Guía de la certificación SC-200 2026: Security Operations
Guía completa del SC-200 (Microsoft Security Operations Analyst) en 2026: temario actualizado, formato del examen, nota de corte, novedades y plan de estudio.
La certificación SC-200: Microsoft Security Operations Analyst es una de las credenciales de nivel asociado más demandadas para quienes trabajan en un centro de operaciones de seguridad (SOC). Acredita que sabes detectar, investigar y responder a amenazas usando el ecosistema de seguridad de Microsoft: Microsoft Sentinel, Microsoft Defender XDR, Microsoft Defender for Cloud y, cada vez más, la IA de Microsoft Security Copilot. En esta guía repasamos el temario actualizado a 2026, el formato del examen, las novedades y un plan de estudio realista.
Qué es la certificación SC-200 y a quién va dirigida
El examen SC-200 conduce a la certificación Microsoft Certified: Security Operations Analyst Associate. Está pensado para el perfil de analista de operaciones de seguridad: la persona que reduce el riesgo de la organización haciendo triaje de alertas, respondiendo a incidentes, cazando amenazas (threat hunting) e ingeniería de detecciones.
Es un examen de nivel intermedio. No es un punto de partida absoluto, así que conviene tener soltura con Microsoft 365, los servicios de Azure, conceptos de identidad con Microsoft Entra ID y nociones de los sistemas operativos Windows y Linux. Si vienes de cero en seguridad, lo habitual es empezar por los fundamentos (SC-900) antes de afrontar el SC-200. Puedes consultar la ficha completa del examen y su material de práctica en la página del examen SC-200 en TheExamHero.
Temario del SC-200 actualizado (versión de octubre de 2026)
Microsoft actualizó el temario del SC-200 el 21 de octubre de 2026. La versión en español suele publicarse unas ocho semanas después de la inglesa, así que si te examinas en castellano a principios de 2026 revisa siempre qué versión de "skills measured" te aplica. El examen se organiza en tres grandes áreas con estos pesos:
Gestionar un entorno de operaciones de seguridad (40–45%)
Es el bloque con más peso. Cubre la automatización en Defender XDR y Sentinel (reglas de automatización, playbooks, interrupción automática de ataques), la configuración de la plataforma SIEM de Sentinel (roles, retención de datos en Analytics, Data lake y niveles XDR, workbooks y recomendaciones de optimización del SOC), la ingesta de datos (conectores, eventos de seguridad de Windows vía AMA, Syslog/CEF, indicadores de amenazas) y la configuración de detecciones con reglas de analítica programadas, casi en tiempo real (NRT) y de machine learning, además del mapeo con la matriz MITRE ATT&CK.
Responder a incidentes de seguridad (35–40%)
Aquí se evalúa la respuesta a alertas e incidentes en Defender XDR (Office 365, Purview, Defender for Cloud, Defender for Cloud Apps, Entra ID y Defender for Identity), la respuesta en Defender for Endpoint (líneas de tiempo del dispositivo, live response, recolección de paquetes de investigación) y la investigación de actividad en Microsoft 365. Una de las grandes novedades de 2026 es la investigación de incidentes con IA agéntica, incluyendo Microsoft Security Copilot integrado, y el análisis de ataques complejos multietapa y de movimiento lateral.
Realizar caza de amenazas (20–25%)
El tercer bloque gira en torno a KQL (Kusto Query Language): identificar la tabla adecuada, crear consultas de Advanced Hunting, interpretar análisis de amenazas y construir grafos de caza (incluido el "blast radius") y el Sentinel Graph. También aparece la caza desde la plataforma de Sentinel con KQL jobs en el Data lake, Summary rules y el uso de Notebooks conectados al Sentinel MCP Server.
Formato del examen, nota de corte y renovación
El SC-200 sigue el formato estándar de los exámenes de asociado de Microsoft. Estos son los datos que debes tener claros antes de reservar fecha:
Cómo preparar el SC-200: plan de estudio
Un plan realista para un profesional que estudia a tiempo parcial suele ocupar entre 6 y 10 semanas. Una ruta eficaz es:
SC-200 frente a otras certificaciones de seguridad de Microsoft
El SC-200 no vive solo: forma parte de una familia de certificaciones de seguridad (la serie SC) que conviene situar en el mapa para elegir bien tu ruta.
Si tu día a día es el de un analista de SOC, el SC-200 es tu credencial natural. Cuando quieras dar el salto a diseño y estrategia, el SC-100 es el destino de nivel experto. Puedes ver todas las rutas disponibles en el catálogo de exámenes de TheExamHero.
Preguntas frecuentes sobre el SC-200
¿Cuánto cuesta el examen SC-200?
El precio varía según el país y la moneda, y Microsoft lo ajusta periódicamente. Consulta siempre el importe vigente en la página oficial de reserva de examen para tu región antes de programarlo.
¿Necesito experiencia previa para presentarme?
No es obligatorio ningún requisito formal, pero al ser un examen de nivel intermedio se recomienda tener experiencia práctica con Microsoft Sentinel, Defender XDR y entornos de Microsoft 365 y Azure. Sin algo de manejo real de las herramientas, el examen se hace cuesta arriba.
¿Es imprescindible saber KQL para aprobar?
Prácticamente sí. La caza de amenazas pesa entre un 20 y un 25% del examen y gran parte depende de KQL. Además, KQL aparece también en la configuración de detecciones, así que es la competencia que más retorno te dará estudiar.
¿Cada cuánto caduca la certificación?
Las certificaciones de asociado de Microsoft caducan anualmente. La renovación es gratuita y se hace con una evaluación en línea en Microsoft Learn, sin necesidad de volver a pagar ni acudir a un centro de examen.
¿Qué hay nuevo en la versión de 2026 del SC-200?
La actualización de octubre de 2026 refuerza el uso de IA agéntica y Microsoft Security Copilot en la investigación de incidentes, e incorpora conceptos como los grafos de caza con "blast radius", el Sentinel Graph y la caza con Notebooks conectados al Sentinel MCP Server. En conjunto, el examen refleja un SOC cada vez más apoyado en automatización e inteligencia artificial.
Conclusión
El SC-200 es una apuesta sólida si trabajas (o quieres trabajar) en operaciones de seguridad dentro del ecosistema Microsoft. Con un temario actualizado a 2026 que da protagonismo a la automatización y a la IA, dominar Sentinel, Defender XDR y KQL no solo te acerca al aprobado: te prepara para el trabajo real en un SOC moderno. Empieza por un plan de estudio con laboratorio propio, refuerza con tests de práctica y reserva fecha cuando tus simulacros superen con holgura los 700 puntos.
Ready to practice?
Access 10,000+ real exam questions — first 10 free, no registration needed.
Browse exams →