¿Certificaciones, Grado o Autodidacta? La trinidad de la formación en ciberseguridad

Polyglot

Llevo unos meses metido en el mundo de la ciberseguridad y me asalta una duda existencial: ¿qué camino formativo es el más eficiente? Veo gente con CISSP que no sabe montar un script en Python, otros con grado en informática que no distinguen un phishing de un saludo, y autodidactas que te montan un lab de pentesting en una tarde. Yo empecé autodidacta con cursos de TryHackMe y HackTheBox, y me va bien, pero a la hora de buscar curro me piden papeles. ¿Alguien ha pasado por esto? ¿Recomendáis tirar por certificaciones (tipo OSCP) o intentar un grado (aunque sean 4 años) o seguir a base de proyectos propios? Quiero oír experiencias reales.

Calligraphy

Buena pregunta. Yo hice el grado en informática y luego el OSCP. El grado te da base teórica (redes, sistemas, criptografía) pero es muy lento y desactualizado. El OSCP es el que te abre puertas en pentesting, pero es duro. Si vas a por certificaciones, que sean prácticas, no de marcar casillas. Y los autodidactas que conozco suelen tener más calle, pero les falta estructura. Al final, lo que cuenta es demostrar lo que sabes en una entrevista técnica.

Scuba

Discrepo un poco. Yo soy autodidacta puro, sin título ni certificaciones, y llevo 5 años en blue team. Lo que me ha dado de comer es la experiencia en proyectos reales y el networking. Las empresas pequeñas valoran que sepas resolver problemas, no que tengas un papel. Pero es cierto que en consultoras grandes te filtran por CV con palabras clave. Si estás empezando, te recomiendo montar un blog técnico y contribuir a proyectos open source. Eso demuestra más que un título.

DIYer

Nadie habla de la combinación: grado (si puedes) + certificaciones específicas + proyectos. El grado te da visado en países que lo exigen, y las certificaciones te actualizan. El autodidactismo es un complemento, no una base. Pero ojo, hay certificaciones infladas que no sirven para nada. Investiga bien antes de pagar 500 pavos.

Polyglot

Gracias por las respuestas. Veo que hay matices. Lo del blog técnico me parece buena idea, y lo de las certificaciones prácticas también. Pero, ¿qué opináis de que el grado te da una base para no ser un 'script kiddie'? Porque a veces me siento que sé usar herramientas pero no entiendo el protocolo subyacente. ¿Alguien más se ha sentido así?

Embroidery

Totalmente. Yo hice el grado y me ayudó a entender TCP/IP, routing, etc. Pero luego en el trabajo aprendí más en 6 meses que en toda la carrera. La clave es no estancarse: el grado es una base, pero tienes que seguir formándote. Y para el tema de protocolos, te recomiendo que te montes un lab con GNS3 y practiques con Wireshark. Eso te da el 'aha moment'.

Tea

Yo soy de los que piensa que las certificaciones son un negocio. He visto a gente con OSCP que no sabe hacer un escaneo con nmap sin mirar el manual. En cambio, un autodidacta que ha hecho CTFs y ha documentado sus writeups demuestra más. Pero si quieres entrar en una empresa grande, necesitas el filtro. Al final, es un mal necesario.

Polyglot

Me estáis dando mucho que pensar. Creo que voy a seguir con la vía autodidacta, pero voy a complementar con algún curso de redes y a intentar el eJPT (que es más asequible que el OSCP) para tener un papel. Y me pondré con el blog. Gracias por la honestidad, esto me aclara el panorama.

Climbing

Buena elección. El eJPT es ideal para empezar. Y no te olvides de practicar lo que aprendes en plataformas como PentesterLab o VulnHub. Al final, la ciberseguridad es un campo donde lo que importa es la curiosidad y la constancia. Los papeles abren puertas, pero tu conocimiento te mantiene dentro.