¿Puede un tester de QA pasar a Ciberseguridad?

Los testers de QA ya piensan como atacantes más de lo que se dan cuenta. Romper software, encontrar casos límite, escribir pasos de reproducción precisos y rastrear defectos hasta su causa raíz son los mismos instintos que los equipos de seguridad necesitan. El cambio de QA a seguridad es menos arriesgado que cambiar de, digamos, contabilidad, pero necesitas cerrar brechas específicas.

Lo que ya se transfiere

Si has pasado tiempo en QA, ya tienes:

• Habilidades de diseño de casos de prueba que se mapean directamente a escribir planes de prueba de seguridad y abuse cases
• Familiaridad con SDLC y CI/CD que te ayuda a entender dónde insertar verificaciones de seguridad (SAST, DAST, dependency scanning)
• Disciplina de seguimiento de bugs en herramientas como Jira, que es casi idéntica a los flujos de trabajo de gestión de vulnerabilidades
• Hábitos de testing de regresión que se traducen bien en verificar fixes para vulnerabilidades reportadas
• Experiencia en testing de API e UI usando Postman, Selenium o Cypress, que se superpone significativamente con cómo los testers de AppSec sondean para encontrar injection, broken auth y logical flaws

Si has hecho algún testing exploratorio o negativo (enviar deliberadamente input malformado, probar condiciones límite, intentar romper la lógica de validación), ya has estado haciendo una forma rudimentaria de security testing sin la etiqueta.

Las brechas que necesitas cerrar

El testing de QA generalmente asume que la aplicación se supone que funciona de cierta manera y estás verificando la corrección funcional. El security testing asume que un adversario está intentando activamente subvertir esa lógica. Necesitas desarrollar:

• Fundamentos de HTTP a un nivel más profundo — status codes, headers, cookies, CORS y cómo las sesiones funcionan realmente bajo el capó
• El OWASP Top 10 de memoria: SQL injection, XSS, SSRF, broken access control, insecure deserialization
• Networking básico: TCP/IP, DNS, TLS handshakes, cómo un proxy como Burp Suite intercepta y manipula tráfico
• Scripting, idealmente Python o Bash, para que puedas automatizar testing repetitivo y escribir pequeños exploit PoCs
• Comodidad con la línea de comandos de Linux ya que la mayoría del tooling de seguridad asume que no tienes miedo de una terminal

Una ruta de estudio concreta

Comienza con PortSwigger's Web Security Academy — es gratis y camina a través de cada categoría de OWASP con labs prácticos usando Burp Suite. Combina eso con TryHackMe's