De principiante a experto: Cómo construir una carrera sólida en GRC

Si estás aquí como un aspirante a profesional de GRC de nivel intermedio o principiante, o incluso alguien que busca iniciarse en la ciberseguridad GRC con el sueño de convertirse en CISO en el futuro, entonces tenemos algunas noticias para ti: las no tan buenas y las buenas. 

¿La mala noticia? El camino que tienes por delante no es tan sencillo como podrías esperar. Los requisitos para los puestos de nivel inicial son específicos para cada uno, y la mayoría exige una certificación o experiencia previa en tecnología. Y por si fuera poco, no existen pautas ni principios generalmente aceptados.

La buena noticia? En medio del caos, existe una estructura, y nuestros datos lo demuestran. Al analizar cientos de ofertas de empleo en LinkedIn en todos los niveles de ciberseguridad, hemos identificado tendencias y patrones clave que pueden guiar tus decisiones profesionales. Estos conocimientos te ayudan a tomar decisiones más acertadas en un mercado laboral impredecible, brindando claridad y orientación donde parece faltar, maximizando así tus posibilidades de aprovechar las oportunidades sumamente gratificantes que ofrece el sector.

Así que, ¡vamos a ello! 

A diferencia de otros campos, la observación laboral podría no funcionar.

Como CISO y autora de " Navegando por la trayectoria profesional en ciberseguridad" (Wiley), Helen Patton reconoce que nunca imaginó que llegaría a ser CISO cuando comenzó como administradora de TI. Sin embargo, tras obtener algunas certificaciones y un título universitario, llegó a ocupar el cargo de CISO en la Universidad Estatal de Ohio después de diez años en el puesto.

Preguntarle a alguien cómo llegó a su puesto actual en seguridad es una excelente manera de romper el hielo y entablar una relación. Es interesante saber cómo alguien se abrió camino a través del laberinto de funciones de seguridad, política corporativa y errores humanos hasta llegar a su puesto actual. Lo importante es recordar que la historia de una persona es solo eso: su historia, y no es algo que puedas copiar. – Helen Patton, CISO, Universidad Estatal de Ohio.

¿Por qué la ciberseguridad GRC representa una gran oportunidad profesional?

Quienes estén dispuestos a afrontar estos desafíos se adentran en un sector donde la demanda de profesionales de GRC se ha disparado, con más ofertas de empleo, mejores salarios y un énfasis creciente en la experiencia en GRC. Las empresas están aumentando sus presupuestos de contratación para GRC, y la flexibilidad para cambiar de especialización dentro de GRC hoy en día te permite controlar tu trayectoria profesional como nunca antes. La formación específica en GRC es la que la mayoría de los candidatos utiliza para mantenerse al día con este aumento de contrataciones, ya que las certificaciones formales importan menos que demostrar un conocimiento sólido de los marcos de trabajo que utiliza la empresa.

La demanda está en auge.

Analizando la tendencia de búsqueda de palabras clave en diferentes plataformas como LinkedIn y Google, el interés en puestos de GRC como analista de GRC, CISO virtual (vCISO), CISO y analista de seguridad de la información se ha disparado, registrando cifras de crecimiento sin precedentes, como un aumento del 1000 % en los últimos cinco años.  

Para poner este crecimiento en perspectiva, la fuerza laboral en ciberseguridad se expandió entre 2022 y 2023, añadiendo casi 440,000 nuevos puestos de trabajo a nivel mundial, según un informe del ISC.

Tendencias salariales en ciberseguridad GRC

Los datos sobre los salarios medios son muy reveladores sobre el crecimiento del sector y la importancia que se le otorga a los profesionales cualificados.

Por ejemplo, según los datos recopilados de los informes del Infosec Institute y CyberSN, el puesto de Jefe de Seguridad/GRC/CISO experimentó un aumento drástico de 193,00 a 245,000 dólares (26.61%), mientras que los analistas del Centro de Operaciones de Seguridad (SOC) experimentaron un aumento de 63,405 a 106,00 dólares (67.18%) entre 2021 y 2023.

El notable aumento de los salarios medios pone de manifiesto no solo la agresiva búsqueda de los mejores talentos, sino también la creciente brecha de competencias en ciberseguridad que las empresas están deseosas de cerrar. 

El gráfico que aparece a continuación ilustra estas tendencias tan relevantes, poniendo de relieve la oportunidad que existe para los profesionales de GRC (Gobierno, Riesgo y Cumplimiento). 

Hoja de ruta profesional en ciberseguridad GRC: desde puestos de nivel inicial hasta puestos sénior.

Es común que las personas comiencen con puestos de nivel básico en GRC (Gobierno, Riesgo y Cumplimiento) en áreas como soporte de TI, administrador de red o administrador de seguridad. Esto les permite familiarizarse con los requisitos preliminares de ciberseguridad y sentar las bases para comprender los marcos de cumplimiento.

Sin embargo, para acceder formalmente a un puesto de GRC (Gobierno, Riesgo y Cumplimiento), es posible que necesite complementar sus conocimientos con certificaciones como Security+, GIAC Information Security Fundamentals y Systems Security Certified Practitioner (Profesional Certificado en Seguridad de Sistemas). 

Funciones laborales de GRC en cada nivel profesional

Nivel de entrada : Aquí asumirás principalmente un rol de apoyo. Tus responsabilidades se centran en ayudar con las tareas de cumplimiento, mapear los requisitos del marco con los controles, documentar las políticas de seguridad y realizar evaluaciones de riesgos básicas.

Nivel intermedio : Al ascender, se pasa a un rol gerencial donde se ejecutan, planifican y lideran proyectos GRC específicos. Se interactúa más con otros departamentos, brindando orientación y asegurando que las iniciativas GRC se integren en los procesos organizacionales generales. El rol se vuelve crucial para cerrar la brecha entre las directivas de política de alto nivel y su implementación práctica, diseñando marcos que reflejen la realidad del negocio y los requisitos operativos, y asesorando a la alta gerencia.

De nivel sénior a CISO : Su rol es altamente estratégico a nivel ejecutivo, especialmente como CISO. Se espera que tome decisiones que definan la estrategia de seguridad y cumplimiento a largo plazo de la organización. Interactuará con los niveles más altos de la gerencia, diseñará e influirá en las políticas de toda la empresa y representará a su organización ante las partes interesadas y los reguladores. Su rol es fundamental para guiar a la organización a través de entornos de seguridad complejos, tomando decisiones que no solo protegen, sino que también impulsan el negocio.

Qué buscan los responsables de contratación en los candidatos de nivel inicial para puestos de GRC

Analizamos sistemáticamente más de 100 ofertas de empleo a tiempo completo publicadas en LinkedIn durante los últimos seis meses, centrándonos principalmente en la región de Norteamérica. Mediante palabras clave específicas relacionadas con GRC y ciberseguridad, filtramos las ofertas para garantizar su relevancia regional.

Cada oferta de empleo seleccionada se examinó para extraer datos esenciales, como las habilidades técnicas y blandas requeridas, las certificaciones necesarias, el conocimiento de marcos de ciberseguridad (como NIST e ISO 27001 ), los niveles de experiencia y las certificaciones preferidas para cada nivel de habilidad.

Esto es lo que encontramos: 

En los puestos de nivel inicial, los empleadores suelen priorizar un conocimiento general de los conceptos de GRC (Gobierno, Riesgo y Cumplimiento) sobre la experiencia práctica con herramientas y procesos específicos. En lugar de participar en la estrategia o la planificación estratégica, los profesionales principiantes actúan como personal de primera línea, realizando el trabajo manual necesario para implementar y respaldar las iniciativas de los miembros del equipo directivo. 

Si bien la experiencia práctica es menos crucial en esta etapa, un conocimiento práctico de las evaluaciones de riesgos, la detección de amenazas, el cumplimiento normativo y los procesos de auditoría es esencial para contribuir de manera efectiva y ayudar a optimizar las operaciones.

A continuación, se presentan las principales habilidades (con sus porcentajes correspondientes) reveladas a través de nuestro análisis, que indican la proporción de descripciones de puestos de trabajo que requerían específicamente estas habilidades.

• Gestión de riesgos Al menos el 21.62 % de las organizaciones esperan que los analistas principiantes puedan respaldar (si no realizar) evaluaciones de riesgos operativos y de proveedores utilizando herramientas y métodos estandarizados.

• Auditoría y CumplimientoAl menos el 27% de las ofertas de empleo para principiantes exigen comprensión y conocimiento de marcos clave, como SOC 2 para organizaciones de servicios, ISO 27001 para la gestión de la seguridad de la información y NIST para la gestión de riesgos de ciberseguridad.

• Documentación e informesCasi el 19 % de los puestos de nivel inicial destacan la importancia de las habilidades de documentación e informes. Los empleados de nivel inicial suelen ser responsables de hacer un seguimiento de las políticas, mantener registros de las actividades de cumplimiento, dar seguimiento a los resultados de las auditorías y garantizar que la documentación sea completa y precisa para las partes interesadas internas y externas.

• Concientización y capacitación en seguridadAlrededor del 11 % menciona en las ofertas de empleo para principiantes que esperan que los profesionales colaboren en programas de capacitación y concienciación sobre seguridad. Esto incluye apoyar el desarrollo y la impartición de materiales de capacitación, como buenas prácticas de seguridad, campañas de concienciación sobre phishing y formación en cumplimiento normativo.

Sin embargo, existe una desconexión en las certificaciones deseadas para los puestos de nivel inicial.

Nuestro análisis de las descripciones de puestos de trabajo para roles GRC de nivel inicial muestra que entre el 10 % y el 20 % de los puestos requerían un progreso hacia certificaciones avanzadas como CISSP. En comparación, el 17 % de las descripciones de puestos exigían certificaciones de nivel básico como CompTIA Security+.

Certificación	Requisitos/Deseos	Comentarios
CISSP (Asociado de ISC2)	Deseado	Aunque la certificación CISSP es avanzada y requiere un mínimo de 5 años de experiencia, los candidatos pueden avanzar hacia ella presentándose al examen.
CISA	Deseado	La certificación CISA está dirigida a profesionales de nivel intermedio. Sin embargo, los candidatos pueden optar a una exención de tres años de experiencia y presentarse al examen antes.
CSAP	Obligatorio	La certificación CSAP (Certified Security Awareness Practitioner) no se exige con tanta frecuencia. Sin embargo, en puestos centrados en la concienciación sobre seguridad, puede considerarse una certificación fundamental que demuestra habilidades prácticas para implementar y mantener programas de concienciación sobre seguridad.
GSEC	Deseado	GSEC (GIAC Security Essentials) es muy relevante para los profesionales principiantes porque abarca los fundamentos de la seguridad de la información, incluidas habilidades prácticas que son valiosas en los roles de GRC (Gobierno, Riesgo y Cumplimiento).
CompTIA Security +	Obligatorio	La certificación CompTIA Security+ es una de las certificaciones de ciberseguridad más comunes y fundamentales, muy relevante para puestos de GRC (Gobierno, Riesgo y Cumplimiento) relacionados con la ciberseguridad, el cumplimiento normativo y la gestión de riesgos. Abarca conocimientos esenciales para la seguridad de sistemas y es ampliamente aceptada para puestos de nivel inicial.

Esta discrepancia también se hace eco de los hallazgos de un estudio realizado por (ISC)2, donde descubrieron que los gerentes de contratación citaban certificaciones que requerían varios años de experiencia para puestos de nivel inicial. 

¿Qué marcos de trabajo debería conocer un candidato sin experiencia?

El análisis también sugirió que NIST, ISO 27001 y SOC 2 son los marcos de referencia que se mencionan con mayor frecuencia, apareciendo en más del 20% de las descripciones de puestos de trabajo de nivel inicial. 

¿Qué buscan los responsables de contratación en los puestos de nivel intermedio?

Tras analizar más de 100 ofertas de empleo en LinkedIn, extrajimos información clave que revela las habilidades y certificaciones que se exigen a los profesionales que buscan un puesto de nivel intermedio en ciberseguridad GRC. También analizamos cómo varían estas expectativas en cuanto a responsabilidades a medida que nos alejamos de los puestos de nivel junior. 

Y esto es lo que encontramos: 

En los puestos de GRC de nivel intermedio, los profesionales deben ser expertos multifacéticos que combinen la competencia técnica con una sólida capacidad de ejecución y habilidades interpersonales. 

Son los principales responsables de liderar y garantizar el éxito de iniciativas específicas de GRC, como el cumplimiento de una determinada norma, la implementación de ciertos controles o la coordinación de auditorías.  

Este rol también exige evaluar y mitigar riesgos mediante métodos cuantitativos y cualitativos, incluyendo los de proveedores externos, e informar de los resultados a sus superiores, como el Director de Cumplimiento, el Vicepresidente de Seguridad de la Información o el CISO. Estos puestos requieren dominio en el desarrollo e implementación de políticas integrales alineadas con normativas como NIST, ISO 27001, GDPR y otras, a la vez que se utilizan eficazmente las herramientas GRC para automatizar los procesos de cumplimiento.

Los profesionales de nivel intermedio también deben coordinar las auditorías internas y externas para mantener el cumplimiento normativo. 

Esto es lo que reveló el análisis de más de 100 descripciones de puestos de trabajo publicadas en LinkedIn por empresas de todos los tamaños: 

Las certificaciones CISSP y CISM son las más demandadas en este nivel, lo que sugiere que las empresas priorizan las sólidas habilidades de gestión de riesgos en los profesionales de nivel intermedio. 

El análisis también revela que incluso los empleadores de nivel medio esperan cierto progreso hacia certificaciones avanzadas como CRISC, mientras que más del 35% de las empresas exigen certificaciones como CISA. 

Después de la gestión de riesgos, las certificaciones que evalúan las habilidades de un auditor, como la CISA, son las más buscadas por los empleadores que contratan a profesionales de GRC para liderar iniciativas de auditoría específicas. 

En cuanto a las habilidades, la mayoría (más del 70%) de las descripciones de puestos de trabajo hacen hincapié en la capacidad para realizar evaluaciones de riesgos, impulsar el éxito en el cumplimiento normativo y coordinar auditorías.

Sin embargo, entre el 40 y el 60 % de los puestos de trabajo también exigían habilidades específicas y con matices, como el desarrollo de políticas, la gestión de riesgos de proveedores y el dominio técnico de herramientas GRC como Sprinto, OneTrust y LogicGate.

En lo que respecta a los marcos de cumplimiento normativo, el NIST aparece en el 50% de las descripciones de puestos de trabajo, lo que lo convierte en el marco más común para los puestos de nivel intermedio.

• Las normas ISO 27001, SOC 2 y PCI-DSS aparecen en aproximadamente el 45% de las descripciones de puestos de trabajo, lo que demuestra su gran importancia.

• RGPD e HIPAA Aparecen con menos frecuencia, pero siguen siendo importantes, presentándose cada una en alrededor del 27% de los puestos.

Cómo cambian las expectativas desde el nivel inicial hasta el nivel intermedio.

A medida que los profesionales avanzan de puestos de nivel inicial a intermedio en GRC, el cambio va más allá de un simple aumento de responsabilidades; implica una transición de un enfoque táctico a uno estratégico. Los puestos de nivel inicial se centran en apoyar los procesos existentes y garantizar el cumplimiento de los marcos establecidos bajo la supervisión de profesionales sénior. En cambio, los puestos de nivel intermedio exigen que los profesionales asuman la responsabilidad de objetivos organizacionales más amplios, haciendo especial hincapié en la resiliencia estratégica ante riesgos y en frenar las desviaciones del cumplimiento normativo . Esta transición implica una mayor participación en la toma de decisiones, el liderazgo y el impulso de iniciativas innovadoras.

“Se trata de un cambio de la ejecución táctica a la propiedad estratégica, donde los profesionales de nivel intermedio asumen roles con mayores responsabilidades de gobernanza y supervisión, involucrándose profundamente en la gestión de riesgos y la toma de decisiones para impulsar un cambio significativo y con visión de futuro.” – Rachna Dutta, Consultora de Seguridad de la Información

Categoría	Enfoque de nivel de entrada	Enfoque de nivel medio
Gestión de riesgos	Asistencia en las evaluaciones	Liderar las evaluaciones de riesgos, la gestión de riesgos de proveedores
Cumplimiento y auditoría	Recopilación de documentación y apoyo a las auditorías	Liderar auditorías, desarrollar marcos de cumplimiento.
Seguridad técnica	Herramientas prácticas de monitorización y ejecución de escaneos.	Supervisión más amplia, seguridad en la nube, automatización
Herramientas GRC	Utilizando herramientas, generando informes	Implementación y optimización de herramientas GRC
Gestión de proyectos	Actividades de apoyo a proyectos centradas en tareas específicas	Liderar proyectos, impulsar mejoras en los procesos.
Comunicación y liderazgo	Comunicaciones internas, siguiendo las instrucciones.	Participación de las partes interesadas, programas de formación líderes

Diferencias Notables:

• Liderazgo y propiedadSe espera que los profesionales de nivel medio liderar los esfuerzos de riesgo y cumplimientoAsumen la responsabilidad de proyectos y auditorías clave. Gestionan la implementación de herramientas GRC y garantizan que los procesos sigan siendo eficientes y cumplan con la normativa, al tiempo que contribuyen a las decisiones estratégicas en materia de seguridad y gestión de riesgos.
• Autonomía y Toma de DecisionesA diferencia de los puestos de nivel inicial que implican seguir procedimientos establecidos, los profesionales de nivel medio operan con una mayor responsabilidad. autonomíaToman decisiones clave en materia de mitigación de riesgos, gestión de proveedores y cumplimiento normativo, impulsando mejoras en los procesos para minimizar los riesgos y evitar deficiencias en el cumplimiento.

¿Qué esperan los responsables de contratación de los puestos de alta responsabilidad?

Al pasar de puestos de nivel intermedio a puestos de nivel superior, las expectativas cambian significativamente. Los empleadores establecen requisitos de experiencia más estrictos, y más del 80 % de las ofertas de empleo especifican al menos 8 años de experiencia. Además, la demanda de certificaciones más avanzadas aumenta notablemente.

Aquí les presentamos un desglose de nuestro análisis que muestra las certificaciones más demandadas para puestos de alto nivel: 

• CISSP y CISM dominan como las certificaciones más comunes, lo que refleja la necesidad vital de que los líderes GRC de alto nivel demuestren una Amplio conocimiento de la gestión de seguridad y liderazgo estratégico.

• CISA y CRISC Las certificaciones son muy buscadas para roles que hacen mucho hincapié en... Gestión sistemática del riesgo, y auditoría de cumplimiento, áreas clave de enfoque en gobernanza, riesgo y cumplimiento.

• Certificaciones ISO 27001 y de seguridad en la nube están adquiriendo cada vez más importancia, especialmente en industrias altamente reguladas como las finanzas, la atención médica y la tecnología, donde estándares de seguridad global y infraestructura de nube son fundamentales.

Profundizando en el rol de liderazgo

Cuando analizamos las descripciones de puestos de alto nivel como vicepresidente, director de seguridad de la información o director de ingresos, se hacen evidentes algunas cosas: 

1. Las expectativas no terminan con solo elaborar estrategias, desarrollar y supervisar iniciativas de ciberseguridad, sino también con garantizar que proteger y habilitar Objetivos empresariales. (Más del 70% de las descripciones de puestos mencionan la resiliencia estratégica y la gestión de riesgos). 
2. Este puesto también exige traducir el lenguaje del riesgo en impacto empresarial para el consejo de administración, ayudándoles a mitigar los riesgos y a visualizar el coste real de las decisiones empresariales.
3. Los líderes de GRC son vistos como gestores de responsabilidad en todos los frentes, incluso en los financieros y legales, y se les exige que ofrezcan resiliencia con la máxima eficiencia.  

Y a medida que se pasa de un profesional de nivel medio a uno de nivel superior, así es como cambian las expectativas: 

1) De garantizar el éxito al liderazgo estratégico :

• Los puestos de alta dirección, como vicepresidente o director de seguridad de la información (CISO), requieren un alto nivel de supervisión estratégica y la capacidad de influir en la cultura de gestión de riesgos en toda la organización. Estos profesionales suelen estar en la intersección entre la alta dirección y los equipos técnicos, guiando la estrategia general de seguridad y cumplimiento normativo.

• Los puestos de nivel intermedio son más tácticos y se centran en la implementación de políticas y en garantizar el éxito de iniciativas específicas, mientras que los puestos de nivel superior hacen hincapié en el establecimiento de objetivos a largo plazo, la planificación estratégica y la alineación de los objetivos empresariales y de GRC (Gobierno, Riesgo y Cumplimiento). 

2) Mayor alcance de la responsabilidad :

• Los profesionales sénior de GRC son responsables de gestionar la responsabilidad en general, incluyendo una amplia gama de áreas de gestión de riesgos como el riesgo de terceros, todas las amenazas externas e internas y el cumplimiento de todos los mandatos federales y reglamentarios relevantes para el negocio. 
• Los puestos de nivel intermedio suelen centrarse en un ámbito más específico, como la gestión de las evaluaciones de riesgos diarias, la gestión de auditorías específicas o el mantenimiento del cumplimiento de una norma en particular (por ejemplo, SOC 2 o ISO 27001).

3) Orientar la cultura empresarial

• Capacidad para sensibilizar a la empresa sobre el papel y la importancia de la seguridad de la información; por ejemplo, los empleados deben cumplir con los estándares básicos de seguridad de la información, limitar las desviaciones de las políticas y tomar decisiones de riesgo informadas e independientes.
• Si bien los profesionales de nivel intermedio tienen la tarea de diseñar programas de capacitación y participar en actividades de gestión de riesgos humanos, no se espera que tomen decisiones a nivel de toda la empresa que puedan influir en la cultura desde la base. 

4) Desarrollo de políticas y marcos normativos :

• Los puestos de alto nivel implican una mayor participación en la creación y el perfeccionamiento continuo de políticas, marcos y estrategias de cumplimiento, en particular para garantizar que se ajusten a las regulaciones cambiantes y a los objetivos a largo plazo de la organización.
• Los puestos de nivel intermedio se centran más en garantizar el cumplimiento de las políticas establecidas en toda la empresa que en desarrollar o modificar marcos de trabajo de alto nivel.

5) Comunicación e influencia :

• Los altos directivos de GRC interactúan con los miembros del consejo de administración, los ejecutivos y las partes interesadas clave, utilizando datos e información para fundamentar las decisiones e influir en la cultura de riesgo. Se espera que proporcionen informes de alto nivel sobre la exposición al riesgo y las tendencias de cumplimiento.
• Los profesionales de nivel intermedio suelen reportar a la alta dirección y participan en comunicaciones más operativas, como la presentación de resultados a las partes interesadas o a los equipos inmediatos.

6) Toma de decisiones basada en datos :

• Los puestos de responsabilidad exigen la capacidad de evaluar los riesgos y los indicadores clave de riesgo (KRI, por sus siglas en inglés) para priorizar las acciones y lograr la máxima eficiencia, aumentando así el retorno de la inversión (ROI) y la resiliencia generales. 
• Los puestos de nivel intermedio se centran en recopilar, analizar y presentar datos, lo que permite a los líderes de GRC tomar decisiones estratégicas. 

El resultado final

Elegir una carrera en GRC (Gobierno, Riesgo y Cumplimiento) implica emprender un camino lleno de desafíos y oportunidades sin igual. Este camino puede no ser lineal ni estar claramente definido, pero eso es precisamente lo que lo hace apasionante y propicio para la innovación.

A largo plazo, el éxito de GRC radica en convertirse en un socio estratégico que permita a las empresas afrontar la incertidumbre con confianza. Si te apasiona la resiliencia y la seguridad, y tienes facilidad para comprender el funcionamiento interno, puedes trazar un camino que te lleve a un crecimiento profesional significativo, incluso al puesto de CISO. 

Así pues, adquiera conocimientos, manténgase adaptable y deje que su dedicación a la protección de las organizaciones le guíe. 

El panorama de GRC está completamente abierto para aquellos que estén listos para liderar: adéntrese en él con propósito y convicción.