¿Cómo obtuve la certificación CompTIA Security+ (701)?

En el marco de un proyecto que no es el objeto de este artículo, preparé y obtuve la certificación CompTIA Security+ 701.

Preparé el examen durante dos meses. El primer mes, solo tenía una hora al día como máximo para dedicar a la preparación. El segundo, no hacía casi otra cosa y le dedicaba unas tres horas diarias.

Como hay muy pocas experiencias compartidas en español, os propongo compartir la mía.

Mi experiencia previa

No partía de cero del todo, ya que tengo la ventaja de tener como formación inicial un DUT en Informática y tengo cerca de 15 años de experiencia en el ámbito web. No directamente en puestos técnicos, pero siempre me ha gustado mancharme las manos: desarrollar scripts, leer logs, instalar servidores web… lo cual fue muy útil. Es mucho más fácil entender qué es una inyección SQL si ya has tenido la oportunidad de hacer consultas en una base de datos.

Igualmente, ahorraréis mucho tiempo en toda la parte de criptografía si sabéis qué es una función hash, conocéis los conceptos de clave privada / clave pública o si os interesa la blockchain, por ejemplo.

En cuanto a desventajas: ninguna experiencia en ciberseguridad y un nivel de inglés medio. Obtuve una puntuación de 790 en el TOEIC hace dos años para aquellos que quieran comparar. Además, todo el material de aprendizaje está en inglés. Y el examen también está en inglés (también es posible hacerlo en japonés, pero eso no ayudará a la mayoría). Como es inglés técnico y no Shakespeare, no me pareció insuperable. Y es una oportunidad para ponerse a ello y mejorar.

Dos consejos importantes

Dos consejos que he «tomado prestados» de otros y que me parecen muy pertinentes:

• ¡Comprad el voucher para el examen y reservad vuestra fecha de examinación desde ahora! Esto os fija una fecha límite y reducirá vuestra propensión natural a procrastinar. En el peor de los casos, es posible posponer la fecha.
• Descargad los «Exam Objectives»: se trata de la lista de temas que pueden aparecer en el examen. Hay exactamente 662. El examen Security+ no ofrece ninguna sorpresa, todas las preguntas se refieren a estos Exam Objectives, ni más ni menos. Si sois capaces de explicar cada uno de ellos en pocas palabras (sin entrar en el detalle técnico)… estáis listos para el examen.

Mi método de aprendizaje

Empecé viendo vídeos del célebre «Professor Messer» en Youtube. Sus vídeos son muy apreciados por muchos candidatos, ya que son 100% gratuitos y cubren la totalidad de los «Exam Objectives». Algunos se conforman con ver todos sus vídeos antes de presentarse al examen, ¡y lo aprueban!

Aunque vi muchos de sus vídeos, no fue lo que más me gustó. Encontré algunos vídeos demasiado densos, otros no suficientemente detallados.

Así que decidí leer el libro «Security+ Study Guide» de Mike Chapple. Es un tocho, más de 1.000 páginas. ¡El primer libro en inglés que leo de principio a fin! Es un esfuerzo, pero a un capítulo por día, se lleva bien y vale la pena.

Después de terminar esa lectura, todavía estaba lejos de ser sólido en todos los capítulos, así que empecé a seguir el curso en vídeo de Udemy de Andrew Ramdayal, que recomiendo encarecidamente. Propone un plan para aprobar el examen después de 30 días de estudio, y creo sinceramente que es factible.

Luego leí un segundo libro: «Security+ Get Certified Get Ahead» de Darril Gibson. Pero esta vez, realmente en diagonal, deteniéndome solo en las partes en las que no me sentía lo suficientemente cómodo.

En paralelo a todo esto, cada vez que encontraba un nuevo concepto o un acrónimo que debía recordar, me preparaba pequeñas fichas para añadirlas a la aplicación de aprendizaje mediante «repetición espaciada» Anki. Había descubierto el principio de la repetición espaciada unos meses antes al ver por casualidad este vídeo de Youtube. Lo puse en práctica por primera vez para la certificación Security+, ¡y es absolutamente letal! Anki se convertirá realmente en una rutina cuando tenga nuevos conocimientos que memorizar.

Por último, hice muchísimos exámenes prácticos. Algunos en Udemy (los de Jason Dion) que tienen la ventaja de poner en situación de examen: hay un tiempo limitado, se responden todas las preguntas y al final se obtienen el resultado y las respuestas.

Y mediante el libro «CompTIA Security+ Practice Tests» de David Seidl, que ofrece 1.000 preguntas / respuestas (1.000 según los sindicatos, un poco menos según la policía). Anh había copiado y pegado todo y había preparado un Excel para generarme archivos PDF de 100 preguntas que cubrían todos los capítulos, permitiéndome calcular mi puntuación de aprobado. En cuanto obtengáis sistemáticamente una puntuación superior al 80% de respuestas correctas, en principio, ¡estáis listos!

El inconveniente de todo esto es que sigue siendo muy académico. Vais a adquirir conocimientos en ciberseguridad, pero en ningún caso habilidades. Si sois como yo, que necesitáis comprender con más detalle cómo funciona y para qué sirve, una buena solución puede ser hacer «labs». Unos meses antes de preparar el examen, había pasado muchas horas en TryHackMe y creo que fue muy útil.

El examen en remoto

El examen Security+ puede realizarse de forma presencial en un centro o en remoto.

Hay centros en casi todo el mundo. Yo estaba en Buenos Aires, Argentina, y había tres centros disponibles.

Sin embargo, preferí hacer el examen en remoto. Tenía una conexión a internet rápida y fiable y prefería ahorrarme el estrés adicional de un desplazamiento.

Ten en cuenta que si no te examinas en tu país de residencia, como fue mi caso, debes solicitar autorización a CompTIA antes de fijar la fecha del examen. En mi caso, obtuve la autorización rápidamente, en menos de 24 horas.

Para un examen en línea, te aconsejo preparar tu espacio de examen el día anterior. Debes instalar y probar el software en tu ordenador. Conecta tu ordenador a la corriente si es un portátil. Sobre la mesa deben estar solo tu ordenador, teclado y ratón, ¡y nada más! Si tienes una segunda pantalla, debes desconectarla.

El ‘check-in’ de tu examen puede comenzar 30 minutos antes de la hora del examen. Recibirás un enlace para abrir desde tu teléfono y tendrás que:

• Hacerte un selfie
• Tomar una foto de tu documento de identidad
• Tomar tres fotos de la habitación en la que estás

Una vez hecho esto, vuelves a tu ordenador, se realiza una prueba de sonido, micrófono y cámara web, y luego entras en la ‘sala de espera’.

A partir de ese momento, las cosas se ponen serias: si sales del campo de visión de tu cámara, te eliminan; si alguien más pasa por el campo de visión, te eliminan; si hablas, te eliminan…

Cuando entré en la sala de espera, indicaba que había cinco personas delante de mí. Creo que esta sala de espera simplemente sirve para que un supervisor verifique tus fotos y te autorice a iniciar el examen.

Pasé por todas las emociones. Ya estaba bastante estresado por la espera, y después de unos momentos, apareció un mensaje indicando que la operación estaba tardando más de lo habitual.

Luego, cuando quedaban 3 personas delante de mí, apareció un mensaje diciendo que mi examen no había podido iniciarse. Que debía hacer clic en un enlace para contactar con el soporte para corregir el problema o reprogramar el examen. Nunca encontré cómo contactar con el soporte… Finalmente, al volver a la ventana de la sala de espera, solo quedaba una persona delante de mí, ¡y el examen pudo comenzar!

Si el inglés no es el idioma oficial de tu nacionalidad, automáticamente tienes derecho a 30 minutos más, es decir, 120 minutos en total, para unas 80 preguntas (es variable, puedes tener algunas más o menos). En mi caso, fue más que suficiente, pude repasar todas las preguntas y aún me sobró tiempo.

Las primeras preguntas son las PQB (Performance-Based Questions) que requieren más tiempo que los test. Tuve tres en mi examen, pero puede variar. Te aconsejo saltarlas y volver a ellas más tarde (hay un icono con una bandera en el que puedes hacer clic para marcar las preguntas que quieras revisar).

En general, encontré las preguntas más fáciles que las que había hecho en mis numerosos tests. Hubo una pregunta que realmente me llamó la atención porque, en mi opinión, no había ninguna respuesta correcta. Pero CompTIA aclara que puede haber preguntas ‘de prueba’ que no cuentan, creo que esa era una de ellas.

Después de tomarme el tiempo de repasar todas las preguntas una segunda vez, es hora de finalizar el examen. En ese momento, el ritmo cardíaco está al máximo. CompTIA es sádico, ya que justo después de confirmar tus respuestas, te piden que respondas una encuesta de unas quince preguntas… Y tu puntuación solo llega después de completar esa encuesta… que envié lo más rápido posible.

El resultado aparece: ¡he aprobado!

Puntuación final: 782/900 (la puntuación mínima necesaria es 750), es decir, casi un 87% de respuestas correctas, cuando normalmente estaba entre el 80 y el 85% en mis pruebas. ¡Muy contento! ¡Un inmenso alivio! No es tan fácil volver a ponerse en modo examen a los 37 años, ¡ya no se está acostumbrado!

Último factor de estrés: no pude hacer capturas de pantalla del resultado y hay que esperar 24 horas para recibir el correo de confirmación. No hay forma de volver a ver el resultado y puedes volverte paranoico: ‘¿he leído bien el resultado?’

Eso es todo por mi experiencia, es mi primera certificación y seguro que no será la última.