Entrevistamos a Chema Alonso

Chema Alonso, es una de las caras más conocidas en el área de la ciberseguridad de los últimos tiempos. Lo que los ciudadanos de a pie llamarían un «hacker», realmente es mucho más que eso. Actual Chief Digital Officer en Telefónica, así como un largo currículum que lo avala.

En el día de hoy, Antonio Román, compañero y cofundador de Hispasec, mantiene una charla con Chema, iniciando un ciclo que continuará con entrevistas mensuales a personajes del mundo de la ciberseguridad.

+ Creo que tienes una capacidad multitarea y de implicación en proyectos en un grado que no es usual. No obstante, nunca pensé verte en un cargo de carácter tan gerencial. ¿Cómo ha surgido esta transformación?

– La verdad es que no creo que haya cambiado tanto, Román. En mi puesto actual sigo haciendo lo mismo que hacía en Informática 64 y luego en ElevenPaths aunque con un poco más de escala. Intentar hacer un equipo que sea capaz de hacer tecnología. Telefónica es una empresa de tecnología pura y dura, así que se trata de gestionar los recursos técnicos y económicos, para hacer que un equipo de personas saque un proyecto. Y las habilidades que hay que tener son las mismas que tienes tú en Hispasec, pero con un poco más de escala. Yo sigo levantándome por las mañanas y pensando en tecnología, en Living Apps, en casos de usos para SmartWiFi, en una nueva Idea Loca que probar con mi equipo, etcétera.

+ Sabes que cuando coincidimos surge una pregunta recurrente, ¿Cómo eres capaz de compaginar la vida laboral y la personal? ¿Sigues al mismo ritmo o ya vas haciéndote mayor? 🙂

– Creo que últimamente he dado incluso un pequeño acelerón en el número de cosas que hago. Pero intento sacar tiempo para mi vida personal. A veces lo consigo más, a veces lo consigo menos. Justo ahora estoy en un momento en el que estoy más apretado profesionalmente y los días son un poco más largos, pero intento balancear. Soy muy estricto con cómo gestiono mi tiempo y tengo un gran número de rutinas para que lo que tengo que hacer salga lo más rápidamente posible.

De ahí el uso de mi buzón público en MyPublicInbox. El que quiera contactar conmigo para algo tiene una autopista hasta mí rapidísima. Un mensaje vía MyPublicInbox y está hablando conmigo para cualquier proyecto, evento, entrevista o duda que quiera, pero si no viene por ahí, tengo los mensajes redirigidos /dev/null. Eso sí, cuando toco llevar a Mi Hacker y a Mi Survivor a sus actividades, ahí cambian los ejes de coordenadas.

+ Como ya hemos comentado antes, nos conocemos desde hace tiempo, pero, por curiosidad, ¿sabrías decirme cuándo y cómo conociste a Hispasec? Aunque ya sabes que nuestros inicios comenzaron de forma diferente, ¿recuerdas nuestros inicios con la newsletter Una al día?

• Claro que sí. Cómo no. Aprendí con ella. Lo he dicho muchas veces. Cuando no existían los blogs, cuando la ciberseguridad, el hacking o la seguridad informática eran cosas aún incipientes en el mundo profesional, Una al día te traía todas las mañanas información valiosa sobre el asunto. Fue un trabajazo en aquella época espectacular, porque no había todos los recursos que tenemos hoy en día. Tanto me gustaba, que junto a Sergio de los Santos y junto con vosotros hicimos el libro de “Una al día” en 0xWord.

Recogimos 16 años de la historia de la Seguridad Informática espectaculares, con entrevistas, el nacimiento de técnicas hacking, etcétera. Una maravilla de libro. Ahora sigo suscrito al blog, que yo sigo siendo consumidor de información vía RSS Feed, y no vía RRSS. Una letra, y ¡qué diferencia!

+ Es bonito recordar los inicios y lo que nos llevó a lo que somos a día de hoy. ¿Sientes nostalgia de esa subcultura? Ya sabes, los comienzos de la ciberseguridad.

– No, para nada. No la siento perdida. No siento que se haya ido para mí la cultura de la ciberseguridad y el hacking, la cultura de buscar el futuro de la tecnología, de estar enamorado con algo creado, descubierto, inventado usando nuestros ordenadores. Normalmente, cuando se tiene nostalgia de eso es más la nostalgia de ser joven, que de las cosas que hacíamos. Yo sigo trabajando con Rodol, sigo metiéndome en proyectos, sigo dando charlas, que la semana que viene estoy en la Hack in The Box de Abu Dhabi dando una charla, sigo escribiendo en mi blog, sigo haciendo hacks, sigo trabajando con gente que me aporta. Con otra perspectiva de madurez, de escala, y de eficacia a la hora de hacer las cosas. Ya nos sabemos mejor el camino. Pero sigo pensando que estamos en un momento de más importancia aún para la tecnología y los que jugamos con ella, que hace 22 años cuando montamos Hispasec e Informática 64 casi en paralelo.

+ Hablando de comienzos, me acuerdo cuando formabas parte de Informática 64 antes de tu puesto actual en Telefónica. ¿Qué fue lo que te atrajo y desencadenó este cambio?

– La gente piensa que yo fui algo así como “un fichaje estrella” para Telefónica, pero en dos meses harán diez años desde que comencé a trabajar en esta empresa. Primero comencé con un programa precioso llamado Talentum para traer hackers cerca de Telefónica. Después, transformé Informática 64 en una filial del grupo. Luego fusionamos ElevenPaths con el Vertical de Ciberseguridad y entré en la unidad de Business Solutions, luego pasé a ser Chief Data Officer en el Comité Ejecutivo, y después he tenido los roles de Chief Digital Consumer Officer y ahora Chief Digital Officer. Vamos que ha sido un viaje entretenido por una empresa maravillosa.

Y ese viaje es la respuesta a tu pregunta.

Telefónica es una gran empresa. Es la primera empresa de tecnología de este país, y es parte del corazón de Internet. Las posibilidades de hacer cosas eran casi infinitas cuando tuve la aproximación de nuestro actual presidente para hablar conmigo de tecnología y me invitó a venirme a Telefónica, dije que no. Pero luego… con todo lo que se podía, y siempre con la aprobación de Rodol, decidimos subirnos a la montaña rusa e irnos a hacer cosas a Telefónica. Supongo que lo mismo que cuando parte de Hispasec se escindió y se fue a Google, era subirse a otra escala para hacer tecnología desde el corazón en el que se hace la tecnología.

+ ¿Cómo te sientes en tu puesto actual? ¿Es más gerencial o te permites cacharrear? Entiendo que a veces se puede echar de menos esos días tranquilos sin reuniones que te permiten enfocarte más en el apartado técnico.

– En mis reuniones de equipo no hay excel, powerpoint, o cosas así. Pero tenemos muchas tareas de gestión, claro. Sin embargo, yo intento proteger y cuidar los proyectos tecnológicos, además de sentarme a hacer cosas con los equipos técnicos. En mi caso, tengo en mi unidad a Wayra y Core Innovation, los equipos de productos digitales de wifi, apps, vídeo, los nuevos negocios digitales, los equipos de televisión, aura, living apps, movistar home, los equipos de plataformas de datos, ingeniería, apis, etc… el aire que se respira es normalmente de tecnología en toda la unidad. Pero tenemos también que hacer la parte de gestión. Así que… digamos que no echo de menos eso, porque lo balanceo. Además, también estoy cerca de los ingenieros de MyPublicInbox , de lo que hacemos en 0xWord , y del nuevo proyecto de Singularity Hackers.

+ En los últimos años, todos sabemos que has adquirido una exposición mediática bastante notable. Sé que eso no te disgusta, pero, ¿qué parte negativa le ves?

La verdad es que no es que me atraiga demasiado. Imagínate que tú con 18 años dices “Quiero ser popular y conocido”, te prometo que lo último que piensas es “…ergo me voy a meter a estudiar informática y voy a hacer programas”. Y dar charlas a mí me daba pánico, que lo he contado muchas veces, pero no sé cómo sucedió. Dar charlas, escribir blogs, hacer entrevistas, etcétera, era una parte fundamental de mi trabajo. Teníamos una empresa, con trabajadores, queríamos que nos conocieran, que nos contratarán, que supieran que podíamos hacer el trabajo para el que nos necesitaran. Por eso hacíamos esas charlas, conferencias, artículos, entrevistas, etcétera. En mi caso, se me fue dando bien hacerlo, y empecé a disfrutar de las charlas. Me disfrazaba, hacía cosas divertidas, me lo pasaba genial en las charlas. Y eso me llevó a ir a la televisión y a que algunos de los vídeos de mis charlas se hayan visto millones y millones de veces. Pero nunca fue premeditado.

En el año 2014, después de salir una vez en El Hormiguero, en Salvados, en Documentos TV, en Más Vale Tarde, en el show de Buenafuente, etcétera, decidí dejar de ir a la televisión y rebajar mi nivel de exposición. También dejé de dar charlas en CONs durante unos años, etcétera. Quería focalizarme en mi trabajo y sacar adelante los proyectos que tenía.

Con la llegada de la pandemia, el teletrabajo, y el uso de MyPublicInbox, he conseguido tener más tiempo libre. Me he quitado muchos atascos de viajes al trabajo, muchas reuniones presenciales viajando por la ciudad para ir a salas de oficinas, y muchos mensajes de correo que no eran relevantes para mí – me ha dado hasta un mes más de tiempo al año usar MyPublicInbox, y por eso he vuelto a hacer alguna charla más, a meterme en algún proyecto más, y demás.

Supongo que además, la imagen de ejecutivo con gorro sigue llamando mucho la atención a mucha gente. Yo me lo pongo un poco ya por rebeldía, aunque todo el mundo que me conoce sabe que soy el hombre ese que lleva el pelo en coleta y gafas para ver la pantalla del ordenador que ya no ve tan bien como antes. Que además trabaja, va a la oficina, estudia, y que saca sus obligaciones adelante como cualquier otra persona normal.

Y centrándome en tu pregunta, la parte positiva es muchísima. He conocido a gente maravillosa, y es reconfortante cuando te dicen que tu trabajo ha impactado en sus vidas, o que les has podido ayudar en un determinado momento por algo que hiciste y les sirvió. Y he sacado grandes amigos, grandes colaboradores, grandes oportunidades personales y profesionales.

Lo negativo es perder un poco de privacidad, porque la gente te reconozca por la calle alguna vez. O que alguien se haga ideas preconcebidas sin conocerte, sin conocer tu pasado, sin saber nada de ti. Pero me afectan poco o nada los comentarios de gente que no conozco, que no me conoce y que se hacen desde la ignorancia – no como insulto sino como concepto semántico puro –.

Pero en resumen, digamos que, ni me molesta, ni lo necesito. Puedo vivir tranquilamente siento José María Alonso y vivo tranquilamente siendo Chema Alonso.

+ Respecto al futuro, tú futuro, ¿cuáles son tus proyectos más personales?

– Mis proyectos personales son mi vida personal, Telefónica, 0xWord, MyPublicInbox, Cálico Electrónico – que estoy buscando sponsors para sacar el especial navidad de Cálico -, Singularity Hackers, El lado del mal, mis PoCs & Hacks con el equipo de Ideas Locas, un libro de relatos para donar dinero a los proyectos de la Fundación Gomaespuma, y entregar el vino que he hecho para mis amigos con mi gorro 

+ Muchos cambios desde aquel Chema que comenzaba en la ciberseguridad. ¿Qué le diría el Chema actual al Chema de hace 30 años?

– Me alegra que me hagas esa pregunta. Porque ya me la hice y la respondí.

““Oye enano, sé que tienes un montón de líos en la cabeza, pero no te preocupes que vas bien. No lo estás haciendo mal. Es lo que tienes que hacer ahora. Es lo que hay que pasar. Y no te preocupes mucho más de lo que estás preocupándote ya. Te van a pasar mil cosas. Cosas buenas y cosas malas, pero en eso consiste la vida, así que no te vas a aburrir. Ya te avanzo que no va a ser mucho más fácil de lo que es hoy en día.

Además, en el fondo, vas a disfrutar de lo lindo todas las tesituras en las que vas a terminar. Vas a disfrutar metiéndote y saliendo de entuertos. Sintiendo que estás vivo. Te va a gustar eso. Sigue haciendo las cosas como las estás haciendo. Te vas a equivocar en muchas de ellas – en un pedazo de montón de decisiones – pero también aprenderás de esos errores y les sacarás provecho.

Sigue estudiando, aprendiendo, leyendo, no siendo vago, y arriesgándote. No pasa nada por lo que te vaya sucediendo. Aprenderás a gestionarlo. Es lo que tocará en cada caso y al final estará bien y todo en su sitio. Ya lo arreglarás… o no. O simplemente pasarás página y vivirás con eso sin mucho más impacto.

Eso sí, el tabaco ni tocarlo que te vas a arrepentir – y mucho – de cada cigarrillo que hayas consumido. Lo vas a repeler y odiar como el veneno que es. Y el mejor de los consejos para ti, para que disfrutes más tu vida, saca tiempo para divertirte con el deporte.

Corre. Por el campo, por la montaña, por la calle. Aunque te canses. Monta en bici. Sube montañas, haz recorridos largos y cortos. Solo y con amigos. Aunque te caigas. Nada. En verano. En invierno. Solo por la tarde. En la playa. En la piscina. Aunque te ahogues. Aprende a patinar. En linea. Con cuatro ruedas. A hacer el Ángel. El arabesco. Sobre hielo. Disfruta del monopatín. Y del longboard. Y del Snowboard. De la montaña. Vete a aprender a esquiar. Haz caminatas. Juega al fútbol, al basket y a lo que te inviten. El deporte te hará feliz más de lo que te puedes imaginar ahora.

Ah, y antes de irme una cosa más: Acaba la colección de cómics de La Patrulla X que luego te van a faltar unos pocos para tener completo el Volumen 1 y vas a gastarte mucho dinero y tiempo a espuertas para poder terminarla.“

+ El sector de la ciberseguridad es a la vez un sector en claro auge, pero también muy desconocido. ¿Qué consejo le darías a los chavales que se inician en el mundo de la ciberseguridad?

– No hay misterio. Que estudien mucho. Que trabajen desde ya. Y lo que les suelo decir es que tengan muy claro a qué se quieren dedicar. No es lo mismo ser un pentester, que un QA de Seguridad, que estar en un SOC, que ser en un Blue Team, en un CERT haciendo ciberinteligencia, ser un analista de malware en un CSIRT, un auditor de seguridad haciendo compliance, ser un CISO, un Data Privacy Officer, un exploiter o un security researcher. Cada trabajo es diferente, y cada uno de ellos necesita capacidades personales diferentes. Las habilidades que se necesitan para estar en un CERT no se parecen nada a las que se necesitan en un Red Team.

Por eso creamos Singularity Hackers, donde primero se hacen unos tests del MIT para medir cómo es cada una de las personas que hace la prueba, y después se hace un “match” con las tres profesiones en ciberseguridad para las que las habilidades de cada uno se adaptan mejor, dentro de un abanico de 30 roles profesionales de ciberseguridad. Y se les recomiendan charlas, libros y formaciones para prepararse en esa profesión. Ayuda a reducir la frustración que sufren muchos chavales que “quieren ser hackers” y acaban teniendo una mala experiencia en un BlueTeam fortificando Apaches.

+ Hablando de los chavales, ¿percibes diferencias entre los que se acercan hoy en día al mundillo de la ciberseguridad y los que se acercaban cuando empezamos?

– No mucha, la verdad. Veo a chavales súper preparados hoy en día, que vienen con conocimientos de Machine Learning aplicado a Ciberseguridad, que saben Python, que entienden las DeepFakes, que te hacen un reversing de un binario, que te automatizan en procesos DevSecOps los procesos de Continuous Delivery con pruebas de análisis de código estático y dinámico, etcétera… Y también de los otros, de los que no tienen esa chispa hacker de pasión por la tecnología y ganas de hackear el mundo y su futuro profesional.

Pero si me pides una opinión, creo que hoy es un entorno más competitivo que el que vivimos nosotros de jóvenes, porque cuando nosotros queríamos aprender, la barrera era el acceso a la información ( de ahí la importancia de Una al día ) y hoy lo que marca la diferencia son las ganas de esforzarse, el trabajo, el sacrificio. Es muy duro sacrificarse con todos los “inputs” de perder el tiempo siendo un consumidor de entretenimiento infinito que hay hoy en día, pero los que tienen la chispa y se centran… son buenísimos.

+ Y por último, Chema, ¿qué piensas de la cantidad de opciones de formación en ciberseguridad que existen a día de hoy? ¿Podrías dar una recomendación a los chavales de hoy en día que se quieran meter en este mundo?

– Lo que he dicho antes de Singularity Hackers, como punto de inicio, y luego, por dar alguna recomendación de lo que yo he hecho y hago siempre es: leer muchos libros, practicar mucho, hacer proyectos con compañeros… y acabarlos – por supuesto -, y luego comenzar la vida compaginando la formación y el trabajo. Yo he trabajado desde muy, muy, muy joven, y me he hecho todos los cursos que he podido, hasta el Doctorado me saqué con 38 años -. Pero esta charla de “Hack Your Future!” recoge mucha parte de mi pensar.

+ Para finalizar esta entrevista, queremos agradecer tu participación y recordar a todos nuestros lectores de Una al día que contaremos con un espacio mensual donde nos darás a conocer más sobre esta bonita profesión y todo lo que lo rodea.

– Y será un placer maravilloso

+ Además, nos alegra revelar que Chema Alonso será uno de los ponentes invitados a UAD360, el evento de ciberseguridad que realizamos en Málaga el próximo junio de 2022. Encantados de contar contigo.

Por cierto, ¡no puedo irme sin recordarte que me debes un libre firmado de Arturo Pérez Reverte! 🙂

– Te lo llevaré a la UAD 360… en cuanto te saques tu buzón de MyPublicInbox 🙂