Hola comunidad, me lo habéis pedido varias personas, ya sea porque os interese como he llegado a donde estoy o que ruta seguir para llegar a ser DevSecOps. Este es mi vídeo (o blog, según donde estes consumiendo esto) más personal hasta la fecha, en el que espero que mi experiencia os pueda servir de ayuda para tomar unas decisiones u otras.
Primero os quería compartir lo que ha sido mi trayectoria personal y profesional, por si os sirve de experiencia, porque tampoco es la mejor ruta ni la más rápida, pero fue la que por circunstancias de la vida fue eligiendo dentro las opciones que tuve.
En la segunda parte, te hablaré de toda la tecnología que aprendí por el camino y como empezaría yo en 2025.
He de confesar que fuí un pésimo estudiante, me faltaba motivación, disciplina y el sistema educativo me generaba mucha frustración. Ya en bachiller no me servía de nada ir a los exámenes sin estudiar, empecé a suspender muchas asignaturas y lo saqué a marchas forzadas con unas notas pésimas.
Mi etapa universitaria fue breve, empecé la carrera de historia (si, poco que ver con lo que hago ahora. La culpa la tienen las películas de Indiana Jones supongo). Tras otros dos años perdidos y totalmente desmotivado al saber lo que me esperaría al terminar la carrera (dado el paro que había en ese momento y actualmente creo que también es una de las carreras con más paro), decidí dejarlo como un hobby y dedicarme a algo que me gustaba y que además tenía salida laboral, la informática.
Esta pasión la arrastraba desde pequeño, sobretodo por los videojuegos y querer entender como se creaban y funcionaban. Aunque muchas empezamos en esto con la misma idea, la realidad es que no es tan fácil como parece. La informática es un mundo muy basto y complejo, y muchos no superan la frustración de no entender la programación o todo la basta capas de abstracción que hay en la informática.
Bueno, una vez enfocado, creo que con unos 21 años y un poco más centrado en la vida, empecé el grado superior de desarrollo de aplicaciones web o DAW, y luego, en año más el grado de desarrollo de aplicaciones multiplataforma o DAM. En este punto ya estaba completamente enamorado de la programación y me daba siempre más pereza la parte de infrastructura y redes.
2016, ya tenía unos meses de experiencia en las prácticas de DAW y aunque la programación web me gustaba, prefería la parte de programación backend. Sali de DAM y, casualidades de la vida, un profesor nos convenció a mi y a un compañero para hacer realidad un proyecto de ciberseguridad. Jóvenes y sin absolutamente nada que perder ni ningún ápice de experiencia en seguridad nos sumamos a la aventura.
Tras aproximadamente un año de trabajo, empezamos a ver los primeros ingresos y la empresa fue creciendo. Actualmente rondamos los 20 trabajadores y tenemos varios proyectos muy interesantes. La empresa es SSHTeam y damos una completa gama de servicios de seguridad a nivel nacional e internacional. Os dejo el link de la web.
En cualquier caso, desde que empezamos a ver temas de seguridad, lo primero que vimos en aquella época es que no había estudios reglados y que todo eran certificaciones. Tras decantarnos por la OSCP, muy enfocada en el pentesting, tuve que meterme una maratón de aprendizaje de linux, redes, servicios.. en fin, aunque la parte de programación web me ayudó mucho para explotar vulnerabilidades en aplicaciones y conseguir obtenerla.
Esto nos situa en 2018, ya tenía un par de años de experiencia, una certificación potente y se abrian nuevas oportunidades.
A finales de ese mismo año, y estando muy especializado en servicios de seguridad (principalmente pentesting), se me abrió la oportunidad de entrar como externo a trabaja en Mediapro para empujar la pata de SSDLC. Fué un año duro, de mucho aprendizaje, me mudé a Barcelona, me dieron palos (metafóricamente) hasta en el carnet de identidad, me di cuenta que no sabía todo lo que yo pensaba, mi inglés no estaba a la altura. Esto me generó mucha ansiedad y malos momentos.
Tras terminar el proyecto, con más sombras que luces, me había llevado una masterclass del mundo corporativo, de la gestión de la ansiedad y de como funciona la seguridad en el mundo del desarrollo.
A finales de ese año, de vuelta en mi querida La Rioja y retomando mis funciones habituales en mi empresa, me enamoré también de los contenedores, la metodología DevOps y la orquestación de servicios.
Los siguientes 2-3 años los combiné haciendo una funcion de DevOps para mi expresa y como consultoría externa de seguridad y DevSecOps para otras empresas. Sin duda, con cuantos más clientes o empresas trabajes más experiencia y visión global obtendras. Como siempre digo, ninguna solución es perfecta y siempre hay que adaptarse al entorno en el que estás trabajando.
Aquí transformamos nuestros procesos de desarrollo, tuve la libertar de probar nuevas tecnologías, crear desde cero la estrategia, automatizar todo lo que se podía, transformar ideas en productos.
La parte de una startup trae cosas muy positivas, se es muy ágil para aplicar cambios, se puede ser muy innovador pero también tienes que hacer de todo. Desde facturas, trato con el cliente, gestión de proyectos... y todo sin descuidar la parte técnica. De todas formas, creo que es la etapa que más me ha curtido de mi vida, abarcando muchas disciplinas y aprendiendo algo de cada una de ellas.
Se que en este punto, no he hablado apenas de la tecnología, no te preocupes que al final sacaré las conclusiones y unas recomendaciones de tecnologías a aprender pero necesitaba explicar mi proceso de aprendizaje y como he llegado a donde estoy.
Si digo esto es principalmente porque, llegado a este punto, habiendo tenido que trabajar con clientes, gestionar equipo, definir estrategia técnica ir a eventos a vender productos... el mayor aprendizaje que me llevé es el de las "softskills" que llamamos o habilidades blandas. Damos siempre mucha importancia a el conocimiento técnico pero, si no sabes comunicar lo que sabes, de poco sirve. También hay que saber tratar con personas, gestionar conflictos y empatizar con las personas.
Para 2020 ya tenía una buena base de conocimientos, la pandemía nos sacudía a todos y la seguridad en un entorno remoto cogió más importancia que nunca. Nuestra empresa creció mucho, nuevas oficinas y nuevos proyectos. Fué a finales de ese año cuando me surgió la posibilidad de entrar como externo en el Banco Santander como SecDevOps en el equipo CISO de ciberseguridad.
Aunque una empresa tan grande tiene unos contras muy claros, como la burocracia, los tiempos y, sobretodo la banca, unos marcos normativos muy estrictos, también tiene sus ventajas. La posibilidad de trabajar con tecnologías punteras, un equipo muy senior me dió la oportunidad de aprender mucho y seguir creciendo.
Para 2022, empecé este pequeño proyecto que, además de potenciar mi marca personal, se comvirtió en muy mayor fuente de aprendizaje. Tengo esta cita de Richard Feynman en todas partes, "Si quieres dominar algo, enséñalo". Y es que, al final, la mejor forma de aprender es enseñar, en en ese momento cuando nos damos cuentas que sabemos las cosas pero nunca las terminamos de entender del todo.
Además, potencié mucho más mi currículum obteniendo varias certicicaciones como la ISO27001 enfocada a auditoría de seguridad y luego el CKA para la parte de Kubernetes.
2023, un punto de inflexión en mi vida. Tras años de mucho trabajo, pasión y también estrés, se sumaron dos nuevas variables, el inminente nacimiento de mi hijo y la oportunidad de internalizarme en el Banco Santander. Aunque la decisión fue difícil, pude organizarme con mis socios para no dejar la empresa y seguir colaborando con ellos desde un punto de vista más estratégico, organicé mi vida familiar para mudarnos a Madrid, esto fué más duro aún y comenzar una nueva aventura.
También hay momentos en la vida en la que, es ahora o nunca, con un hijo más mayor asentado en una escuela no lo podría haber hecho.
Este último año también aproveché para asentar mejor mis conocimientos de kubernetes y obtuve la certificación CKS y CKAD.
Esto nos situa en el presente. Y tras haberte contado literalmente mi vida, toda esta chapa tenía un propósito, extraer varias moralejas y conclusiones que he extraido de mi experiencia y, aunque seguro que las has oido mil veces, igual desde mi experiencia te aportan algo nuevo.
Después de todos estos años de experiencia en el mundo del desarrollo, la seguridad y DevOps, estas son mis lecciones de vida:
- No tengas miedo a equivocarte, cuanto antes lo hagas antes encontrarás tu camino o aprenderás de ello.
- De nada te sirve todo el conocimiento técnico del mundo si no sabes comunicarlo. Cuida tus softskills.
- No te metas en la tecnología por el dinero, se puede ganar mucho si eres bueno, pero si no lo haces por pasión llegarás completamente quemado a tu objetivo. Este sector puede ser estresante y puede quemarte fácilmente.
- De cara a clientes y gran empresa, deja todo por escrito, siempre. Puedes confiar en la buena voluntad de las personas cuando todo va bien pero cuando las cosas se complican empiezan los malentendidos y si eres el último mono te acabarás comiendo el marrón.
- No dejes pasar las oportunidades, la vida te dará pocas. Tampoco esperes a que te las den, sal a buscarlas.
- Empieza ya, no esperes a perfeccionar nada, morirás buscando la perfección sin encontrarla.
- Piensa a largo plazo, mientras eres joven puedes hacer muchas cosas, luego la vida se complica o no tienes todo el tiempo y las ganas de seguir aprendiendo. Aquí es mi lección más personal, no esperes a tener 31 años y un hijo para sacarte la ingeniería (estudio u objetivos que tengas en mente), te pasará factura a tu salud mental jaja.
Bueno, espero que mi experiencia personal os haya sido útil y haya cumplido las expectativas de todos los que me lo pedíais. Ahora vamos a la parte técnica, la puedes ver en el siguiente video/post: Ruta SecDevOps 2025.
