CV — Alex Fernández, Auditor Líder ISO 27001 y 42001

Curriculum vitae completo.

Trayectoria documentada, certificaciones verificables y stack técnico real. Experiencia aplicando IA a la ciberseguridad y el compliance: capa AI-Augmented activa que acelera evidencias, triaje de alertas y reporting ejecutivo sin perder rigor de auditor. Disponible también en PDF.

• Ubicación: Oviedo, Asturias · España + UE
• Modalidad: presencial o remoto · toda la UE
• Idiomas: ES nativo · EN C1 · RU básico
• Capa: AI-Augmented Compliance & Security
• Estado: disponible · contact@alexfernandezlab.com

Trayectoria profesional

Auditor independiente ISO/IEC 42001 · 27001 — Alex Fernández Lab (abr 2026 — actualidad)

Lanzamiento del lab freelance: compliance y ciberseguridad para pymes, medianas y grandes empresas, sector público y particulares. Trabajo en España y la UE, presencial o remoto según el proyecto.

• Múltiples auditorías internas ISO/IEC 42001 ejecutadas como Auditor Líder para cliente externo (2026, bajo acuerdo de confidencialidad).
• Colaboro con intellcert GmbH (certificadora, Alemania) como Auditor ISO/IEC 27001 — certificado oficial de nombramiento (jul 2026); auditorías de tercera parte desde sept 2026.
• Consultoría, auditoría o implantación ISO/IEC 27001 y 42001 (SGSI y AIMS) en empresas de más de 200 trabajadores — Lead Auditor con 2 ciclos consecutivos a 0 no conformidades como track récord.
• vCISO fraccional para empresas que no necesitan CISO a tiempo completo: gobernanza continua, comités de seguridad y reporting ejecutivo.
• ENS y NIS2 para proveedores que venden a Administración Pública o son operadores esenciales.
• Capa AI-Augmented: integración de IA en flujos diarios de SGSI, governance y respuesta a incidentes manteniendo el criterio de auditor.
• OSINT y ciberseguridad para particulares y empresas: análisis de huella y exposición digital, concienciación y formación.
• Análisis forense e investigación de incidentes: adquisición y preservación de evidencia con cadena de custodia documentada e informe técnico de conclusiones.
• Pentest IoT/OT industrial (PLCs, SCADA, redes OT).

Head of Cybersecurity Department · Head of Compliance — Process Control (sep 2026 — actualidad; antes, mar 2025 — ago 2026, Head of Cybersecurity & Compliance)

Dirección de ciberseguridad y de cumplimiento normativo, y responsable del SGSI ISO 27001 como Information Security Officer.

• Responsable del departamento de Ciberseguridad. Desde septiembre de 2026 dirijo un equipo de 3 personas a mi cargo (Business Analyst, Product Owner y perfil junior); antes llevaba la función yo solo.
• Head of SGSI: dos auditorías ISO 27001 consecutivas (2025 y 2026) superadas con cero no conformidades.
• Programa de concienciación con resultado medido: la tasa de clic en phishing simulado bajó del 29 % al 5 % en 12 meses, con formación remedial automática ante fallo. En total, 14 campañas de phishing y formación ejecutadas para 5 organizaciones.
• Migraciones de plataforma con el cumplimiento intacto: antivirus de Trend Micro a Defender for Endpoint en más de 130 dispositivos, resolviendo el modo pasivo de Defender que dejaba la protección real en el producto saliente; y MDM de Miradore a Microsoft Intune en más de 140 dispositivos, con las líneas base de cumplimiento aplicadas desde Intune.
• Conjunto de políticas DLP de Purview construido desde cero: 5 políticas personalizadas alineadas con RGPD e ISO 27001; corregido el bucle de autonotificación que saturaba el sistema y reducida en más del 75 % la cola de incidentes, dejando solo alertas accionables.
• Protección reforzada del correo (Microsoft Defender for Office 365) extendida a los 208 buzones de los 19 dominios de la compañía, con protección específica contra la suplantación de ocho personas clave: 205 correos de phishing y spam retenidos en la primera semana y ninguna reclamación de correo legítimo.
• Operación de seguridad diaria sobre Microsoft Defender XDR, los siete días de la semana: 14 revisiones completas del inquilino de Microsoft 365 desde abril de 2026, más de 200 tickets de seguridad gestionados en 2026, siete manuales de respuesta y aviso inmediato de vulnerabilidades de día cero.
• Keeper como gestor de contraseñas corporativo de toda la plantilla desde enero de 2026, con detección automática de las contraseñas que se comparten por correo o Teams o se guardan en SharePoint y OneDrive; tras afinar la detección, un 99 % menos de avisos innecesarios.
• Ciberseguridad operativa para la compañía (+150 empleados) y para clientes de más de 2.000 empleados: análisis forense, respuesta a incidentes y gestión de vulnerabilidades de extremo a extremo.
• Dirijo el Comité de Seguridad corporativo; miembro del Comité de Inteligencia Artificial y del grupo de Líderes Técnicos de la compañía.
• Hoja de ruta de cumplimiento para Dirección: estudio de esfuerzo, coste y prioridad de NIS2, ENS e ISO 42001 con su plan faseado entre áreas, y preparación de la auditoría ISO 27001 de 2027 con los 118 controles y cláusulas repartidos por departamento y responsable.
• Gobierno de la IA en la compañía: redacté la política de uso aceptable de IA, puse en marcha la revisión periódica de seguridad de las herramientas de IA y la homologación de conectores (MCP y SaaS), y emito los dictámenes de seguridad y protección de datos de las herramientas que pide el negocio.
• Auditoría 2026 ejecutada 100 % in-house, sin consultoría externa: más de 4.000 € de ahorro anual.
• Automatización con IA propia (Claude Code + tooling) de tareas repetitivas de Compliance, Governance y Ciberseguridad: triaje de alertas de Defender XDR y Purview, redacción de evidencias y reporting ejecutivo automatizado (registro semanal de implantaciones e informes periódicos a Dirección y al Comité de Seguridad), con reducción medible de tiempos.
• Integración de IA en flujos diarios del SGSI: borrador de procedimientos, revisión de políticas y análisis preliminar de incidentes, manteniendo el criterio de auditor sobre la salida.
• Redacté desde cero el marco de políticas, el registro de riesgos y el proceso de gestión de incidentes de la compañía, y los defendí en auditoría externa; además, procedimientos, runbooks y evidencias auditables versionadas.

Product Owner — Microsoft 365 · Process Control (sep 2026 — actualidad)

Product Owner del área de Microsoft 365: la plataforma interna de la compañía y el servicio a clientes. Compaginado con la jefatura de Ciberseguridad.

Supervisor del Departamento de Sistemas — Process Control (abr 2025 — abr 2026)

Puesto compaginado con la dirección de Ciberseguridad y Cumplimiento: supervisión del equipo de técnicos de sistemas y de la planificación del departamento.

• Supervisión directa del equipo de técnicos de sistemas: reuniones 1:1 mensuales, seguimiento de desempeño y cuadros de mando de KPIs.
• Contratación, formación e incorporación de 4 técnicos de sistemas en 2 meses.
• Monitorización de proyectos, planificación y forecast mensual del departamento.
• Control de productividad, satisfacción de cliente y supervisión de stakeholders en proyectos grandes.

Cybersecurity Officer — Process Control (ene 2025 — mar 2025)

Operación del SGSI y auditorías internas durante la fase de implantación de ISO 27001, antes de la promoción a la dirección del área.

• Apoyo a la evaluación de riesgos, al plan de tratamiento y a la documentación de la Declaración de Aplicabilidad (SoA).
• Contribución a evaluaciones de vulnerabilidades y a la monitorización de cumplimiento.

Técnico de Sistemas — Process Control (oct 2024 — ene 2025)

Etapa inicial en la empresa antes de promoción a roles de dirección.

• Implementación y mantenimiento ISO 27001.
• Operación de Odoo ERP (módulos de compliance).
• Project Management técnico de proyectos internos.

Consultor independiente de ciberseguridad y cumplimiento — Ejercicio independiente (abr 2020 — nov 2023)

Práctica propia de consultoría técnica y de cumplimiento para clientes directos, captados a través de Upwork y de contacto directo, hasta su cierre en nov 2023.

• Consultoría técnica y de cumplimiento para clientes propios: arquitectura y seguridad de redes, redes distribuidas, desarrollo a medida y revisión de postura de seguridad.
• Captación y entrega de encargos a través de Upwork y de contacto directo.
• Cliente de referencia: desarrollo backend (PHP, JavaScript, Python) sobre código en producción, con Git y gestión de bases de datos (sep 2022 — feb 2023).
• Actividad cerrada en nov 2023 al iniciar los estudios de Ingeniería Informática.

Cofundador — C.Cantabrico (mar 2019 — feb 2020)

Pequeña empresa con equipos legal, financiero, técnico y de formación para atender necesidades de clientes. Responsable de creación y mantenimiento de web y redes, y de la coordinación de los distintos equipos.

Instructor de Tecnología y Ciberseguridad — Independiente (sep 2017 — oct 2019)

Formación presencial y a distancia en tecnologías emergentes, seguridad digital y privacidad para audiencias diversas: estudiantes, profesionales y abogados. Adaptación del contenido al nivel técnico y necesidades específicas de cada grupo, desde fundamentos de criptografía hasta concienciación práctica en ciberseguridad.

Fundador y Coordinador Principal — Asturias Blockchain (mar 2017 — ene 2025)

Primera organización blockchain de Asturias, con +600 cuentas registradas. Fundación, web, eventos pioneros en la comunidad, conferencias en otras ciudades y entrevistas en prensa, radio y televisión. Trabajo técnico, de consultoría y de asesoría sobre tecnologías emergentes y seguridad digital, además de la coordinación de la organización. Actividad sin ánimo de lucro.

Proyectos

Atalaya — Plataforma propia de análisis anti-phishing multi-superficie (2026 · en producción, acceso anticipado)

Plataforma que analiza el phishing donde realmente llega al usuario: dentro de Outlook —complemento de escritorio y web, entrando con la cuenta de Microsoft de la empresa—, en correos sueltos (.eml/.msg), en enlaces sospechosos y en códigos QR, incluido el escaneo en vivo desde la cámara del móvil para quishing en tiempo real. Detección por capas con score 0-100 y clasificación P1-P4 alineada con la priorización del SOC, y un veredicto que declara qué se pudo comprobar y qué no. Arquitectura privacy-first: cada capa de enriquecimiento es opt-in explícito del operador, requisito habitual en entornos ISO 27001 y ENS. Multi-tenant, con alta de la organización por el propio cliente y licencias por asientos. Stack: Python 3.11 · FastAPI · Docker · Redis. Ver writeup técnico · producto.

Salvik — Plataforma propia de cumplimiento continuo nativo de la UE (2026 · disponible, 7 días gratis)

Plataforma de cumplimiento continuo al estilo Vanta pero nativa de la UE y España: ISO 27001, ISO 42001, NIS2 y ENS sobre un modelo de control unificado — un control implementado puntúa en varias normas a la vez, y cada mapeo lleva confianza, justificación y cita. Arranca por el alcance y no por los controles, del perfil de la organización al SoA. Incidentes con los plazos de NIS2 —24 h, 72 h y un mes— y aviso antes de que venza cada uno, inventario de sistemas de IA para la 42001 y el Reglamento de IA, Trust Center público y kit de auditoría exportable en CSV. Pensada para pymes y proveedores que necesitan ENS o NIS2 sin un equipo GRC enorme. Stack: Next.js 16 · React 19 · PostgreSQL · Drizzle · Supabase. Producto.

Cota — Registro auditable de indicadores de sistemas de gestión (2026 · en construcción)

Libro de registro de los indicadores que pide la cláusula 9.1 de la ISO 27001 y sus equivalentes. No es un cuadro de mando: conserva quién cargó cada dato, contra qué umbral aprobado de antemano se juzgó y quién firmó la conclusión. Las cuatro maneras de falsear un indicador están prohibidas en la base de datos, no avisadas en pantalla: «sin dato» no es cero, el umbral se aprueba antes del dato y se versiona por periodo, la medición es de solo-añadir con rectificación motivada, y un periodo sin análisis firmado sale incompleto. Una sola implementación con tres anfitriones: autónoma, incrustada en Salvik y como módulo de Odoo. Escrito y probado; todavía sin ejecutar contra la base de datos de ningún cliente. Stack: Next.js 16 · PostgreSQL · Drizzle.

Certificaciones

2026

• ISO 42001 Lead Auditor — Sistema de gestión de IA
• ISO 27701 Lead Auditor — Gestión de privacidad de la información (PIMS) · Mastermind · junio 2026
• Auditorías en el ENS — Esquema Nacional de Seguridad · CCN-CERT · mayo 2026
• Experto Universitario en Inteligencia Artificial — Universidad Isabel I · Big School · posgrado 150 h / 6 ECTS
• Artificial Intelligence with Python — Harvard University · CS50
• Claude Code in Action — Anthropic
• AI Risk and Compliance: Audit and Governance Foundations — Board Infinity
• SC-200 Microsoft Security Operations Analyst — Microsoft
• Information Security en Microsoft 365 (curso 115 h · temario SC-401) — Microsoft / Nanfor · 2026

2025

• ISO 27001 Lead Auditor — AENOR / IQNET
• ISO 27001 Internal Auditor — AENOR
• Implantación SGSI según ISO 27001 — AENOR
• Fundamentos de la gestión de la seguridad (ISO 27002) — AENOR
• Gestión de incidentes de ciberseguridad — CCN-CERT
• Liderazgo — Santander Open Academy

2024

• IT Specialist – Cybersecurity — Certiport
• Cisco Certified Support Technician Cybersecurity — Cisco
• Junior Cybersecurity Analyst — Cisco
• Ciberseguridad Avanzada en Entornos OT (IFCT0050) — EU Recovery & Resilience · MainJobs
• Data Science: Machine Learning — Harvard University · edX
• Inteligencia ciber y fuentes abiertas — CCN
• Network Infrastructure Security — CCN
• IA y productividad — Santander Open Academy

2023

• Network Defense — Cisco
• CCNA Network Engineering — Tokio School
• AWS Cloud Solutions Architect — AWS
• Ansible for Network Automation — Cisco
• Cloud Computing Security — University of Colorado
• Scrum Master Certification — LearnQuest
• Digital Footprint — University of Edinburgh

2022

• Microsoft Security, Compliance & Identity Fundamentals (SC-900) — Microsoft
• Open Source Software Development, Linux & Git — The Linux Foundation
• Google IT Support Professional Certificate — Google
• Introduction to Cybersecurity — Cisco
• Google Ads Display Certification — Google
• Computer Forensics Specialization — INFOSEC
• Information Systems Auditing, Controls & Assurance — HKUST
• Blockchain Specialization — University at Buffalo
• Problem Solving Using Computational Thinking — University of Michigan
• Introduction to Cybersecurity Tools & Cyber Attacks — IBM
• Cybersecurity in Telecommuting — Google
• IBM DevOps & Software Engineering — IBM

Marcos aplicados

ISO 27001 (Sistema de Gestión de Seguridad de la Información) · ISO 42001 (Sistema de Gestión de IA) · ENS (Esquema Nacional de Seguridad) · NIS2 (Directiva UE).

Stack y herramientas

• Avanzado: ISO 27001 / NIS2 / ENS · Implantación SGSI · Comités de seguridad · Odoo ERP (compliance) · Microsoft Purview · Phishing simulation · Claude / IA tools.
• Alto: Microsoft Sentinel · Microsoft Defender · Microsoft Entra · Trend Micro Vision One · Keeper Enterprise · Duo Security MFA · Miradore · SIEM/SOAR · Bash/PowerShell · Linux · VirtualBox.
• Intermedio: Wazuh · InTune · ISO 27001 Internal Audit · Python.
• OSINT e investigación: Análisis forense · Cadena de custodia · Maltego · SpiderFoot · Shodan · theHarvester · Recon-ng · Fern WiFi Cracker · Nmap · Wireshark.

¿Has leído mi trayectoria?

Hablemos 30 minutos. Sin compromiso. Te cuento qué encaja con tu situación y, si no, te paso a quien sí — incluso si no acabamos trabajando juntos. Reservar llamada · 30 min.