Currículum de ingeniero/a de ciberseguridad: ejemplos y guía para redactarlo

Un ingeniero inventado con una trayectoria de entrada habitual: soporte técnico (helpdesk), después administración de sistemas, después analista en un SOC y, por último, ingeniería de seguridad. Cada puesto nombra el stack del que era responsable y la cifra que cambió.

Las entrevistas de ingeniería de seguridad son caras, así que el filtro del currículum es duro. Hay cuatro cosas que te hacen pasarlo.

• De qué eres responsable frente a qué has tocado. Ser responsable de un SIEM, un despliegue de EDR, una línea base cloud o un programa de vulnerabilidades no es lo mismo que haber usado esas herramientas. Di cuál de las dos es.
• Lo que has construido. Detecciones, módulos de Terraform, playbooks de SOAR, scripts, líneas base de bastionado, controles de seguridad en CI/CD. En ingeniería se entregan artefactos, y el currículum debería contarlos.
• Cifras que demuestran que el control funcionó. Tiempo de detección y de respuesta, reducción de falsos positivos, cumplimiento del SLA de parcheo, porcentajes de cobertura, tasas de clics en phishing, salvedades de auditoría. La seguridad está llena de cifras y la mayoría de los currículums no incluye ninguna.
• Entorno y escala. Número de endpoints, cuentas cloud, empleados, tipos de datos regulados. Una startup de 200 personas y un banco de 40.000 puestos necesitan ingenieros distintos, y los dos perfiles son igual de válidos.

“Los currículums que destacan tienen artefactos. Número de detecciones escritas, playbooks automatizados, cuentas bajo una línea base que escribiste tú. Una lista con todos los productos de seguridad del mercado me dice que estuviste cerca de ellos. Cuéntame qué construiste y qué cifra cambió gracias a ello.”

Estos puestos se solapan y los títulos se usan con poca precisión, pero quienes contratan los distinguen con claridad. Enviar la versión de analista de tu currículum a un puesto de ingeniería es el motivo más habitual por el que se descarta a buenos candidatos.

• Un/a analista consume alertas e investiga. Empieza por el volumen de clasificación, la calidad de los escalados, los informes de investigación, el tiempo medio de respuesta y los marcos con los que trabajas.
• Un/a ingeniero/a construye y opera los sistemas que generan esas alertas. Empieza por las detecciones escritas, las integraciones creadas, la infraestructura como código, los resultados de ajuste y la responsabilidad sobre plataformas.
• La versión de ingeniero/a de seguridad de redes empieza por firewalls, segmentación, VPN y arquitectura zero trust, NAC, inspección TLS y el número de dispositivos detrás de cada cosa.
• La versión de ingeniero/a de seguridad cloud empieza por el diseño de IAM, los guardarraíles de cuentas, los hallazgos de CSPM cerrados, los controles de Kubernetes y contenedores, y la infraestructura como código.
• La versión de seguridad de aplicaciones empieza por SAST, DAST y SCA en el pipeline, los hallazgos clasificados, la formación a desarrolladores y el número de revisiones de código seguro.
• Mantén un documento maestro y saca una versión para cada caso. Los logros son en gran parte el mismo trabajo reordenado, pero el primer tercio tiene que encajar con la oferta.

Tres o cuatro líneas: años, entorno, de qué eres responsable, dos cifras y una certificación. Sin objetivos.

Los currículums de seguridad están llenos de nombres de herramientas y vacíos de resultados. Cada logro de abajo nombra el artefacto y la cifra.

Agrupa por áreas en lugar de soltar una lista. De doce a dieciséis líneas, y todo defendible en una entrevista.

• Detección y monitorización: SIEM (Splunk Enterprise Security, Microsoft Sentinel, Elastic), ingeniería de detección con Sigma y SPL o KQL, mapeo a MITRE ATT&CK, diseño de pipelines de logs y enriquecimiento.
• Endpoints e identidad: EDR (CrowdStrike Falcon, SentinelOne, Defender for Endpoint), bastionado de Active Directory y Entra ID, acceso condicional, gestión de accesos privilegiados, despliegues de MFA y sin contraseña.
• Cloud: AWS IAM, SCP, GuardDuty, Security Hub, KMS; Azure Defender for Cloud y Entra ID; equivalentes en GCP; herramientas CSPM; seguridad de Kubernetes y contenedores; gestión de secretos con Vault o un KMS cloud.
• Red: firewalls (Palo Alto, Fortinet, Cisco), segmentación y diseño zero trust, IDS e IPS, VPN, NAC, TLS y gestión de certificados, WAF y protección DDoS.
• Vulnerabilidades y seguridad de aplicaciones: Tenable, Qualys o Rapid7; SAST, DAST y SCA en CI/CD (Snyk, Semgrep); gestión de parches; definición del alcance de pentests y seguimiento de la corrección.
• Automatización y código: Python, PowerShell, Bash, Terraform, pipelines de CI/CD, integración por API entre herramientas de seguridad.
• Gobierno: NIST CSF y SP 800-53, SOC 2, PCI DSS, ISO 27001, RGPD y ENS (Esquema Nacional de Seguridad) si se aplican, evaluación de riesgos, planes de respuesta a incidentes y simulacros de mesa (tabletop).

En seguridad las certificaciones abren más puertas que en la mayoría de las ingenierías, sobre todo en empresas grandes y sectores regulados. Indica la entidad emisora y la fecha de caducidad.

El CISSP es la certificación que más a menudo aparece como requisito o como valorable en las ofertas sénior, y exige experiencia acreditada y el aval de otro profesional certificado. Las certificaciones GIAC tienen peso para el trabajo práctico, la OSCP para las competencias ofensivas y las especialidades de los proveedores cloud para los puestos de ingeniería cloud. La Security+ ayuda al principio y deja de importar más adelante. Las ofertas de la Administración pública y de empresas de defensa a veces exigen certificaciones o acreditaciones concretas para determinadas categorías, así que lee la oferta en lugar de dar por hecho que tu certificación te habilita.

La mayoría de los ingenieros de seguridad vienen de la administración de sistemas, las redes o el SOC. El currículum tiene que hacer que esa trayectoria parezca buscada, no casual.

1. 1Presenta tu trabajo de infraestructura como trabajo de seguridad cuando de verdad lo fue: parcheo, bastionado, control de accesos, despliegues de MFA, copias de seguridad y recuperación, logs y segmentación de red.
2. 2Cuenta lo que construiste aunque no fuera tu puesto. Scripts, dashboards, detecciones, automatizaciones, runbooks. En ingeniería se contrata por artefactos.
3. 3Asume en tu trabajo actual las tareas de seguridad que nadie quiere: el informe de vulnerabilidades, la petición de evidencias de la auditoría, el flujo de phishing. Después pon las cifras en el papel.
4. 4Añade un laboratorio casero o una contribución open source solo si es real y concreta: «creé una herramienta de conversión de Sigma a Sentinel que usan 40 personas en GitHub» en lugar de «laboratorio casero con pfSense».
5. 5Consigue una certificación creíble. Security+ para empezar y, después, GCIH o una especialidad de seguridad cloud en la dirección que quieras tomar.
6. 6Escribe el perfil profesional como destino, no como historia: nombra el tipo de puesto de ingeniería que buscas y las pruebas que ya tienes para él.

• Una página con menos de cinco años de experiencia; dos a partir de ahí. Orden cronológico inverso. La foto es opcional en España; la fecha de nacimiento y el DNI no hacen falta.
• Pon las certificaciones y la plataforma cloud en la línea de contacto. Las dos son filtros eliminatorios en buena parte de las ofertas de seguridad.
• Repite exactamente los nombres del stack de la oferta: Splunk, Sentinel, CrowdStrike, Terraform, Kubernetes, SOC 2, PCI DSS. Los sistemas ATS buscan coincidencias literales, y las ofertas de seguridad son especialmente concretas.
• Indica la escala del entorno en la línea de cada empresa: empleados, endpoints, cuentas cloud, datos regulados. Así quien lee no tiene que adivinar tu nivel.
• Olvídate de las barras de nivel y las nubes de palabras. Enumera las herramientas en texto plano, agrupadas por áreas.
• Incluye un enlace a GitHub solo si los repositorios están al día y merecen la pena. Un perfil vacío te resta más que no poner enlace.
• Comprueba que los años cuadran: si el perfil dice nueve años, las fechas de abajo tienen que cubrir nueve años.