Presentación junto a Informática del Ayuntamiento de Madrid sobre transformación digital en el sector público con Google Cloud. Modernización de servicios ciudadanos, adopción cloud y estrategia de datos en la administración pública.
Tres pasiones. Patrones cloud de referencia con consideraciones WAF, rutas en moto y buceo. Lo que me apasiona dentro y fuera del trabajo.
Arquitecturas Cloud
Patrones de referencia.
Arquitecturas multi-cloud alineadas con el Azure Well-Architected Framework. Cada patrón incluye las consideraciones críticas de despliegue que marcan la diferencia entre un proyecto exitoso y uno que falla en producción.
// ARCH 01
Enterprise Landing Zone — Hub-Spoke
Arquitectura de red Hub-Spoke para entornos enterprise multi-suscripción con Management Groups jerárquicos, Azure Policy centralizado, RBAC granular y conectividad privada. La base sobre la que se construye cualquier adopción cloud seria en el mercado enterprise.
Planificar el espacio de direcciones ANTES del primer spoke — modificar CIDR en VNets con peerings activos requiere destruir y recrear. No hay marcha atrás sin downtime.
Centralizar la inspección de tráfico con Azure Firewall y UDRs en cada spoke. Sin esta configuración, el tráfico lateral entre spokes no se inspeccionará.
Desplegar Azure Firewall en múltiples Availability Zones para SLA elevado. Un firewall en zona única es un SPOF para toda la conectividad de la Landing Zone.
Activar IDPS en modo Alert & Deny desde el primer día. No activarlo en producción después es casi imposible sin revisión exhaustiva de reglas.
ExpressRoute: circuitos redundantes en ubicaciones de peering distintas y proveedores diferentes. Un solo circuito equivale a no tener redundancia real.
Todo el despliegue en IaC (Bicep/Terraform) — los cambios manuales en reglas de firewall o NSGs son la principal fuente de deriva de configuración en entornos enterprise.
Modelo Zero Trust end-to-end: identidad como nuevo perímetro, acceso condicional basado en riesgo en tiempo real, microsegmentación de red y visibilidad total con SIEM/XDR. Compatible con los requisitos técnicos de DORA, NIS2 y regulación financiera europea.
MFA resistente a phishing (FIDO2/passkeys) como primer control obligatorio — MFA estándar por SMS o TOTP es bypasseable. No es suficiente bajo DORA.
Nunca confiar en la red corporativa como factor de seguridad — el modelo "inside = trusted" es la raíz de la mayoría de brechas laterales en entornos enterprise.
Políticas de Acceso Condicional basadas en señales de riesgo (usuario, dispositivo, localización, aplicación) — las políticas estáticas no detectan sesiones comprometidas activas.
Privileged Identity Management (PIM) sin excepción — eliminar cuentas con privilegios permanentes. El 80% de brechas exitosas escalan privilegios desde una cuenta comprometida.
Correlación de señales en Sentinel desde día 1 — XDR sin SIEM central no permite detectar ataques que cruzan identidad, red y datos simultáneamente.
DORA/NIS2: automatizar la notificación de incidentes — el plazo de 24h (DORA) o 72h (NIS2) no es compatible con procesos manuales de escalado y reporte.
Plataforma de IA generativa agnóstica de proveedor: orquestación de LLMs (OpenAI, Anthropic, Gemini, Llama), RAG sobre datos corporativos con control de acceso, guardrails de seguridad y governance end-to-end. ROI medible, sin vendor lock-in.
Implementar guardrails de input/output antes de producción — los LLMs sin restricciones son impredecibles. Los fallos de alucinación o prompt injection en producción son críticos.
La chunking strategy y el embedding model son críticos para RAG — un mal chunking produce respuestas incorrectas aunque el modelo sea excelente. Evaluar con datos reales.
Abstraer el acceso a LLMs con una capa de orquestación (LangChain, Semantic Kernel) — cambiar de proveedor de modelo sin esta capa requiere reescribir toda la aplicación.
Verificar la región de procesamiento de los LLMs — en Europa, GDPR exige control sobre dónde se procesan los datos. No todos los modelos tienen endpoints en UE.
Evaluar latencia vs coste por modelo — GPT-4o es 10-20x más caro que modelos intermedios. Para mayoría de casos de uso, modelos más ligeros dan >90% de la calidad.
Monitorización de calidad continua con evaluaciones automáticas (RAGAS, LLM-as-judge) en CI/CD — la calidad de los LLMs degrada con actualizaciones del modelo base.
Plataforma FinOps con visibilidad unificada en Azure, AWS y GCP: dashboards ejecutivos de chargeback, alertas de presupuesto, rightsizing automatizado con Dynatrace y Ansible, y optimización continua de reservas y Savings Plans.
Azure Cost MgmtAWS Cost ExplorerDynatraceAnsiblePower BI
// Consideraciones de despliegue · WAF
Tagging obligatorio como prerequisito absoluto — sin etiquetado consistente el chargeback es imposible. Implementar con Policy/SCP antes de desplegar el primer recurso.
Definir KPIs FinOps antes de empezar: coste/unidad de negocio, % recursos etiquetados, % utilización de reservas. Sin métricas baseline, no hay mejora medible.
Reservas y Savings Plans: analizar 12 meses de uso antes de comprometerse — el sobrecommitment es más caro que el pago por uso. Empezar con compromisos cortos (1 año).
Rightsizing: período de observación de 30 días antes de aplicar — ajustar recursos en producción sin datos históricos suficientes genera incidentes de rendimiento.
Apagado automático de entornos no-productivos con lógica de excepciones — sin excepciones documentadas, los desarrolladores desactivan el sistema completo después del primer fallo.
FinOps es cultura, no solo herramienta — los equipos de desarrollo deben ver el coste como métrica de calidad. Publicar dashboards de coste por equipo genera cambio de comportamiento.
Optimización de CosteExcelencia OperacionalRendimiento
Arquitectura de nube soberana para sectores regulados europeos: aislamiento operativo completo, residencia de datos en UE, personal técnico europeo y cumplimiento demostrable bajo GDPR, NIS2, DORA y Cyber Resilience Act.
Residencia de datos ≠ Soberanía operativa — verificar que el personal con acceso privilegiado sea europeo. Datos en Europa con acceso desde EE.UU. no es nube soberana.
CLOUD Act americana aplica incluso a datos en Europa — los CSPs americanos están sujetos a la ley americana globalmente. Evaluación jurídica independiente es obligatoria.
NIS2/DORA: mapear todos los sistemas críticos antes del diseño — las multas por incumplimiento alcanzan el 2% del volumen de negocio global anual.
Probar la autonomía operativa periódicamente — simular la operación sin conectividad al proveedor para verificar que la independencia declarada es real, no teórica.
Certificaciones BSI C5 o ENS Alto como evidencia ante reguladores — las declaraciones contractuales no son suficientes para auditores de CNMV, BdE o ENISA.
Facturación separada del cloud estándar obligatoria para trazabilidad y auditoría regulatoria. Sin segregación de facturación, el cumplimiento es imposible de demostrar.
Hoja de ruta de modernización progresiva de legacy a cloud-native: lift & shift inicial con AVS/IaaS, refactoring incremental a microservicios, adopción de Kubernetes/OpenShift y pipelines CI/CD. Sin big bang, sin interrupciones de producción.
AKS / OpenShiftAzure Container RegistryHelmGitHub ActionsAzure Monitor
// Consideraciones de despliegue · AKS WAF
Estrategia lift-and-shift primero con IaaS — modernizar aplicaciones directamente en cloud es más arriesgado que migrarlas primero y modernizarlas después en entorno cloud estable.
Clústeres AKS privados con API server allowlist — exponer el API server a internet es un riesgo crítico. El 40% de incidentes en Kubernetes provienen de APIs expuestos.
Node pools dedicados: separar cargas de sistema de aplicación (mínimo 2 nodos por pool). La contaminación de recursos entre workloads afecta a la estabilidad del plano de control.
Nodos distribuidos en múltiples Availability Zones — un nodo en zona única es un SPOF para aplicaciones críticas. AZ deployment es gratuito y obligatorio en producción.
Solo imágenes firmadas de registros privados (ACR/Quay) — los ataques de supply chain son el vector de crecimiento más rápido en entornos containerizados.
Cluster Autoscaler + HPA configurados antes de ir a producción — el escalado manual no es operativamente viable. Sin autoscaling, los picos de tráfico causan indisponibilidad.
Sistema multi-agente para análisis de riesgo crediticio PYME en banca regulada española. Cuatro agentes especializados coordinados por supervisor ReAct, RAG jerárquico con embeddings en DLC SageMaker dentro de VPC, paralelización de tool calls y auditabilidad DORA con tracing completo a CloudWatch.
Embeddings dentro de la VPC obligatorio: usar DLC de Titan Embeddings v2 en SageMaker Endpoint privado — el texto de la política de crédito nunca sale al endpoint público de Bedrock
Nunca delegar cálculos numéricos al LLM: Textract extrae tablas; Python con tipo NUMERIC calcula ratios. El LLM solo interpreta
Paralelizar tool calls sin dependencia de datos: las cuatro consultas iniciales se lanzan simultáneamente — de 24s a 7s
Prompt caching para documentos estáticos: la política de crédito (180 páginas) cacheada en Bedrock — ~85% reducción en tokens y latencia
enableTrace: ENABLED desde el primer deploy: el tracing ReAct completo es el expediente de auditoría que el regulador exigirá
Preparar el pack de gobernanza antes de la primera demo: el comité de riesgos bloqueará el proyecto sin dictamen legal sobre responsabilidad en decisiones asistidas por IA
Workflow agéntico end-to-end para tramitación de siniestros con Amazon Bedrock AgentCore como runtime de estado persistente (cada expediente = una sesión activa durante semanas), SageMaker DLC PyTorch para detección de fraude y Amazon EventBridge como bus de transiciones de estado auditable.
Bedrock AgentCoreSageMaker DLC PyTorchEventBridgeTextract MultimodalMSK KafkaSecurity Lake
// Consideraciones de despliegue · AWS
AgentCore Memory para workflows de larga duración: cada expediente = una sesión con estado persistente accesible para todos los agentes durante semanas, sin construir esa infraestructura a mano
DLC PyTorch en SageMaker dentro de VPC: el modelo de fraude procesa datos de pólizas y clientes — la inferencia nunca sale al endpoint público
Pipeline de reentrenamiento mensual automático: los modelos de fraude degradan; configurar desde el inicio el pipeline con nuevos datos etiquetados + anomaly detection para patrones emergentes
EventBridge con reintentos backoff exponencial: cada transición de estado es un evento auditable. El historial es el log de auditoría para la DGS
Human-in-the-loop en pagos es obligatorio regulatoriamente: diseñar "aprobación en un clic" desde el inicio, no como concesión posterior
Análisis multimodal para documentos no estructurados: combinar Textract + Bedrock multimodal — tasa de error del 23% al 3%
Modernización incremental de sistema COBOL legacy (2,1M líneas) a arquitectura cloud-native AWS. Agente de análisis con Bedrock documenta el sistema en 6 semanas; Kiro (spec-driven) acelera el desarrollo 3,5x; Amazon EKS + Aurora PostgreSQL como plataforma target. MSK para sincronización durante la transición.
Fase 0 de análisis agéntico antes de cualquier código: el agente debe generar casos de prueba Y ejecutarlos sobre el COBOL real para validar sus propias predicciones
Tipo NUMERIC (no FLOAT) en Aurora PostgreSQL para campos financieros: COBOL COMP-3 usa aritmética decimal exacta; IEEE 754 acumula errores en cálculos de intereses
Análisis estático del COBOL antes de enviarlo al modelo: enmascarar datos personales + VPC endpoint privado para el tráfico de análisis
Capa de reconciliación nocturna para el periodo de coexistencia: las inconsistencias entre mainframe y sistema nuevo son inevitables — diseñar desde el inicio
El steering file de Kiro es el activo más crítico: contiene el análisis funcional completo y las reglas de negocio críticas. Sin él, las specs de Kiro son genéricas
Documentar los descubrimientos regulatorios como activo de negocio: las reglas ocultas encontradas por el agente son valiosas para el área de negocio
Concentraciones, rutas y momentos desde la silla. La moto como excusa para descubrir España.
// Carretera secundaria · Castilla
En ruta
La moto como forma de estar en el presente. Carretera, horizonte y ninguna reunión en el calendario.
CruiserRutaCastilla
// Plaza Mayor · España
Concentración motera
Una plaza llena de motos, terrazas y moteros. El ritual del café y el intercambio de rutas antes de salir.
ConcentraciónPlaza MayorComunidad
// Plaza castellana · 2022
Quedada en la meseta
BMW, Suzuki, custom… la diversidad de motos como reflejo de la diversidad de quienes las montan.
QuedadaMesetaTodos los estilos
// Iglesia histórica · 2024
Exposición de motos clásicas
Rieju, motos de los 50 y 60, piezas restauradas. Cuando el patrimonio mecánico se expone en el patrimonio arquitectónico.
Motos clásicasHistoriaRestauración
// Fuente de piedra · 2025
Custom en la plaza
Choppers y custom bikes junto a una fuente medieval. El contraste entre la tradición de piedra y el cromo pulido.
CustomChopperPlaza medieval
// Plaza Mayor · 2024
Varadero y Guzzi en la plaza
Una Varadero, una Guzzi y la mía custom. Tres motos, tres estilos distintos y un punto en común.
Concentración2024Custom
// Plaza castellana · 2022
La custom aparcada
Mi moto custom aparcada frente a la plaza. Las baldosas históricas y el cromo son un contraste que no me canso de ver.
Custom2022Castilla
// Soportales medievales · 2026
Motos bajo los soportales
Cruisers y nakeds bajo los arcos de piedra. Las motos aparcadas en plazas medievales tienen algo especial.
Quedada2026Medieval
// Avenida arbolada · Mayo 2026
Parada en ruta
Un momento de pausa en una avenida arbolada. La moto y el verde de fondo, sin prisa.
RutaPausa2026
// Montaña · Foto: Mark Berdomas
En la curva
Foto de acción en una curva de montaña, captada por el fotógrafo Mark Berdomas (enfoqueatres.es). El instante perfecto.
AcciónMontañaProfesional
// Carretera · Foto: Mark Berdomas
En movimiento
Otro instante capturado por Mark Berdomas durante una concentración. La sensación de velocidad en una imagen.
AcciónVelocidadProfesional
// Verde montaña · Foto: Mark Berdomas
Naturaleza y motor
La custom volando por una carretera rodeada de verde. Foto de Mark Berdomas que resume perfectamente por qué salgo a rodar.
NaturalezaCustomProfesional
// Ruta · Foto profesional
Panning
Técnica panning que congela la moto y desenfoca el fondo. El resultado habla solo.
PanningTécnicaArte
Buceo
Bajo la superficie.
El silencio y la concentración bajo el agua no se parecen a nada más. Pecios, fauna y aguas mediterráneas.
// Pecio · Mediterráneo
El ojo de buey
Exploración de un pecio. El metal oxidado y el agua azul crean una ventana hacia otro mundo. Una de las inmersiones más fotogénicas.
PecioWreck divingMediterráneo
// Pecio · Mediterráneo
Explorando el barco hundido
Navegando sobre la cubierta de un naufragio. La estructura metálica cubierta de organismos marinos y el azul infinito al fondo.
PecioExploraciónNaufragio
// Superficie · Mar Mediterráneo
Todo bien arriba
La señal universal del buceador satisfecho al salir. Equipo Cressi, agua transparente y ganas de volver a bajar.
SuperficieCressiMediterráneo
// Fondo rocoso · Mediterráneo
El pulpo en su guarida
Encuentro cara a cara con un pulpo común. Camouflage perfecto en su agujero, rodeado de sus tentáculos con ventosas. Uno de los momentos más especiales bajo el agua.
FaunaPulpoFondo rocoso
// Inmersión · Aguas atlánticas
En el fondo
Primer plano bajo el agua. Equipo Cressi completo, máscara amarilla y la concentración que da saber que estás en otro elemento.
SubmarinismoCressiInmersión
// Superficie · Mediterráneo
Salida en pareja
Felipe y yo en superficie, listos para la siguiente inmersión. Las mejores inmersiones son siempre en buena compañía.
CompañíaCressiSuperficie
// Fondo rocoso · Mediterráneo
Estrella naranja
Una estrella de mar naranja sobre las rocas. El color vibrante contrasta con el verde del fondo mediterráneo.
FaunaEstrellaMediterráneo
// Arrecife · Mediterráneo
Banco de peces
Un banco de peces naranjas en sincronía perfecta. Ese momento en que el agua parece fuego.
BancoFaunaColor
// Fondo marino · Mediterráneo
Estrella roja y erizo
Estrella roja junto a un erizo. Dos criaturas con millones de años de historia evolutiva bajo los pies.
FaunaErizoEstrella roja
// Inmersión · Fondo rocoso
En el elemento
Primer plano bajo el agua. Equipo Cressi y la concentración de quien sabe que está en otro mundo.
InmersiónCressiPrimer plano
// Aguas profundas · Azul
Todo bien abajo
Dos buceadores en aguas azules. El pulgar arriba: la señal universal que dice que todo va bien y merece la pena.
