Cómo comenzar a estudiar ciberseguridad desde cero

No hace falta saber programar para dar los primeros pasos en ciberseguridad. Las dos primeras etapas de esta ruta —entender cómo funcionan los sistemas operativos y las redes, y completar un curso introductorio como el de Cisco Networking Academy o la certificación de freeCodeCamp— se apoyan en conceptos, no en escribir código. La programación se vuelve relevante recién más adelante, y de forma distinta según la rama que elijas: quien se orienta a la ofensiva (pentesting, hacking ético) suele necesitar scripting para automatizar tareas y entender exploits; quien se orienta a defensa y SOC (centro de operaciones de seguridad) se beneficia más de leer y entender scripts que de escribirlos; y quien va hacia gobierno y cumplimiento puede avanzar bastante sin programar en absoluto. En cualquier caso, tener nociones básicas de un lenguaje —aunque sea para leer y modificar scripts ajenos— ayuda en casi todas las direcciones, así que conviene ir incorporándolo de a poco en paralelo a los fundamentos, sin que se convierta en un requisito de entrada que te frene antes de empezar.

No existe una única certificación «correcta», pero para quien recién empieza y busca una credencial neutral respecto de fabricantes —es decir, que no está atada al producto de una empresa en particular sino a conceptos generales del campo—, CompTIA Security+ suele mencionarse como una opción de entrada razonable, según la propia documentación de CompTIA. Antes de anotarte en cualquier certificación conviene tener resueltas las dos primeras etapas de esta ruta: fundamentos de sistemas y redes, y un curso introductorio. Un punto importante que cambia con el tiempo: los códigos de examen y el contenido exacto que evalúa cada certificación se actualizan periódicamente, así que cualquier código o versión que veas mencionado en un artículo hay que verificarlo en la página oficial del organismo certificador antes de inscribirte, porque puede haber cambiado desde que se escribió. La certificación tampoco reemplaza la práctica: es un complemento que ordena y valida conocimientos, no un sustituto de laboratorios propios ni de la experiencia de resolver problemas reales.

No. Son conceptos relacionados pero no equivalentes, y es la confusión más común de quien empieza en el tema. La ciberseguridad es un campo amplio que incluye, entre otras áreas, la defensa y el monitoreo desde un centro de operaciones de seguridad (SOC), el gobierno y el cumplimiento normativo dentro de una organización, y el análisis forense después de un incidente. El hacking ético —pensar como un atacante, de forma autorizada y con alcance definido, para encontrar fallas antes de que las explote alguien sin autorización— es una de las especializaciones posibles dentro de ese campo, no un sinónimo de él ni la única puerta de entrada. Buena parte de las personas que trabajan en ciberseguridad nunca ejecutan una prueba de intrusión: administran controles, revisan políticas, responden incidentes o investigan evidencia digital. Si tu interés puntual es la rama ofensiva, esta ruta te lleva hasta la etapa de elegir rama y desde ahí remite a una guía dedicada de Underc0de sobre los fundamentos del hacking ético, con su metodología, su marco de autorización y cómo montar un laboratorio propio para practicar.

La diferencia está en el objetivo y en el momento en el que actúa cada profesional, no en la gravedad ni en la dificultad técnica de uno respecto del otro. El lado defensivo trabaja de forma continua: monitorea sistemas y redes, detecta actividad anómala, responde a incidentes cuando ocurren, y suele organizarse alrededor de un centro de operaciones de seguridad (SOC) que recibe alertas y decide qué hacer con cada una. El lado ofensivo, en cambio, actúa en momentos acotados y siempre bajo autorización explícita: simula el comportamiento de un atacante, dentro de un alcance definido por contrato, para encontrar debilidades antes de que alguien sin autorización las aproveche. Ninguno reemplaza al otro: una organización necesita defensa permanente y, además, pruebas ofensivas periódicas para validar que esa defensa funciona. Esta ruta no obliga a elegir entre los dos desde el principio: los fundamentos de sistemas, redes y seguridad aplicada son comunes a ambos caminos, y recién en la etapa de elegir rama tiene sentido inclinarte por uno, por el otro, o por alguna de las otras dos direcciones —gobierno y cumplimiento, o forense— que también forman parte del campo.

Sí, buena parte del camino se puede recorrer con recursos gratuitos, aunque no todo. El curso introductorio de la segunda etapa tiene al menos dos opciones sin costo y verificables: Introduction to Cybersecurity, de Cisco Networking Academy, y la certificación de Information Security de freeCodeCamp. La documentación de OWASP (Open Web Application Security Project), que cubre la etapa de seguridad aplicada, también es abierta y gratuita. Donde suele aparecer un costo es en las certificaciones formales de la cuarta etapa —como CompTIA Security+—, que cobran por el examen aunque el estudio previo se pueda hacer con materiales gratuitos, y en algunas plataformas de práctica avanzada de la etapa de especialización, que combinan contenido gratuito con planes pagos para acceder a más ejercicios o a funciones adicionales. Ninguna de las etapas gratuitas es «de segunda»: los fundamentos, el curso introductorio y la práctica en un laboratorio propio son, de hecho, la parte del camino que más tiempo real ocupa, y se puede recorrer entera sin gastar dinero.

Después de los fundamentos de sistemas y redes, el paso siguiente de esta ruta es un curso introductorio gratuito y verificable —Cisco Introduction to Cybersecurity o la certificación de freeCodeCamp son dos opciones documentadas—, y no una herramienta de pentesting ni un curso de una rama específica todavía. Ese orden no es arbitrario: un curso introductorio da el mapa completo del campo antes de elegir una parte de él, evitando el error más común de saltar directo a una herramienta sin entender qué problema resuelve ni por qué. Desde ahí, el camino sigue hacia la seguridad aplicada, con OWASP como referencia, y luego hacia una primera certificación general si te interesa certificar formalmente. Recién en la quinta etapa, con los fundamentos ya resueltos, tiene sentido mirar las cuatro ramas y decidir hacia dónde profundizar: si la elección es la rama ofensiva, el paso siguiente natural es una guía dedicada a los fundamentos del hacking ético, con su metodología, su marco de autorización y cómo montar un laboratorio propio. Si es cualquiera de las otras tres, el criterio es el mismo: primero entender el panorama general, después especializarse.