Perspectivas prácticas sobre cloud, ciberseguridad y transformación digital para CTOs, CISOs y directores de transformación en sectores regulados.
Mostrando 37 artículos
La Nube Soberana de IA de la Comunidad de Madrid aterriza en el mismo parque tecnológico de Alcalá donde Telefónica inauguró su gran CPD en 2013. Qué rima con aquella etapa de hosting y housing, qué ha cambiado de verdad —el motor ya no es el coste, es la jurisdicción— y las cuatro señales que distinguen una plataforma de un CPD con nombre nuevo. Con el efecto de la depreciación de la IA sobre el modelo financiero.
Leer artículo — 11 min ↗ #36Monté una torre de control de IA sobre Azure API Management y Microsoft Foundry para una demo ejecutiva de gobierno de IA: identidad por unidad de negocio, guardrails preventivos, cuota por área y expediente automático del AI Act. La arquitectura fue fácil. Los trece fallos reales al redesplegarla — tres invisibles la primera vez, tres que ningún script detecta — son la parte que nunca sale en el diagrama.
Leer artículo — 8 min ↗ #35Visión artificial en la línea de producción de un fabricante de automoción presente en 25 países sobre GCP, y la migración a AWS de una televisión pública con Red Hat OpenShift para no depender de un único hyperscaler. Sectores distintos, nubes distintas, los mismos patrones de arquitectura — con tabla comparativa de servicios equivalentes.
Leer artículo — 8 min ↗ #34El pipeline de cinco etapas —code, build, test, deploy, runtime— que llevó a una entidad de capital markets de releases trimestrales a despliegues continuos sin renunciar a la evidencia que exige DORA. SAST, SBOM firmado, OPA Gatekeeper, Workload Identity y GitOps como audit trail, con el caso real de una detección que el pipeline no pudo anticipar.
Leer artículo — 9 min ↗ #33El modelo de tres palancas que sobrevive una auditoría interna: tiempo ahorrado medido por muestreo, factor de conversión a valor por rol y riesgo de shadow AI evitado y cuantificado. Con cifras reales de un despliegue en 8.000 empleados y el calendario de cuándo presentar cada pieza al Consejo.
Leer artículo — 8 min ↗ #3217.600 acciones registradas, dos días y medio dentro de la infraestructura y cuatro cuentas de terceros usadas como base de operaciones — con un endpoint público sin autenticar como punto de entrada. Qué deja de funcionar en detección, control de salida, higiene de credenciales e identidad no humana, y cómo usar este caso en el plan de ciberriesgos de IA que pide el BCE para octubre.
Leer artículo — 10 min ↗ #31Sin handshake initialize, sin Mcp-Session-Id, con enrutado por cabeceras y listados cacheables: un servidor MCP pasa a desplegarse como cualquier API interna. Qué rompe la migración, por qué el TTL de cacheo es un parámetro de contención y no de rendimiento, y la checklist para llevarlo a una Landing Zone regulada.
Leer artículo — 9 min ↗ #30El 2 de agosto entran en aplicación transparencia y buena parte del marco de alto riesgo del Anexo III — el scoring crediticio y los seguros de vida/salud se aplazan a 2027, el resto no. Cómo evitar triplicar el reporting de un mismo incidente entre AI Act, DORA y NIS2.
Leer artículo — 8 min ↗ #29Segundo requerimiento formal de la Comisión, expediente camino del TJUE, y España sigue sin ley. Por qué esperar al BOE es el mismo error que ya vimos con DORA, y qué puede construir ya cualquier entidad esencial o importante: notificación de incidentes, riesgo de terceros y gobierno.
Leer artículo — 8 min ↗ #28Security Hub evalúa ya VMs, contenedores, Function Apps e identidades de Azure contra el CIS Microsoft Azure Foundations Benchmark. Qué gana el arquitecto multicloud y qué gobierno de solapamiento hace falta frente a Defender for Cloud y Sentinel antes de activarlo en producción.
Leer artículo — 7 min ↗ #27Acuerdo plurianual multimillonario para contratar cómputo de Mistral en Francia, sin compra de participación. Mistral entra en Foundry, Copilot Studio y Azure Local. Qué capa es realmente soberana — el modelo, la infraestructura o el control operativo — y qué evaluar antes de sumarlo a tu stack de IA.
Leer artículo — 8 min ↗ #2610.000 nodos edge en la UE antes de 2030, latencias por debajo de 20 ms y 17 nodos ya desplegados por Telefónica en España. Por qué el edge es una extensión del perímetro y no un anexo de red, y qué debe exigir un arquitecto antes de sumarlo a una arquitectura híbrida en banca, sanidad o industria.
Leer artículo — 8 min ↗ #25La Generalitat licita una nube soberana de 481 M€ para datos sanitarios y fiscales, operativa en 2027 con sello SEAL 3. Las dos preguntas que separan la soberanía real del marketing institucional: quién opera la plataforma y cómo interopera con el ENS. Y el riesgo de que cada CC.AA. construya su propio jardín vallado.
Leer artículo — 9 min ↗ #24113 bancos significativos, plazo hasta el 31 de octubre y una carta dirigida al consejo, no al CISO. Por qué la ventana entre CVE y explotación ya se mide en horas, los tres bloques que debe tener el plan y el calendario práctico para no llegar con un documento sin proceso detrás.
Leer artículo — 9 min ↗ #23El Banco de Inglaterra, la PRA y la FCA supervisan ya directamente a AWS, Microsoft, Google Cloud y Oracle. Comparativa técnica con el régimen de proveedores TIC críticos de DORA — recomendaciones frente a reglas vinculantes — y por qué tu exit plan de proveedor cloud deja de ser un anexo teórico.
Leer artículo — 9 min ↗ #22El POC deslumbra en dos semanas; producción es otra disciplina. Evals continuas, observabilidad del razonamiento, coste por interacción y human-in-the-loop como métricas operativas — con datos de agentes reales en banca y seguros, el cuadro de mando de seis métricas y el runbook de 8 semanas. Y un extra: AgentOps es tu expediente del AI Act casi gratis.
Leer artículo — 12 min ↗ #21El Digital Omnibus aplaza el alto riesgo del Anexo III al 2 de diciembre de 2027, pero la transparencia del Art. 50 entra en vigor el 2 de agosto de 2026: chatbots identificados como IA, contenido sintético marcado y deepfakes declarados. Qué cambia de verdad, el calendario completo y por qué frenar el programa de cumplimiento sería un error.
Leer artículo — 11 min ↗ #20AKS, EKS y GKE son Kubernetes gestionado, pero no son iguales ante un auditor de DORA, ENS o el Banco de España. Guía de decisión para arquitectos cloud en banca, seguros y sector público: clúster privado, aislamiento del runtime, identidad, auditoría y gestión multiclúster con Azure Arc comparados.
Leer artículo — 13 min ↗ #19Microsoft tiene dos plataformas para construir agentes de IA y el mercado las confunde constantemente. Guía de decisión práctica para arquitectos cloud: criterios de elección, el patrón híbrido que funciona en banca y seguros, y lo que las comparativas oficiales de Microsoft no te dicen.
Leer artículo — 12 min ↗ #18La Comisión Europea propone triplicar la capacidad computacional de la UE antes de 2035. Implicaciones técnicas reales para arquitecturas cloud enterprise en sectores regulados: multicloud, contratos con hyperscalers, Landing Zones soberanas y hoja de ruta de cumplimiento.
Leer artículo — 10 min ↗ #17Broadcom eliminó las licencias perpetuas de VMware con un incremento del 300-500% en renovaciones. Evaluación técnica de las tres plataformas cloud VMware, con caso real de 200+ VMs migradas en 8 meses sin refactoring y los seis puntos técnicos que determinan el éxito del proyecto.
Leer artículo — 12 min ↗ #16Rayfin, anunciado en Microsoft Build 2026, aprovisiona un backend enterprise completo sobre Fabric —BD en OneLake, API GraphQL, Entra ID y gobernanza del tenant— con un solo comando. Lo que cambia para banca, seguros y sector público regulado, y las decisiones de diseño que no pueden pasarse por alto.
Leer artículo — 11 min ↗ #15Cómo Arc proyecta el plano de control de Azure sobre servidores on-premise, Kubernetes en cualquier nube y SQL Server heredado. Arquitectura real, el modelo financiero que aprobó el comité y los tres errores que repiten los equipos que se quedan a medias.
Leer artículo — 13 min ↗ #14Infraestructura de IA que detecta sus propios fallos y se recupera sola. Gemini 3.1 Pro en Vertex AI con SLA enterprise. Por qué el diferencial de GCP ya no es el modelo sino la plataforma gestionada, y qué implica para estrategias multicloud en sectores regulados.
Leer nota — 5 min ↗ #13Amazon Bedrock acoge GPT-5.5, Codex y Managed Agents de OpenAI. AWS crece un 28% hasta 37.590 M$. Por qué el diferencial competitivo en cloud IA ya no es el modelo base sino la plataforma de orquestación, y el riesgo de no elegir nunca.
Leer nota — 5 min ↗ #12Un commit malicioso en Azure/durabletask se propagó a 73 repositorios de Microsoft. El ataque de supply chain más significativo del año. Por qué GitHub Actions es superficie de ataque crítica y los 4 controles que habrían limitado el impacto.
Leer nota — 5 min ↗ #11Por qué el 80% de los proyectos de IA agéntica mueren en el piloto. SmartOps, el servicio que opera agentes en el Top-5 de la banca española: MTTA de 10 minutos a menos de 1. La metodología que convierte DORA, DCS y ENS de bloqueadores en requisitos de diseño.
Leer artículo — 12 min ↗ #10Azure VMware Solution primero, HANA Large Instances para producción, ExpressRoute por planta y Strangler Fig para modernización progresiva. −40% TCO en 24 meses. Los dos errores que casi paran la planta de Alemania y lo que aprendimos sobre latencia OT en entornos industriales.
Leer artículo — 13 min ↗ #9Tier model de ingesta, priorización de reglas por táctica MITRE ATT&CK, SOAR sin perder el juicio humano y UEBA para amenazas internas. Cómo reducir los falsos positivos un 80% sin ampliar el equipo. Caso real: MTTD de 72 horas a menos de 4.
Leer artículo — 12 min ↗ #8Cómo un agente de análisis documentó 2,1M líneas de COBOL, descubrió 23 reglas regulatorias ocultas y Kiro aceleró el desarrollo 3,5x. El problema del decimal COMP-3 vs. IEEE 754, el bloqueo del CISO y la "arqueología regulatoria". Ahorro estimado: 2,8M€/año en licencias IBM.
Leer artículo — 12 min ↗ #7Rediseño end-to-end del proceso de tramitación con Amazon Bedrock AgentCore como runtime de estado persistente. NPS de −12 a +31. El error del modelo de fraude, los PDFs caóticos y el bloqueo legal en pagos autónomos. El impacto que nadie esperaba: −61% reclamaciones DGS.
Leer artículo — 11 min ↗ #6Cómo un sistema multi-agente AWS (patrón ReAct, RAG jerárquico, paralelización de tool calls) redujo el tiempo de scoring PYME de 3-5 días a 4 horas. ROI 2,1M€. Los 3 errores que cometimos y lo que aprendimos sobre CIRBE, alucinaciones en cálculos y gobernanza regulatoria.
Leer artículo — 10 min ↗ #5Cómo implantar Copilot for Microsoft 365 con un marco de gobierno de datos real. Por qué el 70% de los proyectos fracasan (y no es por la tecnología). ROI positivo en 4 meses, 100% de adopción en el mes 6, shadow AI eliminado en una corporación con 8.000 empleados.
Leer artículo — 11 min ↗ #4Tagging obligatorio, reservas bien dimensionadas, rightsizing con 30 días de observación y por qué FinOps fracasa sin cambio cultural. Caso real: -35% en 6 meses, 180.000€/año recuperados en reservas.
Leer artículo — 11 min ↗ #3La certificación ENS es condición necesaria para la soberanía operativa, pero no suficiente. CLOUD Act, residencia de datos vs. soberanía operativa y las 6 decisiones que determinan el control real sobre tus datos en cloud.
Leer artículo — 11 min ↗ #2MFA resistente a phishing, PIM sin excepciones, Conditional Access basado en señales de riesgo real, Sentinel correlando desde día 1 y notificación automatizada de incidentes. Las decisiones que el auditor va a validar.
Leer artículo — 12 min ↗ #1Requisitos regulatorios (DORA, ENS, EBA), jerarquía de Management Groups, topología hub-spoke, security baseline y modelo FinOps para grupos bancarios con presencia multi-país. Lo que los diagramas de Microsoft no te cuentan.
Leer artículo — 10 min ↗12 controles de alto riesgo con el calendario real tras el Digital Omnibus: transparencia en agosto de 2026, Anexo III en diciembre de 2027. Llévalo a tu próximo comité de riesgos.