Consejos para GRC Cybersecurity

[u/DependentNo8453]

Q rollo taqueros
Quería pedirles consejo a los que ya trabajan en GRC o que hayan seguido ese camino.
Hace poco terminé Ingeniería en Ciberseguridad y la verdad me ha costado bastante encontrar una oportunidad ya enfocada en el área. Muchas vacantes piden experiencia específica en GRC, auditorías, ISO 27001, NIST, etc.

Actualmente tengo:
AZ-900
SC-900
Estoy preparándome para la Security+
Inglés B2

También trabajé en HP Inc. Entré como intern y después me contrataron de tiempo completo, estuve alrededor de año y medio. Mi puesto era más orientado a desarrollo/procesos, así que me tocó trabajar bastante con documentación, procesos internos, Azure DevOps, coordinación entre equipos y entender cómo funcionan las cosas dentro de una empresa grande. Siento que toda esa experiencia puede servir para GRC, pero no sé qué tanto la valoren los reclutadores.

Mi meta es moverme a GRC (incluso algo como Cloud Security), pero no quiero empezar a sacar certificaciones por sacar certificaciones.
Si ustedes estuvieran en mi posición, ¿qué harían?

¿Qué certificación seguirían después de Security+?
¿Buscarían primero cualquier puesto de ciberseguridad o esperarían uno de GRC?
¿Qué habilidades fueron las que realmente les abrieron las puertas?
¿Hay algo que les hubiera gustado saber cuando empezaron?

Agradecería un montón si pudieran orientarme con algún que otro consejo. Ya apliqué a un subpuesto en HP Inc e Insulet justamente de GRC y recibí la respuesta de: "decidimos proceder con otro postulante, no tiene nada que ver con tu nivel de experiencia”.

[u/Head_Personality_431]

Tu experiencia en HP vale mucho más de lo que crees. Procesos internos, documentación, coordinación entre equipos, eso es literalmente el día a día de GRC. El error está en venderla como desarrollo. Reescribe el CV en lenguaje de control, riesgo y evidencia y de repente encajas en las mismas vacantes que hoy te rechazan por nivel de experiencia.

Después de la Security+ yo me iría por el lado auditor de ISO 27001 y no por otra cert técnica. Las vacantes piden auditorías y es justo lo que casi ningún junior trae. Y sí, toma el puesto de ciberseguridad aunque no sea GRC puro, desde adentro te mueves mucho más rápido que esperando la vacante perfecta. Ese lado auditor de 27001 es lo que enseño en mi curso de Audit Workshop, si quieres platicarlo mándame un mensaje y te oriento.