Cybersecurity Workforce Study de (ISC), una organización mundial de profesionales en seguridad informática.

¿Consecuencia de esto? Que, pese a que el perfil de experto en ciberseguridad no sea el más demandado, sí es uno de los dos más cotizados según el Informe del Mercado Laboral de Adecco: la posición de CISO (Chief Information Security Officer, jefe de seguridad) tiene un salario que, según este informe, oscila entre los 45.000 y los 95.000 euros en nuestro país.

¿Cómo convertirse en un experto en seguridad? Quizá el perfil típico o más tradicional de ciberseguridad está más asociado al perfil de un ingeniero en informática o telecomunicaciones, con experiencia en área de sistemas, redes y cloud y una especialización en seguridad. Como especifica Javier Tobal, Ingeniero informático, Perito judicial informático y CISO en Fintonic, dado que hay muchos aspectos que confluyen en la ciberseguridad “se deberían conocer, entre ellos: desarrollo de software, arquitectura de sistemas, diseño y arquitectura de redes”.

Una visión con la que coincide Francisco Ángel Marzal, coordinador académico del Grado en Ingeniería del Software y del Doble Grado en Ingeniería del Software y Matemática Computacional en U-tad, quien enumera además dos campos adicionales: Normativa y Legislación y, dependiendo del área de ciberseguridad al que te quieras dedicar, Hacking ético, Bastionado, desarrollo de software seguro y Análisis Forense..

Hablando de legislación: no todos los expertos en ciberseguridad tienen por qué tener un perfil eminentemente técnico. Elena Cobo-Reyes, consultora de IT&TELCO de Spring Professional, explica que la ciberseguridad tiene muchos nichos y submercados y que, por tanto, en función de las funciones que la persona va a llevar a cabo dentro de una empresa, su perfil será más técnico o menos. En este terreno, cada vez tiene más impacto el ámbito legal. “Cualquier protocolo o procedimiento tiene que ir de la mano del aspecto legal”, sobre todo cuando los datos entran en juego. En función de la sensibilidad de estos datos (no es lo mismo sector sanitario o público o bancario que el resto de sectores que es una protección de especial sensibilidad), más importante será este rol legal.

Con el auge de los puestos de expertos en ciberseguridad algunas universidades empiezan ya a ofrecer titulaciones de Grado en Ciberseguridad, en muchos casos como especialización de grados en informática. Pero, ¿es necesario tener una titulación superior para trabajar en este campo?

Javier Tobal añadiría a esta lista los dobles grado de Administración y Dirección de Empresas e Ingeniería Informática así como los másteres en ingeniería de informática.

“Lo bueno del sector tecnológico es que, bien por necesidad o bien porque muta demasiado en tres años, es muy abierto. No tienes porqué ser un ingeniero superior para dedicarte a ciberseguridad”, apostilla Elena Cobo-Reyes, quien no obstante sí que reconoce que para puestos de mayor responsabilidad (como director de seguridad, CISO) sí que las empresas optan por perfiles titulados, aunque el factor determinante acabe siendo “la formación específica y que vengan con experiencia”.

Todos estos expertos aseguran que el campo de la ciberseguridad es tan amplio y se está ensanchando tanto que quienes quieran trabajar aquí deberían especializarse en algunas de sus áreas.

Por un lado, hay certificaciones como CEH, OSCP, CHFI que son “muy demandadas en el mundo laboral”, según el coordinador de UTad.

Basta mirar el Libro Blanco del CISO para comprobar la cantidad de certificaciones que existen en ciberseguridad: CCSP (Certified Cyber Security Professional), CDPD (Certificación de Delegado de Protección de Datos), CDPP (Certified Data Privacy Professional), CISA (Certified Information Systems Auditor), Certificación para auditores de ISACA (Information Systems Audit and Control Association – Asociación de Control y Auditoría de Sistemas de Información), CISM (Certified Information Security Manager), CISSP (Certified Information Systems Security Professional)….

“De la universidad se sale con unas bases generalistas, pero los problemas reales se ven en la calle, en las empresas y organizaciones a las que atendemos”, explica Lorenzo Martínez para justificar que se ha de complementar la formación con algo más específico para la ciberseguridad. “En mi empresa, Securízame, en la que nos dedicamos día a día íntegramente a dar servicios de ciberseguridad, lanzamos desde 2014 una serie de cursos especializados en materias como hacking ético, securización de sistemas o análisis forense, y también tenemos un plan semestral de acciones formativas con temarios específicos para desarrollar y potenciar esos conocimientos”.

Aunque gran parte de estas certificaciones y especializaciones son muy técnicas, cada vez se demanda más que los profesionales de la ciberseguridad controlen de otros asuntos, como los aspectos legales. Por eso, para muchos de estos expertos con los que hemos hablado apenas hay duda de que se hace necesario que los profesionales tengan formación en ética/legal.

El campo normativo y legislativo cada vez más extenso que afecta a la seguridad informática (como RGPD, NIS, PSD2, etc.) obliga a ello. “El saber no ocupa lugar (aunque quita tiempo que se puede dedicar a aprender o mejorar otras cosas). Hay tanto por conocer, que es importante seleccionar. Tener conocimientos de derecho (básico) sobre todo si te vas a dedicar a labores de peritaje informático, que luego deberás ratificar en sala, es importante”, explica Javier Tobal, quien también recomienda desarrollar las capacidades personales de exposición en público. “Cada vez es más importante hacerse entender, tanto de forma escrita como oral. Tanto para hacer un informe a un cliente, como exponer oralmente su contenido de forma resumida, creo importante que se lleven a cabo este tipo de acciones que mejoren las capacidades de comunicación”.

Esta formación complementaria se hace más necesaria conforme van pasando los años y, sobre todo, si se aspira a puestos de más responsabilidad. “Tener la visibilidad del negocio y cómo se aplica la ciberseguridad en él es vital para tu desarrollo profesional”, explica la consultora de IT&TELCO de Spring Professional. “En tecnología tendemos mucho a perfiles 4×4, que pregunte, que tenga inquietudes”.

Esta misma experta asegura que la especialización en el campo de la ciberseguridad llega más con el tiempo, aunque aparezcan nuevos estudios específicos sobre la materia. “De la noche a la mañana no puedes transformar a una persona porque tienes que coger experiencia”.

¿Cómo podemos lograrla? Actualmente existen muchas compañías que en estas nuevas áreas hacen hub de preparación, por lo que si estás interesados puedes acceder a estos recursos. También existen eventos CTF (Capture The Flag) en los que se plantean retos para resolver o plataformas como hackthebox donde puede ejercitar tus conocimientos. “Estas son dos buenas iniciativas para iniciarte y hacer contactos en este sector además de resolver simplemente problemas”, explica Francisco Ángel Marzal, mientras que Javier Tobal considera que es útil tener experiencia “manejando un depurador de código (debugger tipo IDA), un analizador de red (por ejemplo, wireshark) y las herramientas de hacking más populares (las que se pueden encontrar en distribuciones forenses como KALI)”.

Como concluye Lorenzo Martínez, “no hay excusa para no practicar por tu cuenta. Con alternativas gratuitas como Virtualbox puedes montar un laboratorio con multitud de máquinas en las que probar diferentes sistemas operativos, tanto la explotación de sus debilidades, como soluciones de seguridad funcionando sobre ellos, o incluso las trazas forenses que quedan tras la ejecución de determinadas acciones”.

Y, aunque obtengas tu primer trabajo como junior “no es bueno quedarse con que la formación se termina cuando acaba la jornada laboral, sino que la pasión por el saber más y mejorar, aunque sea como autoformación, debería ser algo complementario a lo visto en el trabajo”.