¿Es demasiado tarde para empezar una carrera en ciberseguridad?

Alguien hace esta pregunta en cada foro de ciberseguridad, cada semana, sin falta. Generalmente tienen 27, 35, o 45 años, y están convencidos de que todos los demás tuvieron una ventaja de cinco años. No la tuvieron. Aquí está la matemática real sobre el tiempo, más un camino verdadero para entrar.

Por qué el campo no funciona como una carrera

La ciberseguridad no es un conjunto fijo de empleos que se llena y se cierra. Constantemente se crean nuevas superficies de ataque: configuraciones incorrectas en la nube, endpoints de modelos de IA, firmware IoT, dependencias de cadena de suministro. Cada una necesita personas para defenderla. El campo se expande aproximadamente al ritmo de cuánto del mundo funciona con software, y ese número sigue subiendo, no bajando. Un analista SOC contratado en 2015 lidió con un conjunto de amenazas completamente diferente al de uno contratado en 2024 — ransomware-as-a-service, ataques de fatiga MFA, y técnicas living-off-the-land casi no existían o se veían diferentes hace una década. Así que la persona que "comenzó temprano" no está sentada en alguna ventaja acumulada que te haga no contratables. La mitad de su conocimiento temprano ya está obsoleto.

La brecha de habilidades es real, no es copia de marketing

Los estudios de fuerza laboral de ISC2 han mostrado una escasez persistente de profesionales de seguridad calificados durante años consecutivos, y los gerentes de contratación con los que he hablado lo confirman desde el otro lado de la mesa: reciben muchos currículos pero pocos candidatos que puedan demostrar realmente habilidad práctica. Esa brecha no se cierra porque no hay un conducto mágico de chicos de 22 años que estudiaron nada más que seguridad desde el nacimiento. Se cierra (lentamente) a través de cambios de carrera — exempleados de sistemas, desarrolladores, técnicos de help desk, incluso maestros y veteranos militares — que pusieron esfuerzo enfocado durante 6-12 meses y se volvieron competentes.

Lo que realmente importa en el punto de entrada

Los gerentes de contratación para roles de analista SOC, seguridad IT, o pruebas de penetración junior no preguntan cuánto tiempo llevas "en ciberseguridad". Están verificando cosas específicas y verificables:

• ¿Puedes leer una captura de paquetes en Wireshark y explicar qué está pasando en ella?
• ¿Entiendes cómo funcionan TCP/IP, DNS, y HTTP realmente, no solo qué significan los acrónimos?
• ¿Has construido o roto algo — un home lab, un writeup de CTF, una VM vulnerable que rooteaste?
• ¿Puedes escribir un reporte de incidente claro o explicar una vulnerabilidad a una persona no técnica?
• ¿Sabes moverte por la línea de comandos de Linux sin necesitar un cheat sheet para cosas básicas?

Nada de eso requiere años. Requiere práctica deliberada. Alguien que pasa cuatro meses enfocados construyendo un home lab con pfSense, Security Onion, y un par de máquinas intencionalmente vulnerables (TryHackMe, HackTheBox, VulnHub) frecuentemente superará en entrevistas a alguien que ha estado en un trabajo de help desk durante tres años sin hacer nada relacionado con seguridad.

Un plan realista de seis meses si estás comenzando desde cero

Mes 1-2: fundamentos de redes y lo básico de Linux. Ponte cómodo con subnetting, el modelo OSI, y bash básico. El material de Network+ de Professor Messer y el wargame Bandit de OverTheWire son ambos gratuitos y buenos puntos de partida.

Mes 2-4: elige un carril — blue team u ofensivo — y profundiza en una plataforma. El path SOC Level 1 de TryHackMe o el path Pre Security funcionan bien para blue team; Web Security Academy de PortSwigger es gratuito y excelente si te inclinas hacia ofensivo/web.

Mes 4-6: consigue una certificación que coincida con tu carril (Security+ para una base amplia, o eJPT si quieres algo más práctico) y construye dos o tres proyectos documentados — una configuración SIEM casera, un blog de writeup de CTF, un pequeño reporte de prueba de penetración en un entorno de laboratorio. Ponlos en GitHub o un sitio simple. Los reclutadores escanean currículos durante treinta segundos; un enlace a trabajo real cambia esa conversación.

Lo único que realmente te descalifica

La edad no te descalifica. Un título que no sea de ciencias de la computación no te descalifica. Lo que sí lo hace es la inconsistencia — comenzar un curso, parar después de dos semanas, reiniciar seis meses después con un curso diferente. Las personas que logran entrar no son las que tienen el más talento natural, son las que siguieron presentándose durante unos meses seguidos. Ese es genuinamente el secreto completo, tan poco glamuroso como suena.

Si quieres el siguiente paso mapeado, los tracks de Breaking In y Certifications de Korra Studio profundizan más en qué roles de nivel entrada enfocarse primero y cómo secuenciar tu primer certificado.