Sobre mí
Líder corporativo de seguridad de aplicaciones en Lima, con ocho años repartidos entre el gobierno de la seguridad y el lado ofensivo. Quién escribe este diario y por qué está escrito para dos lectores a la vez.
Soy Cristian Luciano. Dirijo el programa de seguridad de aplicaciones de un banco, sobre entornos regulados, y lidero al equipo que construyó y opera una plataforma propia de agentes de IA que ejecuta los análisis de código, de dependencias y de aplicaciones en marcha.
Antes audité ciberseguridad en otro banco, como subgerente de auditoría, presentando resultados al comité de auditoría corporativo. Y antes de eso llevé la seguridad ofensiva de una minera, en un entorno que mezcla sistemas de oficina con sistemas industriales. Empecé en consultoría implantando y auditando ISO 27001, NIST CSF y SOX en banca, minería, energía y retail.
Son ocho años repartidos entre dos trabajos que casi nunca hace la misma persona: definir el programa, responder ante un comité y sostener un equipo por un lado; romper cosas para saber si el programa aguanta por el otro. Enseño lo segundo en un posgrado, y es lo que me da criterio para lo primero.
Por qué existe este diario#
Casi todo el contenido de seguridad está escrito para un solo lector. O es un resumen ejecutivo que no explica cómo funciona nada, y entonces no se puede actuar sobre él. O es un artículo técnico que da por sabido por qué debería importarle a alguien que firma presupuestos, y entonces nunca llega a esa persona.
Me he pasado años traduciendo de uno al otro: delante de un comité de auditoría por la mañana y revisando un hallazgo de red team por la tarde. Este diario es ese ejercicio puesto por escrito. Explicar un mecanismo lo bastante bien para que un CISO pueda decidir con criterio, y lo bastante en serio para que quien lo va a implementar no tenga que buscarlo en otro sitio.
De ahí sale la única regla fija del sitio: cada entrada dice de antemano para quién está escrita, y cuando un tema no cabe en una sola, se parte en dos piezas que se pueden reenviar por separado.
Eso explica también por qué aquí hay artículos sobre cómo corre un modelo de lenguaje en una tarjeta gráfica. No es una afición: construir y operar una plataforma de agentes obliga a entender qué hace la máquina por debajo, y esa parte es la que casi nadie escribe en un sitio donde un CISO pueda leerla.
Qué vas a encontrar y qué no#
Dos tipos de entrada. La mayoría son explicaciones: cómo funciona algo por dentro y qué consecuencia tiene eso para una decisión que alguien tiene que tomar. El resto son montajes que hice yo, contados con los comandos, las versiones y las cifras tal como salieron, y con la fecha en que se midieron, porque este tipo de números caduca rápido.
En los dos casos, las cifras se pueden comprobar: o vienen de una fuente que se cita, o salen de una cuenta que puedes rehacer tú con los mismos datos, o las medí yo y explico cómo. Si algo no funcionó a la primera, también está; no hay versión idealizada.
Lo que no vas a encontrar: marcos explicados por enésima vez, resúmenes de noticias, ni listas de herramientas.
Fuera de aquí#
Cofundé CiberSecUNI, el primer grupo de ciberseguridad de la Universidad Nacional de Ingeniería. Arrancó en 2019, sigo en su directiva, y hoy pasa de setenta miembros activos y más de quince premios internacionales.
Fundé Black Alpaca, la conferencia de ciberseguridad ofensiva del Perú, que va por su segunda edición.
Y doy clases de ciberseguridad ofensiva y red teaming en un posgrado, que es donde más me obligan a explicar bien las cosas: delante de un aula no se puede dar nada por sabido sin que alguien levante la mano.
El detalle profesional completo está en LinkedIn.
Contacto#
Si quieres corregir un dato, discutir un caso o proponer un tema, escribe a [email protected]. Leo todo. No siempre contesto rápido.
Para seguir el diario hay RSS. No hay boletín por correo, y si algún día lo hay se dirá aquí.
Las entradas publicadas están en el archivo, y cómo leer este diario explica qué significan las marcas que lleva cada una.