AC ES/EN

Madrid · España

Andrés Álvarez de Cienfuegos

Information & Data Security · BBVA

Defino cómo se protege el dato en las áreas globales de un banco internacional y lo bajo a donde se aplica: a la tecnología que lo guarda y al negocio que lo usa. Antes, continuidad y resiliencia de ciberseguridad desde consultoría. Fuera de horas diseño la arquitectura y la seguridad de mis propios servicios, en un homelab con un laboratorio aparte donde equivocarse sale gratis.

Hablemos Descargar CV
01

Trayectoria

  1. Actualidad desde may. 2024

    BBVA

    Information & Data Security Manager

    Protección y seguridad del dato en un grupo bancario global, con foco en la confidencialidad y la privacidad de los datos personales. Bajo las directrices del grupo a más de cien aplicaciones críticas, donde el reto es el abanico de tecnologías: hay que proteger igual un sistema legacy de hace décadas que una aplicación en nube pública o con IA de por medio. Y a los controles de prevención de fuga en los puestos de usuario, donde lo importante no es bloquear sino dar la vía segura para hacer lo que el negocio necesita y explicarle el riesgo en sus términos.

    Lideré además el modelo de gobierno de la salida de información del grupo: todas las formas de compartir el dato con terceros, reducidas a cuatro vías y dos herramientas. Todo esto pasa por coordinar perfiles muy distintos, desde doce áreas de negocio diferentes hasta ingeniería, seguridad global y los equipos de seguridad de quince geografías, además de gestionar un equipo externo de cinco personas.

    • Clasificación de la información
    • DLP
    • Privacidad
    • RGPD
    • Gobierno de salida de información
    • Relación con negocio
    • Coordinación de equipo
  2. 2022 — 2024 1 año 8 meses

    GMV

    Consultor de Continuidad y Resiliencia de Ciberseguridad

    Ciberseguridad, continuidad y resiliencia para clientes de banca, sector público, telecomunicaciones y automoción, como consultor y como auditor. En continuidad, diseñando desde el análisis de impacto hasta los planes de recuperación y los simulacros que los ponían a prueba. En automoción, evolucioné el análisis de amenazas del vehículo desde su sistema de posicionamiento: ahí la confidencialidad del dato deja de ser el único eje y aparece la seguridad física de quien va dentro. En consultoría lo primero nunca es ponerse a escribir: es entender la empresa que tienes delante, porque lo que no encaje con cómo trabajan de verdad sirve para el papel y para poco más.

    • BCP / DRP
    • BIA
    • ISO 22301
    • ISO 27001
    • ISO 31000
    • Auditoría
    • Automoción
    • UNECE R155
    • TARA
    • Safety
  3. 2021 — 2022 prácticas UPM

    ACCIONA

    Becario de Ciberseguridad

    Soporte a los distintos equipos de seguridad, que fue la mejor manera de ver la disciplina desde todos los ángulos. Automaticé procesos internos y construí una herramienta de mapeo visual sobre MITRE ATT&CK para que todos esos equipos miraran el mismo mapa: qué técnicas estaban cubiertas, dónde quedaban los huecos y hacia dónde dirigir los ejercicios de pentest.

    • MITRE ATT&CK
    • Python
    • Automatización
  4. 2018 — 2022 grado

    Universidad Politécnica de Madrid

    Grado en Ingeniería de Tecnologías y Servicios de Telecomunicación (Telemática) · Programa Académico-Bilingüe

    Redes y protocolos, servicios distribuidos y programación, más el primer contacto con la seguridad. Aunque de una ingeniería lo que más dura no es ninguna asignatura: es la mentalidad de empezar por el problema y no parar hasta resolverlo, aprendiendo por el camino. El TFG fue la aplicación que construí en ACCIONA: base de datos, API, interfaz y contenedores, validada contra cuatro casos de uso, de la inteligencia de amenazas a la emulación de adversario. Y cuatro años de grupo de teatro, donde se aprende a perder el miedo a un escenario y a leer a quien tienes delante.

Certificaciones y reconocimientos

  • ISO 22301 Lead Implementer BSI · 2023
  • UNECE/R155 Ciberseguridad para Vehículos Advanced Fleet Management Consulting · 2022
  • C1 Advanced Cambridge English · 2017
  • RYLA — Programa de liderazgo Rotary International · Iowa, EEUU · 2016
02

Proyectos

Proyectos personales donde aprendo construyendo lo que necesito, y que acaban corriendo en mi propia infraestructura.

01

AgentOS

Orquestador de agentes

Mi propio panel para poner agentes de Claude a trabajar. Abro un PR y aparece revisado; dejo tareas programadas de noche y por la mañana están hechas. Trae agentes para lo que hago a menudo —revisar código, buscar secretos filtrados y vulnerabilidades— y uno genérico para cualquier encargo suelto que le escriba. Lo veo trabajar en directo, línea a línea, en vez de esperar al final para saber si iba bien. Y lleva un tope de gasto mensual, porque un agente que se queda en bucle no debería salir caro.

  • FastAPI
  • ARQ + Redis
  • SSE
  • APScheduler
  • Next.js
  • Docker
Ver repositorio
02

TripPlanner

Web + Android

Todo el viaje vive aquí: vuelos, alojamientos, actividades, gastos, equipaje y documentos en un único sitio, en vez de repartidos entre capturas, correos y notas del móvil. Y para llenarlo no hay que teclear: le pegas el correo de la aerolínea o lo que te devuelva un chat y se ordena solo. La app de Android va sin cuenta y sin conexión, en el avión o en un pueblo sin cobertura, que es justo donde necesitas mirar el plan. Lleva además un cuaderno de buceo dentro, porque me hacía falta.

  • Next.js
  • TypeScript
  • Zod
  • Prisma
  • PostgreSQL
  • Expo
  • SQLite
Ver repositorio
03

Domótica

Dos casas, red aparte

Dos casas domotizadas y gobernadas desde el mismo sitio: luces, enchufes, clima y el salón entero. Responde a la voz, al móvil y al panel de la pared, pero lo que más se nota es lo que no hay que tocar — rutinas por horario, cosas que se disparan al llegar a casa y sensores que arrancan el clima o te avisan sin que nadie pida nada. Los dispositivos viven en una VLAN propia, aislada del resto de la red, y cuando una integración necesita cruzar se le abre el paso justo en lugar del segmento entero. Desde fuera se entra por túnel, con los puertos del router cerrados y doble factor.

  • Home Assistant
  • HAOS
  • Google Assistant
  • HomeKit local
  • VLAN IoT
  • 2FA
03

Homelab

Aquí es donde cacharreo. Monto cosas para entenderlas por dentro, las rompo y las vuelvo a levantar, que es donde se aprende: qué arrastra qué cuando algo se cae, y en qué orden. Lo que funciona se queda corriendo; lo que no, queda escrito para no tropezar dos veces.

Principios

  • Separación de entornos Lo que la casa usa a diario no vive donde yo pruebo. Entre lo desechable y lo que no puede caerse hay una frontera, y solo se cruza cuando algo ha demostrado que aguanta.
  • Eficiencia de recursos El hardware es de segunda mano y está encendido los 365 días, así que cada servicio se mide en RAM y en vatios. Lo que pide 16 GB para lo que otro resuelve con medio, fuera.
  • Denegar por defecto La respuesta es no mientras nadie diga lo contrario, y no solo en la red: un servicio nuevo no habla con nada ni publica nada hasta que se le da permiso.
  • Mínimo privilegio Cuando la respuesta es sí, es lo justo y nada más: ningún token escribe donde no le toca, ningún permiso de API sobra.
  • Defensa en profundidad Del túnel al SSO, y del filtrado a la detección: ninguna capa es la única que separa el exterior de un servicio.
  • Observabilidad Un servicio no cuenta como desplegado hasta que algo lo vigila y sabe cómo avisarme.
  • Gestión del cambio Todo lo que se toca va al changelog con las alternativas que descarté, y nada se automatiza sin criterio de parada y vuelta atrás escritos.
  • IA transversal La IA está en el día a día: diseña los cambios, diagnostica las averías y mantiene la documentación actualizada. Siempre con supervisión humana — lo que propone se prueba en el laboratorio, aislado de producción, y pasa por mí antes de tocar nada que importe.

Lo que corre ahí

Servicios

  • Home Assistant
  • TripPlanner
  • AgentOS

Cómputo y despliegue

  • Proxmox VE
  • LXC
  • Docker
  • Dockhand
  • GitHub Actions
  • Despliegue automático

Red y acceso

  • OpenWrt
  • VLAN 802.1Q
  • AdGuard Home
  • Cloudflare Tunnel
  • Tailscale
  • Sin puertos abiertos

Identidad y acceso

  • Authentik
  • SSO
  • forward-auth
  • SAML
  • OAuth / OIDC

TLS y certificados

  • CA propia
  • Certificados por agente
  • HSTS
  • TLS 1.2+

Gestión de vulnerabilidades

  • Detección de CVE
  • CIS Benchmarks
  • Grype
  • Trivy

Detección y respuesta

  • Wazuh
  • CrowdSec
  • FIM
  • MITRE ATT&CK

Observabilidad

  • Netdata
  • Uptime Kuma
  • ntfy

IA

  • Claude Code
  • MCP
  • Agentes propios
  • Desarrollo de features
  • Revisión de PR
  • Trabajo desatendido

En camino

Lo siguiente. Nada de esto está desplegado todavía.

  • Backups inmutables Aplicar la regla 3-2-1-1-0: copias que sobreviven a un atacante con control total de la máquina, imborrables durante meses y verificadas restaurando de verdad.
  • Alta disponibilidad Un SAI para que un corte de luz no tire un nodo, y nodos nuevos en clúster con quórum para que perder una máquina no se lleve por delante el DNS, la autenticación y las aplicaciones.
  • Vigilancia de superficie Certificate Transparency para enterarme si aparece un certificado o un subdominio a mi nombre que yo no he emitido.
  • Respuesta automatizada Que detectar un ataque dispare la contención sola —aislar, bloquear, revocar— en vez de terminar en un aviso que alguien tiene que leer.
  • Monitorización avanzada Pasar de saber que un servicio está caído a saber cómo se comporta: métricas por servicio con histórico, y fallos que llegan ya investigados por un agente con una propuesta de arreglo.
  • Agentes proactivos Que el sistema no espere a que yo pida: que detecte qué hace falta, lo desarrolle, lo despliegue en el laboratorio y me lo deje probado esperando el visto bueno.
04

Contacto

¿Trabajamos juntos o cacharreamos un rato?