Certificaciones en seguridad/tecnología, ¿valen la pena? – Parte IV

Como mencioné en los artículos anteriores; y es mi opinión personal quienes deberían pagar las certificaciones e incluso las membresias deberían ser los empleadores, ya que al final ellos son los que tienen recursos y le pueden sacar provecho.

En algunas de las empresas en las que he trabajado, los empleadores ofrecen el modelo de pagar la certificación a cambio de cláusulas de permanencia (la mayoría de las veces ridículas). Estas cláusulas y por lo que he hablado con la mayoría de mis colegas hace que las personas tengan miedo de pedir apoyo debido a que no quieren “vender su alma al diablo”. Mi comentario es no tengan miedo; si la cláusula no tiene sentido intenten negociar para buscar una solución más razonable.

Se preguntarán hasta ahora, “¿Por qué tanta negatividad en estos artículos?”. No es negatividad, con esta serie de artículos busco compartir mis reflexiones con respecto a lo que pasa en la realidad y lo que pocos se atreven a decir; es una forma de buscar que las cosas que están mal, cambien para bien.

También, he tenido la experiencia durante los últimos años de ser parte de empresas que incentivan y patrocinan a sus empleados con programas de educación y certificación; esto tiene resultados positivos, los cuales mencionó a continuación:

  • Equipos de trabajo más competitivos (siempre y cuando la distribución de presupuesto se haga de manera equitativa entre todos los miembros del equipo).
  • Con equipos de trabajo más competitivos, se eleva la calidad de los servicios prestados, por lo tanto clientes más felices y satisfechos.
  • Cuando la empresas promueven la educación de sus equipos de trabajo se genera una competencia sana y los empleados son más felices. Que sí!, que hay riesgo de que una vez hagan el curso y se certifiquen renuncien!, pero, también existe la posibilidad de que los empleados se queden y aporten más al desarrollo de la organización ¿no?

¿Qué hacer si necesitas patrocinio en tu organización?

Si te encuentras trabajando y quieres tomar un curso o certificación, piensa en lo siguiente:

  1. ¿Estoy feliz en la organización? ¿Me veo trabajando en esta organización durante los próximos 1-3 años?
  2. ¿El curso/certificación que quiero es relevante para la misión de la organización? ¿cuáles serían los beneficios para la empresa si me patrocinan?
  3. ¿El curso/certificación que quiero es relevante para mi? ¿Cuáles serían esas habilidades que puedo desarrollar? ¿cómo aportarían esas habilidades a mi rol?
  4. ¿Estoy interesado en compartir los conocimientos adquiridos durante el curso o preparación del examen con mi equipo de trabajo? (Este sería un gran beneficio, no solo para ti, si no para todos tus compañeros).

Si pudiste responder estas preguntas y puedes armar un argumento válido, simplemente habla con el área de desarrollo humano y con tu jefe mostrando los beneficios de invertir en tu formación.

Factores que influyen en el valor de una certificación:

  • La entidad que emite la certificación. Las certificaciones emitidas por entidades reconocidas y acreditadas son generalmente más valoradas que las emitidas por entidades menos conocidas. Mi recomendación aquí es ir a twitter o reddit y ver que opinan las personas sobre la entidad o sobre una certificación específica. ¿No le vas a creer solamente a lo que dice la entidad en su sitio web, verdad?
  • El contenido del curso y el examen de certificación. Un examen que evalúa habilidades y conocimientos relevantes para el trabajo y que presenta retos o escenarios de análisis tendrá más valor que un examen que se enfoca en preguntas triviales.
  • El proceso de obtención de la certificación. Si la certificación requiere un examen desafiante y una experiencia práctica significativa, tendrá más valor que una certificación que se puede obtener fácilmente. Personalmente me gusta cuando hay que resolver casos mediante análisis y emitir informes.
  • Precio y costos de mantenimiento: Es importante encontrar un equilibrio entre el costo y los beneficios potenciales antes de tomar la decisión de obtener o mantener una certificación. Investiga el costo total de la certificación, incluyendo el precio del examen, los cursos de preparación y las tarifas de mantenimiento.

Conclusión

El mercado de las certificaciones tiene varios actores, como lo hemos visto en esta serie de artículos. Cada uno de los actores tiene sus intenciones (buenas o malas) y hay que entender la perspectiva de cada uno. Lo importante, es recordar que las certificaciones no son un sustituto del conocimiento, la experiencia y las habilidades. Las empresas deben invertir en la formación y desarrollo continuo de sus colaboradores; pero es nuestra responsabilidad definir la estrategia de nuestro propio aprendizaje.

Si queremos que las certificaciones sean más que un simple adorno en nuestro currículum o perfil de LinkedIn, debemos enfocarnos en el aprendizaje continuo y en la adquisición de habilidades relevantes para el mercado laboral. De esta manera, las certificaciones tendrán un verdadero valor ya que pueden reflejar nuestras capacidades y nuestro compromiso con la educación.

Certificaciones en seguridad/tecnología, ¿valen la pena? – Parte III

En el año 2018 comencé a ver la horrible realidad de las certificaciones; los “éxitos” que había logrado y la transformación de mi “perfil” profesional comenzaron a llamar la atención de mi empleador, reclutadores y otras empresas…

Desafortunadamente las intenciones no eran del todo positivas. Mis certificaciones comenzaron a utilizarse para efectos comerciales, la típica frase “tenemos personal calificado y certificado” que finalmente no era más que otro recurso para ganar negocios. Lo que vino después fue lo que me hizo ver lo podrida que estaba la industria.

Las certificaciones en varios países y puntualmente en Latinoamérica suelen ser utilizadas para ganar negocios con entidades privadas y cerrar pliegos en procesos de contratación gubernamentales. Es increíble como se puede influenciar un proceso de contratación a favor, usando perfiles de ingenieros atados a certificaciones específicas.

Mi perfil, y el de otros colegas a quienes aprecio y respeto comenzaron a verse publicados de forma no autorizada en páginas de contratación estatal; algunos “empresarios” nos contactaban para ofrecernos dinero solo por prestar nuestros perfiles con el fin de ganar un negocio. Corrupción en estado puro!

Incluso en plataformas como LinkedIn he podido evidenciar algo similar, algunos reclutadores te contactan, te ofrecen oportunidades laborales, con el objetivo de que entregues tu hoja de vida y las certificaciones, esto es fácil de detectar y ya he confrontado a algunos “reclutadores”.

Así que recomendación para quienes contratan servicios: verifiquen que las hojas de vida o perfiles que reciben sean legítimos y que realmente exista un vinculo profesional entre la empresa que va a prestar los servicios y las hojas de vida que están ofreciendo.

Recomendación para los estusiastas de la seguridad; Si alguien les ofrece dinero por prestar sus perfiles, simplemente digan no y si pueden denuncien. Si yo se, yo se que estamos en crisis financiera y cualquier entrada extra de dinero ayuda, pero definitivamente hay que acabar con la corrupción y ponerle fin ese circulo vicioso. Podrías también denunciar las prácticas corruptas ante las autoridades competentes.

Si algún reclutador te contacta, verifica que sea una empresa de confianza, en lo posible solicita una video llamada para entender el alcance de lo que están buscando antes de compartir cualquier soporte, al final y al cabo en tu perfil de linkedIn está toda la información inicial que podrían necesitar.

Conclusión: En esta entrada quería exponer el lado oscuro de las “certificaciones”, y como estas pueden ser utilizadas para fines poco éticos.

Certificaciones en seguridad/tecnología, ¿valen la pena? – Parte II

La verdad es que la industria nos ha mentido acerca del valor de las certificaciones. A nadie le importa si eres CEH, CHFI o ISO 27001.

Un curso de “certificación” promedio en seguridad cuesta alrededor de 1000 USD, eso equivale a 3 salarios mínimos legales vigentes en Colombia. Adicionalmente en algunas hay que pagar membresias anuales que rondan entre los 25 USD – 50 USD, y por último hay que renovarlas, en oportunidades simplemente pagando más dinero.

Cuando obtuve mi primera certificación lo hice porque quería trabajar como investigador forense. Venía de trabajar un par de años en pentesting (hacking) pero la investigación de delitos informáticos simplemente me sedujo. Pedí plata prestada debido a que el salario que ganaba no me alcanzaba para pagar el curso, fui a un aula durante 5 días, presenté el exámen y me certifiqué. Tristemente no logré el objetivo de conseguir empleo como investigador forense 😔.

Lo más frustrante fue que no aprendí a investigar delitos informáticos durante esos 5 días en los que la promesa de valor fue “adquiere las habilidades necesarias para investigar delitos informáticos de forma efectiva”. Que gran mentira, y ahora con deudas, sin el trabajo soñado y sin los conocimientos que me prometieron. Sentí que perdí mi tiempo y mi dinero.

Cuento esta historia, porque si eres nuevo en seguridad te va a pasar, vas a creerle a alguien de que si te certificas en algo en “ciberseguridad” vas a conseguir empleo. Vas a confiar en el sistema, vas a “invertir” dinero en un curso, vas a preparar el “examen”, posiblemente vas a obtener la certificación, sin embargo no vas a conseguir empleo, con suerte te llamaran a una que otra entrevista.

Ahorra ese dinero, no te endeudes, ¿quieres ese primer empleo como pentester, analista de seguridad, analista forense o analista de riesgo? a continuación mis recomendaciones:

  • Compra un libro o más sobre el tema o certificación que quieres lograr. (valor de la inversión 40 USD en promedio)
  • Lee el bendito libro, a conciencia!
  • Profundiza cada tema que veas en el libro con recursos gratuitos, ve a Youtube busca contenido que te ayude a reforzar cada tema
  • Crea proyectos para cada tema, si son temas técnicos crea laboratorios con máquinas virtuales, si no son temas técnicos escribe reportes o artículos en tu blog.
  • Crea un blog, o utiliza plataformas como wordpress, linkedin, medium, entre otras y comparte lo que estas aprendiendo, probablemente no le va a importar al 99.99% de la humanidad, pero con el tiempo te ayudará.
  • En lugar de estar perdiendo el tiempo en TikTok o Instagram, crea contenido en Youtube sobre la temática que estás aprendiendo.
  • Actualiza tu hoja de vida

Luego de estos pasos y cuando te pregunten en la entrevista si tienes certificaciones en seguridad di que no, pero que estas preparado para certificarte una vez consigas el trabajo. Si tienes una buena entrevista te contratarán y puede que incluso la empresa pague por el exámen de certificación, porque las certificaciones no son para el empleado, las certificaciones son para los empleadores y ellos son quienes tienen dinero (Profundizaré sobre esto en la cuarta entrega).

¿Ves como no valen la pena las certificaciones?

Certificaciones en seguridad/tecnología, ¿valen la pena? – Parte I

En el año 2013 obtuve mi primera certificación en Informática Forense, para ese primer logro tuve que hacer una gran inversión, tomar un curso de 40 horas, posterior al curso estudiar un par de semanas y finalmente presentar el examen. ¿Valió la pena? No.

Durante los siguientes años, cambié el enfoque; principalmente porque los cursos de seguridad son caros y mis recursos eran escasos, sin embargo las certificaciones eran la herramienta para poder abrir nuevas puertas y conseguir mejores empleos, o ese era mi pensamiento. Así que para las próximas certificaciones comencé a definir cuales certificaciones me aportarían para conseguir un nuevo empleo y preparar el exámen por mi cuenta (leyendo libros y practicando).

En el término de 12 meses obtuve otras dos nuevas certificaciones la primera en pruebas de intrusión y la segunda en respuesta a incidentes. ¿Valieron la pena las certificaciones? No. Pero el proceso que utilicé para conseguir las certificaciones si que valieron la pena, aprendí mucho más durante esos 12 meses aportando más en mi trabajo y definiendo la metodología que quería adoptar para los siguientes años de mi carrera.

Entre 2015 y 2016 obtuve un par de certificaciones con las que vi un real cambio en mi perfil, la primera fue en gestión de seguridad y la segunda en gestión de riesgo, escogí estas certificaciones porque quería postularme al cargo de CISO (Oficial de Seguridad) en la organización en la que estaba trabajando. El enfoque fue el mismo, adquirí varios libros, creé mi plan de carrera y comencé a ejecutar tareas en mi trabajo alineadas con lo que aprendía en los libros, cada vez que aprendía algo lo aplicaba. Obtuve las certificaciones, obtuve el rol que quería y lo más importante, realmente aprendí a gestionar riesgos y a liderar proyectos de seguridad. Definitivamente valió la pena.

Entre 2013 y 2023 acumulé cerca de 20 certificaciones en seguridad, principalmente en témas técnicos como análisis de malware, respuesta a incidentes, seguridad en la nube, etc… ¿Valieron la pena? Si, debido a que seguí el mismo proceso durante 10 años, cada año mi meta era obtener al menos 2 certificaciones y no porque necesitara las certificaciones sino porque me volví adicto a presentar exámenes para evaluar lo que estaba aprendiendo y de paso me servían para abrir nuevas puertas en el mercado laboral.

En conclusión, ¿las certificaciones valen la pena? No. Lo que vale la pena es el proceso de aprendizaje para preparar la certificación. Preparar las respuestas para presentar y aprobar un exámen no vale la pena, no es sostenible y tarde que temprano los demás notaran que “eres certificado” pero que realmente no sabes, y por último con el tiempo te va a generar la sensación del síndrome del impostor.

El aprendizaje continuo y la aplicación práctica del conocimiento son los que realmente nos empoderan para avanzar y contribuir significativamente en nuestra industria y nuestra sociedad.

3 recursos para aprender nociones de seguridad

Una de las preguntas más comunes que recibo de amigos y alumnos es ¿Cómo puedo aprender seguridad? En este artículo explicaré 3 recursos que considero esenciales.

1) La guía de estudio de Security+ de Darril Gibson y Joe Shelley: Los libros de Darril Gibson tienen como foco principal, la preparación de una de mis certificaciones de seguridad favoritas (Security+); sin embargo, la razón por la que recomiendo este recurso es porque contiene los conceptos que se requieren para involucrarse en la industria de la seguridad.

Puedes conseguir este libro en Amazon por un valor promedio de 40 USD, puedes descargar una muestra gratuita y navegar los primeros capítulos para ver si te llama la atención. En definitiva es mi recurso favorito y es el libro que utilizo como referencia en varios de los cursos que dicto.

2) La guía de estudio de CCSK (Certificate of Cloud Security Knowledge), este libro el cuál encontrarás en Español y en Inglés de manera gratuita, brinda los conceptos clave para comprender la seguridad en la nube

3) Curso de Seguridad de Google


El curso de seguridad de Google fue oficialmente publicado en 2023 y es el entrenamiento que personalmente recomiendo a mis estudiantes, allí no solo aprenderás las nociones de seguridad si no que también aprenderás conceptos de programación y a utilizar linux. El curso lo puedes tomar a tu ritmo, el costo es de 49 USD mensuales y dependerá de ti cuantos meses vas a invertir. Si definitivamente no cuentas con los 49 USD o no sabes si vale la pena hacer la inversión, simplemente puedes ver los videos gratis en Youtube y tomar las lecciones básicas.