Dónde encontrar CPE gratuitos para el CISSP

BrightTALK, los summits virtuales de SANS y los contenidos del panel de miembro de ISC2: ese es el trío de fuentes gratuitas que la comunidad recomienda en primer lugar, con respuestas notablemente estables a lo largo de tres años. El resto —pódcast, congresos, certificaciones— es complemento. La elegibilidad de una actividad y su grupo de adscripción dependen del CPE Handbook publicado en isc2.org: los testimonios incluyen un caso de reclasificación a posteriori de 20 horas del grupo A al grupo B.

Un punto que conviene señalar de entrada: todas las fuentes recogidas aquí están en inglés, ya que no se cita ninguna fuente de CPE en español en tres años de archivos. Mantener la certificación supone, por tanto, en la práctica, sentirse cómodo con el inglés, tanto al escucharlo como al leerlo.

¿Cuál es la fuente más recomendada por la comunidad?

BrightTALK, sin competencia seria. Es la respuesta refleja, a veces dada sin más comentario:

« BrightTALK. Nothing else. »

Traducción: «BrightTALK. Nada más».

La principal ventaja está en el abono automático: los canales patrocinados por ISC2 ingresan los CPE directamente en la cuenta cuando se ha indicado allí el número de miembro. Los canales citados en los testimonios son ISC2 Think Tank, Knowledge Vault, APAC Secure Webinars y Security Briefings, con una variante EMEA.

Se repiten dos reservas. La primera es el volumen de correos comerciales que llega tras el registro, hasta el punto de que el consejo compartido es usar una dirección de correo dedicada. La segunda es que el abono automático se describe como caprichoso: funciona la mayoría de las veces, no siempre.

¿Qué fuentes abonan automáticamente los créditos en la cuenta ISC2?

Destacan tres familias: BrightTALK, los summits virtuales de SANS y los contenidos internos de ISC2 (cuestionarios y seminarios web del panel de miembro). Los summits de SANS son objeto del comentario mejor valorado de uno de los hilos:

« SANS virtual summits are my main source of CPEs. They’re free, always high quality and they register your CPEs with ISC2 automatically »

Traducción: «Los summits virtuales de SANS son mi principal fuente de CPE. Son gratuitos, siempre de buena calidad, y registran tus CPE ante ISC2 automáticamente».

Estas son las fuentes gratuitas citadas, con los órdenes de magnitud y los plazos tal como se relatan en los testimonios.

Fuente (gratuita)	Orden de magnitud en CPE	Plazo hasta aparecer en el contador
BrightTALK, canales patrocinados por ISC2	1 por hora de seminario web	Automático, alrededor de 1 semana si la dirección coincide con la cuenta
Summits virtuales de SANS	12 a 15 por summit de 2 días	Automático, plazo no precisado
Seminarios web del panel de ISC2	Suficientes, según un comentario, para cubrir los 120	15 a 45 días
Cuestionarios Insights de ISC2	2 en grupo A por cuestionario, unos 6 cuestionarios al año	15 a 45 días
Pódcast	1 por hora de escucha	Declaración manual
Microsoft Learn (itinerarios SC-200, SC-300)	Unos 40 por itinerario	Declaración manual
ISO 27001 Lead Auditor, formación gratuita	Unos 11	Declaración manual
FutureCon, con código de acceso gratuito	Unos 10 al mes	Declaración manual
SECON, capítulo ISC2 de Nueva Jersey, en línea	5	Declaración manual
Webcasts semanales de Black Hills / Antisyphon	1 por hora, con certificado	Declaración manual
Seminarios web de fabricantes y revistas especializadas	1 por hora	Declaración manual
Voluntariado, escritura, reuniones de capítulo local	Variable	Declaración manual

Los cuestionarios merecen mención aparte: se abonan en el grupo A, los intentos son ilimitados y hay media docena disponibles a lo largo de un año, es decir, una docena de créditos sin esfuerzo. Su único defecto es el plazo de registro, que puede alcanzar los 45 días.

Un comentario va más lejos sobre los contenidos internos de ISC2:

« The webinars that are available to you in your membership dashboard are enough to earn all 120 cpes »

Traducción: «Los seminarios web disponibles en tu panel de miembro bastan para obtener la totalidad de los 120 CPE».

¿Cuántos CPE aporta un congreso?

Los congresos son la segunda gran familia de fuentes. Ofrecen el mejor rendimiento por hora, pero no todos son gratuitos.

Evento	Gratuito o de pago	Orden de magnitud en CPE
ISC2 Security Congress	No precisado en los testimonios	Unos 70 de una vez
DefCon	No precisado en los testimonios	20 a 32
BSides	No precisado en los testimonios	8 a 16
SecureWorld	De pago, se citan 320 dólares estadounidenses	12
FutureCon	Gratuito con código de acceso	Unos 10 al mes
SECON del capítulo ISC2 de Nueva Jersey	Gratuito, en línea	5
Reuniones de capítulo local	Generalmente gratuitas	Variable

En cuanto a los justificantes, un congreso no impone formalismo alguno: un miembro auditado después de DefCon cuenta que aportó capturas de sus propias publicaciones hechas allí mismo, y que los 35 créditos declarados fueron aceptados.

¿Cuentan realmente los pódcast, los libros y los vídeos?

Sí, como autoformación, y la comunidad los clasifica en el grupo A. Un trío de pódcast aparece con regularidad: Security Now, Darknet Diaries y Paul’s Security Weekly.

Destacan dos puntos prácticos. Primero, la declaración se hace episodio por episodio, lo que explica la preferencia manifiesta por los formatos largos: un pódcast semanal de dos horas produce más créditos para un mismo número de registros. Segundo, un breve resumen escrito basta como justificante: un miembro auditado cuenta que aportó «una captura de pantalla de Spotify como documento justificativo, y fue aceptada».

Los mismos principios se aplican a los libros, los artículos, los libros blancos y los vídeos de formación. Las plataformas de pago también aparecen con regularidad: cursos de más de veinte horas comprados por unos 10 dólares estadounidenses, o una suscripción de formación en línea sobre la que un miembro escribe:

« I binged probably 80 CPEs worth of LinkedIn Learning last year »

Traducción: «El año pasado me tragué del tirón el equivalente a unos 80 CPE de LinkedIn Learning».

¿Se puede convertir otra certificación en CPE?

Es una de las vetas más rentables. La preparación de una certificación cuenta como estudio, y la obtención en sí es declarable, siempre que se produzca después de la fecha de certificación, es decir, una vez aprobado el endorsement y pagada la cuota. El orden de magnitud observado ronda los 40 CPE por una certificación de nivel inicial de un proveedor de nube.

« My plan is to get one new certification per year. I just recorded my AWS SAA for 40 CPEs. »

Traducción: «Mi plan es obtener una certificación nueva al año. Acabo de declarar mi certificación AWS SAA por 40 CPE».

Se citan dos variantes gratuitas del mismo mecanismo: los itinerarios de Microsoft Learn, que aportan unos cuarenta puntos por itinerario completo, y una formación de auditor ISO 27001 de unas once horas accesible sin coste.

Las plataformas de práctica juegan en la misma categoría, salvo por el hecho de que hace falta una suscripción de pago para vincular la cuenta ISC2:

« Sign up to hackthebox and link your isc2 membership #. Every machine you pwn goes towards your cpe […] I’ve already earned 250 out of 120 cpes during my first year »

Traducción: «Regístrate en Hack The Box y vincula tu número de miembro de ISC2. Cada máquina que comprometas cuenta para tus CPE. […] Ya he ganado 250 CPE de los 120 exigidos durante mi primer año».

Se cita una plataforma equivalente con itinerarios «que valen entre 40 y 50 CPE cada uno» y declaraciones de más de cuarenta horas aceptadas sin dificultad.

¿Cómo recuperar rápidamente un ciclo atrasado?

En los testimonios figuran dos peticiones de auxilio típicas: un miembro en el tercer año del ciclo con cero créditos y diez meses por delante, y otro con un solo crédito de los 120 previstos. En ambos casos, las respuestas convergen en el mismo método.

1. Encadenar seminarios web con abono automático, con BrightTALK a la cabeza, para formar una base sin trabajo de declaración.
2. Encajar uno o dos summits virtuales gratuitos, que aportan de 12 a 15 créditos en dos días cada uno.
3. Apuntar a un evento de alto rendimiento si el calendario lo permite: el congreso anual de ISC2 aporta por sí solo más de la mitad de un ciclo.
4. Declarar retroactivamente lo ya hecho desde la fecha de certificación: lecturas, pódcast, formaciones internas, reuniones profesionales elegibles para el grupo B.
5. Hacer los cuestionarios del panel de ISC2 lo antes posible, por su plazo de registro.

Los testimonios muestran que la recuperación funciona. También muestran lo que cuesta no recuperar: los casos de certificaciones perdidas acaban todos con un examen que hay que repetir —es decir, con un nuevo intento que pagar, por los importes recogidos en la página dedicada al precio del examen CISSP— y con semanas de repaso que los relatos de repetición describen como las más penosas del recorrido.

¿En cuánto tiempo aparecen los créditos en el contador?

Solo dos plazos aparecen cuantificados en los testimonios, y bastan para orientar la planificación. El abono automático de BrightTALK llega en una semana aproximadamente, siempre que la dirección de correo utilizada coincida con la cuenta ISC2. Los cuestionarios y seminarios web de ISC2 se abonan en un plazo de 15 a 45 días.

La consecuencia es sencilla: no cuente con las últimas semanas del ciclo. Una actividad realizada a finales de diciembre para un ciclo que termina el 31 de diciembre puede no aparecer hasta enero. El consejo más compartido de los testimonios apunta además en la misma dirección, y vale más que cualquier estrategia de recuperación:

« My advice to a newly minted CISSP is to try to get all the CPE out of the way as early as you can. After mine was issued, I was able to hit my 3 years’ worth of CPE within the first 8 months. »

Traducción: «Mi consejo a un CISSP recién certificado es quitarse de encima todos los CPE lo antes posible. Después de que me expidieran la mía, alcancé el equivalente a tres años de CPE en ocho meses».

Para el detalle del recuento, de los grupos A y B y del funcionamiento de las auditorías, consulte la guía práctica de los 120 créditos.