Currículum de pentester (hacker ético/a): ejemplos y guía para redactarlo

Este ejemplo es el de una consultora de una empresa de auditoría de seguridad que lleva proyectos de aplicaciones web y de red interna. Los nombres y las empresas son inventados. Si trabajas en un red team interno o en seguridad de aplicaciones, mantén la estructura y cambia los tipos de proyecto; más abajo hay una sección para quien quiere entrar en el sector.

Quien contrata suele ser el responsable del área o un consultor principal que ha hecho este trabajo. Con cuatro líneas sabe si has auditado algo real.

• Tipos y número de proyectos. Web, API, móvil, interno, externo, cloud, wifi, ingeniería social, red team, seguridad física. Indica la combinación y el número al año. «Realicé pruebas de penetración» no le dice nada a un responsable de pentesting.
• Señales de profundidad. Rutas de ataque que completaste, técnicas de escalada de privilegios, hallazgos encadenados, exploits o scripts propios. Esto es lo que distingue auditar de lanzar un escáner y dar formato a la salida.
• Certificaciones, sobre todo las prácticas. La OSCP es la señal de entrada estándar porque es un examen práctico de 24 horas. GPEN y GWAPT de GIAC, la Burp Suite Certified Practitioner de PortSwigger, PNPT, CRTO y las certificaciones avanzadas de OffSec también tienen peso. La CEH es conocida, pero por sí sola no demuestra capacidad práctica.
• Redacción de informes y comunicación con el cliente. Es la mitad del trabajo y el motivo más habitual por el que se descarta a candidatos técnicamente brillantes. Di cuántos informes escribes, en qué plazo y si presentas a la dirección.
• Alcance y conciencia legal. Reglas de enfrentamiento, cartas de autorización, ventanas de pruebas, gestión de lo que queda fuera del alcance y qué haces cuando encuentras algo que no tenías autorización para tocar. Las consultoras lo preguntan en todas las entrevistas.

“Enséñame una ruta de ataque, no una lista de herramientas. Y dime quién lee tus informes. Esta empresa ha contratado a pentesters brillantes que no sabían redactar un hallazgo con el que el cliente pudiera hacer algo, y eso sale más caro que una vulnerabilidad que se escape.”

Muestra la técnica, la escala y la consecuencia. Describir los hallazgos de forma vaga es la manera más rápida de parecer alguien que solo lanzó un escaneo.

En este campo las certificaciones prácticas, con examen en laboratorio, pesan mucho más que las de tipo test. Pon primero las prácticas e indica el año en cada una.

• OSCP, de OffSec. Un examen práctico de 24 horas más un informe, y sigue siendo el requisito base más habitual en las ofertas. Las siguientes (OSEP para evasión, OSWE para explotación web, OSED para desarrollo de exploits) indican cada una una especialidad.
• Certificaciones GIAC: GPEN para pentesting de redes, GWAPT para aplicaciones web, GXPN para explotación avanzada, GCPN para cloud. Caras, respetadas y habituales en grandes empresas y en el sector público de EE. UU.
• Burp Suite Certified Practitioner, de PortSwigger. Práctica, barata y muy tenida en cuenta para puestos de auditoría web.
• CRTO, de Zero-Point Security, para operaciones de red team, y PNPT, de TCM Security, que incluye un informe y una reunión de conclusiones y está bien valorada para el nivel de entrada.
• CEH, de EC-Council. Muy reconocida por los filtros de RR. HH. y a veces exigida en contratos concretos, pero por sí sola no le dice al responsable de pentesting que sabes auditar. Combínala con algo práctico.
• El CISSP es una certificación orientada a la gestión. Ayuda en puestos sénior y de consultoría y para cumplir requisitos de contratos, no para demostrar capacidad práctica.
• En el Reino Unido, las certificaciones CREST y el estatus CHECK son los filtros equivalentes, y muchas ofertas británicas los exigen expresamente.
• Los resultados de bug bounty, los CVE, las charlas en congresos y las herramientas públicas cuentan aquí como credenciales. Ponlos en un bloque breve propio, con enlaces.

Los puestos de pentester junior están muy disputados porque mucha gente los quiere y pocas empresas quieren formar. El currículum tiene que demostrar que ya sabes hacer el trabajo aunque ningún puesto lo diga.

1. 1Consigue una certificación práctica. La OSCP es la señal más fuerte; PNPT y la Burp Suite Certified Practitioner son más baratas y también cuentan. Un certificado de aprovechamiento de un curso no es lo mismo, y los responsables de pentesting saben distinguirlo.
2. 2Monta un laboratorio y descríbelo como infraestructura: un controlador de dominio, dos estaciones de trabajo, un servidor Linux, una aplicación web vulnerable y la versión de prueba de un EDR. Explica qué atacaste y qué aprendiste sobre la detección.
3. 3Muestra tu volumen en plataformas de práctica con un enlace: Hack The Box, TryHackMe, PortSwigger Web Security Academy, Proving Grounds. El número de máquinas y la clasificación son pruebas legítimas a este nivel.
4. 4Escribe. Los writeups públicos son lo más parecido a una muestra de trabajo en un puesto cuyo entregable principal es un informe escrito. Cinco buenos writeups valen más que cincuenta máquinas a medias.
5. 5Prueba el bug bounty e informa de los resultados con franqueza. «3 reportes aceptados, 1 duplicado, 450 € en total» es creíble; «cazador/a de bugs» sin nada detrás, no.
6. 6Aprovecha bien la experiencia cercana. Soporte técnico, administración de sistemas, ingeniería de redes, desarrollo y SOC son ventajas reales, porque quien entiende cómo se construyen los sistemas encuentra más fallos. Reescribe esos puestos en torno a lo que aprendiste sobre la superficie de ataque.
7. 7Preséntate a consultoras además de a empresas de producto. Las consultoras contratan y forman a perfiles junior con mucha más frecuencia, y el volumen de proyectos te hará aprender más rápido.

• Una página con menos de 10 años de experiencia; dos a partir de ahí. Los responsables de pentesting leen rápido y valoran más la densidad que el diseño.
• Orden: encabezado con certificaciones y enlace a GitHub, perfil profesional, experiencia, competencias agrupadas, certificaciones y aportaciones a la comunidad, y formación académica. Si no tienes experiencia, sube laboratorios, plataformas y writeups por encima de la experiencia.
• Diseño sencillo, una columna y texto seleccionable. Los currículums de ciberseguridad muy diseñados salen destrozados de los sistemas ATS, y muchos equipos de seguridad siguen contratando a través de los portales de RR. HH. de la empresa.
• Agrupa las competencias: tipos de proyecto, después herramientas, después lenguajes y, por último, marcos. No enumeres 60 herramientas; pon las que no te importaría que te preguntaran en una entrevista.
• Enlaza tu GitHub o un blog en texto plano, y asegúrate de que lo que hay está terminado. Un perfil vacío es peor que no tener ninguno.
• Nunca incluyas nombres de clientes, hallazgos reales, capturas ni nada sujeto a un acuerdo de confidencialidad. Describe sectores y tamaños.
• Si tienes una habilitación de seguridad, menciónala, porque algunos proyectos para defensa o la Administración la piden, e indica si puedes viajar y con qué frecuencia. En consultoría se suele esperar entre un 20 % y un 40 % de viajes.
• Repite las palabras de la oferta cuando sean ciertas: pentesting, red team, aplicaciones web, API, Active Directory, cloud, OWASP, MITRE ATT&CK, PCI DSS, redacción de informes, corrección.
• PDF con el nombre Nombre-Apellido-Pentester-CV.pdf. En España se usa indistintamente «currículum» o «CV», y las certificaciones británicas CREST o CHECK se piden sobre todo en ofertas del Reino Unido.