Professional Security Operations Engineer: examen nuevo con la guía 2.0 el 24 de noviembre

Es la certificación profesional de Google Cloud para quien trabaja en un SOC sobre las herramientas de Google: detecta, monitoriza, analiza, investiga y responde a amenazas contra cargas de trabajo, endpoints, identidades e infraestructura. Escribes reglas de detección, decides qué logs ingerir y cómo, orquestas la respuesta y la automatizas. La guía 2.0 añade dos palabras a esa descripción respecto a la anterior: identidades e inteligencia artificial.

No hay requisitos previos, pero Google recomienda más de 3 años de experiencia en seguridad, de los que al menos 1 con herramientas de seguridad de Google Cloud. Si vienes de un SIEM o un SOAR de otro fabricante, el criterio de analista te sirve; lo que tienes que aprender es el producto: UDM, YARA-L, el Entity Context Graph, los playbooks de SOAR y los detectores de SCC.

La versión nueva se publica en inglés el 24 de noviembre de 2026. Hasta entonces, el examen sigue la guía actual. El examen se ofrece en inglés y japonés; la fecha del 24 de noviembre se refiere a la versión inglesa, y Google no ha anunciado todavía cuándo cambia la japonesa.

El formato no cambia: 2 horas, entre 50 y 60 preguntas de opción múltiple y 200 USD más los impuestos que correspondan. Lo haces en línea con supervisión remota o en un centro de examen. La certificación dura 2 años y se renueva con Google Skills: completas los cursos o skill badges designados de la ruta de renovación dentro del último año de vigencia.

Las seis secciones se mantienen, con los mismos nombres. Lo que cambia es el reparto y, sobre todo, el detalle de cada una. La guía actual evaluaba tareas en SecOps y SCC; la 2.0 suma Google Threat Intelligence como tercera plataforma, y GTI aparece en casi todas las secciones.

Data management es la que más crece, del 14 % al 20 %, y estrena un subapartado propio, 2.3 Configuring and Ingesting Threat Intelligence: ingerir IOCs de GTI o de terceros en el Entity Context Graph y usar LiveHunt, Digital Threat Monitoring (DTM), Google Insights y URL Scanning. La ingesta también se concreta: Bindplane para llevar los Windows Event logs a SecOps y la ingesta directa de hallazgos de SCC.

En Platform operations entran el Content Hub de SecOps, las búsquedas UDM y stats, la integración de IOCs y TTPs de GTI y la autenticación con Model Context Protocol (MCP). El apartado de acceso pasa a llamarse de identidades humanas y no humanas. En Threat hunting aparecen las consultas a la IA en lenguaje natural, el security graph de SCC y el análisis de resultados del Triage and Investigation Agent.

Detection engineering baja al 20 %, pero es la sección con más tareas nuevas: data tables de SecOps para valores de riesgo, Compliance Manager y riesgos de infraestructura de IA, Web Security Scanner, detectores de SCC como Cloud Run Threat Detection, Container Threat Detection y Virtual Machine Threat Detection, cobertura según MITRE ATT&CK, detecciones compuestas, reglas escritas con IA y Applied Threat Intelligence con el Emerging Threats Center.

Incident response baja al 18 % y añade responder a alertas de DTM, investigar con el Triage and Investigation Agent y el widget Gemini Summary de SOAR, playbooks que actualizan hallazgos en SCC o invocan al agente, y transformers personalizados. La gestión de casos se centra en métricas del ciclo de vida: etiquetas, SLA, etapas y motivos de cierre. Observability sube al 11 % e incluye Gemini Cloud Assist e informes de GTI y SCC.

Si tienes el examen reservado antes del 24 de noviembre y llevas semanas preparándolo, mantén la fecha: te evalúan con la guía actual, que es la que has estudiado. Si aún no has reservado o te faltan más de tres semanas de estudio, prepara directamente la 2.0 y reserva a partir del 24. Estudiar la guía actual ahora para examinarte en diciembre te deja sin GTI, sin los agentes de IA y con un Data management más pequeño del que te vas a encontrar.

Lo que más rinde con la 2.0: practica búsquedas UDM y reglas YARA-L, incluidas las compuestas; aprende cómo se ingieren y enriquecen los datos (parsers, aliasing, Entity Context Graph); conoce las capacidades de GTI de punta a punta, de LiveHunt a DTM; y entiende qué hace el Triage and Investigation Agent y cómo se lanza desde un playbook. Repasa también los detectores de SCC y cuándo usar cada uno frente a una regla de SecOps.

Google enlaza desde la página del examen su ruta de formación, las preguntas de ejemplo oficiales y las dos guías. En CertifyDeck tienes preguntas de Professional Security Operations Engineer escritas sobre la guía 2.0, con las seis secciones y sus pesos, explicación en cada pregunta y simulacro cronometrado. Empieza gratis.