Javier Sánchez, CISO de ENGIE España entrevista a Miguel Ángel Rodríguez, Subdirector General de Sistemas y Tecnología en el Organismo Informática del Ayuntamiento de Madrid.

Javier Sánchez: ¿Cómo llegaste a ocupar el puesto en el que estás ahora?

Miguel Ángel Rodríguez: Llevo casi 20 años trabajando en el sector público, siempre en proyectos de tecnología. Soy un apasionado del área tecnológica y he ocupado distintos puestos en la Administración General del Estado durante aproximadamente 12 o 13 años. Actualmente llevo 7 años en el Ayuntamiento de Madrid. Mi rol está relacionado con la resiliencia digital, ya que soy el responsable de infraestructuras tecnológicas del Ayuntamiento desde el punto de vista de la disponibilidad del servicio. También desempeño un papel muy cercano al de un CTO, proponiendo nuevas tecnologías, impulsando la innovación e intentando elegir la mejor solución para cada nuevo proyecto que surge en el Ayuntamiento. Es un reto mantener esa disponibilidad del servicio, con la presión constante de un entorno 24/7, y al mismo tiempo estar siempre al día con las tecnologías emergentes para seleccionar la más adecuada a las necesidades del Ayuntamiento.

J.S.: Es muy interesante este rol de transformación, que es lo que nos están pidiendo todos nuestros negocios independientemente de si trabajas en el sector público o privado. Pero si fuéramos un paso más allá y tuvieses que definir de manera rápida y escueta qué es la resiliencia digital para ti desde tu puesto en el Ayuntamiento, de forma entendible para gente que no está en nuestro mundillo, ¿Cómo lo definirías? ¿Qué sería para ti la resiliencia digital?

M.A.R.: Las primeras veces que empecé a escuchar la palabra resiliencia tengo que confesar que me daba un poco de vergüenza utilizarla. Me pareció un poco pretenciosa y algo ajeno al mundo digital, pero poco a poco he ido creyéndomelo y me gusta definirlo desde un punto de vista más generalista, no necesariamente vinculado a la tecnología. En la cultura marcial, en las artes marciales, hay un proverbio japonés que dice que hay que caerse siete veces y levantarse ocho.

Para mí eso significa la resiliencia y sobre todo desde un punto de vista muy real en el ámbito de las tecnologías, en el momento actual, en un contexto cambiante, volátil y con una gran independencia entre múltiples piezas tecnológicas, todos sabemos que, en algún momento, algo va a fallar y hay que estar preparados para esa caída y luego levantarse en el menor tiempo posible. No me convence el enfoque tradicional de los planes de continuidad de negocio, con exceso de documentación y normativas. Creo que son importantes y necesarios, pero estoy convencido de que la resiliencia tiene más que ver con poner a prueba esas caídas y con la capacidad de levantarse. Y eso requiere ejercicio y entrenamiento. Si no lo practicas, no vas a poder hacerlo.

J.S.: Todo esto está ligado a las nuevas innovaciones, a todo lo que nos está viniendo cada vez más rápido, más de frente y que lo tenemos que asumir. Dentro de este punto, ¿Qué deberías o qué habilidades crees que debería tener un líder en cuanto transformación digital y resiliencia? ¿Cuál sería lo más necesario en este tipo de personas, este rol que asumen las empresas?

M.A.R.: Es difícil responder esa pregunta porque al final muchos de los que asumen o asumimos puestos de liderazgo, tienen su propia personalidad, sus características y sus valores. Yo creo, que lo importante también es asumir ese rol que tiene cada uno. No puedes imitar las características de otros o imitar a otros líderes. Eso es lo primero que me parece muy importante, y sí que creo en cualquier caso que para este entorno cambiante en el que estamos todos inmersos y en el que estamos innovando y por otro lado manteniendo las tecnologías tradicionales a lo largo de muchos años, hay que tener presente en tus características personales esa resistencia y esa resiliencia para sobrellevarlo y guiar a tu organización a donde crees que tiene que ir, además de, mantener una estructura coherente con tus equipos y las personas que trabajan contigo.

J.S.: ¿Cómo estáis abordando estas nuevas iniciativas de ciber resiliencia para estar preparados ante cualquier incidente? Porque ya hemos visto que han ocurrido en muchos lugares y seguirán sucediendo, ya que, como siempre, los ciberdelincuentes van un paso por delante y parece que tienen un presupuesto infinito, a diferencia de nosotros.

M.A.R.: El Ayuntamiento de Madrid ha hecho una apuesta muy fuerte por la ciberseguridad y por la ciber resiliencia. Por un lado, desde el ámbito de las infraestructuras tecnológicas, estamos apostando por una estrategia multicloud, en la que hemos evolucionado mucho en los últimos cuatro años. Dentro del marco estratégico actual, que se extiende hasta 2027, continuaremos mejorando los niveles de madurez que nos preparan para enfrentar cualquier situación con resiliencia. Desde la perspectiva de la ciberseguridad, en cuanto a la protección ante incidentes y diversas amenazas, se ha creado el Centro de Ciberseguridad del Ayuntamiento de Madrid. Este centro depende del organismo autónomo de informática del Ayuntamiento de Madrid y que cuenta con un enfoque integral, que no solo cubre el perímetro del Ayuntamiento, sino también la protección de la ciudad y los pilares principales del centro de ciberseguridad del Ayuntamiento de Madrid.

J.S.: Si, esto nos hila también con las nuevas tecnologías, todos los temas de IA en los que seguro estáis metidos también. ¿Cómo lo estáis viendo desde vuestra perspectiva?

M.A.R.: Llevamos aproximadamente un año trabajando en un nuevo enfoque estratégico con la aparición de la inteligencia artificial generativa. Para nosotros, ha supuesto un cambio radical. La inteligencia artificial generativa, abre posibilidades que antes no teníamos y ofrece nuevas formas de prestar servicios a la ciudadanía. Lo más relevante es que las personas ahora pueden interactuar en lenguaje natural con las máquinas, lo cual representa un cambio social significativo. Creo que esto transformará por completo el paradigma de prestación de servicios, tanto en organizaciones públicas como privadas.

Desde la aparición de la IA generativa, hemos constituido un equipo interno con las personas más preparadas dentro de la organización para afrontar este reto. Llevamos aproximadamente un año trabajando en un grupo que engloba a todo el Ayuntamiento y en el que participan todas las direcciones generales, con el objetivo de generar casos de uso que podamos llevar a producción. Hablo de llevar a producción porque, aunque hablar de IA generativa, hacer un pequeño piloto o desarrollar un prototipo pueda parecer sencillo, la última milla —la de poner un caso de uso en funcionamiento real— implica muchos matices, especialmente en seguridad, en la implementación de medidas de control y en las nuevas interfaces conversacionales. Para nosotros, es fundamental alcanzar esa fase de producción.

A mediados de 2025, hemos lanzado un contrato que ya está en ejecución, con el apoyo de una empresa colaboradora y una estimación económica de un millón de euros anuales. Esto nos ha permitido hacer crecer el equipo interno y avanzar en varios de esos casos de uso que estaban en fase de laboratorio, pruebas o evaluación. Actualmente, tenemos entre 8 y 10 casos en desarrollo, que se encuentran en producción y funcionando, y con un enfoque muy centrado en las personas. Nuestra inspiración es “la señora María”, una persona que no sabe nada de tecnología —podría ser mi madre o la tuya— y que tampoco tiene interés en el lenguaje técnico ni en la burocracia del Ayuntamiento. Con esa visión, estamos desarrollando agentes especializados en distintos servicios municipales: actividades culturales, deportes, impuestos municipales, etc. El objetivo es que cada uno de estos agentes de IA pueda apoyar, mediante el uso del lenguaje natural, primero a los empleados municipales y, posteriormente, en la interacción con la ciudadanía.

J.S.: Además de la protección de los datos de los ciudadanos, que como decías evaluáis desde el diseño, y con el reto constante de mantener esa seguridad incluso en modelos avanzados, os enfrentáis a otro desafío común con el sector privado: la retención del talento. ¿Cómo lo estáis abordando desde vuestra perspectiva? ¿Qué estrategias o herramientas estáis poniendo en marcha para asegurar ese ‘talento ciber’ y evitar su fuga?

M.A.R.: Es muy difícil. En el sector privado, la falta de talento ya es un tema recurrente, pero en el sector público está comenzando a serlo aún más, debido a que nuestros procesos de captación de personal, que se realizan por oposición, presentan una complejidad adicional. El Ayuntamiento de Madrid ha creado una estructura y una marca —podríamos decir de marketing y publicidad— en torno al talento y a la vocación de servicio que implica trabajar en el sector público, especialmente en el propio Ayuntamiento. Esto ha contribuido a dar visibilidad a los cuerpos dedicados a las tecnologías dentro del Ayuntamiento, que cada vez son más conocidos.

Por otro lado, se han reducido los tiempos de convocatoria de oposiciones para incorporar nuevos funcionarios y empleados públicos. Además, contamos con dos iniciativas centradas en acercar el talento desde fases muy tempranas. Buscamos establecer vínculos con universidades; el Ayuntamiento tiene un laboratorio de IOT, que mantiene una línea de trabajo en inteligencia artificial a la que denominamos IOT MATLAB e IA MATLAB, para colaborar con universidades. Esto nos permite, por un lado, nutrirnos desde el punto de vista de la innovación y, por otro, darnos a conocer y mostrar que en el Ayuntamiento se hacen cosas relevantes, fomentando así el interés por trabajar con nosotros.

En cuanto a perfiles más técnicos, hemos lanzado un programa de prácticas mediante el cual recibimos a estudiantes de un instituto de formación profesional de Villaverde. Estos estudiantes realizan sus prácticas con nosotros, y desde ese primer contacto buscamos fidelizarlos, con la esperanza de que más adelante decidan opositar y trabajar con nosotros. La apuesta por el talento joven es clave. Nosotros ya representamos al talento veterano, así que debemos centrarnos en encontrar talento en esos nichos de conocimiento que son las universidades, institutos y centros de formación especializada.

J.S.: Si nos adentramos en tu visión a largo plazo, ¿Cómo ves la resiliencia y la innovación dentro de cinco o diez años? Vosotros, además, tenéis que trabajar con una perspectiva a largo plazo, ya que vuestros presupuestos deben planificarse con años de antelación, como bien sabemos. ¿Cómo percibes toda esta dinámica, toda esta práctica, en los próximos cinco años? Y si puedes proyectarlo aún más allá, ¿Cuál sería tu pronóstico?

M.A.R: A veces cuesta hacer predicciones a más de seis meses, pero vamos a intentarlo… y ya eso me parece bastante. Creo que los planes estratégicos a largo plazo son cada vez más difíciles de elaborar y, en muchos casos, tienen menos valor. Los cambios tecnológicos, geoestratégicos, geopolíticos e incluso las dinámicas de negocio de las empresas son cada vez más frecuentes. En el sector público, aunque contamos con un modelo de negocio estable, también enfrentamos el riesgo de no ser competitivos. Al no tener una competencia directa, el «time to market» que deberíamos alcanzar para cumplir con las expectativas de los ciudadanos nos exige ejercer una fuerte presión interna. Para nosotros, lo más importante es ejecutar y llevar los casos de uso a producción.

Hablábamos antes de inteligencia artificial, pero sea cual sea el ámbito, y teniendo ya en marcha una estrategia de transformación digital, como te comentaba, para nosotros lo fundamental es ejecutar. Sí veo un tema especialmente difícil de abordar, sobre todo a 10 o 15 años vista es: la brecha de la inteligencia artificial. Nosotros adoptamos la IA generativa desde el principio para no quedarnos atrás y poder abordar esta ola desde el inicio, con la intención de surfearla en lugar de verla pasar. Sin embargo, creo que aquellas organizaciones que no la integren en algún momento acabarán, en ese horizonte de 10-15 años, acumulando un desfase o una deuda técnica muy significativa que les costará mucho superar. Y eso es complicado.

J.S.: Si tuvieras que hablar con tu «yo del futuro», con ese nuevo líder, el líder del mañana, como en alguna película, ¿Qué consejos le darías?

M.A.R.: Es una muy buena pregunta, y además me la planteo habitualmente con mis hijas. Me pregunto qué les diría, ¿Qué espero que estudien en el futuro? Sobre todo, intento que desarrollen un conjunto de habilidades que combinen lo humanístico, lo tecnológico y la capacidad de afrontar crisis, además de fomentar el pensamiento lateral, algo muy vinculado al mundo del hacking.

Creo que cada vez va a ser más relevante tener pensamiento crítico, la capacidad de salir de lo convencional y una creatividad que permita construir un futuro profesional sostenible. Todo esto, además, en convivencia con la inteligencia artificial, que sabemos que será una herramienta clave para todos.

J.S.: Desde vuestra perspectiva, en ciberseguridad solemos decir que hay dos tipos de organizaciones: las que han sido atacadas y las que lo serán. ¿Qué tan preparados os sentís para ese ‘entrenamiento constante’? ¿Podrías compartir alguna experiencia —sin entrar en detalles confidenciales— que os haya servido como lección aprendida y que pueda ser útil para otras organizaciones?

M.A.R.: Creo que todos hemos tenido casos. De hecho, esta entrevista surge a raíz de una publicación que hice en LinkedIn sobre un no-incidente de disponibilidad de servicio relacionado con la crisis de CrowdStrike que vivimos muchos. Creo que es positivo, con cierta transparencia, contar cómo se enfrentan este tipo de situaciones. Cada vez vamos a tener más de estos casos. Además de aquel, que ocurrió hace más de un año, también tenemos el ejemplo del apagón de hace unos meses. Debemos ser conscientes de que los incidentes van a suceder, nos vamos a caer y tendremos que levantarnos. Por eso, hay que trabajar bajo un modelo de zero trust, partiendo de la base de que el incidente ya está ocurriendo, para poder responder adecuadamente.

J.S.: Si pudieras resumir en una frase la clave para conseguir organizaciones resilientes y preparadas para el futuro ¿Cuál sería para ti?

M.A.R: Retomaría lo que mencionaba antes del proverbio japonés: “Me caigo siete veces y me levanto ocho”. Hay que asumir que vamos a caer y que debemos levantarnos, y eso también implica aceptar riesgos y salir de la zona de confort.

J.S.: Desde tu experiencia, ¿Cómo gestionáis el equilibrio entre la innovación tecnológica, la privacidad y las necesidades del negocio? ¿Cuál es vuestra visión al respecto?

M.A.R.: Para nosotros es relativamente sencillo porque somos empleados públicos, el cumplimiento forma parte de nuestro ADN. Juramos la Constitución al tomar posesión del cargo, y eso ya dice mucho. Nuestra finalidad es el bien en sí mismo: servir con objetividad a los intereses generales. Todos los servicios que ofrece la administración tienen como primer objetivo hacer el bien. Luego, puede haber algún fallo técnico o algo no contemplado en algún proyecto, pero desde ese punto de vista, el cumplimiento normativo está cubierto y garantizado. Contamos con procesos bastante bien implementados.

De hecho, el riesgo que a veces percibo es que podríamos excedernos en ese nivel de control, en la carga burocrática y de exigencia actual. Puesto que trabajamos con un enfoque de seguridad desde el diseño y cumplimiento normativo, por lo que no lo consideramos una preocupación importante para nosotros.

J.S.: Desde tu perspectiva, ¿Qué nos depara el futuro? ¿Qué es lo que vamos a encontrarnos mañana? Hemos hablado de resiliencia, innovación, inteligencia artificial… ¿Cuál crees que será la siguiente barrera?

M.A.R.: Creo que la siguiente barrera son las propias organizaciones, sus procesos tradicionales y su cultura. Ese es el verdadero reto en el que estamos todos inmersos: transformar lo más complejo de todo, que son las personas y la cultura organizativa. Llevamos varias olas de transformación en los últimos 20 o 30 años, pero creo que la inteligencia artificial es diferente. No se trata solo de un cambio tecnológico, sino de un cambio social y global que nos va a afectar a todos. En ese sentido, tenemos que cubrir todo lo que se ha ido construyendo en los ciclos anteriores de transformación: convivir con el legado tecnológico, asumir lo nuevo que está llegando y, al mismo tiempo, transformar la organización y a las personas.