Certificaciones de ciberseguridad comparadas:

Security+, eJPT, OSCP y CEH

Guía de carrera  |  unfantasmaenelsistema.com

Cuando alguien decide dedicarse a la ciberseguridad, la primera pregunta casi nunca es «qué tengo que aprender», sino «qué certificación me saco». Es una pregunta razonable: en este sector las certes funcionan como filtro en los procesos de selección, sobre todo al principio, cuando todavía no hay experiencia laboral que enseñar. El problema es que hay decenas de siglas, cuestan entre 300 y 1.500 euros cada una, y no todas miden lo mismo ni sirven para lo mismo.

Este artículo compara las cuatro certificaciones que más aparecen en las ofertas de empleo y en los planes de estudio de quien empieza: CompTIA Security+, eJPT de INE/eLearnSecurity, OSCP de OffSec y CEH de EC-Council. Es el complemento en forma de tabla del roadmap general que ya publicamos: allí se ve el camino completo, aquí se comparan los cuatro peldaños concretos por los que casi todo el mundo pasa.

1. Teoría frente a práctica: dos familias distintas

Antes de comparar precios conviene entender que estas cuatro certificaciones no juegan en la misma liga. Hay dos familias. Las de conocimiento, tipo test, que verifican que entiendes conceptos, vocabulario y buenas prácticas: aquí entran Security+ y, en buena medida, CEH. Y las prácticas, en las que te dan acceso a una red de máquinas vulnerables y tienes que comprometerlas de verdad dentro de un tiempo límite: eJPT y OSCP.

Ninguna familia es «mejor». Un analista de un SOC, un técnico de cumplimiento o un consultor GRC necesitan sobre todo la primera. Un pentester o un miembro de un equipo de Red Team necesitan la segunda, pero también la base teórica. Por eso lo habitual es combinar una de cada tipo, no elegir bando.

2. Tabla comparativa

3. CompTIA Security+

Es la certificación de entrada por excelencia en el mundo anglosajón y cada vez más en España. No te convierte en hacker: cubre de forma amplia y poco profunda amenazas, criptografía, gestión de identidades, seguridad de redes, arquitectura, respuesta a incidentes, riesgo y cumplimiento. El examen mezcla preguntas tipo test con unas pocas «performance-based», pequeños ejercicios donde arrastras elementos o completas una configuración.

• A favor: reconocida en todas partes, cumple el requisito de formación en seguridad de muchos pliegos y del DoD estadounidense (directiva 8570/8140), no caduca a mitad de proceso de búsqueda de empleo, y su temario es un índice buenísimo de «lo que hay que sonar»
• En contra: es memorística, el vocabulario de CompTIA a veces choca con el del mundo real, y por sí sola no demuestra que sepas hacer nada con las manos
• Tiempo típico de preparación: 4 a 8 semanas a ritmo de tarde

4. eJPT (eLearnSecurity Junior Penetration Tester)

La eJPT es hoy el mejor primer contacto con el pentesting práctico. El examen te mete en una red de laboratorio con varias máquinas y tienes 48 horas para responder un cuestionario cuyas respuestas solo puedes conocer si de verdad has comprometido los sistemas: encontrar un panel, escalar privilegios, pivotar a otra subred, leer un fichero concreto. No hay que redactar informe.

• A favor: barrera de entrada baja, sin trampas, cubre metodología, reconocimiento, escaneo con Nmap, explotación básica con Metasploit, ataques web sencillos y pivoting elemental. Prepara la cabeza para OSCP sin la brutalidad de OSCP
• En contra: el mercado todavía la valora menos que OSCP; es un «junior» y las ofertas lo saben
• Tiempo típico de preparación: 1 a 3 meses con el material de INE

5. OSCP (Offensive Security Certified Professional)

OSCP es la certificación práctica de referencia en pentesting y la que más puertas abre en ofensiva. El examen dura 24 horas de ataque real contra un conjunto de máquinas, seguidas de otras 24 horas para entregar un informe profesional con cada vulnerabilidad, su prueba de concepto y la reproducción paso a paso. Se aprueba por puntos, y el informe cuenta: un compromiso sin documentar no suma.

• A favor: prestigio real, filosofía «try harder» que te cambia la forma de atacar un problema, cubre explotación manual, escalada de privilegios en Windows y Linux, Active Directory y pivoting. Es la que muchas consultoras ponen como requisito o como objetivo del primer año
• En contra: cara, exigente en tiempo (300-400 horas de estudio no es exagerado), y el formato de 24+24 horas es un test de resistencia además de conocimiento. Frustrante si te falta base de Linux, redes y un lenguaje de scripting
• Tiempo típico de preparación: 4 a 8 meses según punto de partida

6. CEH (Certified Ethical Hacker)

CEH es la certificación más conocida por el gran público y, a la vez, la más discutida dentro del sector. El examen estándar es tipo test: 125 preguntas sobre fases de un ataque, herramientas, vectores y contramedidas. Existe además el CEH Practical, un examen de laboratorio de 6 horas que sí exige demostrar habilidad, y que mejora bastante la percepción de la credencial.

• A favor: mucho reconocimiento de marca fuera del círculo técnico, aparece por nombre en pliegos de administración pública y en requisitos de grandes empresas, cumple también la 8570/8140. El temario es amplio
• En contra: cara, con cuota anual de membresía, requisito de elegibilidad si no haces la formación oficial, y la versión solo-test tiene fama de premiar la memorización de nombres de herramientas por encima de la habilidad
• Tiempo típico de preparación: 1 a 2 meses para la teórica

7. Recomendación por perfil

7.1 Recién llegado, sin experiencia en informática

Empieza por los fundamentos de redes y sistemas (algo tipo CCNA o Network+ aunque no te certifiques) y saca la Security+. Te da vocabulario, te hace elegible para prácticas y puestos de analista N1, y no caduca antes de que encuentres trabajo. Con el primer empleo dentro, decides si tiras a Blue Team (SOC, detección) o a ofensiva.

7.2 Sysadmin o técnico de sistemas que quiere pivotar

Ya tienes la base que a otros les falta. Puedes hacer la Security+ en un mes para tener el papel genérico y, casi en paralelo, la eJPT para orientar tu perfil hacia auditoría técnica. Si la empresa te lo paga o te lo puedes permitir, pon la OSCP como objetivo a 6-12 meses: con tu experiencia previa el salto es mucho más asumible.

7.3 Aspirante a pentester a tiempo completo

Tu diana es la OSCP, y todo lo demás es camino hacia ella. Ruta habitual: fundamentos → eJPT → práctica intensiva de máquinas y de redacción de informes → OSCP. La CEH solo si ves que las ofertas que te interesan la piden literalmente; en ese caso, prioriza la variante Practical.

8. Qué no te va a dar una certificación

• Experiencia: ninguna reemplaza haber trabajado incidentes reales, con sus prisas y su falta de información
• Criterio: sabrás ejecutar la técnica, pero decidir si merece la pena, qué riesgo introduce y cómo explicárselo a un cliente se aprende haciéndolo
• Actualización automática: el temario congela un momento; las amenazas no. Hay que seguir leyendo, montando laboratorios y practicando después de aprobar
• Un empleo garantizado: mejora tu CV y te pasa filtros, pero el mercado junior está competido y pesa también el portfolio, los CTF, un blog o contribuciones visibles

Conclusión

Las cuatro certificaciones cubren necesidades distintas. Security+ es el papel de entrada que casi cualquier itinerario agradece tener pronto. eJPT es la mejor primera toma de contacto con el pentesting práctico y la antesala natural de OSCP. OSCP es la que de verdad valida que sabes comprometer una red y contarlo, y la que más pesa en ofensiva. CEH vive sobre todo de su reconocimiento de marca y tiene sentido cuando una oferta concreta la exige por nombre.

El error caro es gastarse 1.600 euros en OSCP sin la base para aprovecharla, o coleccionar siglas sin tocar una terminal. Elige una de conocimiento y una práctica alineadas con el puesto que quieres, prepáralas en serio, y dedica al menos el mismo tiempo a montar laboratorios y resolver máquinas. Eso último es lo que se nota en la prueba técnica.

unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)