Ayudo a organizaciones a prepararse, responder y recuperarse ante incidentes de ciberseguridad — para que un mal día no se convierta en una crisis.
— Bismarck Animas · Creador de la metodología CRoC
La seguridad evita el incidente. La respuesta lo controla. La resiliencia garantiza que el negocio siga en pie. Trabajo los tres como un solo sistema.
Protejo lo que sostiene al negocio: identifico riesgos reales, priorizo lo que importa y cierro brechas antes de que alguien las use. Seguridad que se entiende y se sostiene, no una capa que estorba.
Diseño organizaciones que absorben el impacto y no se detienen. Planes de continuidad, recuperación y toma de decisiones bajo presión — para que el peor día siga siendo un día operativo.
Cuando algo pasa, dirijo la respuesta con el rigor del ciclo de SANS y cabeza fría: identificar, contener, erradicar y recuperar. Menos caos, menos tiempo caído y una organización que sale más fuerte.
Lo que construí para salir del modo bombero: dejar de responder al mismo incendio una y otra vez, y empezar a apagar lo que lo provoca.
El CRoC no es una herramienta, ni un dashboard, ni un equipo de monitoreo. Es el ente que se toma el tiempo de entender cómo opera la empresa —sus joyas de la corona, sus procesos críticos, qué significa de verdad un incidente— y a partir de ahí define qué vigilar, cómo alertar y qué remediar. Después transmite ese modelo al SOC para operarlo, y se asegura de que evolucione con el negocio, lo más cercano al tiempo real posible.
La pregunta que le dio origen no fue ¿cómo respondemos mejor? — sino ¿por qué seguimos llegando al mismo punto?
¿Qué está pasando?
Monitorea y alerta, y es excelente en detección oportuna. Pero opera sobre un modelo que alguien tuvo que diseñar y validar.
¿Por qué pasa y qué significa para el negocio?
Da el contexto, valida que el SOC apunte a lo correcto y gestiona la causa raíz. La diferencia entre apagar el incendio y eliminar lo que lo causó.
Dirige —no opera— al SOC: define qué monitorear, cómo alertar y valida que el modelo tenga sentido para el negocio.
Vigila lo que nunca toca el perímetro: threat intelligence, hunting, protección de marca, OSINT e investigación digital.
Cierra el ciclo entre ataque y defensa: simulación de brechas, optimización de controles y microproyectos de remediación.
Base metodológica: MITRE ATT&CK · Modelo de madurez de 5 niveles, del Consultor al Riesgo Gestionado.
Un incidente no se improvisa: se recorre. Sigo el proceso de respuesta a incidentes de SANS (PICERL) — seis fases, cada una con un objetivo claro y todas apuntando a devolver la operación a la normalidad.
Playbooks, roles y decisiones definidas antes de que suene la alarma.
Separar la señal del ruido y confirmar que es un incidente real.
Frenar el avance y limitar el daño sin apagar el negocio — preservando la evidencia.
Eliminar la causa raíz, no solo el síntoma visible.
Volver a operar con seguridad y monitoreo reforzado, de forma controlada.
Cerrar el ciclo, gestionar la causa raíz y salir más fuerte que antes.
Soy responsable de respuesta a incidentes y ciber-resiliencia. Durante años viví la realidad del oficio: desvelos, fines de semana perdidos y war rooms interminables apagando un incendio tras otro, mientras las condiciones para que se prendiera el siguiente seguían intactas.
De esa frustración nació el CRoC: la decisión de entender el negocio antes de monitorear y de gestionar las causas raíz para que el fuego no encuentre combustible. Creo en la seguridad que funciona bajo presión, no en la que solo se ve bien en un reporte.
Doce certificaciones que respaldan el trabajo — con el peso puesto en respuesta a incidentes, forense digital y arquitectura defensible.
Ya sea para asesoría, un proyecto de resiliencia o conocer más sobre el CRoC — hablemos.