🗺️ Matriz de roles: SOC, SecOps, DevSecOps, AppSec, Cloud Security y DFIR

Los nombres de estos puestos se solapan en las ofertas de empleo y no significan lo mismo. Esta página los separa por lo único que no engaña: qué hace la persona todos los días, qué decide y qué entrega. Es el mapa transversal de las rutas por rol de la familia defensiva y de seguridad del software.

Regla de lectura: el contenido de la oferta manda sobre el título. Si un anuncio dice "Especialista DevSecOps" y describe triaje, priorización y reportes, es un Analista DevSecOps; si describe pipelines, firma y políticas, es un Ingeniero DevSecOps; si describe ambas cosas, es una vacante mixta y conviene negociarla como tal.

🧭 Las tres distinciones que más se confunden

1. SOC ≠ SecOps. El analista de SOC trabaja sobre eventos: detecta, triaja alertas, caza y escala. El analista SecOps trabaja sobre controles y riesgo: cobertura, vulnerabilidades, parcheo, accesos, SLA y métricas. Uno descubre que algo pasó; el otro se asegura de que la causa desaparezca y no vuelva.
2. AppSec ≠ DevSecOps. AppSec mira hacia dentro del software: diseño, modelado de amenazas, revisión de código, ASVS, acompañamiento al desarrollador. DevSecOps mira el proceso por el que ese software se construye, se verifica y se entrega. AppSec define qué hay que comprobar; DevSecOps hace que se compruebe solo, siempre y en el momento correcto.
3. Cloud Security ≠ DevSecOps. Cloud Security protege la plataforma donde corre lo desplegado: IAM de la nube, postura y CSPM, segmentación, clúster, logging y respuesta en la nube. DevSecOps protege el camino hasta ahí: código, dependencias, imagen, pipeline, firma y procedencia. Se cruzan en IaC, contenedores y Kubernetes, y esa frontera hay que acordarla por escrito en cada organización.

Y una cuarta, dentro de cada familia: analista ≠ ingeniero. El analista opera y decide sobre el riesgo; el ingeniero construye y mantiene la capacidad técnica. En empresas pequeñas una persona hace ambas; eso no las convierte en el mismo puesto, solo en el mismo contrato.

🔄 El ciclo completo y quién interviene en cada tramo

Lectura del diagrama, tramo a tramo:

El bucle importa más que las cajas: un incidente que no cambia el diseño, el pipeline o el control se va a repetir. El tramo de retroalimentación es donde estos siete roles dejan de ser silos.

📊 Matriz comparativa

La matriz completa se presenta en cinco bloques —identidad, trabajo, decisiones, entregables y recorrido en el programa— porque una sola tabla de quince columnas es ilegible. Todas comparten la misma primera columna, así que se leen en paralelo.

Bloque 1 — Identidad y momento del ciclo

Bloque 2 — Qué opera, qué analiza y qué construye

Bloque 3 — Decisiones, herramientas y nivel de programación

Bloque 4 — Entregables y métricas

Bloque 5 — Clases, laboratorios y progresión

🎯 Cómo elegir entre ellos

Cuatro preguntas honestas, respondidas en orden:

1. ¿Quieres decidir o construir? Decidir → perfiles de analista. Construir → perfiles de ingeniero. No hay uno mejor: hay techos y rutinas distintas.
2. ¿Te interesa más el software o la infraestructura? Software → AppSec o DevSecOps. Infraestructura y operación → SOC, SecOps o Cloud Security.
3. ¿Cuánta programación quieres en tu semana? Casi nada → SOC o Analista SecOps. Leer código y automatizar informes → Analista DevSecOps. Escribir código que otros usan → Ingeniero SecOps o Ingeniero DevSecOps.
4. ¿Prefieres el tiempo real o el tiempo largo? Tiempo real (turnos, alertas, incidentes) → SOC y DFIR. Tiempo largo (programas, deuda, plataformas) → SecOps, DevSecOps y Cloud Security.

Una casilla que esta matriz no contiene, y que conviene reconocer en un anuncio: cuando la oferta suma a todo lo anterior la disponibilidad de la plataforma —servidores, Microsoft 365 y Active Directory, virtualización, respaldos, enlaces— ya no estás mirando ninguno de estos siete puestos, sino una jefatura de infraestructura y ciberseguridad (ruta). La señal que lo delata es que el mismo cargo responde por que el correo funcione y por el SGSI; ahí el eje deja de ser analista o ingeniero y pasa a ser operar y responder.

Y un consejo que ahorra años: el primer puesto no define la carrera. Los cruces entre estas casillas son la norma, no la excepción, y casi todos comparten un mismo cimiento — la Parte 0.

📎 Fuentes y marcos de referencia

Las descripciones de responsabilidades de esta matriz se apoyan en marcos públicos y primarios, no en definiciones inventadas. Consultados en agosto de 2026:

• NIST Cybersecurity Framework 2.0 (2024) — las funciones Govern, Identify, Protect, Detect, Respond, Recover estructuran el ciclo del diagrama: https://www.nist.gov/cyberframework
• NIST SP 800-218, Secure Software Development Framework (SSDF) v1.1 (2022) — las prácticas contra las que el Analista DevSecOps mapea evidencia: https://csrc.nist.gov/pubs/sp/800/218/final
• NIST SP 800-61, Computer Security Incident Handling Guide — el ciclo de respuesta que ejecutan SOC, SecOps y DFIR: https://csrc.nist.gov/pubs/sp/800/61/r2/final
• OWASP SAMM — modelo de madurez del software seguro: https://owaspsamm.org/
• OWASP ASVS — requisitos de verificación de aplicaciones, terreno de AppSec: https://owasp.org/www-project-application-security-verification-standard/
• OWASP DevSecOps Guideline — mapa de controles del pipeline: https://owasp.org/www-project-devsecops-guideline/
• MITRE ATT&CK — lenguaje común de detección y cobertura: https://attack.mitre.org/
• CISA Known Exploited Vulnerabilities (KEV) — explotación confirmada: https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• FIRST EPSS y CVSS — probabilidad de explotación y severidad: https://www.first.org/epss/ · https://www.first.org/cvss/
• SLSA — niveles de integridad de la cadena de suministro: https://slsa.dev/
• OpenSSF — buenas prácticas de código abierto y cadena de suministro: https://openssf.org/
• CycloneDX y SPDX — formatos de SBOM: https://cyclonedx.org/ · https://spdx.dev/
• CIS Controls y Benchmarks — prioridades operativas y líneas base: https://www.cisecurity.org/controls

Esta página no incluye datos salariales ni tendencias del mercado laboral: cada guía de rol remite a ofertas reales, indicando país, moneda y fecha, porque cualquier cifra publicada aquí quedaría desactualizada y no sería verificable.

🔗 Relacionado

🎮 La especialización de videojuegos tiene una matriz propia porque añade autoridad de juego, integridad competitiva, sanciones y apelaciones: modelo operativo de Game Security, Game Security Engineer y Game Integrity Analyst.

🗂️ ¿Buscas la misma disciplina aplicada a los cargos de dirección? El ecosistema CISO separa CISO, Field CISO, vCISO, BISO, Product CISO, AI CISO y OT CISO —y los cargos vecinos que no son tipos de CISO— con una matriz comparativa equivalente a esta.

• Rutas por rol · Examen final por rol · Rúbrica de evaluación · Syllabus
• Laboratorios · Certificaciones