Tres grandes familias de tareas
La palabra « ciberseguridad » da la impresión de un único oficio, cuando en realidad engloba varias familias de puestos. Una oferta de prácticas seria debe precisar a cuál se refiere.
La vigilancia y la respuesta a incidentes
Los analistas examinan las alertas que suben las herramientas de detección, determinan si corresponden a un incidente real y activan las respuestas previstas. El trabajo suele organizarse por equipos, a veces con horarios por turnos.
La auditoría y las pruebas de seguridad
Consiste en verificar configuraciones, buscar fallos conocidos y redactar recomendaciones. Estas pruebas solo se realizan dentro de un alcance definido por escrito y autorizado por la persona propietaria del sistema.
La gobernanza, los riesgos y el cumplimiento
Este ámbito abarca las políticas de seguridad, el análisis de riesgos, la concienciación del personal, la protección de los datos personales y la preparación de los controles. En apariencia es menos técnico, pero resulta indispensable.
Un marco legal que hay que conocer antes de manipular nada
Acceder sin autorización a un sistema informático, mantenerse en él o perturbar su funcionamiento puede constituir un delito, incluso por curiosidad y aunque no haya intención de causar daño. Esta regla vale para el sitio web de una empresa, para una aplicación pública o para la red de tu escuela.
Para un estudiante, la consecuencia es sencilla: solo se practica con objetivos previstos para ello, es decir, entornos de demostración, plataformas de ejercicios o un laboratorio personal. En una empresa, las pruebas se hacen con autorización escrita, una lista precisa de los sistemas afectados, fechas acordadas y una persona de contacto a la que avisar.
También entra en juego el respeto de los datos. Quien está en prácticas puede encontrarse con información sensible, como registros de conexión o datos de clientes. Está obligado a la confidencialidad, algo que suele formalizarse con un compromiso firmado desde el primer día.
Prácticas o formación dual: qué cambia en ciberseguridad
Las prácticas, formalizadas mediante un convenio con tu centro de estudios, ofrecen una inmersión de unos meses. En Francia, a partir de cierta duración se debe una gratificación; su importe mínimo lo fija la normativa y varía, lo que obliga a comprobarlo en el momento de la firma.
La formación dual adopta la forma de un contrato de aprendizaje o de profesionalización y te coloca en situación de asalariado. Es frecuente en este sector, donde las empresas buscan formar sus propios perfiles, porque las competencias se adquieren despacio y dependen mucho del entorno.
Una particularidad: muchas formaciones especializadas en ciberseguridad se sitúan después de una primera base en informática, redes o desarrollo. Es habitual empezar por un ciclo formativo superior (BTS) o un grado tecnológico (BUT en Francia) y luego especializarse en una licenciatura profesional, un máster o una escuela de ingeniería. En Francia, los planes de estudio reconocidos por la agencia nacional de seguridad de los sistemas de información (ANSSI) reciben un sello de calidad, útil para orientarse.
Las bases que hay que adquirir antes de buscar
Un buen perfil de principiante se reconoce por la solidez de sus cimientos más que por su vocabulario especializado.
- Redes: cómo circulan los datos, función de un cortafuegos, principio del cifrado de las comunicaciones;
- Sistemas: gestión de permisos en Linux y Windows, registros y actualizaciones;
- Programación y scripts: leer un programa, automatizar una verificación y detectar una práctica arriesgada;
- Principios de seguridad: confidencialidad, integridad, disponibilidad, mínimo privilegio y defensa en profundidad;
- Higiene digital: contraseñas, autenticación reforzada y suplantación de identidad (phishing).
Añade la capacidad de escribir con claridad. Un analista que descubre una anomalía debe describirla de modo que otras personas puedan tratarla: elementos observados, incertidumbres, posibles consecuencias y acción propuesta.
Entrenarse de forma legal y saber contarlo
Hay varias formas de progresar sin salirse del marco. Las plataformas de ejercicios en línea proponen retos concebidos para resolverse, con niveles graduados. Los concursos estudiantiles de seguridad ofrecen desafíos por equipos. Un laboratorio personal, formado por máquinas virtuales aisladas, permite estudiar el funcionamiento de un fallo conocido y corregirlo.
Para que esto sirva a tu candidatura:
- elige dos o tres ejercicios y documenta tu proceso, no solo la solución;
- explica lo que has aprendido sobre la defensa, por ejemplo la medida que habría impedido el fallo;
- aclara que todo se desarrolló sobre objetivos previstos para ese fin;
- evita publicar detalles aprovechables sobre organizaciones reales.
Quien selecciona notará esa contención, porque demuestra que comprendes la ética de la profesión.
Dónde buscar y a quién dirigirse
Los empleadores son numerosos: empresas especializadas en consultoría y auditoría, centros de supervisión de la seguridad, editores de soluciones, bancos y aseguradoras, operadores de servicios esenciales, consultoras informáticas, administraciones y centros sanitarios. Cada uno coloca a la persona en prácticas en una situación distinta. En una empresa proveedora de servicios verás a varios clientes en poco tiempo; en una empresa usuaria final seguirás un entorno a lo largo del tiempo.
Apóyate en las relaciones de tu centro de formación, en los eventos de las comunidades de ciberseguridad, en los portales de ofertas y en las candidaturas espontáneas dirigidas a un responsable de seguridad. En Francia, hay espacios de encuentro del sector que reúnen empresas, centros de formación y asociaciones, lo que facilita los contactos. Para una candidatura dirigida, menciona el tipo de equipo al que aspiras, en lugar de un vago interés por el « hacking ».
Ejemplo ilustrativo: analizar una señal sin sacar conclusiones precipitadas
Ejemplo ficticio, con fines pedagógicos. Lina, que hace cuatro meses de prácticas en un equipo de supervisión, recibe una alerta que indica una decena de intentos fallidos de conexión a una cuenta durante la noche.
En lugar de hablar de ataque, empieza por situar la señal en su contexto: la cuenta pertenece a un empleado de viaje en otra zona horaria, los intentos proceden de una misma dirección y no ha habido ninguna conexión exitosa después. Anota estos elementos, precisa lo que todavía no sabe y propone a su persona de referencia contactar con el empleado para verificarlo y, después, reforzar la autenticación de la cuenta.
Su informe ocupa diez líneas, distingue hechos e hipótesis y propone una acción dentro del alcance autorizado. Esa sobriedad es lo que hace útil a quien está en prácticas: una señal se presenta como señal mientras no se confirme como incidente.
Errores habituales entre los candidatos
- Presentarse como « hacker » y presumir de hazañas, lo que inquieta más que tranquiliza.
- Probar un sitio real para demostrar el nivel propio, con riesgo de sanciones penales y de cerrarse puertas.
- Descuidar los fundamentos de redes y sistemas a favor de herramientas espectaculares.
- Subestimar la redacción: un informe ilegible no es aprovechable.
- No precisar la orientación de las prácticas antes de firmar y acabar con tareas sin relación con el proyecto profesional.
- Manipular datos sensibles fuera de las normas previstas, por ejemplo copiando registros a un ordenador personal.
Antes de empezar, pregunta por las normas de acceso, de confidencialidad y de comunicación en caso de duda. Los buenos equipos ya las tienen por escrito.
Preguntas frecuentes
¿Hay que saber programar para hacer unas prácticas en ciberseguridad?
Unas bases de programación y de scripts son muy útiles, porque permiten comprender un fallo y automatizar verificaciones. Para un puesto orientado a la gobernanza o al cumplimiento, la necesidad es menor. Precisa la orientación de las prácticas antes de decidir en qué concentras tu preparación.
¿Se puede practicar en sitios reales para progresar?
No, salvo autorización explícita de la persona propietaria. Una prueba no autorizada puede constituir delito aunque no haya mala intención. Da prioridad a plataformas de ejercicios, concursos estudiantiles y un laboratorio personal aislado, concebidos para aprender sin riesgo jurídico.
¿Qué formación lleva a los oficios de la ciberseguridad?
Hay varias vías: un ciclo formativo superior o un grado tecnológico en informática o redes seguido de una especialización, una licenciatura profesional, un máster, una escuela de ingeniería o un título profesional. Las formaciones con el sello de la agencia nacional francesa de seguridad de los sistemas de información facilitan la elección. Comprueba siempre las condiciones de acceso en el centro.
¿Las prácticas en un centro de supervisión implican horarios por turnos?
Depende de la organización. Algunos equipos mantienen una vigilancia continua, con turnos rotativos reservados al personal con experiencia; otros ofrecen horarios clásicos a quienes están en prácticas. Pregunta en la entrevista y averigua si el eventual trabajo por turnos está regulado, compensado y es compatible con tu convenio.
¿Puede suponer un problema tener antecedentes penales o someterse a una investigación?
Algunos empleadores, sobre todo los que manejan información sensible, piden verificaciones o un compromiso de confidencialidad reforzado antes de la incorporación. Las normas varían según la organización. Pregunta al responsable de selección por sus procedimientos en cuanto se mencione una gestión de este tipo.
¿Cómo mostrar mi motivación sin experiencia profesional?
Presenta un número reducido de logros bien explicados: ejercicios resueltos, un laboratorio montado, un seguimiento regular de la actualidad de la seguridad. Muestra el método, los límites de tus conocimientos y lo que has aprendido sobre la defensa. Una candidatura sobria y precisa inspira más confianza que una lista de términos técnicos.