GenIA aplicado a Ciberseguridad: Práctica Prompt Engineering

En esta clase entenderás por qué la inteligencia artificial generativa dejó de ser una moda o una simple curiosidad tecnológica para convertirse en una habilidad innegociable dentro del mercado laboral de la ciberseguridad en 2026 y los años siguientes.

Comenzarás con un retrato honesto del día a día real del profesional de seguridad moderno: colas interminables de alertas en el SOC (Security Operations Center, o Centro de Operaciones de Seguridad), reportes de vulnerabilidades sin priorizar, documentación de cumplimiento que nunca termina, políticas por revisar, informes ejecutivos por redactar, fatiga por alertas, brecha de talento en el sector y equipos técnicos operando con la mitad del personal necesario.

A partir de ese diagnóstico, descubrirás cómo la IA generativa se está posicionando como el gran multiplicador de fuerza para el defensor. Aprenderás en qué áreas concretas puede tener impacto inmediato: aceleración de tareas repetitivas, traducción de lenguaje técnico a lenguaje ejecutivo para reuniones con la junta directiva, análisis escalable de logs y reportes, correlación de eventos entre múltiples herramientas y captura de patrones que el ojo humano cansado deja pasar.

Verás casos de uso reales aplicados por rol profesional. Descubrirás cómo un analista SOC puede transformar cargas útiles de alertas en resúmenes accionables en segundos. Cómo un pentester puede convertir notas de campo en reportes ejecutivos completos con mapeo automático a MITRE ATT&CK. Cómo un auditor o profesional GRC (Governance, Risk and Compliance, o Gobernanza, Riesgo y Cumplimiento) puede mapear controles a marcos como NIST, ISO 27001 o CIS con lenguaje natural. Cómo un analista de inteligencia de amenazas puede procesar decenas de feeds y reportes OSINT (Open Source Intelligence, o Inteligencia de Fuentes Abiertas) en tiempo casi real. Cómo un especialista DFIR (Digital Forensics and Incident Response, o Forense Digital y Respuesta a Incidentes) puede reconstruir líneas de tiempo de incidentes complejos en fracciones del tiempo tradicional.

También aprenderás por qué las organizaciones que están adoptando IA generativa en sus operaciones de seguridad están reduciendo drásticamente el tiempo medio de detección (MTTD, Mean Time To Detect) y el tiempo medio de respuesta (MTTR, Mean Time To Respond) frente a organizaciones que aún no la usan. Y por qué los adversarios ya están usando IA generativa para escalar sus ataques, lo que obliga a los defensores a nivelar el campo de batalla sin pretextos.

Verás además una mirada honesta al futuro cercano: la evolución hacia agentes autónomos de IA en operaciones de seguridad, la adopción de modelos locales como Ollama para trabajar con información confidencial sin exponerla a proveedores externos, y por qué dominar todo esto hoy te coloca en el 5% mejor pagado y más buscado del mercado laboral en ciberseguridad.

Al terminar esta clase tendrás claridad total sobre por qué invertir tiempo en dominar la IA generativa aplicada a seguridad no es una elección estratégica más, sino una decisión de supervivencia profesional en los próximos años.

En esta clase vas a conocer con total honestidad los límites reales, los sesgos inherentes y los riesgos profesionales de usar inteligencia artificial generativa en tu trabajo de ciberseguridad. Es la clase que separa al usuario ingenuo del profesional maduro.

Empezarás entendiendo por qué el optimismo ingenuo con la IA generativa es una de las principales causas de errores graves en operaciones de seguridad hoy. Muchos profesionales, deslumbrados por lo bien que responde el modelo, dejan de aplicar el pensamiento crítico que la profesión exige. Vas a aprender exactamente por qué eso es peligroso y cómo evitarlo desde el primer día.

Descubrirás los tres frentes del problema. Primero, los límites técnicos inherentes a cualquier modelo de lenguaje: las alucinaciones o hallucinations (respuestas que suenan seguras pero son falsas), el corte de conocimiento o knowledge cutoff (la fecha hasta la cual el modelo tiene información), la ventana de contexto o context window (el volumen de información que puede procesar en una sola interacción) y la ausencia de razonamiento causal real. Verás ejemplos concretos aplicados a ciberseguridad: cómo un modelo puede inventar un CVE (Common Vulnerabilities and Exposures) que no existe, generar un comando de PowerShell con sintaxis incorrecta que parece perfecta, o citar un parámetro de configuración que suena razonable pero no existe en el producto real.

Después profundizarás en los sesgos o biases. Aprenderás de dónde vienen (los datos de entrenamiento, la ingeniería del propio modelo, el aprendizaje por refuerzo con retroalimentación humana o RLHF) y cuáles son los más peligrosos para un profesional de seguridad. Verás el sesgo de sicofancia, que es la tendencia del modelo a darte la razón cuando insistes aunque estés equivocado. El sesgo cultural y de idioma, que hace que las respuestas en inglés sean sistemáticamente más completas que en español. El sesgo de confirmación, que amplifica las hipótesis que tú ya traes. Y el sesgo temporal, que hace que información antigua siga apareciendo como si fuera actual.

Continuarás con los riesgos concretos que enfrenta el profesional de ciberseguridad al usar IA generativa. Riesgos operacionales como decisiones tomadas con información falsa, comandos ejecutados sin validar o análisis erróneo de indicadores. Riesgos organizacionales como fuga de datos confidenciales hacia proveedores externos, ruptura de acuerdos de confidencialidad y exposición de propiedad intelectual. Y riesgos regulatorios como incumplimiento del GDPR (General Data Protection Regulation, o Reglamento General de Protección de Datos), del EU AI Act (Ley de Inteligencia Artificial de la Unión Europea), del HIPAA (Health Insurance Portability and Accountability Act, o Ley de Portabilidad y Responsabilidad del Seguro de Salud) y de otros marcos normativos sectoriales.

También descubrirás uno de los sesgos más peligrosos que existen, pero que casi nadie enseña: el sesgo de automatización del propio profesional. Es el fenómeno por el cual los humanos confiamos más en las máquinas de lo que deberíamos, simplemente porque nos ahorran esfuerzo cognitivo. Vas a aprender a reconocerlo en ti mismo y a construir contramedidas mentales para no caer en él.

Cerrarás la clase con un adelanto claro de las técnicas de mitigación que vas a dominar a lo largo del curso: bucles de verificación, prompts defensivos, uso responsable de modelos locales para datos sensibles, arquitecturas RAG (Retrieval Augmented Generation, o Generación Aumentada por Recuperación) para respuestas basadas en fuentes controladas, y marcos de gobernanza corporativa alineados con NIST AI RMF, ISO 42001 y el EU AI Act.

Al terminar esta clase entenderás por qué usar IA generativa en ciberseguridad sin conocer sus límites es tan peligroso como no usarla, y por qué el profesional que la domina de verdad es aquel que sabe exactamente cuándo confiar, cuándo dudar y cuándo verificar todo lo que el modelo entrega.

En esta clase aprenderás el marco práctico y accionable para usar inteligencia artificial generativa de forma ética, responsable y segura en contextos sensibles de ciberseguridad. Es una de las clases más importantes del curso, porque marca la diferencia entre un profesional maduro y un usuario que expone a su organización a riesgos que ni siquiera detecta.

Empezarás entendiendo los cuatro pilares del uso responsable: selección adecuada del modelo, transparencia profesional, responsabilidad legal y política interna de gobernanza. A partir de ahí, aterrizarás cada pilar en decisiones concretas del día a día.

Descubrirás cómo elegir el modelo correcto según la sensibilidad del dato con el que estás trabajando. Aprenderás cuándo tiene sentido usar modelos SaaS (Software as a Service, o Software como Servicio) públicos como ChatGPT, Claude o Gemini, cuándo debes moverte a versiones enterprise con contratos de tratamiento de datos, y cuándo la única opción responsable es un modelo local privado como Ollama, Llama, Mistral o Mixtral corriendo en tu propia infraestructura. Verás una matriz de decisión clara que podrás aplicar mañana mismo en tu trabajo.

Dominarás la regla de oro sobre datos confidenciales que ningún profesional de ciberseguridad debe romper: cómo tratar información regulada por marcos como GDPR (General Data Protection Regulation, o Reglamento General de Protección de Datos), HIPAA (Health Insurance Portability and Accountability Act, o Ley de Portabilidad y Responsabilidad del Seguro de Salud), PCI DSS (Payment Card Industry Data Security Standard, o Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago) y FedRAMP (Federal Risk and Authorization Management Program, o Programa Federal de Gestión de Riesgos y Autorizaciones).

Aprenderás técnicas prácticas de saneamiento y anonimización de prompts para ciberseguridad: cómo redactar direcciones IP, hashes, nombres de dominio, identificadores de usuario, cabeceras de tokens, claves de API (Application Programming Interface, o Interfaz de Programación de Aplicaciones) y otros datos sensibles antes de enviarlos a cualquier modelo. Verás cómo aplicar marcadores de posición como [DOMINIO], [IP_INTERNA] o [USUARIO_ID] sin perder la utilidad del análisis.

También aprenderás las precauciones críticas al usar plugins de navegador, extensiones y conectores empresariales que tienen acceso a tus prompts, archivos y portapapeles, un vector de fuga silenciosa que la mayoría de profesionales ignora.

Descubrirás por qué la transparencia y la divulgación del uso de IA generativa en tus entregables profesionales no es opcional: fortalece tu credibilidad, protege tu reputación y cumple con estándares emergentes de auditoría. Aprenderás cómo declarar el uso de IA en reportes, políticas y comunicaciones sin comprometer tu autoridad como experto.

Entenderás con claridad tu responsabilidad legal como profesional. La IA es tu copiloto, no tu chivo expiatorio. Aprenderás por qué siempre eres responsable de lo que la IA genera bajo tu nombre, cómo protegerte con revisiones humanas obligatorias y cómo evitar los errores más caros que ha visto la industria en los últimos años.

Verás el panorama regulatorio que ya te afecta hoy, en 2026: el EU AI Act (Ley de Inteligencia Artificial de la Unión Europea) con sus categorías de riesgo, el NIST AI Risk Management Framework (Marco de Gestión de Riesgos de Inteligencia Artificial), la ISO 42001 (estándar internacional para sistemas de gestión de IA) y las obligaciones sectoriales para banca, salud, sector público y defensa.

Finalmente, aprenderás los componentes mínimos que debe tener una política interna de uso responsable de IA en tu organización: reglas de tratamiento de datos, divulgación obligatoria, revisión humana, selección de modelos, controles de acceso, uso de plugins y auditoría de trazabilidad. Verás también el rol emergente del AI Steward o encargado interno de gobernanza de IA, una posición que está apareciendo en las estructuras corporativas más avanzadas.

Al terminar esta clase saldrás con un marco ético profesional interiorizado, una lista de reglas concretas para operar desde mañana mismo, y la claridad total sobre por qué el uso responsable de la IA generativa no es una limitación sino el sello del profesional serio.

En esta clase aprenderás a usar la inteligencia artificial generativa para interpretar cualquier CVE (Common Vulnerabilities and Exposures, o Vulnerabilidades y Exposiciones Comunes) de forma clara, rápida y verdaderamente accionable. Vas a dominar seis prompts profesionales, encadenables entre sí, que forman un flujo completo de análisis de vulnerabilidades listo para aplicar desde hoy mismo en tu trabajo.

Empezarás entendiendo por qué las descripciones oficiales de los CVEs, tal como aparecen en la NVD (National Vulnerability Database, o Base Nacional de Vulnerabilidades) y en MITRE, están escritas para máquinas y para ingenieros técnicos, no para analistas humanos que deben decidir rápido y comunicar claro. Verás cómo esto se convierte en un cuello de botella real dentro de los equipos de seguridad y cómo la IA generativa lo resuelve con la técnica correcta.

Aprenderás el primer prompt fundamental para traducir cualquier CVE a lenguaje claro y operativo, con un patrón defensivo integrado que obliga al modelo a citar fuentes verificables y a admitir cuando no dispone de información confirmada. Vas a dominar el segundo prompt para extraer automáticamente las tácticas, técnicas y procedimientos asociados al CVE, mapeados al marco MITRE ATT&CK con sus identificadores oficiales, lo que te permite pasar del "qué es la vulnerabilidad" al "cómo la usaría un adversario" en menos de un minuto.

Descubrirás el tercer prompt orientado al equipo SOC (Security Operations Center, o Centro de Operaciones de Seguridad), que genera una guía de detección concreta con fuentes de log, herramientas EDR (Endpoint Detection and Response, o Detección y Respuesta en Endpoints) y XDR (Extended Detection and Response, o Detección y Respuesta Extendida) recomendadas, comportamientos a monitorear y reglas de correlación aplicables en tu SIEM (Security Information and Event Management, o Gestor de Información y Eventos de Seguridad).

Aplicarás el cuarto prompt para generar un plan completo de mitigación técnica y de endurecimiento a largo plazo, alineado a estándares como ISO 27001 o NIST CSF (Cybersecurity Framework, o Marco de Ciberseguridad), listo para presentar al equipo de parcheo o al comité de riesgos.

Dominarás el quinto prompt, quizá el más poderoso de todos: una plantilla universal con variables reemplazables que te permite generar múltiples versiones del mismo análisis, cada una adaptada a un público distinto (CISO, comité ejecutivo, equipo técnico, auditoría). Con este prompt te conviertes en el traductor entre riesgo técnico, operaciones y estrategia dentro de tu organización, un rol enormemente valioso hoy.

Aprenderás también el sexto prompt para consolidar múltiples CVEs relacionados en una tabla estructurada comparativa, ideal para sesiones de priorización de parches y para reportes ejecutivos que deben cubrir varias vulnerabilidades a la vez.

Cerrarás la clase con las tres advertencias profesionales que separan al usuario amateur del profesional: cómo detectar alucinaciones del modelo cuando inventa una puntuación CVSS (Common Vulnerability Scoring System, o Sistema Común de Puntuación de Vulnerabilidades) equivocada, cómo protegerte de la información desactualizada por el corte de conocimiento del modelo, y cómo evitar la sobresimplificación que elimina detalles críticos como el vector de ataque o los requisitos de privilegios.

Toda la clase está construida sobre anécdotas y ejemplos reales del sector, con casos aterrizados en escenarios de banca, servicios cloud, retail y entornos empresariales, para que al terminar sientas que ya has aplicado los prompts en situaciones reales antes de siquiera abrir tu herramienta favorita.

En esta clase vas a aprender a priorizar vulnerabilidades como lo hacen los equipos de seguridad más avanzados del mundo: combinando CVSS, EPSS y contexto de negocio en una ecuación real de riesgo, apoyándote en la inteligencia artificial generativa para acelerar el análisis sin perder rigor profesional.

Empezarás entendiendo por qué el CVSS (Common Vulnerability Scoring System, o Sistema Común de Puntuación de Vulnerabilidades) es útil pero insuficiente por sí solo. Vas a descubrir por qué muchos equipos de seguridad viven atrapados priorizando vulnerabilidades "críticas" que en el mundo real nadie está explotando, mientras se les escapan vulnerabilidades "medias" que sí están siendo activamente atacadas. Este error de priorización cuesta tiempo, dinero y a veces la seguridad de la empresa.

Aprenderás el primer prompt profesional para descomponer una puntuación CVSS y entender qué significa realmente cada uno de sus vectores: el vector base (características intrínsecas de la vulnerabilidad), el vector temporal (evolución del panorama de explotación) y el vector ambiental (adaptación al entorno específico de tu organización).

Descubrirás cómo interpretar el EPSS (Exploit Prediction Scoring System, o Sistema de Predicción de Probabilidad de Explotación), la puntuación probabilística moderna publicada por FIRST (Forum of Incident Response and Security Teams, o Foro de Equipos de Respuesta a Incidentes y Seguridad) que estima la probabilidad real de que una vulnerabilidad sea explotada en los próximos 30 días. Verás cómo cruzarlo con CVSS para detectar los dos errores más costosos de la industria: los CVSS inflacionados (alta puntuación técnica pero explotación real inexistente) y los CVSS silenciosos (puntuación media pero altísimo EPSS).

Aprenderás a contextualizar cualquier vulnerabilidad genérica a tu entorno real usando IA, incorporando dimensiones como criticidad del activo, exposición externa o interna, dependencias operativas, y obligaciones regulatorias específicas de tu sector: banca con marcos como DORA (Digital Operational Resilience Act, o Ley de Resiliencia Operativa Digital) y PCI DSS, salud con HIPAA, comercio con PCI DSS, industria con marcos de seguridad OT (Operational Technology, o Tecnología Operativa).

Dominarás el prompt integrador que combina las tres dimensiones (CVSS, EPSS y contexto) en una ecuación de riesgo real operativo. Aprenderás también a aplicarlo a lotes completos de vulnerabilidades para generar un orden de atención justificado y defendible ante cualquier auditoría o comité ejecutivo.

Cerrarás la clase con el prompt más valorado por los líderes de seguridad: el que traduce la decisión técnica de priorización a un lenguaje ejecutivo claro y accionable, para presentar al comité de riesgos, al CFO o al CEO sin fricción, obteniendo aprobación de ventanas de mantenimiento, presupuesto o excepciones documentadas.

Toda la clase está construida con anécdotas reales del sector y ejemplos aterrizados en escenarios de banca, salud, comercio y entornos industriales, para que salgas con la sensación de haber priorizado vulnerabilidades reales antes de siquiera abrir tu herramienta favorita.

En esta clase aprenderás a transformar un reporte crudo de un escáner de vulnerabilidades, con cientos o miles de hallazgos, en un plan de acción claro, priorizado y comunicable, usando inteligencia artificial generativa como copiloto profesional.

Empezarás entendiendo el problema real de cualquier profesional de gestión de vulnerabilidades: los reportes de Nessus, Qualys y OpenVAS son extraordinariamente detallados, pero también abrumadores. Cientos de identificadores técnicos como plugin ID (Nessus), QID (Qualys) o OID (OpenVAS), decenas de puertos, XML o JSON kilométrico, salidas de plugin con nomenclatura críptica, y una avalancha de acrónimos. Analizarlo manualmente puede consumirte días enteros, y aun así el cansancio hace que se te escapen hallazgos críticos. La IA generativa cambia por completo esa ecuación.

Aprenderás el primer prompt profesional para extraer únicamente los campos esenciales de un export crudo: activos, servicios, CVEs asociados, severidad, puntuación y descripción resumida. Este prompt convierte un reporte de miles de líneas en una lista digerible que puede procesarse en pasos siguientes sin saturar la ventana de contexto del modelo.

Descubrirás el segundo prompt, que identifica los hallazgos más importantes según una ponderación combinada de severidad, explotabilidad y exposición, con explicaciones en lenguaje no técnico listas para presentar a cualquier interlocutor de negocio.

Aplicarás el tercer prompt para profundizar en cada hallazgo con inteligencia real: cuántos sistemas se ven afectados, si existe exploit público conocido, si está presente en el catálogo KEV (Known Exploited Vulnerabilities, o Vulnerabilidades Explotadas Conocidas) de CISA (Cybersecurity and Infrastructure Security Agency, o Agencia de Ciberseguridad e Infraestructura de Estados Unidos), qué impacto operativo puede tener y qué evidencia hay de explotación activa reciente.

Dominarás el cuarto prompt, el que verdaderamente marca la diferencia profesional: la contextualización con el inventario de activos críticos de tu organización. Aprenderás a reponderar la priorización elevando automáticamente cualquier hallazgo que afecte a un sistema clasificado como crítico según tu propio inventario.

Descubrirás el quinto prompt para detectar patrones sistémicos en el reporte: cuando los mismos problemas aparecen en múltiples sistemas por la misma plantilla base o por la misma versión de sistema operativo, la respuesta no es parchear uno por uno, sino corregir la imagen dorada o el proceso de aprovisionamiento. También aprenderás a usar este mismo prompt para detectar y flaggear posibles falsos positivos, con criterios objetivos de reverificación manual.

Cerrarás la clase con el sexto prompt, un flujo doble de comunicación: por un lado, un reporte ejecutivo de una página para el CIO o el CISO, centrado en riesgo de negocio y decisiones ejecutivas; por el otro, un plan de remediación técnico para los equipos de DevOps e ingeniería, con hosts afectados, identificadores oficiales, comandos sugeridos y prioridades explícitas.

Aprenderás también las tres advertencias profesionales al usar IA con escáneres: cómo evitar la sobrecarga de contexto que degrada la calidad de la respuesta, por qué nunca debes confiar ciegamente en la interpretación de gravedad del modelo, y cómo validar cualquier hallazgo de alto riesgo con fuentes autoritativas antes de comprometer recursos de la organización.

Toda la clase está construida con anécdotas y ejemplos reales del sector, aplicados a los tres escáneres más usados del mercado: Nessus, Qualys y OpenVAS, con sus particularidades específicas.

En esta clase vas a aprender a priorizar vulnerabilidades como lo hacen los equipos de seguridad más maduros del mundo: mirando el problema con los ojos del atacante. Esto significa combinar dos dimensiones que la mayoría de programas de gestión de vulnerabilidades olvida: la exposición real de tus activos y la explotación activa que está ocurriendo ahora mismo en el mundo real. Con seis prompts profesionales potenciados por inteligencia artificial generativa, vas a construir un sistema de priorización dinámico, defendible y adaptado a la realidad operativa de 2026.

Empezarás entendiendo por qué el CVSS solo, e incluso el CVSS más EPSS, no bastan cuando el atacante ya está probando cadenas de vulnerabilidades específicas contra tu sector. Aprenderás el principio de la asimetría del atacante: mientras tú tienes que proteger cada camino posible, el atacante solo necesita encontrar uno. Esta asimetría cambia por completo cómo debes priorizar tus recursos limitados.

Aprenderás el primer prompt para mapear la superficie de exposición real de tu organización, respondiendo con precisión qué activos están accesibles desde internet, qué servicios exponen, qué usuarios pueden alcanzarlos, y qué caminos de ataque están abiertos. Vas a descubrir por qué la superficie percibida y la superficie real casi siempre difieren, y cómo la IA generativa te ayuda a reconciliarlas.

Descubrirás el segundo prompt para enriquecer tus hallazgos con inteligencia de explotación activa: catálogo KEV (Known Exploited Vulnerabilities, o Vulnerabilidades Explotadas Conocidas) de CISA (Cybersecurity and Infrastructure Security Agency, o Agencia de Ciberseguridad e Infraestructura de Estados Unidos), feeds de threat intelligence, campañas de ransomware activas, actividad de grupos APT (Advanced Persistent Threat, o Amenazas Persistentes Avanzadas) y correlación con tu sector específico.

Dominarás el tercer prompt, uno de los más poderosos del bloque: la matriz Exposición × Explotación, un cuadrante visual con cuatro zonas de acción claramente diferenciadas que te permite decidir en segundos qué atender primero, qué monitorear, qué documentar como excepción y qué archivar como riesgo aceptado.

Aplicarás el cuarto prompt para simular caminos de ataque encadenados. Aprenderás cómo un atacante real conectaría múltiples vulnerabilidades de bajo o medio impacto para llegar a un objetivo crítico. Este análisis, que tradicionalmente requiere horas de trabajo manual con herramientas como BloodHound, se puede acelerar dramáticamente con inteligencia artificial generativa aplicada con criterio profesional.

Descubrirás el quinto prompt para convertir la priorización en un sistema dinámico que se actualiza automáticamente cuando cambian las condiciones del panorama: aparición de nuevo exploit funcional, ingreso al KEV, campaña activa detectada por threat intelligence, o cambios en tu propia exposición.

Cerrarás con el sexto prompt, el que justifica tus decisiones de priorización ante auditoría, dirección y contratos SLA (Service Level Agreement, o Acuerdo de Nivel de Servicio) con métricas trazables. Aprenderás a defender por qué parcheaste antes una vulnerabilidad de puntuación 6.5 que una de puntuación 9.1, y a hacerlo con datos que cualquier auditor entiende y respeta.

Verás también una introducción práctica al marco SSVC (Stakeholder-Specific Vulnerability Categorization, o Categorización de Vulnerabilidades Específica por Interesado) de CISA, una alternativa moderna al modelo puramente CVSS que ya están adoptando organismos gubernamentales y grandes empresas para clasificar decisiones de acción.

Toda la clase está construida con anécdotas y ejemplos aterrizados del sector, incluyendo casos típicos de exposiciones IPv6 olvidadas, sistemas legados en DMZ que nadie recordaba mantener, y campañas de ransomware que aprovecharon vulnerabilidades clasificadas oficialmente como "medias" pero con altísima explotación real.

En esta clase vas a aprender a transformar cualquier vulnerabilidad priorizada en un plan de remediación profesional, completo y multi-rol, usando inteligencia artificial generativa como copiloto experto. Aprenderás el flujo que separa un equipo que "detecta problemas" de un equipo que verdaderamente "resuelve problemas" en tiempo y forma.

Empezarás entendiendo por qué encontrar vulnerabilidades ya no es el reto real de la ciberseguridad moderna. El reto es cerrarlas correctamente, en el plazo correcto, sin romper nada, con documentación defendible y con comunicación efectiva entre equipos. Descubrirás por qué la mayoría de equipos técnicos tropiezan justo aquí, y cómo la IA generativa cierra esa brecha operativa cuando se usa con criterio profesional.

Aprenderás el primer prompt para generar un plan de remediación técnico base con la estructura completa que espera cualquier proceso profesional: pasos de aplicación de parche o cambio de configuración, comandos sugeridos por sistema operativo, pasos de verificación posterior a la remediación, plan de rollback documentado por adelantado y responsables sugeridos por rol. Aprenderás también el concepto profesional de criterios de éxito y criterios de aborto, elementos que la mayoría de ingenieros olvida incluir en sus planes y que evitan quedar a mitad de un cambio sin saber si continuar o revertir.

Descubrirás el segundo prompt para adaptar el plan a los múltiples roles que participan en cualquier remediación real: administrador de sistemas Windows, administrador de sistemas Linux, ingeniero de red, ingeniero DevOps, analista de seguridad, arquitecto de infraestructura, profesional GRC (Governance, Risk and Compliance, o Gobernanza, Riesgo y Cumplimiento) y responsable de TI. Cada rol recibe únicamente las instrucciones que le corresponden, en el nivel de detalle que necesita, con sus plazos y sus dependencias marcadas.

Aplicarás el tercer prompt para hacer validación cruzada del plan contra los avisos oficiales del proveedor, las mejores prácticas de la industria y las particularidades de tu entorno operativo. Este paso es el que evita ejecutar planes que técnicamente son correctos pero que rompen dependencias críticas del negocio, como sistemas legados que dependen de TLS antiguo, compartidos SMB heredados o servicios que no toleran reinicio en horario laboral.

Dominarás el cuarto prompt para refinar el plan incorporando actualizaciones recientes: nuevas versiones de KB (Knowledge Base, o Base de Conocimiento) del proveedor, cambios en avisos oficiales, mejores prácticas emergentes de la comunidad y hallazgos post-liberación del parche. Este prompt te permite mantener tu plan siempre actualizado sin reescribirlo desde cero.

Aprenderás el quinto prompt para generar tickets ITSM (IT Service Management, o Gestión de Servicios de TI) listos para pegar en plataformas como Jira, ServiceNow, BMC Remedy o similares, con formato estándar de RFC (Request for Change, o Solicitud de Cambio) profesional: título, descripción, sistemas afectados, pasos, criterios de aceptación, ventana propuesta, análisis de riesgo, plan de rollback y aprobaciones requeridas.

Cerrarás con el sexto prompt, el que orquesta la comunicación con stakeholders a lo largo de todo el ciclo del cambio: anuncio previo con contexto de riesgo, notificación de ventana de mantenimiento con impacto esperado, actualización durante la ejecución si aplica, y confirmación posterior con evidencia de éxito.

Verás también las tres advertencias profesionales críticas al usar IA generativa en remediación: por qué ningún comando debe presentarse como ejecutable sin validación previa en entorno de pruebas, cómo detectar las dependencias ocultas que el modelo no puede conocer, y por qué la responsabilidad final del cambio siempre reside en el profesional que firma la RFC, no en el modelo.

Toda la clase está construida con anécdotas y ejemplos aterrizados de casos reales del sector: el parche que rompió la funcionalidad de impresión a PDF por deshabilitar el Print Spooler, la desactivación bienintencionada de SMB que dejó sin acceso a un compartido crítico de finanzas, y la aplicación forzada de TLS 1.2 que rompió la compatibilidad con un aplicativo legado del que dependía toda la operación de facturación.

En esta clase aprenderás a comunicar el riesgo cibernético con precisión profesional a cada audiencia clave de tu organización, usando inteligencia artificial generativa como copiloto experto. Esta es una habilidad transversal que separa al técnico competente del profesional que verdaderamente influye en las decisiones importantes de la empresa.

Empezarás entendiendo por qué un hallazgo brillantemente analizado puede quedar completamente ignorado si se comunica mal. En ciberseguridad, la comunicación no es un accesorio: es el mecanismo por el cual el trabajo técnico se convierte en decisiones, presupuestos, acciones y protección real. Descubrirás por qué el mismo riesgo debe contarse de cinco formas distintas dependiendo de a quién le hables, y por qué intentar usar un solo mensaje para todos es uno de los errores más costosos que puede cometer un profesional.

Aprenderás el primer prompt para comunicar hallazgos al equipo técnico directo: analistas SOC, ingenieros de sistemas, administradores, DevOps. Aquí el lenguaje es operativo, los detalles importan y los pasos deben ser accionables desde el primer minuto.

Descubrirás el segundo prompt para comunicar al mando intermedio: gerentes de TI, líderes de operaciones, jefes de seguridad de primera línea. Aquí necesitas construir un puente entre lo técnico y lo estratégico, con métricas, tendencias y decisiones que este nivel debe tomar dentro de su autonomía.

Aplicarás el tercer prompt para comunicar al CISO (Chief Information Security Officer, o Director de Seguridad de la Información) y al comité de seguridad. Aquí el foco es riesgo residual, decisiones que requieren su firma, escalados que necesitan visibilidad ejecutiva y estado consolidado del programa de seguridad.

Dominarás el cuarto prompt, uno de los más valiosos para tu carrera profesional: la comunicación al comité ejecutivo y a la junta directiva. Aquí el vocabulario cambia por completo. Ya no hablas de CVEs, hablas de riesgo de negocio, exposición financiera, riesgo reputacional, cumplimiento regulatorio y decisiones que requieren aprobación de presupuesto o postura estratégica. Aprenderás a estructurar el mensaje siguiendo la pirámide invertida y a cerrar siempre con una sola pregunta accionable: qué decisión se pide, quién debe tomarla, y cuándo.

Cerrarás con el quinto prompt, la comunicación a las áreas de negocio afectadas: usuarios finales, jefes de departamento, líderes de operaciones que van a sufrir el impacto operativo del cambio. Aquí el tono cambia otra vez: empatía, plazos concretos, instrucciones claras de qué hacer y qué no hacer durante ventanas de mantenimiento o remediaciones activas.

Aprenderás también a diferenciar entre comunicación programada (planificada, con ciclos regulares) y comunicación de crisis (reactiva, en tiempo real, con precisión quirúrgica), y verás cómo cada audiencia requiere ajustes en ambos modos.

La clase consolida además el marco RACE de ingeniería de prompts (Rol, Acción, Contexto, Ejemplo), técnica transversal que has ido aprendiendo a lo largo del bloque y que aquí se aplica de forma integral para generar comunicaciones profesionales en minutos.

Toda la clase está construida con anécdotas y ejemplos aterrizados del sector: el hallazgo crítico que quedó desatendido por un reporte demasiado técnico al comité, el correo bienintencionado que confundió al director financiero y frenó una aprobación de presupuesto, y la comunicación de crisis que salvó la reputación de una organización tras un incidente grave.

Con esta clase cierras el bloque de gestión de vulnerabilidades con una habilidad que multiplica todo lo anterior: la capacidad de convertir análisis técnico en decisiones organizacionales reales.

Bienvenido al bloque de Triaje de Alertas y Operaciones SOC con IA Generativa. En esta clase de apertura vas a entender por qué la fatiga por alertas dejó de ser un problema de comodidad para convertirse en un riesgo operativo real: un analista de nivel 1 en un Centro de Operaciones de Seguridad moderno puede recibir miles de alertas por turno, y buena parte de ellas son falsos positivos que entrenan al cerebro a ignorar en lugar de investigar. Ese es exactamente el terreno donde los atacantes prosperan.

Vas a explorar la anatomía completa del problema: el cambio de contexto entre herramientas como SIEM, EDR y gateways de correo, la carrera contrarreloj frente a la ventana de detección, la relación real entre volumen de alertas y agotamiento del analista, y las tres consecuencias medibles que la fatiga por alertas provoca en cualquier SOC: aumento del tiempo medio de detección, aumento del tiempo medio de respuesta y rotación acelerada del equipo.

Vamos a poner nombre a las cuatro fuentes principales del ruido (reglas mal calibradas, falta de contexto de negocio, entornos heterogéneos y correlación pobre entre fuentes), a diferenciar el ruido legítimo de la señal enterrada, y a plantear el marco conceptual con el que la IA generativa entra en escena en las clases siguientes: no como reemplazo del analista, sino como un multiplicador de fuerza que resume, correlaciona y contextualiza para que el criterio humano se aplique donde de verdad importa.

Al terminar esta clase vas a tener claridad sobre por qué el enfoque tradicional de "más reglas y más pantallas" ya no escala, cuál es el costo real de una alerta perdida frente a una alerta mal priorizada, y qué papel juega la IA generativa en el flujo del SOC moderno. Es la base conceptual que necesitas antes de abrir la biblioteca de prompts operativos que verás en las clases siguientes del bloque.

En la clase anterior identificamos el problema: la fatiga por alertas está degradando la capacidad de decisión de los SOC modernos. Sabemos que la IA generativa puede ayudar. Pero antes de escribir el primer prompt de triaje, hay un paso previo que decide el éxito o el fracaso de todo el flujo: la calidad de los datos que le entregas al modelo.

En esta clase vas a construir un protocolo repetible de preparación y normalización de datos de alerta antes de que la IA los procese. Vamos a partir de una regla dura y sin excepciones: garbage in, garbage out. La inteligencia artificial no compensa datos mal estructurados, y tampoco compensa la falta de contexto de negocio. Al contrario, en presencia de datos sucios o descontextualizados es donde aparecen las alucinaciones más peligrosas, esas que suenan seguras y son falsas.

Vamos a trabajar cuatro prompts operativos que forman un flujo completo de preparación. El primero es de saneamiento: cómo redactar información sensible sustituyéndola por marcadores de posición e instruir a la IA para que los interprete correctamente. El segundo es de evaluación de aptitud: cómo pedirle al modelo que dictamine si los datos que le vas a entregar están en condiciones de ser analizados o necesitan reestructuración previa. El tercero es de provisión de contexto operacional: cómo darle al modelo el mapa del entorno, los activos críticos, la ventana temporal y las hipótesis iniciales para que su análisis sea relevante. Y el cuarto es de análisis guiado por patrones: cómo indicarle exactamente qué buscar dentro de datos estructurados de IDPS, SIEM, cortafuegos o EDR.

Vas a ver cuáles fuentes de datos son naturalmente aptas para IA generativa (registros IDPS, eventos SIEM normalizados, telemetría EDR estructurada) y cuáles vas a evitar entregar en crudo (volcados masivos sin normalizar, exportaciones descontextualizadas). Vas a aprender a dividir conjuntos grandes en fragmentos manejables sin perder correlación, y vas a interiorizar la regla de saneamiento defensivo: nunca pegar direcciones IP reales de producción, nombres de usuario ni identificadores de activos internos en un modelo de IA basado en la nube, aunque el proveedor prometa confidencialidad.

Al terminar la clase vas a tener un flujo de preparación de datos que podrás aplicar cada vez que trabajes con IA generativa para triaje, y una biblioteca de cuatro prompts lista para copiar, adaptar a tu entorno y ejecutar. Es el paso que separa a un analista que le tira registros crudos a la IA y espera magia, de un analista que trabaja con criterio y obtiene resultados fiables.

Los falsos positivos son el impuesto silencioso del SOC. Uno solo no molesta a nadie, pero mil por semana entrenan al analista a cerrar sin mirar, y ahí es donde el atacante planta su bandera. La pregunta que vamos a resolver en esta clase no es cómo silenciar alertas, es cómo reducir los falsos positivos sin perder capacidad de detección real.

Vas a aprender por qué la mayoría de los falsos positivos no son alertas "malas" en sí mismas, sino alertas descontextualizadas: sin el contexto correcto del negocio, del entorno o del actor, es imposible distinguir una alerta benigna de una amenaza real. Vamos a trabajar el equilibrio delicado entre reducir falsos positivos y no introducir falsos negativos, es decir, no crear puntos ciegos donde antes había visibilidad.

La clase se estructura en cuatro prompts operativos que forman un flujo completo de gestión de falsos positivos. El primero es un prompt de dictamen contextual: dada una alerta concreta y su contexto operacional, la IA emite un veredicto de falso positivo, amenaza real o zona gris que requiere investigación adicional, con nivel de confianza y trazabilidad completa. El segundo detecta patrones sistémicos: identifica reglas o fuentes que están generando falsos positivos de forma recurrente y merecen ser afinadas. El tercero propone cambios de afinamiento cuantificando explícitamente el riesgo de introducir falsos negativos, porque no hay tuning gratis. Y el cuarto es un prompt de registro y ciclo de retroalimentación, para que cada decisión sobre falsos positivos alimente el aprendizaje del SOC en lugar de perderse en la memoria del analista de turno.

Vas a interiorizar tres principios operacionales que atraviesan todo el bloque: los falsos positivos y los falsos negativos son dos caras de la misma moneda y toda decisión sobre unos afecta a los otros; el contexto convierte una alerta ambigua en una decisión defendible; y el sobreafinado, es decir, silenciar reglas de forma agresiva para tener el tablero limpio, es una de las formas más comunes en que los SOC modernos crean puntos ciegos que el atacante aprovecha.

Al terminar la clase vas a tener criterio para decidir cuándo un falso positivo es un falso positivo, cuándo es una amenaza real disfrazada, y cuándo simplemente no hay evidencia suficiente para decidir sin más contexto. Y vas a tener una biblioteca de cuatro prompts lista para copiar, adaptar a tu entorno y ejecutar.

En las clases anteriores construimos un flujo completo de triaje asistido por IA: datos limpios, prompts contextuales y decisiones estructuradas. Pero hay un paso que ninguna de esas clases resuelve por sí sola, y es probablemente el más importante de todos: qué hacer con la respuesta que la IA te devuelve. Confiar sin más es peligroso. Cuestionar todo por igual es paralizante. En esta clase vas a construir el criterio profesional que se aplica en el medio.

Vas a interiorizar una idea que atraviesa todo el trabajo maduro con IA generativa: el analista humano no consume la respuesta del modelo, la audita. Y la audita con método, no por instinto. Ese método se apoya en cuatro operaciones diferentes que trabajaremos como cuatro prompts encadenados. La primera es el cotejo con evidencia bruta: forzar al modelo a defenderse citando líneas específicas de los registros que sustentan cada una de sus afirmaciones. La segunda es la aplicación de contexto interno que la IA no puede conocer, como criticidad real de activos, patrones benignos históricos y actividad legítima planeada, para recalibrar la severidad de sus conclusiones. La tercera es la auditoría anti-alucinación: obligar al modelo a etiquetar cada una de sus afirmaciones según su nivel de sustento factual, distinguiendo entre lo verificado, lo parcialmente verificado y lo extrapolado. Y la cuarta es la contra-hipótesis: pedirle al modelo que genere al menos dos explicaciones alternativas plausibles para los mismos datos, para evitar el sesgo de confirmación al que la IA es especialmente vulnerable.

Vas a aprender a reconocer las señales tempranas de una alucinación bien redactada, esas que suenan seguras y son falsas. Vas a entender por qué la ausencia de discrepancia con los datos no equivale a validez, y por qué toda respuesta del modelo con confianza alta pero sustentada en una sola pieza de evidencia debe cuestionarse por defecto. Y vas a instalar tres principios operacionales que te van a acompañar toda tu carrera profesional con IA: quien firma la decisión es el analista, no el modelo; toda afirmación sin evidencia trazable se degrada a hipótesis; y la responsabilidad no se delega en la IA, se ejerce con el auxilio de la IA.

Al terminar la clase vas a tener un flujo de validación repetible, aplicable a cualquier respuesta de IA generativa antes de convertirla en acción operativa, y una biblioteca de cuatro prompts que puedes copiar, adaptar a tu entorno y ejecutar cada vez que necesites auditar un análisis asistido por inteligencia artificial. Este es el paso que separa a un analista que usa la IA de un analista que la domina.

Llegamos al cierre del bloque de triaje de alertas y operaciones SOC con IA generativa. En las cinco clases anteriores construiste el criterio para trabajar alerta por alerta con inteligencia artificial: entendiste la fatiga por alertas como problema de riesgo, aprendiste a preparar y normalizar los datos, a diseñar prompts de triaje, a reducir falsos positivos con contexto y a validar humanamente cada respuesta antes de convertirla en acción. Todo eso funciona a escala individual. Esta clase cierra el bloque respondiendo a la pregunta que sigue de forma natural: cómo integrar todo ese criterio dentro de la infraestructura del SOC, sin perder el gobierno humano y sin caer en el atajo de la automatización ciega.

Esta es una clase conceptual, no un tutorial de configuración. Vas a construir el mapa mental del SOC moderno con IA generativa dentro. Vas a entender la diferencia real entre SIEM y SOAR, en inglés Security Information and Event Management y Security Orchestration, Automation and Response, dos plataformas que suelen confundirse pero que resuelven problemas distintos y trabajan en momentos distintos del ciclo de vida del incidente. El SIEM es el motor de detección y correlación, el SOAR es el motor de orquestación y respuesta. La IA generativa no reemplaza a ninguno de los dos, se inserta entre ellos como capa de comprensión, y esa ubicación tiene consecuencias profundas sobre cómo se diseñan los flujos.

Vas a trabajar cuatro puntos de integración concretos, uno tras otro. El primero es la integración de entrada, es decir, cómo el SIEM alimenta a la IA generativa con alertas ya normalizadas y correlacionadas para que el trabajo del modelo sea productivo. El segundo es la integración de contexto, cómo darle al modelo acceso automatizado al inventario de activos, a la matriz de criticidad y a los patrones benignos históricos sin exponer datos sensibles. El tercero es la integración de salida, cómo el análisis validado por el analista humano se traduce en tickets, playbooks del SOAR, actualizaciones del SIEM y actualizaciones de casos de forma consistente. Y el cuarto es el gobierno del flujo, la separación entre lo que puede automatizarse y lo que debe seguir requiriendo aprobación humana, con las reglas duras que te van a proteger del punto ciego más peligroso del SOC moderno: la automatización sin criterio.

Vas a interiorizar tres principios de arquitectura que te van a acompañar toda tu carrera profesional. Primero, la IA generativa es una capa entre el SIEM y el SOAR, no una alternativa a ninguno de los dos. Segundo, toda acción con impacto en producción requiere aprobación humana, sin excepciones, aunque la automatización esté tentadoramente disponible. Y tercero, la integración se diseña por niveles de reversibilidad: acciones reversibles pueden automatizarse con seguridad, acciones irreversibles jamás.

Al terminar esta clase vas a tener el mapa completo de cómo pensar la arquitectura de un SOC moderno con IA generativa dentro, vas a saber qué preguntas hacer cuando te presenten una propuesta de integración, y vas a tener criterio para distinguir entre una automatización que ayuda y una automatización que erosiona el gobierno del SOC. Es la clase que cierra el bloque y prepara el terreno para el siguiente, donde vamos a saltar del triaje reactivo hacia la inteligencia de amenazas proactiva.

Con los datos ya saneados y contextualizados en la clase anterior, entramos al corazón operativo del bloque: los prompts que le piden a la IA generativa que haga el trabajo real de un analista de nivel uno. Vas a aprender a diseñar los tres tipos de prompt que forman el flujo de triaje profesional, y a entender por qué cada uno resuelve un problema distinto que un solo prompt genérico jamás podría resolver bien.

El primer prompt es de enriquecimiento. La alerta entra desnuda desde el SIEM, con la información básica que la regla de detección disparó. La IA generativa la enriquece con todo lo que un analista experimentado agregaría mentalmente en los primeros treinta segundos: qué técnica de MITRE ATT&CK parece corresponder, qué familia de comportamiento representa, qué indicadores adicionales convendría buscar, qué antecedentes conocidos existen sobre el tipo de actividad. La alerta pasa de dato bruto a evento comprensible.

El segundo prompt es de correlación. Una alerta sola casi nunca cuenta la historia completa. La IA correlaciona la alerta que estás mirando con otras alertas de la ventana temporal, buscando patrones que sugieran movimiento lateral, actividad coordinada, secuencias características de una cadena de ataque, o simplemente coincidencias temporales significativas sobre los mismos activos o usuarios. Aquí es donde la IA multiplica al analista humano: correlacionar mentalmente veinte alertas dispersas es agotador; hacerlo con IA generativa toma segundos.

El tercer prompt es de calificación. Una vez enriquecida y correlacionada la alerta, la IA propone una calificación de severidad, urgencia y confianza, con justificación explícita y trazable, siguiendo un rúbrica estructurada. La calificación de la IA es una propuesta, nunca una decisión: el analista humano la valida, la ajusta o la rechaza. Pero tener esa propuesta bien fundamentada acorta el tiempo hasta decisión de forma dramática.

Vas a interiorizar tres reglas operacionales que atraviesan todo el flujo. Primero, un prompt hace una cosa y la hace bien; combinar enriquecimiento, correlación y calificación en un solo prompt gigante es la receta más común para respuestas mediocres. Segundo, la calificación siempre viene con justificación explícita y trazable a evidencia; una severidad "alta" sin justificación es inaceptable, aunque el modelo la afirme con confianza. Y tercero, el marco RACE (Rol, Acción, Contexto, Ejemplo) que aprendiste en el bloque de vulnerabilidades sigue siendo el esqueleto de cada prompt, ahora aplicado al dominio del triaje SOC.

Al terminar la clase vas a tener tres prompts operativos listos para copiar, adaptar a tu entorno y ejecutar en secuencia sobre cualquier alerta que llegue a tu cola, y vas a tener el criterio para saber cuándo cada prompt está bien construido y cuándo necesita más contexto para producir una respuesta útil.

Los reportes de inteligencia de amenazas llegan largos, densos y escritos para audiencias mixtas: ejecutivos, jurídico, marketing y, casi al final, analistas. Cuando el turno está por cerrar y el liderazgo pide un briefing, no hay tiempo de leer 17 páginas de PDF y destilar lo esencial a mano. En esta clase aprenderás a usar IA generativa como un traductor operativo de reportes de amenazas: cómo sanear el contenido antes de enviarlo a un LLM, cómo construir un resumen ejecutivo estructurado con el marco RACE, cómo adaptar la misma información a tres audiencias distintas (dirección no técnica, analistas SOC en el sistema de tickets y equipo en canal colaborativo), y cómo iterar con la IA para eliminar lenguaje vago, verificar indicadores de compromiso y recuperar el mapeo a MITRE ATT&CK cuando falta. Todo bajo el principio permanente del curso: la IA es copiloto, nunca autopiloto, y toda inteligencia debe validarse contra fuentes autoritativas antes de circular. Al terminar tendrás una biblioteca de prompts lista para descargar y aplicar en tu flujo semanal de CTI.

Los reportes de inteligencia de amenazas están escritos para ser leídos por personas, no consumidos por sistemas defensivos. Direcciones IP escondidas dentro de párrafos narrativos, dominios ofuscados con notación defang, hashes mezclados con explicaciones técnicas, tácticas descritas en prosa sin su identificador oficial de MITRE ATT&CK. Cuando un analista tiene que rescatar esos elementos a mano bajo presión, se pierde tiempo, se cometen errores de transcripción y se cuelan omisiones que después son puntos ciegos en las reglas de detección. En esta clase aprenderás a diseñar una cadena de prompts de extracción granular que rescata indicadores de compromiso por tipo (IP, dominio, URL, hash), levanta un mapeo completo de tácticas, técnicas y procedimientos contra MITRE ATT&CK con evidencia textual de sustento, identifica al actor y su perfil de sofisticación, entrega la salida en el formato que consume cada herramienta de tu stack (tabla Markdown para documentación, JSON para automatización, bloque plano para tickets) y finalmente traduce esa extracción a decisiones concretas de enriquecimiento en plataformas públicas de threat intel, ingeniería de detección y planificación de ejercicios de purple team. La IA acelera la extracción; la verificación contra fuentes autoritativas y la decisión de qué desplegar siguen siendo tuyas.

Un mapeo a MITRE ATT&CK vale exactamente lo que vale su nivel de granularidad. Detenerse en la técnica genérica es garantizar reglas de detección ruidosas, con miles de falsos positivos por semana, que terminan siendo apagadas y dejan huecos silenciosos en tu cobertura. Bajar al nivel de subtécnica y de procedimiento observado es lo que hace la diferencia entre una regla que produce señal alta y una regla que produce fatiga por alertas.

En esta clase aprenderás a operar la cadena completa de mapeo profesional a MITRE ATT&CK Enterprise con IA generativa como copiloto. Trabajarás cinco prompts encadenados que cubren cada etapa del proceso: un mapeo jerárquico profundo que recorre táctica, técnica, subtécnica y procedimiento con cita textual y nivel de confianza por cada nivel; una auditoría rigurosa de precisión que verifica formato, existencia, nombre y correspondencia de cada ID contra la matriz oficial de MITRE, para detectar identificadores obsoletos, retirados o mal correspondidos antes de que contaminen tus detecciones; una contextualización al ambiente concreto de tu organización, que cruza cada técnica con tu sector, tu geografía y tu stack tecnológico para dictaminar aplicabilidad real y descartar ruido; un enriquecimiento con procedimientos específicos que transforma el mapeo académico en insumo directo para ingeniería de detección, con artefactos observables reales y evaluación de riesgo de falso positivo por artefacto; y finalmente una matriz visual de cobertura que hace explícito qué técnicas ya vigilas, cuáles vigilas parcialmente y cuáles tienes descubiertas, con prioridades de cierre urgente, alta, media o baja para planificar sprints de detection engineering, justificar inversión ante liderazgo y sustentar exposiciones ante gobierno.

La clase enfatiza tres disciplinas no negociables: fijar siempre la versión de MITRE ATT&CK contra la que validaste tu mapeo, exigir evidencia textual por cada afirmación para evitar alucinaciones plausibles pero infundadas, y presentar todas las propuestas de detección en pseudocódigo neutro marcado [VERIFICAR], nunca como reglas listas para desplegar en producción. La IA acelera radicalmente el mapeo inicial y la construcción de la matriz de cobertura; la verificación final contra la matriz oficial, la revisión de correspondencia y la decisión de qué desplegar siguen siendo responsabilidad humana. Al terminar tendrás una biblioteca de cinco prompts descargable, lista para aplicar sobre cualquier reporte de amenazas que llegue a tu bandeja, y un método reproducible que convierte prosa narrativa en cobertura de detección accionable.

Un indicador de compromiso sin enriquecimiento es apenas una cadena de texto sospechosa. Una dirección IP aislada no te dice si es un servidor de comando y control activo, un proxy comprometido, un nodo Tor, una IP compartida de un CDN legítimo o simplemente una dirección residencial dinámica que apareció una vez y ya no existe. Un hash sin contexto no te dice si es la primera muestra vista en el mundo o si lleva tres años catalogada en cincuenta motores antivirus. Un dominio nuevo puede ser un servidor de phishing recién registrado o el sitio corporativo legítimo de un cliente que nunca antes habías visto. Convertir cada indicador en inteligencia útil requiere enriquecimiento sistemático desde fuentes OSINT (Open Source Intelligence, inteligencia de fuentes abiertas): VirusTotal, AbuseIPDB, Shodan, urlscan.io, ThreatFox, MalwareBazaar, WHOIS, información de certificados TLS, historial pasivo de DNS, entre otras.

En esta clase aprenderás a diseñar una cadena de prompts profesional que orquesta el enriquecimiento OSINT como capacidad estructurada: cómo planificar qué fuente consultar según el tipo de indicador y qué información buscar en cada una, cómo consolidar los hallazgos dispersos en una ficha de reputación con veredicto de confianza, cómo cruzar el enriquecimiento con contexto histórico para reforzar o revisar hipótesis de atribución, cómo aplicar disciplina de higiene operacional para no exponer accidentalmente a tu organización durante las consultas, y cómo cerrar el ciclo con un pivote hacia otros indicadores relacionados que podrían ampliar tu comprensión de la campaña.

La clase enfatiza que la IA no consulta las plataformas OSINT por ti. La IA planifica qué consultar, estructura los resultados que tú traes de vuelta, detecta contradicciones entre fuentes, propone hipótesis de atribución con nivel de confianza declarado y sugiere pivotes lógicos. La consulta real y la decisión de confiar en un veredicto siguen siendo humanas. Al terminar tendrás una biblioteca descargable de cinco prompts y un método reproducible para transformar cada IOC extraído en una ficha OSINT completa lista para alimentar bloqueo, hunting, atribución y reporte.

La mayoría de los equipos de threat intelligence producen un solo boletín y lo distribuyen indistintamente a analistas SOC, a líderes técnicos, a la gerencia de seguridad y al comité ejecutivo. El resultado es predecible: los analistas lo consideran superficial, los ejecutivos lo consideran incomprensible, la gerencia intermedia lo consideran incompleto, y con el tiempo el boletín deja de leerse. La inteligencia deja de circular no por falta de calidad del contenido, sino por falta de segmentación editorial de la audiencia.

En esta clase aprenderás a diseñar y producir boletines de amenazas periódicos y sostenidos como un producto editorial recurrente del área de CTI (Cyber Threat Intelligence, inteligencia de amenazas cibernéticas), no como un briefing puntual de incidente. Trabajarás cinco prompts encadenados que cubren el ciclo completo: cómo definir con precisión las tres audiencias tipo del boletín y qué expectativa editorial atender en cada una, cómo curar y priorizar la agenda temática del período a partir del universo de amenazas recibido, cómo redactar el boletín para audiencia operativa técnica del SOC con foco en detección y hunting inmediato, cómo redactar la versión para gerencia intermedia con enfoque en exposición, decisiones pendientes y prioridades del período, y cómo redactar la versión ejecutiva con foco estratégico en tendencias, comparación con el período anterior y decisiones que requieren respaldo de dirección.

La clase enfatiza la disciplina editorial que separa un producto de CTI serio de un simple compendio de amenazas: coherencia temática entre versiones, calibración honesta de niveles de confianza, uso responsable de lenguaje evaluado que no exagera para generar atención ni suaviza para evitar incomodidad, y trazabilidad entre lo que se afirma en el boletín y la evidencia técnica que lo sustenta. Al terminar tendrás una biblioteca descargable de cinco prompts y un método reproducible para publicar boletines semanales, mensuales o de evento crítico que efectivamente sean leídos por la audiencia a la que van dirigidos.

Aprende a interpretar con IA generativa la evidencia que un binario sospechoso revela sin necesidad de ejecutarlo. En esta clase práctica trabajarás el análisis estático de archivos ejecutables en formato PE (Portable Executable, el formato de ejecutables de Windows) apoyándote en cinco prompts profesionales construidos con el marco RACE. Aprenderás a clasificar cadenas de texto extraídas de un binario separando señal de ruido, a interpretar metadatos de compilación y firma digital buscando contradicciones, a leer la tabla de secciones PE detectando empaquetado y entropía anómala, a razonar sobre la tabla de importaciones para inferir capacidades sin ejecutar código, y a consolidar toda la evidencia en un dictamen estático con nivel de confianza declarado. Todos los prompts operan sobre salidas de herramientas que tú ejecutas en tu laboratorio aislado, nunca sobre el binario en vivo, y todos exigen a la IA declarar explícitamente qué afirma la evidencia y qué es inferencia. Cerrarás con una biblioteca descargable de los cinco prompts lista para tu flujo diario de análisis de malware.

Aprende a construir reglas YARA sólidas apoyándote en IA generativa como copiloto, sin renunciar al criterio del analista. YARA es el estándar de facto para escribir firmas de detección de malware basadas en patrones dentro de archivos, y en esta clase trabajarás cinco prompts profesionales con marco RACE que cubren el ciclo completo: extracción de candidatos a patrón desde evidencia estática, redacción de una regla YARA inicial con condición equilibrada, depuración de una regla existente que arroja demasiados falsos positivos, endurecimiento contra evasión con anclas técnicas verificables, y pruebas mentales previas al despliegue con estimación de superficie de coincidencia. Todos los prompts exigen a la IA distinguir entre patrones fuertes y débiles, marcar cadenas dudosas como [VERIFICAR] y nunca sugerir despliegue directo en producción. Cerrarás con una biblioteca descargable de los cinco prompts lista para tu flujo diario de detección.

Aprende a usar IA generativa como copiloto en ingeniería inversa de binarios, sin renunciar al criterio del analista ni caer en la trampa de la explicación bien redactada pero inventada. En esta clase trabajarás cinco prompts profesionales con marco RACE que cubren el ciclo típico de trabajo sobre pseudocódigo decompilado: interpretación funcional de un bloque, renombrado semántico de variables y funciones sin nombre, reconstrucción de la lógica de una rama sospechosa (persistencia, comunicación o descifrado), identificación de constantes y estructuras conocidas, y consolidación en una nota de reversa con hipótesis marcadas por su nivel de sustento. Todos los prompts operan sobre pseudocódigo extraído por ti con tu herramienta de decompilación en laboratorio aislado, exigen a la IA distinguir lo que el código dice de lo que la IA infiere, y nunca sugieren ejecución ni parcheo del binario. Cerrarás con una biblioteca descargable de los cinco prompts lista para tu flujo diario de reversa.

Aprende a extraer indicadores de compromiso desde muestras de malware y artefactos forenses usando IA generativa como copiloto, sin perder trazabilidad ni caer en la trampa del indicador plausible pero inventado. En esta clase trabajarás cinco prompts profesionales con marco RACE que cubren el ciclo completo: extracción cruda de IOCs desde salidas heterogéneas de tus herramientas, saneamiento y normalización con formato defanged estándar, clasificación por valor discriminante y ciclo de vida esperado, empaquetado en formatos operativos listos para consumo (STIX simplificado, CSV para SIEM y Markdown para wiki), y auditoría final de trazabilidad antes de compartir. Todos los prompts operan sobre texto extraído por ti en laboratorio aislado, exigen a la IA distinguir entre indicador observado, indicador inferido e indicador reutilizado del contexto, y nunca sugieren consulta directa a servicios externos desde el binario. Cerrarás con una biblioteca descargable de los cinco prompts lista para tu flujo diario de gestión de indicadores.

Aprende a diseccionar correos sospechosos con IA generativa sin ejecutar nada peligroso. En esta primera clase de la sección de phishing e ingeniería social, descomponemos un mensaje en sus tres capas de evidencia: cabeceras técnicas, cuerpo persuasivo y adjuntos. Vas a construir cinco prompts profesionales bajo el marco RACE para auditar la autenticación del remitente con SPF, DKIM y DMARC, detectar cadenas Received inconsistentes y dominios suplantados, mapear las palancas de ingeniería social presentes en el cuerpo (urgencia, autoridad, escasez, miedo, curiosidad, reciprocidad, prueba social), analizar URLs incrustadas con técnicas de ofuscación como homógrafos y redirecciones, e inspeccionar adjuntos declarados contra su tipo real sin abrirlos. Cerramos con un dictamen integrado que consolida las tres capas en un veredicto operativo con cuatro estados. Todos los prompts están construidos con marcadores de posición estandarizados, marcas [VERIFICAR] para dependencias de fuentes autoritativas y formato defanged para indicadores, alineado con la filosofía del curso de IA como copiloto y nunca autopiloto. Al terminar la clase tendrás una biblioteca descargable de cinco prompts lista para copiar y adaptar a tu bandeja de análisis, tu buzón de reportes de phishing o tu cola de triaje SOC.

Aprende a detectar patrones lingüísticos hostiles y suplantación de marca en correos y mensajes con IA generativa. En esta segunda clase de la sección de phishing e ingeniería social vas a construir cinco prompts profesionales bajo el marco RACE para analizar el registro y el tono del mensaje, detectar traducciones automáticas y modismos fuera de contexto, auditar la coherencia entre firma, plantilla y voz corporativa esperada, identificar suplantación visual y textual de marca (logo descrito, colores institucionales, cierre corporativo, dominio de firma) y consolidar los hallazgos lingüísticos y de marca en un dictamen de autenticidad de voz. Todos los prompts usan marcadores estandarizados, marcas [VERIFICAR] para dependencias de fuentes autoritativas y formato defanged para indicadores. Al terminar tendrás una biblioteca descargable lista para triaje lingüístico en tu SOC o buzón de reportes.

Aprende a detectar y responder a ataques con deepfakes de voz, imagen y video en el entorno corporativo con IA generativa. En esta tercera clase de la sección de phishing e ingeniería social vas a construir cinco prompts profesionales bajo el marco RACE para analizar señales de voz sintética en audios sospechosos (mensajes de voz, llamadas grabadas, notas), inspeccionar imágenes fijas con marcadores clásicos de generación por IA, analizar videos cortos con foco en sincronización labial, parpadeo y coherencia contextual, diseñar un procedimiento operativo de doble verificación por canal independiente para solicitudes sensibles y consolidar los hallazgos en un dictamen de autenticidad multimedia. Todos los prompts trabajan bajo marco defensivo estricto, marcadores estandarizados y marcas [VERIFICAR] para dependencias de fuentes autoritativas. Al terminar tendrás una biblioteca descargable lista para triaje multimedia, protocolo antifraude ejecutivo y educación a usuarios de alto perfil.

Aprende a diseñar simulacros de phishing corporativos con IA generativa bajo un marco ético estricto y con foco pedagógico, no punitivo. En esta cuarta clase de la sección de phishing e ingeniería social vas a construir cinco prompts profesionales bajo el marco RACE para definir objetivos y salvaguardas éticas del simulacro, generar cebos realistas por segmento de audiencia respetando límites duros (nada de temas sensibles como salud, familia o despidos), diseñar el proceso de aterrizaje educativo cuando alguien "cae" en el cebo, construir métricas justas y no punitivas que midan aprendizaje real y no simple obediencia, y consolidar el simulacro en un plan ejecutivo con salvaguardas, comunicación previa a stakeholders y ciclo de mejora continua. Todos los prompts trabajan bajo marco ético permanente, aprobaciones documentadas y prohibición de temas sensibles. Al terminar tendrás una biblioteca descargable lista para tu programa de concientización, comité de seguridad o área de gente y cultura.

Aprende a producir materiales de concientización en ciberseguridad que sí cambian conducta, con IA generativa como copiloto. En esta quinta clase de la sección de phishing e ingeniería social vas a construir cinco prompts profesionales bajo el marco RACE para adaptar el mensaje al segmento y al nivel de madurez de tu audiencia, redactar microcápsulas educativas de 60 segundos con foco en un solo patrón, generar guiones cortos para video vertical corporativo, diseñar carteles y piezas gráficas de alto impacto y bajo texto y construir campañas con calendario editorial de 12 semanas alineado a hitos del programa. Todos los prompts trabajan bajo marco ético permanente, lenguaje inclusivo, sin culpa, sin miedo y sin jerga inaccesible, con marcadores estandarizados y salvaguardas de accesibilidad. Al terminar tendrás una biblioteca descargable lista para tu programa de concientización, comunicaciones internas, RRHH o área de gente y cultura.

Aprenderás a diseñar playbooks de respuesta a incidentes con asistencia de IA generativa, usando el marco RACE y los ciclos de vida de NIST SP 800-61 y SANS PICERL como columna vertebral. La clase te entrega prompts operativos listos para pantalla que estructuran el playbook por fases, detallan acciones y responsables con lógica RACI, construyen árboles de decisión con criterios de contención y escalado, y auditan la completitud del documento contra el framework de referencia. Todo bajo marco defensivo: marcadores de posición estandarizados, marcas [VERIFICAR] para dependencias de fuentes autoritativas y comandos siempre sugeridos. Al terminar, tendrás una biblioteca de prompts descargable y el criterio para producir playbooks accionables sin caer en documentos genéricos que nadie ejecuta cuando la alarma suena.

Aprenderás a reconstruir líneas de tiempo forenses de un incidente a partir de logs y evidencias dispersas con asistencia de IA generativa, sin renunciar al rigor de la cadena de custodia ni a la trazabilidad de cada evento. La clase te guía a normalizar timestamps a una zona horaria de referencia, correlacionar fuentes heterogéneas (SIEM, EDR, autenticación, proxy, DNS, artefactos de endpoint), reconstruir el timeline en formato tabular y en formato narrativo, calificar cada evento por confianza y por rol dentro de la cadena de ataque, y detectar huecos, contradicciones y posibles antiforenses.

Trabajarás cinco prompts operativos listos para pantalla, construidos con el marco RACE y bajo marco defensivo permanente: marcadores de posición estandarizados, marcas [VERIFICAR] para dependencias de fuentes autoritativas y prohibición de datos sensibles reales. Al terminar tendrás una biblioteca de prompts descargable y criterio operativo para transformar cientos de líneas de log en una historia coherente que resista revisión técnica, legal y ejecutiva. La IA es tu copiloto en la reconstrucción; la lectura forense sigue siendo tuya.

Aprenderás a conducir un análisis de causa raíz (RCA) de incidentes de seguridad con asistencia de IA generativa, sin caer en la trampa de confundir síntomas con causas ni de cerrar la investigación con explicaciones que suenan bien pero no resisten evidencia. La clase te guía a separar hechos observados de hipótesis, a aplicar la técnica de los cinco porqués con criterio de parada, a construir un diagrama de espina de pescado en texto plano cubriendo seis categorías (personas, procesos, tecnología, configuración, terceros, gobierno), a calificar cada causa candidata por sustento y por controlabilidad, y a cerrar con un dictamen de causa raíz que distingue causa raíz, causas contribuyentes y factores agravantes.

Trabajarás cuatro prompts operativos listos para pantalla, construidos con el marco RACE y bajo marco defensivo permanente: marcadores estandarizados, marcas [VERIFICAR] para dependencias de fuentes autoritativas y prohibición de datos sensibles reales. Al terminar tendrás una biblioteca de prompts descargable y criterio operativo para producir análisis de causa raíz accionables, que conecten hallazgos con controles concretos a incorporar y con la matriz de acciones correctivas del reporte post-incidente. La IA acompaña la investigación; la lectura causal sigue siendo tuya.

Aprenderás a redactar los tres frentes de comunicación de una crisis de ciberseguridad con asistencia de IA generativa: interna hacia el equipo y la organización, externa hacia clientes, socios y prensa, y regulatoria hacia autoridades y aseguradora. La clase te guía a fijar los principios inamovibles de comunicación en crisis (una sola voz autorizada, verdad progresiva sin promesas prematuras, no atribución pública sin sustento, separación estricta entre hechos confirmados y elementos en investigación), a producir mensajes segmentados por audiencia con tono y densidad calibrados, a construir plantillas de holding statements y updates periódicos con reloj y responsable, y a preparar el paquete de notificación regulatoria con marcas [VERIFICAR] sobre ventanas de reporte de GDPR, NIS 2, DORA y regulaciones locales.

Trabajarás cuatro prompts operativos listos para pantalla, construidos con el marco RACE y bajo marco defensivo permanente: marcadores estandarizados, marcas [VERIFICAR] para dependencias de fuentes autoritativas y prohibición de datos sensibles reales. Al terminar tendrás una biblioteca de prompts descargable y criterio operativo para producir comunicaciones que informen sin sobreexponer, alineen sin filtrar y cumplan sin improvisar. La IA acelera la redacción; la decisión de qué se dice, cuándo y con qué firma sigue siendo humana.

Aprenderás a producir reportes post-incidente y lecciones aprendidas con asistencia de IA generativa que dejen de ser documentos ceremoniales guardados en un repositorio y pasen a alimentar el próximo playbook con mejoras trazables. La clase te guía a estructurar el reporte con las secciones estándar (resumen ejecutivo, línea de tiempo, causa raíz, impacto, respuesta, lecciones aprendidas, acciones correctivas), a producir tres versiones del mismo reporte para tres audiencias (técnica, ejecutiva, board), a redactar lecciones aprendidas sin cultura de culpa siguiendo el principio blameless post-mortem, a calificar cada lección por controlabilidad, prioridad y esfuerzo, y a cerrar con una matriz de retroalimentación que conecta cada lección con playbooks, controles y programas de capacitación específicos.

Trabajarás cuatro prompts operativos listos para pantalla, construidos con el marco RACE y bajo marco defensivo permanente: marcadores estandarizados, marcas [VERIFICAR] para dependencias de fuentes autoritativas y prohibición de datos sensibles reales. Al terminar tendrás una biblioteca de prompts descargable y criterio operativo para producir reportes que informen, alineen y disparen mejoras verificables. La IA acelera la redacción; la decisión editorial y la asignación de acciones siguen siendo humanas.