Plantilla de Descripción del Puesto de Security Analyst - Guía 2026

Por Kevin Kim · Actualizado el 6 de septiembre de 2026

Publique un puesto de «Security Analyst» y recibirá tres tipos distintos de candidatos: alguien que lleva dos años haciendo triaje de alertas en turnos rotativos, alguien que lleva dos años persiguiendo evidencia para SOC 2 y cuestionarios de seguridad de proveedores, y alguien que escribe reglas de detección y apenas se considera un «analista». Los tres tienen razón al usar el título. La mayoría de las publicaciones no describe ninguno con la claridad suficiente para que el candidato sepa a qué puesto se postula.

Ese desajuste les cuesta a ambas partes. Un gerente de contratación entrevista a un buen candidato de compliance con una rúbrica pensada para el SOC y descarta al GRC indicado, o contrata a un analista T1 brillante para lo que en realidad era un puesto de detection engineering y concluye que el grupo de candidatos es débil cuando el problema era la descripción del puesto. Esta guía traza las tres líneas con claridad y luego aborda lo que hace difícil cubrir y retener este puesto: la fatiga de alertas y el trabajo por turnos que exige un SOC real.

Aspectos Clave

• Un título, tres puestos: «Security Analyst» abarca al SOC analyst, al analista orientado a GRC y al detection engineer, y cada uno necesita una descripción del puesto distinta
• El SOC funciona por niveles, no como un puesto único y plano: el triaje T1, la investigación T2 y el threat hunting T3 son puestos distintos con bandas salariales distintas, no tres nombres para el mismo asiento
• La fatiga de alertas es un problema de dotación, no solo de herramientas: una cola llena de alertas de poco valor desgasta a los analistas antes que cualquier incidente individual, y se refleja en la retención
• El trabajo por turnos es la contrapartida que la mayoría de las publicaciones oculta: un SOC 24/7 necesita cobertura las 24 horas, y eso debe figurar en la publicación, no descubrirse en la segunda semana
• Las certificaciones filtran la contratación de forma desigual: Security+ funciona como filtro de ingreso, CISSP indica seniority pero se exige en exceso para puestos junior, y las certificaciones GIAC tienen peso real para el trabajo práctico
• No toda empresa debería contratar a su primer analista: por debajo de cierto tamaño, un proveedor de MDR o MSSP cubre la detección con más fiabilidad que cualquier contratación interna individual

Por Qué Este Puesto Importa

Toda empresa conectada es un objetivo, y la brecha entre los ataques que llegan y las personas preparadas para detectarlos se ve en los datos. El 2025 Cybersecurity Workforce Study de ISC2 (publicado en diciembre de 2025) encontró que el 95 por ciento de los encuestados reportó al menos una necesidad de habilidades, y que el 88 por ciento vivió una consecuencia significativa de ciberseguridad vinculada a un déficit de habilidades en los últimos 12 meses. No es una escasez abstracta. Son equipos concretos que pierden detecciones concretas porque el asiento destinado a detectarlas estaba vacío o lo ocupaba alguien que hacía un trabajo distinto al que sugería el título.

El costo de equivocarse sigue subiendo. El IBM's 2026 Cost of a Data Breach Report (publicado el 29 de julio de 2026) situó el costo promedio global de una brecha en $4.99 million, y las brechas habilitadas por IA promediaron $6 million. La detección, la escalación y la interrupción posterior componen la mayor parte de ese total, justo el terreno que un security analyst es contratado para cubrir.

El punto de entrada también está cambiando. El Data Breach Investigations Report 2026 de Verizon encontró que la explotación de vulnerabilidades superó a las credenciales robadas como principal vector de acceso inicial, presente en el 31 por ciento de las brechas estudiadas (de noviembre de 2024 a octubre de 2025). Los ataques de credenciales no han desaparecido; los atacantes ahora combinan ambos en una sola cadena, de modo que el SOC analyst de hoy vigila un conjunto de puntos de entrada más amplio y de movimiento más rápido que el que cubría el puesto hace dos años.

Security Analyst: Tres Puestos, Un Solo Título

Esta separación no es una comodidad de contratación. El NICE Workforce Framework for Cybersecurity, mantenido por CISA, divide el trabajo en categorías que incluyen Protect and Defend (SOC y detección) y Oversee and Govern (compliance y riesgo) porque las habilidades no se transfieren sin fricción. Esta plantilla apunta al perfil SOC/detección, la vía de ingreso más común; ajuste los Requisitos hacia habilidades de auditoría para GRC, o hacia scripting y automatización para detection engineering.

El Modelo de Niveles del SOC: Cómo se Dota Realmente a los Analistas

Una publicación de SOC analyst sin un nivel indicado está incompleta: el nivel define el trabajo diario, la banda salarial y la autonomía.

La mayoría de las publicaciones que dicen «Security Analyst» sin indicar un nivel describen en realidad un T1 o una mezcla de T1/T2. Nombrar el nivel ahorra tiempo a ambas partes: los candidatos se autoseleccionan con precisión y la entrevista evalúa la profundidad correcta en lugar de adivinar.

Plantilla Principal de Descripción del Puesto

Vale la pena una lectura rápida antes: nuestra guía de mejores prácticas para descripciones de puesto. La plantilla siguiente toma por defecto a un SOC analyst T1/T2, el perfil que la mayoría de las empresas contrata primero; oriente los Requisitos hacia experiencia en auditoría para GRC, o hacia scripting e ingeniería de SIEM para detection engineering.

Sobre el Puesto

Buscamos un Security Analyst para unirse a nuestro Security Operations Center y detectar amenazas antes de que se conviertan en incidentes. Usted monitoreará la cola de alertas en nuestro SIEM y nuestras herramientas de endpoint, hará el triaje e investigará todo lo que sea real, y escalará los incidentes confirmados con una cronología clara. Es trabajo práctico, no de redacción de políticas: espere tomar decisiones bajo presión sobre qué es ruido y qué es genuino.

Trabajará en un turno definido dentro de nuestra rotación de cobertura y colaborará con detection engineering en las reglas que usa a diario. Cuando una investigación revele una brecha real de cobertura, repórtela en lugar de cerrar el ticket.

El candidato ideal ha estado frente a una cola de alertas y sabe distinguir entre una alerta que merece cinco minutos y una que merece cincuenta. Usted documenta su razonamiento para que el siguiente turno pueda retomar donde usted lo dejó, y la fatiga por falsos positivos no lo desgasta. Reportará a nuestro SOC Manager y trabajará a diario junto a detection engineers e incident responders.

Responsabilidades Clave

• Triaje e Investigación de Alertas: Monitorear alertas de SIEM, EDR y red, clasificar la severidad e investigar todo lo que vaya más allá de un falso positivo evidente
• Escalación de Incidentes: Documentar y escalar los incidentes confirmados con una cronología clara y una recomendación de contención
• Correlación de Logs y Señales: Seguir los hilos entre telemetría de autenticación, red y endpoint, el mismo instinto de buscar patrones que un data analyst aplica a datos más desordenados, para confirmar si alertas aisladas son un solo evento conectado
• Ciclo de Retroalimentación de Detección: Reportar a detection engineering las reglas ruidosas y las brechas de cobertura que una regla existente pasó por alto
• Documentación de Traspaso de Turno: Dejar un traspaso específico con las investigaciones abiertas y todo lo que valga la pena vigilar
• Uso de Herramientas y Playbooks: Ejecutar playbooks de SOAR para los tipos de incidente comunes y señalar las brechas para los nuevos
• Conciencia de Vulnerabilidades: Coordinar la prioridad de parcheo cuando una alerta se remonta a una vulnerabilidad conocida y explotada
• Soporte de Compliance: Aportar evidencia de logs a las solicitudes de auditoría, en colaboración con quien sea responsable del reporting de compliance

Requisitos

Cualificaciones Imprescindibles:

• Título técnico o licenciatura en ciberseguridad, TI o un campo afín, o experiencia equivalente
• 1-3 años en un SOC, en un help desk orientado a seguridad o con experiencia práctica equivalente
• CompTIA Security+ o certificación fundamental equivalente
• Conocimiento práctico de al menos una plataforma SIEM (Splunk, Microsoft Sentinel o similar)
• Soltura para leer logs en Windows, Linux y dispositivos de red comunes
• Comprensión del ciclo de vida de la respuesta a incidentes: identificación, contención, erradicación, recuperación
• Hábitos claros de documentación escrita, ya que su traspaso es el punto de partida del siguiente turno
• Capacidad para cumplir el horario de turnos que exige el puesto, incluida la cobertura rotativa o nocturna

Cualificaciones Deseables:

• Certificaciones GIAC relevantes para el trabajo de detección (GCIH, GCIA) o avance hacia una de ellas
• Capacidad de scripting en Python o PowerShell para tareas repetitivas de triaje
• Experiencia previa con una plataforma SOAR o lógica de playbooks
• Exposición al monitoreo de seguridad en la nube junto con cloud engineers
• Familiaridad con el framework MITRE ATT&CK

Lo Que Ofrecemos

• Compensación Competitiva: Salario base acorde con los datos de mercado para su nivel, detallado en la Guía de Compensación más abajo
• Diferencial por Turno: Pago adicional por turnos nocturnos o de fin de semana cuando la cobertura lo requiera
• Beneficios Integrales: Cobertura médica, dental y de visión, más 401(k) con aportación de la empresa
• Plan de Crecimiento Claro: Una ruta definida de T1 a T2 a T3 o hacia detection engineering
• Apoyo para Certificaciones: Presupuesto y tiempo de estudio para Security+, GIAC o CISSP a medida que avance

Variaciones por Contexto

Entorno Corporativo

Las organizaciones más grandes suelen operar un SOC formal con niveles definidos y rotaciones de turnos, no muy distinto de la guardia de un site reliability engineer. Espere más proceso: control de cambios antes de que una regla de detección entre en producción, y coordinación con un CISO en lugar de un director de TI generalista. El perfil GRC tiene más probabilidades de existir como una posición propia aquí, ya que el volumen de auditorías justifica un asiento dedicado a partir de cierto tamaño.

Entorno de Startup

En una empresa en etapa temprana, «Security Analyst» suele ser la primera contratación de seguridad, y reporta a un CTO o a un VP of Engineering antes de que exista un liderazgo de seguridad dedicado. Espere una mezcla de trabajo de SOC, recopilación de evidencia para SOC 2 y ajuste de detecciones. Sea honesto primero con las cuentas: un solo analista no puede brindar cobertura 24/7 por sí solo.

Entorno Remoto o Híbrido

Los SOC analysts remotos necesitan el mismo acceso a herramientas y la misma autoridad de escalación que cualquiera en la oficina: single sign-on, acceso al SIEM bajo zero-trust y una vía probada hacia el siguiente nivel fuera del horario laboral. Un analista T1 en un turno nocturno en solitario desde casa necesita una forma real de contactar a una persona cuando un incidente escala más allá de lo que puede manejar solo. El staffing «follow the sun» entre regiones es mejor que pedirle a una sola región que cubra indefinidamente todos los turnos nocturnos.

Consideraciones por Industria

Las habilidades centrales de triaje se transfieren entre industrias, pero qué perfil se contrata primero, y cuánto peso regulatorio se añade encima, cambia según el sector.

Guía de Compensación

Cómo se Relacionan los Datos Federales con Este Título

La Oficina de Estadísticas Laborales de EE. UU. registra este trabajo bajo Information Security Analysts: salario anual mediano de $129,180 (mayo de 2025) sobre 192,900 empleos, con un crecimiento proyectado del 21 por ciento de 2025 a 2035 y unas 14,100 vacantes al año, según el BLS Occupational Outlook Handbook, Information Security Analysts (datos salariales de mayo de 2025). Ese 21 por ciento es una de las tasas de crecimiento más rápidas que publica el BLS para cualquier ocupación de esta colección.

Lea esa mediana con cuidado. El BLS agrupa los tres perfiles, y todos los niveles del SOC, bajo un solo código de ocupación. Un analista T1 gana bastante menos, y un detection engineer senior o un threat hunter T3 suele ganar más. Trate la cifra como el centro de un rango amplio, no como una cotización para un solo puesto.

Las certificaciones filtran la contratación de forma desigual, y exigir la equivocada para el nivel equivocado descarta a buenos candidatos sin motivo. ISC2 exige un mínimo de cinco años de experiencia acumulada a tiempo completo en dos o más de los ocho dominios de CISSP para obtener la certificación completa, razón por la cual CISSP corresponde a una publicación senior, no a una T1 o T2.

Compensación de Mercado por Nivel de Experiencia

Los rangos siguientes son estimaciones de mercado definidas por el empleador, construidas a partir de la base verificada del BLS y de la progresión habitual de niveles del SOC, no una cotización de una base de datos salarial.

Guía de Ajuste por Metrópoli

Qué mueve una oferta específica: qué perfil es el puesto, el nivel del SOC, el diferencial por turno y qué parte del total es salario base frente a primas por turno.

Matriz de Requisitos por Nivel de Experiencia

Preguntas de Entrevista

Preguntas Técnicas/Funcionales

1. Triaje de Alertas: «Haga el triaje de una alerta que señala un inicio de sesión desde un país nuevo de un usuario que está de viaje». Qué buscar: un proceso estructurado (registros de viaje, revisión del dispositivo), no un único paso por intuición.
2. Criterio ante Falsos Positivos: «¿Cómo decide que una alerta de apariencia rutinaria merece una segunda mirada?». Qué buscar: criterios específicos y conciencia de que la fatiga vuelve más difícil esta decisión con el tiempo.
3. Correlación de Logs: «Tres alertas de baja severidad golpean sistemas distintos en diez minutos. ¿Están conectadas o no?». Qué buscar: armar una cronología en busca de un indicador compartido, no tratar cada alerta como un evento aislado.
4. Delimitación de un Incidente: «¿Cómo delimita el alcance de un incidente y cómo sabe cuándo terminó de delimitarlo?». Qué buscar: un método real para fijar los límites, no «seguir buscando hasta que no aparezca nada nuevo».
5. Fluidez en SIEM: «Escriba una consulta para inicios de sesión fallidos seguidos de uno exitoso, en la misma cuenta, dentro de cinco minutos». Qué buscar: fluidez real con la sintaxis y la lógica, no una descripción vaga.
6. Brecha de Detección: «Ocurrió un incidente y ninguna alerta lo detectó. ¿A quién involucra?». Qué buscar: cerrar el ciclo con detection engineering, no solo documentar.
7. Priorización de Vulnerabilidades: «Un escaneo arroja cincuenta vulnerabilidades. ¿Cuál se parchea primero?». Qué buscar: ponderar la explotabilidad y la exposición, no solo la puntuación CVSS.
8. Aplicación de Threat Intelligence: «¿Cómo cambia realmente el threat intel su triaje diario?». Qué buscar: un ejemplo concreto, no una afirmación general de mantenerse informado.

Preguntas Conductuales

1. «Cuénteme de una ocasión en que detectó algo que todos los demás descartaron como ruido». Qué buscar: razonamiento específico para mirar dos veces, no una corazonada con suerte.
2. «Describa un turno en que el volumen de alertas fue abrumador. ¿Cómo priorizó?». Qué buscar: un marco real de triaje bajo presión y honestidad sobre las concesiones.
3. «Cuénteme de una ocasión en que escaló algo que resultó no ser nada». Qué buscar: tranquilidad al equivocarse de vez en cuando; quien nunca sobreescala suele estar subescalando.
4. «Guíeme por el peor incidente que ha atendido, de principio a fin». Qué buscar: una narrativa clara que nombre su papel, no «el equipo» manejándolo todo.
5. «Describa cómo traspasó una investigación en curso al final de un turno». Qué buscar: especificidad, ya que un mal traspaso es donde las investigaciones mueren en silencio.
6. «Cuénteme de un desacuerdo con un detection engineer sobre un incidente». Qué buscar: defender su lectura sin limitarse a ceder ni a aferrarse de forma irrazonable.

Preguntas de Encaje Cultural

1. «¿Cómo se mantiene alerta durante un turno tranquilo sin incidentes reales?». Qué buscar: hábitos proactivos como el threat hunting, no solo mirar la cola.
2. «¿Cómo se ve una relación sana entre el SOC y detection engineering?». Qué buscar: un ciclo de retroalimentación en ambos sentidos, no un SOC que solo consume lo que se publica.
3. «¿Cómo maneja la fatiga de alertas sin que decaiga la calidad del triaje?». Qué buscar: estrategias reales de afrontamiento; esto saca a la luz el riesgo de agotamiento antes de que se convierta en rotación.
4. «¿Qué subestima la gente del trabajo por turnos en un SOC antes de empezar?». Qué buscar: una respuesta honesta y específica, no una frase ensayada sobre flexibilidad.

Consejos de Evaluación: Los candidatos sólidos describen una alerta concreta, no «sólidas habilidades analíticas». Desconfíe de quien no pueda explicar el triaje sin nombrar una herramienta, ya que las herramientas cambian y el criterio no. Para candidatos de GRC, sustituya las preguntas de SIEM por evidencia de auditoría y riesgo de proveedores.

Consejos de Contratación

Guía Rápida de Sourcing

• LinkedIn: Busque «SOC Analyst» o el nivel específico para filtrar a los candidatos generalistas de TI que nunca han trabajado una cola de alertas
• Comunidades de GIAC y SANS: Los directorios de certificaciones y las redes de egresados revelan candidatos con experiencia práctica real
• Señales de CTF y Home Lab: Un historial de capture-the-flag o un home lab documentado suele predecir la habilidad mejor que una línea del currículum
• Promoción Interna desde el Help Desk: El personal que ha reportado phishing y hecho buenas preguntas de seguridad forma sólidos candidatos T1 que ya conocen su entorno
• Sourcing Específico para GRC: Para el perfil de compliance, mire hacia las comunidades de auditoría y riesgo, no solo hacia currículums con títulos de seguridad

Señales de Alerta a Evitar

• Fluidez solo en herramientas: Sabe navegar la interfaz de un SIEM pero no puede explicar la lógica detrás de lo que busca
• Sin marco de triaje: Investiga todas las alertas de la misma forma sin importar la severidad, señal de inexperiencia
• CISSP exigido para un puesto T1: Pide cinco años de experiencia con un salario que no lo refleja, y descarta a candidatos que crecerían en el puesto
• No puede describir un traspaso real: No tiene idea de qué corresponde en la documentación de turno, lo que predice investigaciones abandonadas
• Poco realista sobre el trabajo por turnos: Afirma flexibilidad total sin dudar, lo que es deshonesto o señal de que no lo ha pensado bien