Cuando aparece una alerta de acceso sospechoso a las 3 de la madrugada, alguien debe decidir si se trata de un intento de intrusión, un falso positivo o un error de configuración. El analista de seguridad cibernética investiga este tipo de señales, reduce las vulnerabilidades y ayuda a la empresa a mantener protegidos sus sistemas y operaciones.
El trabajo combina supervisión, prevención y respuesta a incidentes. También exige comunicarse con los equipos de tecnología, los responsables de la empresa y, en determinadas situaciones, las áreas jurídica y de privacidad.
Si estás valorando esta carrera, en esta guía encontrarás información sobre las tareas del puesto, los conocimientos y las herramientas más utilizados, así como las opciones de formación, la progresión profesional y los criterios para analizar ofertas de empleo y salarios.
Ficha rápida
- Objetivo del puesto: reducir los riesgos digitales y contribuir a la continuidad del negocio.
- Conocimientos básicos: redes, sistemas operativos, controles de acceso y análisis de riesgos.
- Formación: los estudios de tecnología son útiles, pero también cuentan la experiencia práctica y el aprendizaje continuo.
- Certificaciones: pueden acreditar conocimientos específicos; ninguna es un requisito universal para todas las ofertas.
- Salario: varía según la experiencia, la región, el sector, la especialidad y la modalidad de contratación.
Qué hace un analista de ciberseguridad
Un analista de ciberseguridad supervisa los activos digitales, identifica y evalúa riesgos, aplica controles y participa en la respuesta a incidentes que puedan afectar a los datos o las operaciones. En el día a día, esto supone investigar alertas, analizar registros de actividad, corregir configuraciones inseguras y colaborar con los equipos responsables de los sistemas y la infraestructura.
Una parte del trabajo es preventiva: revisar permisos, supervisar vulnerabilidades y comprobar que las medidas de protección siguen siendo adecuadas a medida que cambia el entorno. Otra parte es reactiva: recopilar pruebas cuando se produce un incidente, contener el impacto y ayudar a restablecer los servicios.
El profesional también documenta las decisiones y recomienda medidas para reducir la probabilidad de que el problema se repita.
La colaboración con el departamento de TI es constante. Por ejemplo, el equipo de seguridad puede recomendar corregir una vulnerabilidad en un servidor expuesto, pero debe coordinar el cambio con quienes mantienen el servicio para evitar interrupciones innecesarias. En las organizaciones pequeñas, una misma persona puede asumir varias tareas; en las grandes, las funciones suelen repartirse entre áreas especializadas.
El valor del trabajo se demuestra cuando un riesgo técnico se traduce en una decisión que protege los datos y mantiene la actividad en marcha.
El puesto también puede aparecer como analista de seguridad de la información o analista de ciberseguridad. El alcance varía de una empresa a otra: una oferta puede dar prioridad a la supervisión de alertas y otra centrarse en la gestión de vulnerabilidades o la respuesta a incidentes. Para consultar una descripción general de la profesión, visita también la página sobre analista de ciberseguridad.
Competencias, formación y progresión profesional
No existe un único curso obligatorio para trabajar como analista de seguridad de la información. Los estudios de redes, sistemas, informática y seguridad de la información pueden proporcionar una base, pero la formación profesional y el aprendizaje autodidacta también son útiles si van acompañados de experiencia práctica demostrable.
Entre los conocimientos que suelen aparecer en las ofertas están las redes TCP/IP, Linux y Windows, la autenticación, el control de acceso, los conceptos de criptografía, el análisis de registros y los fundamentos de respuesta a incidentes. También es útil saber documentar los hallazgos: difícilmente una alerta sin contexto, pruebas o recomendaciones claras dará lugar a una solución eficaz.
- Capacidad de investigación: plantear hipótesis y contrastar pruebas antes de clasificar un evento.
- Conocimientos técnicos: entender cómo se comportan las redes, los sistemas y las aplicaciones en condiciones normales.
- Comunicación: explicar el impacto y la prioridad sin recurrir a la jerga; esta habilidad puede desarrollarse con técnicas de comunicación.
- Organización: documentar decisiones, conservar pruebas y hacer seguimiento de las correcciones hasta su cierre.
- Aprendizaje continuo: actualizar los conocimientos a medida que cambian los sistemas, las amenazas y las responsabilidades.
Los proyectos de laboratorio ayudan a convertir la teoría en experiencia demostrable. Un portafolio puede incluir un análisis de registros ficticios, una política de control de acceso o un informe de vulnerabilidades en un entorno autorizado. Nunca analices ni realices pruebas en sistemas de terceros sin permiso explícito.
Nivel Responsabilidades habituales Pruebas de competencia Júnior Clasificar alertas, seguir procedimientos, registrar incidencias y colaborar en las comprobaciones de seguridad. Conocimientos de redes y sistemas, documentación clara y capacidad para reconocer cuándo escalar un caso. Intermedio Investigar incidentes con menos supervisión, realizar análisis de vulnerabilidades y proponer mejoras en los controles. Casos bien documentados, priorización coherente y participación en correcciones o simulacros de respuesta. Sénior Definir enfoques técnicos, orientar respuestas complejas e influir en las decisiones sobre riesgos entre equipos. Decisiones justificadas, mejora de procesos y capacidad para relacionar el riesgo técnico con el impacto en el negocio.
Esta progresión es orientativa, no una regla del mercado. Por ejemplo, una persona puede tener experiencia sénior en respuesta a incidentes y estar todavía desarrollando sus conocimientos de seguridad en la nube; los títulos y las expectativas varían según la empresa.
¿Qué certificaciones son importantes para este profesional?
Las certificaciones más útiles dependen de la función y del nivel. CompTIA Security+ puede servir como referencia de conocimientos básicos; CEH está relacionada con contenidos sobre pruebas de seguridad; CISSP suele asociarse a profesionales con una experiencia más amplia y responsabilidades de gestión o arquitectura. Antes de invertir en una certificación, compara su programa con los requisitos de las ofertas a las que quieres presentarte.
Herramientas para la supervisión y la respuesta
Las herramientas ayudan a recopilar señales, organizar investigaciones y aplicar controles, pero no sustituyen los procesos ni el criterio técnico. Una solución de supervisión puede generar miles de alertas; sin reglas bien ajustadas y contexto sobre los activos, el equipo corre el riesgo de pasar por alto un evento importante o perder tiempo con falsos positivos.
Categoría Uso en el trabajo Ejemplos Supervisión y correlación Reunir eventos de distintas fuentes y destacar patrones que merecen ser investigados. SIEM, como Microsoft Sentinel y Splunk. Protección de endpoints Detectar e investigar actividad sospechosa en ordenadores y servidores. Plataformas EDR, como Microsoft Defender for Endpoint. Gestión de vulnerabilidades Identificar fallos conocidos y ayudar a priorizar las correcciones. Escáneres de vulnerabilidades, como Nessus y OpenVAS. Control de acceso Gestionar la identidad, la autenticación y los permisos en sistemas y servicios. IAM, autenticación multifactor y herramientas de gestión de identidades. Protección de redes Filtrar el tráfico, segmentar entornos y detectar conexiones sospechosas. Cortafuegos, IDS e IPS.
Los ejemplos no son recomendaciones universales. La elección depende del entorno, los requisitos de integración, el presupuesto y las competencias disponibles. En una oferta para analista de ciberseguridad especializado en Microsoft, por ejemplo, la empresa puede valorar la experiencia con Sentinel y Defender, pero también necesita profesionales que entiendan los registros, las identidades y las redes, conocimientos aplicables a otras plataformas.
Un error habitual es considerar que instalar una herramienta demuestra que el riesgo está resuelto. Un endpoint sin cobertura, una regla mal configurada o una cuenta con permisos excesivos pueden dejar una brecha aunque la empresa disponga de varias soluciones de seguridad.
Cómo identificar amenazas y reducir riesgos
La defensa en profundidad combina distintos controles para evitar que un fallo aislado permita acceder directamente a datos o servicios críticos. Los cortafuegos, la protección de endpoints, el cifrado, la autenticación multifactor y la segmentación de redes cumplen funciones diferentes. Su eficacia depende de la configuración, el mantenimiento y la respuesta a las alertas.
Para gestionar las vulnerabilidades, el analista identifica los activos, comprueba si tienen fallos conocidos y evalúa la exposición de cada sistema. Es probable que un fallo en un servicio accesible desde internet y conectado a datos sensibles requiera más prioridad que el mismo fallo en un equipo aislado. La clasificación técnica también debe tener en cuenta la posibilidad de explotación y el impacto operativo.
Durante un incidente, registrar la hora, el origen de la alerta, los sistemas afectados y las acciones realizadas ayuda a reconstruir lo sucedido. Un detalle práctico: actualizar una regla de detección sin documentar el cambio puede dificultar que después se entienda por qué una alerta dejó de aparecer. La documentación forma parte de la investigación; no es solo una tarea administrativa.
La prioridad de una vulnerabilidad depende de la exposición del activo y del impacto que podría tener su explotación.
El NIST Cybersecurity Framework 2.0 organiza la gestión de riesgos en funciones que incluyen gobernar, identificar, proteger, detectar, responder y recuperarse. El marco puede servir de apoyo para la planificación, pero no determina por sí solo qué controles son adecuados para cada organización.
La formación también reduce riesgos si aborda situaciones concretas, como mensajes de phishing, solicitudes de pago inusuales y el uso compartido indebido de archivos. Repetir una presentación anual sin evaluar las dudas ni los comportamientos suele tener poco efecto. El equipo necesita saber cómo notificar algo sospechoso y recibir indicaciones sobre qué hacer.
LGPD, auditorías y responsabilidades de la empresa
El analista contribuye a proteger los datos al implementar o supervisar controles técnicos, como la gestión de accesos, los registros de actividad, el cifrado y los procedimientos de respuesta. Estas medidas pueden proteger los datos personales y garantizar que la organización disponga de pruebas útiles para evaluar incidentes y demostrar cómo se aplicaron los controles.
La Lei Geral de Proteção de Dados Pessoais (LGPD), la ley brasileña de protección de datos personales, establece obligaciones para quienes tratan datos. El analista puede contribuir a su aplicación técnica, pero la responsabilidad sobre la gobernanza, las decisiones jurídicas y el cumplimiento de las obligaciones recae en la organización, con la participación de las áreas responsables y del delegado de protección de datos, cuando corresponda.
En una auditoría, los inventarios, las políticas, los registros de acceso y las pruebas de las correcciones ayudan a mostrar cómo funcionan los controles. Disponer de una certificación o adoptar un marco de referencia no demuestra, por sí solo, que se cumpla la normativa: hay que verificar que las medidas se ajustan a los riesgos y a las obligaciones de la empresa.
Ofertas de empleo, niveles y salarios en ciberseguridad
Las ofertas para analistas júnior de seguridad de la información suelen pedir conocimientos básicos de redes y sistemas, atención a los procedimientos y disposición para clasificar alertas o ayudar al equipo. Las ofertas de nivel intermedio y sénior suelen exigir más autonomía y experiencia con incidentes o dominio de una especialidad. El nombre del puesto, por sí solo, no revela su alcance: lee las tareas y los requisitos.
No existe un salario único que represente el mercado de la seguridad de la información. La remuneración depende de la región, el sector, la experiencia, los turnos de guardia, las certificaciones relevantes y la especialidad. Como aquí no se dispone de una metodología de recopilación comparable y actualizada para establecer una horquilla, las cifras sin fuentes y criterios claros serían poco fiables.
¿Qué área de la ciberseguridad está mejor pagada?
No hay un área que ofrezca los salarios más altos en todas las empresas y regiones. Los puestos especializados en arquitectura de seguridad, nube, respuesta a incidentes o pruebas ofensivas pueden tener distintas remuneraciones, pero el nivel de responsabilidad, la escasez de competencias y el sector influyen tanto como el nombre de la especialidad. Compara ofertas con un alcance y un nivel de experiencia similares.
Para buscar salarios de analistas de seguridad de la información o de ciberseguridad, reúne ofertas de la misma región, modalidad de contratación y nivel. Distingue el salario fijo de los beneficios y los complementos por guardias. Esta comparación es más útil que elegir una cifra aislada publicada sin fecha ni criterios.
Quienes estén empezando pueden buscar puestos júnior de analista de ciberseguridad o funciones de soporte, redes y operaciones de seguridad que permitan conocer los controles y los incidentes. Comprueba si la descripción prevé el acompañamiento de profesionales con experiencia, procedimientos claros y oportunidades de aprendizaje; un puesto anunciado como «júnior» puede exigir una autonomía que no corresponde a la experiencia requerida.
Retos de la profesión y decisiones de contratación
Las amenazas cambian, los entornos tecnológicos crecen y distintas áreas compiten por las prioridades y el presupuesto. Además, un exceso de alertas puede saturar al equipo. Una operación eficaz establece criterios de gravedad, escalado y comunicación, en lugar de esperar que cada profesional resuelva por su cuenta todos los incidentes.
¿Merece la pena trabajar en ciberseguridad?
Merece la pena para quienes disfrutan investigando problemas técnicos, documentando decisiones y aprendiendo de forma continua, incluso cuando la rutina incluye tareas repetitivas de clasificación. El área puede decepcionar a quienes esperan trabajar únicamente con intrusiones sofisticadas: gran parte de la reducción de riesgos depende de corregir permisos, revisar configuraciones y hacer seguimiento de los procesos.
Para contratar, evalúa qué riesgos necesita cubrir la empresa antes de buscar un perfil genérico. Una organización sin supervisión puede dar prioridad a alguien con experiencia en operaciones y respuesta; otra, que ya tenga las alertas organizadas, puede necesitar conocimientos de nube o gestión de vulnerabilidades. Define también quién tomará las decisiones, qué sistemas son prioritarios y cómo se medirá la reducción de riesgos.
Como siguiente paso profesional, elige algunas ofertas adecuadas a tu nivel y convierte los requisitos que se repiten en un plan de estudio y práctica. Para una empresa, el primer paso es inventariar los activos críticos, identificar quién responde a los incidentes y comprobar si los controles actuales cubren los riesgos más importantes.
Preguntas frecuentes
¿Es necesario tener un título universitario para trabajar en el área?
No para todas las ofertas. La formación universitaria puede ser útil, pero también cuentan los proyectos prácticos, la experiencia en TI y los conocimientos demostrables; los requisitos dependen de la empresa y del puesto.
¿Cómo crear un portafolio sin acceder a sistemas de terceros?
Utiliza laboratorios propios, máquinas virtuales y entornos de formación autorizados. Puedes documentar el análisis de registros simulados, la configuración de la autenticación multifactor o la priorización de vulnerabilidades en un escenario ficticio.
¿Las certificaciones garantizan un puesto de trabajo?
No. Pueden acreditar que has estudiado determinados contenidos, pero no sustituyen la experiencia, la capacidad para explicar tus decisiones ni la adecuación a las tareas del puesto. La mejor opción es elegir una certificación relacionada con el trabajo que quieres desempeñar.
