- Qué es: la ISTQB Certified Tester Security Tester (CT-SEC), antes llamada Advanced Level Security Tester, certifica que sabes planear, diseñar, ejecutar y evaluar pruebas de seguridad alineadas con los riesgos y políticas de la organización.
- Versión: syllabus 2016 (en español existe la traducción v1.25 del programa de estudio).
- Requisitos: certificación Foundation Level (CTFL) y, según ISTQB, al menos 3 años de experiencia académica, práctica o de consultoría relevante.
- Examen: 45 preguntas, 80 puntos, aprobación con 52 puntos (65 %), 120 minutos (150 si no es tu lengua materna).
- Relación con CT-STE: ISTQB dividió el contenido de la CT-SEC en dos certificaciones nuevas: Security Test Engineer (CT-STE), lanzada en 2025, y Security Test Analyst (CT-STA), anunciada para 2026. No hay equivalencia automática.
- ¿Cuál elegir? Si empiezas hoy y tu rol es ejecutar pruebas, la CT-STE es la opción más actual. La CT-SEC sigue en el portafolio y, a diferencia de la CT-STE, iSQI la ofrece también en español.
Si buscas certificarte en pruebas de seguridad con ISTQB, hoy te vas a encontrar con dos nombres parecidos: Security Tester (CT-SEC) y Security Test Engineer (CT-STE). No son lo mismo y no se reemplazan de forma automática. En esta guía te explico a fondo la CT-SEC (qué cubre su syllabus, cómo es el examen, para quién tiene sentido) y cómo se relaciona con las nuevas certificaciones de seguridad, según lo publicado por ISTQB.
Qué es la CT-SEC y dónde está en el portafolio ISTQB
La CT-SEC nació en 2016 como módulo especialista del nivel avanzado de ISTQB, con el nombre Advanced Level Security Tester. Hoy aparece en el portafolio de ISTQB como Certified Tester Security Tester (CT-SEC), dentro del flujo Specialist, y su syllabus vigente sigue siendo la versión 2016. En español, el programa de estudio está disponible en su traducción v1.25.
Su enfoque es más amplio que el de la CT-STE: combina el análisis de riesgos y políticas, la estrategia de pruebas, el proceso completo, la evaluación de mecanismos de protección, los factores humanos y la comunicación de resultados. Precisamente por esa amplitud, ISTQB decidió separarlo en dos perfiles.
La relación entre CT-SEC, CT-STE y CT-STA según ISTQB
Esto es lo que ISTQB ha publicado en su sitio oficial (istqb.org):
- El syllabus de la CT-SEC de 2016 combinaba varios roles y actividades en una sola certificación.
- ISTQB lo dividió en dos certificaciones para distinguir con más claridad las responsabilidades clave de las pruebas de seguridad:
- CT-STE, Security Test Engineer: centrada en la ejecución práctica de las actividades de pruebas de seguridad. Se lanzó en enero de 2025 (syllabus v1.0.1).
- CT-STA, Security Test Analyst: centrada en analizar los riesgos de seguridad del negocio y definir estrategias de pruebas de seguridad. ISTQB la anunció para 2026; revisa istqb.org para confirmar si ya está disponible.
- No hay transferencia automática ni grandfathering: si tienes la CT-SEC y quieres la CT-STE o la CT-STA, debes aprobar el examen correspondiente.
Algo importante: ISTQB no ha publicado una fecha de retiro de la CT-SEC. A octubre de 2026, la certificación sigue listada en su sitio, su estructura de examen sigue en las tablas oficiales de exámenes de ISTQB (versión de mayo de 2026) e iSQI la sigue ofreciendo. Tu certificado CT-SEC sigue siendo válido; lo que cambia es que ya existen certificaciones más recientes y especializadas.
| Aspecto | CT-SEC (Security Tester) | CT-STE (Security Test Engineer) |
|---|---|---|
| Syllabus | 2016 | v1.0.1 (2025) |
| Enfoque | Amplio: riesgo, estrategia, proceso, mecanismos, factores humanos, reporte | Ejecución: técnicas, entorno, estándares (OWASP, CWE, CVSS), herramientas, reporte |
| Requisitos | CTFL + al menos 3 años de experiencia relevante | CTFL |
| Examen | 45 preguntas, 80 puntos, 120 min | 40 preguntas, 43 puntos, 75 min |
| Niveles K en examen | 20 K2, 15 K3, 10 K4 | 24 K2, 13 K3, 3 K4 |
| Idiomas en iSQI (al momento de escribir) | Inglés, español, alemán y portugués de Brasil | Inglés |
| Temas actuales | No cubre Zero Trust, DevOps ni SAST/DAST/IAST como categorías modernas | Incluye Zero Trust, DevOps, ISMS, SCA, IAST |
Para quién es y requisitos previos
Según el syllabus, la CT-SEC está dirigida a personas que ya alcanzaron un punto avanzado en su carrera de pruebas y quieren desarrollar su experiencia en seguridad. Encaja bien con:
- Testers y analistas de pruebas con varios años de experiencia que asumen responsabilidades de seguridad.
- Líderes y gerentes de pruebas que necesitan planear y defender una estrategia de pruebas de seguridad.
- Consultores de calidad o de seguridad que auditan políticas, procedimientos y controles.
- Profesionales de seguridad de la información que quieren un marco formal de pruebas.
Requisitos oficiales
- Certificación Foundation Level (CTFL) vigente.
- Experiencia: el syllabus pide demostrar a la entidad examinadora experiencia práctica suficiente, que no debería ser menor a 3 años de experiencia académica, práctica o de consultoría relevante. Cada board o proveedor de exámenes define cómo la verifica, así que confírmalo antes de comprar.
- El curso acreditado es opcional: puedes presentar el examen de forma independiente.
Qué serás capaz de hacer
El syllabus de 2016 no trae la tabla de business outcomes que tienen los syllabus más recientes, pero sus objetivos de aprendizaje dejan claro el perfil. Un Security Tester certificado puede:
- Usar el análisis de riesgos para planear y diseñar pruebas de seguridad alineadas con el negocio, identificando activos, su valor y el nivel de protección que necesitan.
- Analizar políticas y procedimientos de seguridad junto con resultados de pruebas para determinar si son efectivos.
- Definir objetivos, alcance y enfoque de las pruebas de seguridad, e identificar por qué un enfoque falló.
- Definir un proceso de pruebas de seguridad y analizar un plan de pruebas de seguridad, detectando fortalezas y debilidades.
- Analizar requisitos y documentos de diseño desde la perspectiva de seguridad para encontrar deficiencias.
- Probar la efectividad de mecanismos como hardening, autenticación y autorización, cifrado, firewalls, detección de intrusos, escaneo de malware, ofuscación de datos y capacitación en seguridad.
- Analizar escenarios de ataque, ingeniería social y niveles de conciencia de seguridad en la organización.
- Analizar reportes de avance y KPIs para mejorar las prácticas de pruebas de seguridad, y documentar necesidades de herramientas.
Contenido del syllabus CT-SEC capítulo por capítulo
El syllabus tiene nueve capítulos con contenido examinable (el décimo son referencias). En total suman 1,110 minutos, unas 18.5 horas de formación mínima.
| Capítulo | Tiempo | Nivel K máx. | Temas clave |
|---|---|---|---|
| 1. Bases de las pruebas de seguridad | 105 min | K4 | Riesgos, identificación de activos, técnicas de evaluación de riesgos, políticas y procedimientos, auditoría |
| 2. Propósitos, objetivos y estrategias | 130 min | K4 | Por qué probar seguridad, contexto organizacional, objetivos, alcance, enfoques, partes interesadas, KPIs |
| 3. Procesos de pruebas de seguridad | 140 min | K4 | Definición del proceso, plan de pruebas, diseño, entorno y aprobaciones, evaluación, mantenimiento |
| 4. Pruebas de seguridad en el ciclo de vida | 225 min | K4 | Requisitos, diseño, componentes, integración, sistema, aceptación, mantenimiento |
| 5. Probar mecanismos de seguridad | 240 min | K3 | Hardening, autenticación y autorización, cifrado, firewalls y zonas de red, IDS, malware, ofuscación, capacitación |
| 6. Factores humanos | 105 min | K4 | Atacantes y motivaciones, reconocimiento, ingeniería social, conciencia de seguridad |
| 7. Evaluación y reporte | 70 min | K4 | Criterios de aceptación cambiantes, confidencialidad de resultados, tableros, reportes de avance |
| 8. Herramientas | 55 min | K4 | Análisis estático y dinámico, necesidades de herramientas, open source, evaluación de proveedores |
| 9. Estándares y tendencias | 40 min | K2 | Estándares regulatorios vs. contractuales, cláusulas normativas e informativas, tendencias |
Capítulo 1. Las bases de las pruebas de seguridad
Todo empieza con el riesgo. El capítulo explica cómo la evaluación de riesgos alimenta la planeación y el diseño de las pruebas, y te pide, a nivel K4, identificar los activos importantes, su valor y los datos necesarios para decidir cuánta protección requiere cada uno. Ejemplo: en una aseguradora, las pólizas, los expedientes médicos y las credenciales de los agentes tienen valores y riesgos distintos, y eso cambia la profundidad de las pruebas.
También cubre políticas y procedimientos de seguridad: cómo se aplican y cómo analizar, junto con resultados de pruebas, si realmente funcionan. Y cierra con la auditoría de seguridad: su propósito, la identificación y mitigación de riesgos, y la mirada de personas, procesos y tecnología.
Capítulo 2. Propósitos, objetivos y estrategias
Aquí se responde ¿para qué probamos la seguridad? La respuesta es reducir riesgos y dar confianza a la organización. El capítulo muestra cómo las restricciones del proyecto, del negocio y del ciclo de vida afectan la misión del equipo de pruebas de seguridad, y por qué los objetivos deben alinearse con la política de seguridad.
Los objetivos K3 y K4 son muy prácticos: identificar objetivos de pruebas de seguridad a partir de la funcionalidad, la tecnología y las vulnerabilidades conocidas; analizar qué enfoque tiene más probabilidad de éxito; analizar por qué falló un enfoque; identificar a las partes interesadas y el beneficio para cada una; y analizar KPIs para saber qué prácticas mejorar. También distingue aseguramiento de la información de pruebas de seguridad: el primero es más amplio, así como el aseguramiento de calidad es más amplio que las pruebas.
Capítulo 3. Procesos de pruebas de seguridad
Adapta el proceso de pruebas de ISTQB a la seguridad y lo alinea con distintos modelos de ciclo de vida. Te prepara para analizar un plan de pruebas de seguridad y dar retroalimentación sobre sus fortalezas y debilidades, implementar pruebas abstractas basadas en riesgos funcionales y estructurales, y diseñar casos que validen políticas y procedimientos.
Un punto que en la práctica evita muchos problemas: la planeación y las aprobaciones antes de cualquier prueba de seguridad. Una prueba de penetración sin autorización por escrito puede tumbar un servicio o tener consecuencias legales. El capítulo cierra con la evaluación de resultados (naturaleza, alcance e impacto de la vulnerabilidad, remediación sugerida y forma de reportarla) y el mantenimiento del proceso ante amenazas que cambian.
Capítulo 4. Pruebas de seguridad a lo largo del ciclo de vida
Es el segundo capítulo más largo. Explica por qué la seguridad se logra mejor dentro del ciclo de vida y qué actividades corresponden a cada fase. Incluye dos objetivos K4 muy valiosos: analizar requisitos y analizar documentos de diseño desde la perspectiva de seguridad para encontrar deficiencias. Ejemplo: un requisito dice "el usuario podrá recuperar su contraseña por correo", pero no especifica expiración del enlace, límite de intentos ni qué pasa si el correo no existe.
Después baja a los niveles de prueba: pruebas de componentes a partir de una especificación de código y análisis de sus resultados, pruebas de integración de componentes, escenarios de extremo a extremo en pruebas de sistema, criterios de aceptación de seguridad y un enfoque de regresión y repetición de pruebas en mantenimiento.
Capítulo 5. Probar mecanismos de seguridad
El capítulo más largo (240 minutos) y el más técnico. Para cada mecanismo entiendes el concepto (K2) y demuestras cómo probar su efectividad (K3):
- Hardening: servicios innecesarios desactivados, puertos cerrados, cuentas por defecto eliminadas.
- Autenticación y autorización: quién eres y qué puedes hacer; por ejemplo, intentar acceder a una función de administrador con un usuario normal.
- Cifrado: algoritmos, llaves y configuración en tránsito y en reposo.
- Firewalls y zonas de red: que el tráfico entre zonas respete las reglas definidas.
- Detección de intrusos: que un ataque simulado genere la alerta esperada.
- Escaneo de malware: que la herramienta detecte archivos de prueba inofensivos diseñados para ello.
- Ofuscación de datos: que los datos enmascarados no permitan reconstruir la información original.
- Capacitación en seguridad: cómo medir si la capacitación cambió el comportamiento, por ejemplo con simulaciones de phishing autorizadas.
Capítulo 6. Factores humanos en las pruebas de seguridad
La mayoría de los incidentes tienen un componente humano. El capítulo explica la mentalidad del atacante, cómo descubre información de un objetivo (reconocimiento) y cómo protegerse, los tipos de atacantes (desde script kiddies hasta grupos organizados) y sus motivaciones. Incluye un objetivo K4: analizar un escenario de ataque ya ocurrido y descubierto para identificar su posible origen y motivación. También trata la ingeniería social y la conciencia de seguridad, y cómo actuar ante resultados de pruebas para elevarla.
Capítulo 7. Evaluación y reporte
Trata la necesidad de revisar expectativas y criterios de aceptación cuando el proyecto cambia, la confidencialidad de los resultados de pruebas de seguridad y los mecanismos para obtener datos de avance oportunos y precisos, como un tablero de pruebas de seguridad. El objetivo K4 es analizar un reporte de avance para juzgar si es preciso, comprensible y adecuado para su audiencia.
Capítulo 8. Herramientas de pruebas de seguridad
Explica el papel de las herramientas de análisis estático y dinámico, cómo analizar y documentar las necesidades que debe cubrir una herramienta, los problemas de las herramientas de código abierto (soporte, licencias, confiabilidad) y por qué evaluar la capacidad del proveedor de actualizar su herramienta con frecuencia ante nuevas amenazas.
Capítulo 9. Estándares y tendencias de la industria
El capítulo más corto: beneficios de usar estándares y dónde encontrarlos, diferencia entre su aplicación en contextos regulatorios y contractuales, diferencia entre cláusulas obligatorias (normativas) y opcionales (informativas), y dónde mantenerte al día en seguridad de la información.
Descarga el syllabus oficial
Tienes el syllabus en inglés y su traducción al español:
El examen CT-SEC
Estructura oficial según las tablas de estructura de exámenes de ISTQB:
| Dato | Valor |
|---|---|
| Número de preguntas | 45 (opción múltiple) |
| Puntos totales | 80 |
| Puntaje para aprobar | 52 puntos (65 %) |
| Duración | 120 minutos; 150 minutos si presentas en un idioma que no es tu lengua materna (+25 %) |
| Distribución por nivel K | 20 preguntas K2, 15 K3 y 10 K4 |
| Requisitos | CTFL y experiencia relevante (mínimo recomendado de 3 años) |
Es un examen exigente: 10 preguntas de análisis (K4), que suelen valer más puntos y traen escenarios largos. Administra tu tiempo: con 120 minutos tienes poco más de 2.5 minutos por pregunta.
Modalidades
- En línea con supervisión remota (iSQI FLEX): desde casa, 24/7, con cámara, micrófono, segunda cámara con tu celular e identificación oficial. Para exámenes avanzados, iSQI pide reservar con al menos 48 horas de anticipación.
- Pearson VUE: iSQI indica que este examen está disponible también en centros de examen Pearson; revisa la opción en línea OnVUE al reservar.
- En tu empresa: grupos de 6 o más personas pueden presentarlo presencial con un aplicador que lleva Cool Testers.
Ya no existe el examen en papel. Al momento de escribir, iSQI ofrece la CT-SEC en inglés, español, alemán y portugués de Brasil. La certificación vale lo mismo en cualquier idioma; si alguna empresa con proyectos en EE. UU. prefiere el examen en inglés, eso lo valora la empresa, no la certificación.
Dónde comprarlo
- Directo en iSQI, nuestro partner y proveedor oficial de exámenes, si tú lo pagas.
- Con Cool Testers, con 1 o 2 oportunidades y 1 año para presentarlo, si lo paga tu empresa, te lo reembolsan o necesitas factura: compra o cotiza tu examen de certificación.
Antes de comprar, confirma cómo se validará tu experiencia. Si tienes dudas, escríbenos por WhatsApp.
Cómo prepararte
Cool Testers no tiene por ahora un curso específico de CT-SEC. Esta es la ruta que recomendamos:
- Decide primero entre CT-SEC y CT-STE. Si tu trabajo es ejecutar pruebas de seguridad y te sientes cómodo con material en inglés, la CT-STE es más actual. Si ya tienes varios años de experiencia, tu rol incluye estrategia y riesgo, o prefieres presentar en español, la CT-SEC sigue siendo una opción válida.
- Domina el Foundation Level. Es requisito y la base del vocabulario del examen. Si aún no lo tienes, empieza por nuestro curso ISTQB Fundamentos (CTFL 4.0), con 40 horas en vivo, curso pregrabado, Curso Express de repaso y 4 exámenes de práctica, y apóyate en la guía de la certificación ISTQB.
- Estudia con el programa en español y verifica en inglés los términos que te generen duda.
- Dedica más tiempo a los capítulos 4 y 5 (225 y 240 minutos) y practica los objetivos K4: analizar requisitos, diseños, planes y reportes con mirada de seguridad.
- Practica con escenarios: toma un requisito real de tu proyecto y lista sus huecos de seguridad; revisa un plan de pruebas y señala qué riesgos no cubre.
- Resuelve el examen de muestra oficial y cronométrate.
¿Necesitas formar a tu equipo en pruebas de seguridad? Solicita una propuesta de capacitación para empresas.
Beneficios y salidas profesionales
- Perfil senior en seguridad: la CT-SEC demuestra que puedes conectar riesgo de negocio, políticas y pruebas, algo que valoran especialmente sectores regulados como banca, seguros, salud y gobierno.
- Disponible en español: una ventaja práctica si quieres estudiar y presentar en tu idioma.
- Reconocimiento internacional: ISTQB es el esquema de certificación en pruebas más extendido del mundo.
Roles relacionados: Security Tester, líder de pruebas con responsabilidad de seguridad, consultor de calidad y cumplimiento, analista de riesgos de TI o auditor técnico de controles. Si buscas oportunidades, revisa nuestra guía de vacantes de QA tester remoto.
Relación con otras certificaciones y siguiente paso
- Security Test Engineer (CT-STE): la sucesora en el lado de ejecución; útil si ya tienes la CT-SEC y quieres actualizar tu conocimiento a Zero Trust, DevOps, CWE/CVSS y herramientas modernas. Recuerda que debes presentar su examen.
- Test Management (CTAL-TM): si tu siguiente paso es liderar estrategias de pruebas completas, incluida la seguridad.
- Technical Test Analyst (CTAL-TTA): para la parte técnica de características de calidad no funcionales y técnicas de caja blanca.
- Quality in DevOps (CT-QDO): para llevar las pruebas de seguridad a pipelines de entrega continua.
Preguntas frecuentes
¿La CT-SEC sigue vigente?
Sí. A octubre de 2026 ISTQB no ha publicado una fecha de retiro: la certificación sigue en su portafolio y en sus tablas oficiales de exámenes, e iSQI la sigue ofreciendo. Los certificados ya emitidos siguen siendo válidos.
¿Cuál es la diferencia entre CT-SEC y CT-STE?
La CT-SEC (2016) combina varios roles: riesgo, estrategia, proceso, mecanismos y reporte. ISTQB dividió ese contenido en CT-STE, enfocada en ejecutar pruebas de seguridad, y CT-STA, enfocada en analizar riesgos del negocio y definir estrategias.
Si tengo la CT-SEC, ¿recibo la CT-STE automáticamente?
No. ISTQB confirmó que no hay grandfathering ni transferencia automática. Para obtener la CT-STE o la CT-STA debes aprobar su examen.
¿Qué requisitos tiene el examen CT-SEC?
Necesitas la certificación Foundation Level (CTFL) y experiencia relevante, que según ISTQB no debería ser menor a 3 años de experiencia académica, práctica o de consultoría. El curso acreditado es opcional.
¿Cómo es el examen CT-SEC?
Tiene 45 preguntas con un total de 80 puntos; apruebas con 52 puntos (65 %). Dura 120 minutos, o 150 si no lo presentas en tu lengua materna.
¿Puedo presentar la CT-SEC en español?
Sí. Al momento de escribir, iSQI la ofrece en español, inglés, alemán y portugués de Brasil, y el programa de estudio está traducido al español.
¿Qué me conviene más, CT-SEC o CT-STE?
Si empiezas en seguridad y tu rol es ejecutar pruebas, la CT-STE es la opción más actual. Si tienes varios años de experiencia, tu rol incluye estrategia y riesgo, o prefieres presentar en español, la CT-SEC sigue siendo una buena opción.