Cuando pensamos en el Centro Nacional de Inteligencia (CNI), seguramente la primera imagen que nos viene a la cabeza no es la de un analista examinando malware o la de un especialista intentando encontrar vulnerabilidades en una red. Pensamos antes en inteligencia, espionaje, contrainteligencia, terrorismo, secretos de Estado… y, reconozcámoslo, todo eso tiene bastante más aura de película.
Sin embargo, muchas de las amenazas actuales contra un país ya no necesitan cruzar físicamente una frontera ni colocar un extraño dispositivo en una embajada. A veces basta con encontrar una vulnerabilidad.
Un ciberataque puede comprometer información sensible, afectar a una Administración Pública, interrumpir servicios o permitir el acceso a sistemas que procesan información clasificada. Además, detrás de un ataque no siempre existe una motivación económica: también puede haber espionaje, sabotaje o intereses estratégicos.
Es precisamente en ese terreno donde ciberseguridad e inteligencia se encuentran. Porque sí, el CNI también desempeña un papel fundamental en la ciberseguridad de España y, para entender cómo funciona realmente esa parte de su actividad, hay que conocer primero unas siglas que probablemente resulten bastante menos familiares.
CCN: el lado ciber del CNI
Hablamos del Centro Criptológico Nacional (CCN), un organismo adscrito al CNI y responsable de garantizar la seguridad de las Tecnologías de la Información y la Comunicación (TIC) en las diferentes entidades del sector público, así como la seguridad de los sistemas que procesan, almacenan o transmiten información clasificada.
Aunque su origen se remonta a 2002, en 2004 se aprobó el Real Decreto 421/2004 que reguló formalmente su ámbito de actuación y sus funciones. El propio CCN señala ese momento como el que lo convirtió en el primer organismo español competente en materia de ciberseguridad.
Podríamos simplificarlo diciendo que el CCN es “el lado ciber del CNI”, aunque en realidad nos quedaríamos bastante cortos, porque su trabajo no consiste únicamente en reaccionar cuando alguien intenta comprometer un sistema.
Entre sus funciones se encuentran la elaboración de normas y recomendaciones de seguridad, la formación de especialistas del sector público, la protección de información clasificada, el desarrollo de tecnologías de seguridad, la evaluación y certificación de productos y sistemas y, por supuesto, la ciberseguridad. También mantiene relaciones con organismos equivalentes de otros países, algo bastante lógico teniendo en cuenta que las ciberamenazas no suelen preocuparse demasiado por las fronteras.
De aquí salen, por ejemplo, las conocidas Guías CCN-STIC, documentos técnicos con normas, instrucciones y recomendaciones destinadas a mejorar la seguridad de los sistemas. Además, el CCN tiene competencias de evaluación y certificación y desarrolla y promueve tecnologías para reforzar la seguridad de las Administraciones Públicas.
Pero si queremos entrar de lleno en la parte más relacionada con los ciberataques, todavía nos falta otra sigla.
Sí, otra más.
CCN-CERT: cuando el ciberataque deja de ser una hipótesis
Dentro de este ecosistema encontramos el CCN-CERT, la Capacidad de Respuesta a Incidentes de Seguridad de la Información del Centro Criptológico Nacional.
Se creó en 2006 como CERT Gubernamental Nacional español y su misión es contribuir a mejorar la ciberseguridad del país, funcionando como centro nacional de alerta y respuesta y ayudando a responder de forma rápida y eficiente frente a ciberataques y ciberamenazas.
Y aquí es donde empezamos a entender la dimensión real del asunto.
Entre sus competencias está la gestión de ciberincidentes que afecten a organismos o empresas públicas. Además, tiene responsabilidades sobre sistemas clasificados y sistemas de organizaciones de interés estratégico para España y, cuando se trata de operadores críticos del sector público, esa gestión se realiza en coordinación con el organismo competente en protección de infraestructuras críticas.
El CCN-CERT también ejerce la coordinación pública estatal de la respuesta técnica de los equipos de respuesta a incidentes y Centros de Operaciones de Ciberseguridad, una función reforzada por el Esquema Nacional de Seguridad.
Todo esto puede resumirse bastante bien con los tres conceptos que utiliza actualmente el propio CCN para explicar su actividad:
PREVENCIÓN. DETECCIÓN. RESPUESTA.
Es decir, primero hay que conseguir que los sistemas sean más difíciles de comprometer; después, detectar, investigar y alertar sobre las amenazas antes de que puedan materializarse y, cuando el incidente ya se ha producido, responder para minimizar su impacto y limitar su alcance.
Visto así, estamos bastante lejos de aquello de instalar un antivirus y olvidarse.
Malware, APT, vulnerabilidades… ahora sí nos ponemos un poco nerds
Una de las formas más interesantes de entender hasta dónde llega el trabajo del CCN es observar las propias soluciones de ciberseguridad que desarrolla, coordina o pone a disposición de las organizaciones.
Y la lista empieza a ponerse seria.
Hablamos de análisis avanzado de malware, defensa frente a ataques avanzados y APT (Advanced Persistent Threats), detección de amenazas complejas, análisis de la superficie de ataque, gestión de eventos e información de seguridad, análisis y gestión de riesgos o intercambio de información sobre ciberamenazas.
Además, el CCN-CERT dispone de capacidades relacionadas con análisis forense e ingeniería inversa, sistemas de alerta temprana, gestión de incidentes y boletines de vulnerabilidades. No estamos hablando, por tanto, únicamente de establecer políticas sobre cómo deben protegerse los sistemas; existe también una dimensión técnica y operativa bastante considerable.
Y aquí aparece una diferencia importante respecto a la imagen que solemos tener de la ciberseguridad. Un ataque contra una empresa puede convertirse en un problema empresarial muy serio, pero cuando el objetivo es una Administración Pública, información clasificada o determinados sistemas estratégicos, ese mismo conocimiento técnico adquiere otra dimensión y la ciberseguridad pasa también a formar parte de la protección del Estado.
Hasta aquí tenemos organismos, normativa, herramientas, vulnerabilidades y unas cuantas siglas.
Pero nada de esto funciona solo.
¿Quién trabaja detrás de todo esto?
Una forma curiosamente sencilla de descubrir qué tipo de profesionales puede necesitar un organismo de inteligencia es hacer algo mucho menos cinematográfico que investigar operaciones secretas: mirar las ofertas de empleo que ha publicado el propio CNI.
Y aquí encontramos información muy interesante.
En el repositorio oficial del organismo aparecen perfiles como Ingeniero/a TIC con conocimientos en Criptología, Ingeniero/a TIC para Incidentes de Seguridad en Centro de Operaciones de Ciberseguridad, Ingeniero/a TIC en Seguridad de la Información y las Comunicaciones, Ingeniero/a TIC I+D Forense, Técnico/a en Criptografía o Técnico/a de Seguridad COC, además de otros puestos tecnológicos.
Conviene hacer una precisión: buena parte de esa documentación corresponde a procesos publicados en 2021, por lo que no estamos afirmando que todas esas vacantes estén actualmente abiertas. Lo interesante aquí es utilizar esos documentos como una pequeña ventana para descubrir qué conocimientos, experiencia y certificaciones ha considerado relevantes el CNI al definir perfiles especializados en ciberseguridad.
Y cuando entramos en el detalle, la cosa se pone todavía más interesante.
Pentesting, hacking ético, malware, análisis forense…
En un perfil oficial de Técnico de Seguridad COC —Centro de Operaciones de Ciberseguridad—, el CNI incluyó conocimientos y experiencia relacionados con gestión de vulnerabilidades, monitorización y análisis de amenazas mediante SIEM, detección y prevención de intrusiones, respuesta ante incidentes, auditorías de seguridad, análisis forense, análisis de malware, pentesting, hacking ético y seguridad de redes, aplicaciones y dispositivos.
Además, para un Ingeniero/a TIC en Seguridad de la Información y las Comunicaciones encontramos de nuevo pentesting y hacking ético, pero también análisis forense y de malware, ingeniería inversa, programación a nivel de kernel, scripting, administración de sistemas y seguridad de aplicaciones, sistemas y comunicaciones.
El perfil de I+D Forense nos lleva por otro camino igualmente interesante: análisis forense informático, ingeniería inversa de software y firmware, análisis de malware, criptografía, seguridad de comunicaciones y dispositivos e incluso conocimientos de machine learning.
Y si nos vamos al perfil especializado en Criptología, encontramos seguridad de las comunicaciones, evaluaciones de seguridad TIC, análisis de comunicaciones IP, análisis de código fuente e ingeniería inversa de software y hardware.
Al final, “trabajar en ciberseguridad” es una expresión enorme. Dentro caben disciplinas muy diferentes y, cuando hablamos de un organismo como el CNI, algunas llegan a niveles de especialización técnica realmente altos.
Y sí, el CNI también quiere las certificaciones profesionales
Aquí aparece uno de los datos que más nos llamó la atención al revisar la documentación oficial, porque el CNI no solo ha detallado conocimientos y experiencia: en determinados perfiles también ha requerido certificaciones profesionales concretas.
Por ejemplo, en la documentación del perfil de Técnico de Seguridad COC aparece como certificación principal CEH Master (Certified Ethical Hacker) y, entre las certificaciones adicionales, OSCP+, junto con formación especializada de SANS Institute en materias como Network Penetration Testing and Ethical Hacking, análisis forense, seguridad Linux/Unix o monitorización continua y operaciones de seguridad.
Todavía resulta más llamativa la documentación correspondiente al perfil de Ingeniero/a TIC para Incidentes de Seguridad en un Centro de Operaciones de Ciberseguridad, porque el CNI llegó a enumerar entre las certificaciones profesionales valorables CISM, CEH Master, OSCP+, CISA e ISO 27001, entre otras. Además, el perfil incluía herramientas como Nessus, OpenVAS, Burp Suite o Metasploit y experiencia en pentesting, hacking ético, malware, análisis forense e ingeniería inversa.
Aquí hay que ser rigurosos: esto no significa que CEH, CISM u OSCP+ sean requisitos generales para trabajar en el CNI, y mucho menos que disponer de una de estas certificaciones garantice acceder al organismo.
Lo que sí podemos afirmar, porque está en su propia documentación, es que el CNI las ha pedido para determinados perfiles especializados de ciberseguridad.
Y eso dice bastante.
Para defender como un experto, primero hay que entender cómo ataca un experto
Pentesting, hacking ético, análisis de malware, ingeniería inversa, gestión de vulnerabilidades… todas estas disciplinas tienen algo en común: obligan a comprender cómo piensa y actúa un atacante.
No porque el objetivo sea atacar sistemas indiscriminadamente, obviamente, sino porque conocer las técnicas ofensivas permite descubrir vulnerabilidades, anticipar posibles vectores de entrada, comprobar hasta dónde podría llegar un adversario y, a partir de ahí, construir mejores defensas.
Además, a medida que aumenta la sofisticación de una amenaza también aumenta la profundidad técnica necesaria para comprenderla. Ya no hablamos únicamente de saber utilizar determinadas herramientas, sino de ser capaz de enfrentarse a un sistema desconocido, analizar qué está ocurriendo, probar hipótesis, equivocarse y volver a intentarlo cuando no existe un tutorial con los pasos 1, 2 y 3.
Ahí entramos en el terreno de la ciberseguridad ofensiva avanzada.
De CEH Master a OSCP+: cuando el hacking ético sube de nivel
Entre las certificaciones que aparecen en la documentación histórica del CNI encontramos CEH Master y OSCP+, dos nombres muy conocidos dentro de la ciberseguridad ofensiva.
OSCP+ pertenece a OffSec y se ha caracterizado por un enfoque eminentemente práctico del pentesting. Actualmente encontramos también OSCP+ (OffSec Certified Professional Plus); de hecho, OffSec mantiene en 2026 su documentación oficial específica para registrar, preparar, realizar y mantener esta certificación.
Y es aquí donde todo lo anterior conecta de forma bastante natural con el mundo de las certificaciones profesionales.
No porque OSCP+ sea “la certificación para trabajar en el CNI”. No lo es.
Pero sí resulta significativo comprobar que un organismo que trabaja con algunos de los escenarios más sensibles de la ciberseguridad ha valorado históricamente OSCP+, CEH, CISM y conocimientos de pentesting, hacking ético, análisis forense o malware para determinados perfiles técnicos.
¿Hasta dónde quieres llevar tu perfil técnico?
En CertiHub360 trabajamos precisamente esa evolución dentro del Programa ELITE OFFENSIVE, dirigido a profesionales que quieren avanzar hacia la ciberseguridad ofensiva de alto nivel y que combina CCSP de ISMS Forum, C|EH Master de EC-Council y OSCP+ de OffSec.
Pero este artículo no va realmente de certificaciones. Va de algo bastante más grande: de entender que detrás de siglas como CNI, CCN o CCN-CERT existen profesionales que protegen sistemas públicos, responden ante incidentes, analizan malware, estudian vulnerabilidades, protegen información clasificada y se enfrentan a amenazas que hace no tantos años habrían parecido propias de la ciencia ficción.
Hoy forman parte de la ciberseguridad nacional.
Y probablemente esa sea una de las caras menos conocidas del CNI: no todos sus secretos están guardados en un archivo. Algunos están protegidos por un firewall.
Preguntas frecuentes sobre el CNI y la ciberseguridad
La relación es directa. El Centro Criptológico Nacional (CCN) está adscrito al CNI y tiene atribuidas funciones específicas en materia de ciberseguridad, protección de sistemas TIC del sector público e información clasificada. Además, a través del CCN-CERT desarrolla capacidades de prevención, detección y respuesta frente a ciberamenazas.
El CNI es el organismo público de inteligencia español. El CCN (Centro Criptológico Nacional) está adscrito al CNI y desarrolla funciones especializadas relacionadas con seguridad TIC, criptología, certificación y ciberseguridad. Por su parte, el CCN-CERT es la Capacidad de Respuesta a Incidentes de Seguridad de la Información del CCN y actúa en la alerta y respuesta frente a ciberataques dentro de su ámbito de competencias.
Dicho en modo esquema:
CNI → CCN → CCN-CERT → prevención, detección y respuesta frente a ciberamenazas
En procesos publicados anteriormente, el CNI ha buscado profesionales relacionados con criptología, operaciones de ciberseguridad, análisis forense, pentesting, hacking ético, malware, vulnerabilidades e ingeniería inversa, entre otras especialidades. En determinados documentos de selección aparecen además certificaciones como CEH Master, OSCP+, CISM, CISA o ISO 27001. Son referencias correspondientes a perfiles y procesos concretos, no requisitos generales para trabajar en el CNI.
