EY Cybersecurity Analyst: CV, palabras clave y entrevista

Llevas semanas enviando tu CV a puestos de ciberseguridad y solo recibes silencio. Es frustrante, pero el problema puede no ser tu experiencia, sino la forma en que la presentas a empresas como EY.

Las grandes consultoras utilizan filtros automáticos. Si tu CV no está optimizado, nunca llegará a un par de ojos humanos. Vamos a arreglarlo.

Por qué EY no es como las demás#

EY es una consultora Big Four. No venden un producto propio. Venden tu tiempo y tu conocimiento a clientes de todo tipo: bancos, hospitales, fábricas. Esto cambia todo.

Significa que buscan perfiles versátiles. Necesitan gente que pueda hablar con el departamento de TI de un cliente y, al día siguiente, explicarle el riesgo a un directivo que no sabe qué es un firewall. Tu CV y tu forma de hablar deben reflejar esa dualidad técnica y de negocio.

Palabras clave que EY busca en tu CV#

Los sistemas de seguimiento de candidatos (ATS) escanean tu CV en busca de términos específicos. Si no están, pasas al "no". No se trata de copiar y pegar, sino de integrarlas de forma natural donde has usado esas herramientas o metodologías.

Aquí tienes una lista de lo que suele funcionar en este tipo de perfiles. No es una lista cerrada, pero te da una idea del lenguaje que debes usar.

• Análisis de vulnerabilidades
• Gestión de incidentes de seguridad
• Pruebas de penetración (Penetration Testing)
• SIEM (Splunk, QRadar, ArcSight)
• Respuesta a incidentes (Incident Response)
• NIST, ISO 27001, CIS Controls
• Evaluación de riesgos (Risk Assessment)
• Seguridad en la nube (AWS, Azure, GCP)
• Redacción de informes técnicos
• Cumplimiento normativo (GDPR, LOPDGDD)

Un consejo: usa la herramienta de decodificación de descripciones de puesto de trabajo para comparar tu CV con la oferta que te interesa. Puedes usarla gratis aquí: /es/free-jd-decoder/.

Cómo reescribir tu CV para que funcione#

Olvida los resúmenes genéricos tipo "Profesional de la ciberseguridad con gran capacidad de análisis". A EY no le importa. Le importa qué puedes hacer por sus clientes.

La regla de oro es: logro + acción + resultado. Y, si puedes, añade el contexto del cliente (sin nombrarlo).

Ejemplo de bullet point reescrito

Imagina que en tu puesto anterior monitorizabas alertas. La mayoría de la gente escribiría algo así:

• Monitorización de alertas de seguridad en el SIEM.

Es correcto, pero aburrido y no demuestra impacto. Ahora, piensa en el problema de negocio que resolviste.

Versión mejorada para EY:

• Lideré la monitorización y triaje de más de 500 alertas diarias en Splunk para un cliente del sector financiero, reduciendo el tiempo medio de respuesta a incidentes críticos en un 30% y asegurando el cumplimiento de la normativa PCI DSS.

¿Ves la diferencia? La segunda versión muestra iniciativa ("lideré"), da un dato concreto (500 alertas, 30%), menciona la herramienta (Splunk), el sector (financiero) y un estándar de cumplimiento (PCI DSS). Habla el lenguaje de EY.

Preparando la entrevista: qué esperar#

No esperes solo preguntas técnicas. En una Big Four, la entrevista se divide en varias partes. Prepárate para las tres patas: técnica, de comportamiento y de caso de estudio.

La parte técnica

Preguntarán sobre tu experiencia. No basta con decir "usé Splunk". Debes explicar cómo, para qué y qué conseguiste.

• Mal: "He hecho pruebas de penetración".
• Bien: "Realicé pruebas de penetración en aplicaciones web para un cliente del sector retail, usando herramientas como Burp Suite y OWASP ZAP. Identifiqué tres vulnerabilidades de inyección SQL críticas que fueron remediadas antes del lanzamiento, evitando una potencial brecha de datos".

La parte de comportamiento (competencias)

Usan el método STAR (Situación, Tarea, Acción, Resultado). Quieren saber cómo gestionas el estrés, el trabajo en equipo o los conflictos.

Prepárate una historia para cada competencia: trabajo en equipo, resolución de problemas, gestión del tiempo, comunicación con clientes.

Ejemplo de respuesta a una pregunta de competencia

Pregunta del entrevistador: "Cuéntame una vez que tuviste que comunicar una mala noticia técnica a un cliente".

Tu respuesta estructurada con STAR:

• Situación: Durante una auditoría de seguridad para una PYME, descubrimos una vulnerabilidad crítica en su servidor de producción que exponía datos de clientes.
• Tarea: Mi tarea era informar al director de TI del cliente, que no tenía un perfil técnico muy avanzado, sin causar pánico pero dejando clara la urgencia.
• Acción: Preparé un informe ejecutivo con dos secciones: una página con el resumen de negocio (riesgo financiero, de reputación y de cumplimiento) y un anexo técnico detallado. En la reunión, me centré en el impacto para su negocio, usando analogías simples, y le presenté un plan de remediación claro con plazos realistas.
• Resultado: El cliente entendió la gravedad sin sentirse abrumado. Aprobaron el plan de acción en 24 horas y remediaron la vulnerabilidad en 48 horas, evitando una sanción de la AEPD.

El caso de estudio

Es la parte más difícil. Te darán un escenario de negocio (ej: "un banco sospecha que ha tenido un robo de datos") y te pedirán que estructures tu respuesta.

No buscan la solución perfecta. Quieren ver cómo piensas. ¿Qué preguntas harías? ¿A quién llamarías primero? ¿Qué es lo más importante: contener el ataque, preservar evidencia o notificar a los reguladores? Piensa en el orden lógico de las acciones.

La realidad del mercado en España y la compensación#

El sector de la ciberseguridad tiene mucha demanda, pero también mucha competencia. Las ofertas en España para analistas con 2-4 años de experiencia suelen estar en un rango de 30.000 a 45.000 euros brutos anuales. En Madrid y Barcelona, los rangos pueden ser algo más altos.

Estos números son orientativos. Varían mucho según la experiencia, las certificaciones (como CompTIA Security+, CISSP, CEH) y el tipo de proyecto. Consulta siempre fuentes actualizadas y pregunta por la política de certificaciones y bonus de la oficina de EY que te interese.

Para encontrar vacantes reales, puedes buscar en el portal de empleo de EY o en bolsas de trabajo especializadas. Echa un vistazo a las ofertas de ciberseguridad aquí: /es/jobs/.

Optimización final antes de enviar#

Antes de darle a "enviar", haz una última comprobación. Usa un verificador de CV para asegurarte de que no haya errores y de que el formato sea compatible con los sistemas automáticos. Puedes usar esta herramienta gratuita: /es/free-ats-checker/.

Y recuerda, la preparación no termina aquí. Sigue leyendo y aprendiendo. En nuestro blog tienes más artículos sobre cómo mejorar tu búsqueda de empleo en el sector tecnológico: /es/blog/.

Preguntas frecuentes#

¿Es necesario tener un máster en ciberseguridad para entrar en EY?

No es un requisito indispensable, pero sí un diferenciador. EY valora mucho las certificaciones técnicas (CompTIA, GIAC, CISSP) y la experiencia práctica. Un máster puede abrir puertas si no tienes experiencia, pero con un buen portafolio de proyectos y certificaciones puedes ser igual de competitivo.

¿Qué certificaciones valora más EY para este puesto?

Depende del nivel y del área. Para un analista, CompTIA Security+ o CEH son un buen comienzo. Para perfiles más senior, CISSP o certificaciones específicas de cloud (AWS Security Specialty, Azure Security Engineer) son muy demandadas. Revisa siempre la oferta de empleo concreta.

¿Cuánto tarda el proceso de selección en EY España?

Es un proceso largo. Desde la primera entrevista hasta la oferta final pueden pasar fácilmente de 4 a 8 semanas. Suele incluir una llamada de RRHH, una o dos entrevistas técnicas, un caso de estudio y, a veces, una entrevista final con un socio o directivo.

¿Puedo aplicar si no tengo experiencia en consultoría?

Por supuesto. EY contrata perfiles tanto de consultoría como de empresa final (in-house). Si vienes de una empresa de producto o de un CSIRT, tu experiencia técnica profunda es muy valiosa. Debes saber explicar cómo tu trabajo se alineaba con los objetivos del negocio.

¿Qué diferencia a EY de Deloitte o PwC en ciberseguridad?

A nivel de analista junior, las diferencias son sutiles. Depende más del equipo específico y de los proyectos en cartera en ese momento. Todas buscan perfiles similares. La clave es investigar las prácticas de ciberseguridad de cada una y ver cuál te encaja mejor con tus intereses a largo plazo.