Durante seis módulos has acompañado a Marta, a Lucía y al resto del equipo de Nimbus Reservas mientras descubrían sus activos, sufrían un incidente, priorizaban riesgos con 18.000 € y decidían qué dejar sin hacer. Has leído sus decisiones. Ahora vas a tomar las tuyas. El Proyecto Final consiste en producir el dosier de seguridad completo de una organización pequeña: el conjunto de documentos que permite a alguien —la dirección, un cliente, un auditor, tu yo del año que viene— entender qué se protege, de qué, con qué medios y con qué pruebas. No es un ejercicio académico inventado para cerrar un curso: es, literalmente, el trabajo que se le encarga a quien entra en un puesto de seguridad en una PYME o en una administración pequeña, y el trabajo que un consultor factura cuando le contratan «para ver cómo estamos».

Esta lección es el enunciado. Aquí decides sobre qué organización vas a trabajar, entiendes qué se te pide de cada módulo, sabes qué queda fuera y te llevas una planificación realista. Las plantillas de cada entregable están en 07-02, los criterios con los que te vas a autoevaluar en 07-03 y una solución de referencia comentada en 07-04. No mires 07-04 antes de haber hecho el trabajo: es la única parte del curso que se estropea si se lee a destiempo.

1. Qué vas a producir: el dosier de seguridad
2. El objetivo de aprendizaje: decidir, priorizar y justificar
3. Elegir el caso: opción A y opción B
4. Opción A: tu organización real, con autorización y anonimizada
5. Caso 1 — Clínica Dental Sonrisa Norte
6. Caso 2 — Ayuntamiento de Valdellano
7. Caso 3 — Alzabra Outdoor
8. Tabla comparativa y cómo elegir el caso que te conviene
9. Alcance del proyecto, módulo a módulo
10. Qué NO incluye el proyecto
11. Planificación sugerida: siete fases y 20-30 horas
12. La regla de oro: todo se rastrea hasta un riesgo y hasta un recurso
13. El curso como manual de referencia: qué leer cuando te atasques
14. Vista previa del entregable final

En 06-04 apareció el concepto de dosier de seguridad: la carpeta que Nimbus prepara una vez y reutiliza cada vez que un cliente pregunta, un auditor visita o la dirección quiere saber dónde está el dinero de seguridad. Tu proyecto es exactamente eso, aplicado a otra organización.

Un dosier de seguridad completo, en una organización pequeña, responde a ocho preguntas en este orden:

Ocho documentos. Ni uno más. Un dosier de treinta documentos en una organización de 25 personas es una señal de alarma, no de madurez: significa que se ha copiado un cuerpo documental de una multinacional y que nadie lo va a mantener.

Por qué esto y no un examen. Un examen de seguridad mide si recuerdas que CVSS puntúa la gravedad técnica y EPSS la probabilidad de explotación. Eso ya lo has demostrado en cada lección. Lo que un examen no puede medir —y lo único que de verdad se te va a pedir en un puesto real— es si, con 9.000 € y 180 horas, eres capaz de decir esto sí, esto no, y por esta razón. Ese es el examen de verdad, y no tiene respuestas de opción múltiple.

Escríbelo en una nota y déjalo a la vista mientras trabajas:

Las tres competencias, desglosadas:

Hay una cuarta competencia que el proyecto entrena sin nombrarla: la honestidad. Un dosier que dice «control implantado» sobre algo que nadie ha probado no es un dosier optimista, es un dosier falso, y en 06-04 vimos qué le pasa cuando llega un auditor. En tu proyecto, todo lo que no esté probado se escribe como planificado. Cuesta un segundo y te define profesionalmente.

Lo primero que decides es sobre qué organización trabajas. Y hay una restricción firme: no trabajas sobre Nimbus Reservas. Nimbus ya está resuelta a lo largo del curso; usarla te llevaría a copiar el registro de riesgos de 04-01 y el catálogo de 04-03 con otras palabras, y no habrías decidido nada. Nimbus queda como referencia de nivel, no como caso.

Tienes dos opciones:

Ninguna opción es mejor que la otra en términos de aprendizaje. La opción A tiene la ventaja de que el resultado sirve de verdad y la desventaja de que vas a tener que investigar datos que no siempre están disponibles. La opción B te da todos los datos servidos, lo que te permite concentrarte al 100 % en decidir en vez de en averiguar, y es la que recomiendo si es tu primer dosier.

Si eliges trabajar sobre una organización real —la tuya, la de un familiar, la de un cliente—, hay tres reglas que no son consejos.

⚠️ Nota de validación — autorización y legalidad

Necesitas autorización escrita y previa de alguien con capacidad para darla antes de inventariar activos, revisar configuraciones o hablar con empleados sobre seguridad. Repasa 06-06 apartado 2: la autorización debe venir de quien tiene poder para obligar a la organización, con alcance explícito, ventana temporal y por escrito. Que trabajes allí no te autoriza; que un compañero te diga «claro, mira lo que quieras» tampoco. Y lo más importante: este proyecto es de análisis documental, no de pruebas técnicas. Escanear la red de tu empresa «para el proyecto» sin autorización expresa para esa actividad concreta puede constituir un acceso ilícito con independencia de tu intención (06-06, apartado 1). Si tienes cualquier duda sobre el alcance de tu permiso, trabaja con un caso ficticio.

Regla 1 — Autorización por escrito. Un correo del gerente, del socio o del responsable que diga qué puedes revisar, durante cuánto tiempo y con qué finalidad. Guárdalo en la carpeta del proyecto. Es la primera evidencia del dosier.

Regla 2 — Anonimiza desde el primer minuto. No anonimices al final: anonimiza al escribir. Sustituye el nombre real por uno inventado, el dominio por <algo>.example, las IP públicas por rangos de documentación (192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24), los nombres de proveedor por su categoría («el proveedor del ERP»), y redondea las cifras económicas. Un dosier anonimizado sirve igual para el análisis y puede enseñarse; uno con datos reales no sale nunca de la organización.

Regla 3 — Nada de datos personales en el dosier. Un inventario de activos no necesita la lista de empleados con sus correos. Necesita «12 portátiles Windows asignados a personal clínico». Si tu proyecto contiene datos personales, tú mismo te has convertido en un riesgo del proyecto.

Encaje mínimo. Si tu organización real es demasiado grande para 25 horas de trabajo, acota: elige una sede, un departamento o un servicio y declara el alcance por escrito, exactamente como hizo Nimbus en 04-01 apartado 4. Un dosier excelente sobre un alcance pequeño vale mucho más que uno superficial sobre toda la empresa.

Sector y tamaño. Sanidad privada odontológica. 25 empleados repartidos en 3 sedes en Asturias: Gijón (sede principal, 5 gabinetes), Oviedo (3 gabinetes) y Avilés (2 gabinetes). Facturación aproximada 2,1 M€/año. Unos 4.800 pacientes activos en ficha.

Plantilla y roles.

Sistemas y datos.

• DentaGest: software de gestión clínica en un servidor Windows físico en Gijón con base de datos SQL Server. Historia clínica, odontogramas, presupuestos, consentimientos y agenda. Es un sistema heredado: la versión instalada tiene 6 años y actualizar cuesta una licencia nueva.
• Radiología digital: ortopantomógrafo y radiovisiógrafos que escriben imágenes DICOM en una carpeta compartida del mismo servidor, que el fabricante exige accesible en escritura desde todos los gabinetes.
• Sedes conectadas: Oviedo y Avilés acceden a Gijón por VPN entre routers de operador domésticos. Si cae la línea de Gijón, las otras dos sedes no ven la historia clínica.
• NAS de copias en la misma sala del servidor. Copia nocturna del SQL Server y del DICOM. Nadie ha restaurado nunca. Microsoft 365 Business con 25 buzones y sin MFA obligatorio. Web WordPress con formulario de cita, gestionada por la agencia.
• WhatsApp en dos teléfonos de recepción: recordatorios de cita y fotos que los pacientes envían de su boca. TPV de la entidad bancaria en cada sede y financiera externa para tratamientos a plazos.

Terceros.

Marco normativo aplicable. RGPD y LOPDGDD, con artículo 9 en el centro porque el negocio entero gira sobre datos de salud; Ley 41/2002 de autonomía del paciente, que impone conservar la historia clínica y regula el acceso a ella; normativa sanitaria autonómica; LSSI-CE por la web con formulario; obligaciones contractuales de la entidad bancaria por el TPV. Si la clínica llegara a concertar servicios con una mutua pública o con el servicio de salud, entraría además el ENS por la vía contractual.

Recursos. Presupuesto de seguridad: 9.000 €/año. No hay personal de sistemas interno: el contrato con Datacer Norte incluye una bolsa de 120 h/año y Nuria puede dedicar unas 4 h/semana ≈ 180 h/año. Cualquier hora adicional de Datacer se factura a 55 €/h contra el presupuesto.

Tensiones propias del caso (las que te van a obligar a decidir):

1. Centralización frente a disponibilidad: la historia clínica vive en un servidor de una sede y dos sedes dependen de una VPN doméstica. Segregar mejora la disponibilidad y empeora el control; centralizar es lo contrario.
2. El proveedor que no acepta MFA: el fabricante de DentaGest exige una cuenta de administrador compartida sin segundo factor, y sin su soporte la clínica no puede operar. Este es el equivalente exacto de A-19 en Nimbus.
3. WhatsApp: prohibirlo es lo correcto sobre el papel y lo que nadie va a cumplir; hay que resolverlo, no declararlo prohibido.
4. Sesiones compartidas en gabinete: los odontólogos no van a hacer login entre paciente y paciente. Sin identidad individual no hay trazabilidad del acceso a historia clínica, que es justo lo que exige la Ley 41/2002.
5. Copias en la misma sala que el servidor: un incendio, un robo o un ransomware se lleva las dos cosas.

Sector y tamaño. Administración local. Municipio de 7.800 habitantes, 62 empleados municipales repartidos en cuatro edificios: casa consistorial, edificio de servicios sociales, polideportivo y biblioteca-centro cultural.

Plantilla y roles.

Sistemas y datos. Sede electrónica y gestor de expedientes de un proveedor único, alojados en la nube del proveedor. Padrón municipal (los 7.800 vecinos). Contabilidad y tesorería del mismo proveedor. Registro de entrada y salida. Expedientes de servicios sociales con datos de salud, situación socioeconómica, menores y violencia de género. Expedientes sancionadores de la policía local, que son datos del artículo 10. Videovigilancia en el polideportivo y en la biblioteca, y lector de matrículas en el vehículo de la policía. Portal de transparencia. 55 PC en cuatro edificios unidos por fibra municipal y un radioenlace hacia el polideportivo. Wifi pública en la biblioteca y en la plaza. Y autómatas de riego y alumbrado conectados a la misma red plana.

Terceros.

Marco normativo aplicable. ENS (Real Decreto 311/2022) de obligado cumplimiento, con categoría a determinar en el propio proyecto y previsiblemente MEDIA por los servicios sociales y el padrón; RGPD y LOPDGDD; Leyes 39/2015 y 40/2015 de procedimiento administrativo y régimen jurídico; Ley 19/2013 de transparencia; Ley 9/2017 de contratos del sector público, que obliga a meter los requisitos de seguridad en los pliegos; y la cuestión abierta de si le alcanza NIS2 —depende del ámbito y de la transposición, y es exactamente el tipo de duda que se resuelve preguntando, no suponiendo—.

Recursos. Partida de seguridad de 12.000 €/año, sujeta a los procedimientos de contratación pública, lo que significa que no se puede comprar rápido. Jorge puede dedicar unas 300 h/año a seguridad. Existe la posibilidad de acogerse a servicios de la Diputación sin coste directo.

Tensiones propias del caso.

1. El proveedor único: la sede electrónica, el padrón y la contabilidad están en sus manos. No hay salida realista, así que el trabajo consiste en gestionar el riesgo de un tercero del que dependes por completo (04-04).
2. El ENS no es opcional: exige análisis de riesgos formal, categorización, declaración de aplicabilidad y conformidad. Nadie lo ha hecho nunca y no hay presupuesto para una consultoría completa.
3. La contratación pública como restricción de seguridad: no puedes «meter la tarjeta» en un SaaS. Todo lo que cuesta dinero tarda meses y debe caber en un contrato.
4. Red plana con OT: los autómatas de riego y alumbrado conviven con el padrón. Segmentar es barato en material y caro en horas de Jorge.
5. Concejales con dispositivos y correo personales: cargos electos que no son empleados y a los que no se puede aplicar el régimen disciplinario del personal municipal.

Sector y tamaño. Comercio electrónico de material de montaña y escalada. 8 personas, 100 % en remoto, sin oficina. Facturación 2,4 M€/año en unos 35.000 pedidos, con el 30 % concentrado en las seis semanas de Black Friday y Navidad.

Plantilla y roles.

Además, dos desarrolladores freelance entran a echar una mano durante la campaña, con acceso al repositorio y a producción.

Sistemas y datos. Tienda en Shopify. Una aplicación propia de integración (Python) en un VPS que sincroniza pedidos con el ERP y con el operador logístico. ERP en la nube. Almacén y logística externalizados en un 3PL conectado por API. Pasarela de pago alojada: la tienda no almacena tarjetas, pero la página de pago se sirve desde el dominio de la tienda. Helpdesk SaaS con el historial de conversaciones de clientes. Plataforma de email marketing con 180.000 suscriptores. Cuentas publicitarias con acceso delegado a una agencia. Hoja de cálculo compartida con márgenes y condiciones de proveedores. Datos tratados: identificativos y de contacto de clientes, historial de compra, direcciones de entrega, datos de empleados y secreto comercial en la hoja de márgenes.

Terceros. Shopify, la pasarela de pago, el 3PL, la plataforma de email marketing, la agencia de medios, el helpdesk, los dos freelance de campaña y la gestoría. Siete de los ocho activos críticos del negocio son de otro.

Marco normativo aplicable. RGPD y LOPDGDD; LSSI-CE por el comercio electrónico y las cookies; normativa de consumo y contratos a distancia; PCI DSS en el nivel más ligero (SAQ A) por usar una pasarela alojada, con la obligación de proteger la integridad de la página de pago —el ataque de skimming de tarjetas por inyección de JavaScript es el riesgo característico del sector—; y las condiciones contractuales de Shopify y de la pasarela.

Recursos. Presupuesto: 6.000 €/año. Nacho dispone de unas 150 h/año para seguridad, con una particularidad que lo cambia todo: durante los dos meses de campaña sus horas de seguridad son cero y hay congelación de cambios.

Tensiones propias del caso.

1. La ventana de campaña: 6 semanas en las que no se puede tocar nada y en las que cuatro horas de caída cuestan más que el presupuesto anual de seguridad completo. Todo lo que se implante tiene que estar terminado y probado antes de noviembre.
2. Remoto total sin dominio ni MDM: ocho personas, dispositivos mixtos, ninguna red corporativa. Todo el control es de identidad, no de red.
3. Las cuentas son las joyas de la corona: la tienda, el email marketing y las plataformas publicitarias. Varias están compartidas con contraseñas en una hoja de cálculo, y una toma de control de la cuenta publicitaria puede quemar 20.000 € en un fin de semana.
4. El 3PL como caja negra: tiene por API los pedidos con las direcciones de 35.000 clientes y su seguridad no la controla nadie de Alzabra.
5. Freelance de temporada: entran en noviembre con acceso a producción y en enero ya no están. El ciclo de alta y baja es el control, y hoy no existe.

Cómo elegir. No elijas el que te parezca más fácil: elige el que se parezca al trabajo que quieres hacer.

• Si te interesan la sanidad, las PYME clásicas o la consultoría de proximidad, elige la clínica. Es el caso más rico en protección de datos y el que más se parece a lo que encontrarás en la mayoría de las empresas españolas de menos de 50 empleados.
• Si te interesa el sector público, el ENS o el cumplimiento formal, elige el ayuntamiento. Es el caso donde la norma manda sobre el criterio técnico, y aprender a trabajar así es una competencia con mercado propio.
• Si te interesan la nube, el producto digital o la seguridad de aplicaciones, elige Alzabra. Es el caso donde casi todo el riesgo es de identidad y de terceros, que es hacia donde va el sector.

Un aviso útil: el caso más pequeño no es el más fácil. Alzabra tiene 8 personas y el presupuesto más bajo, pero resolver la dependencia de siete proveedores con 6.000 € obliga a decisiones más finas que la clínica.

Esta es la tabla de referencia del proyecto: qué se te pide de cada módulo, en qué entregable acaba y qué lección resuelve las dudas.

Fíjate en que ningún módulo se te pide como resumen. No hay un entregable «explica la criptografía»: hay un entregable donde tienes que decir «las contraseñas del portal de pacientes se almacenan con Argon2id con estos parámetros, y las radiografías se cifran en reposo con la clave gestionada por X porque el riesgo R-03 lo exige». Aplicación, no repetición.

Igual de importante que el alcance:

Si quieres practicar técnicamente —y deberías—, hazlo aparte y sobre un laboratorio propio: máquinas virtuales tuyas, aplicaciones deliberadamente vulnerables, plataformas de práctica legales. 06-06 apartado 2 tiene el diagrama que decide si puedes tocar algo o no, y 07-04 cierra con una lista de sitios donde practicar sin cruzar ninguna línea.

El proyecto está pensado para 20-30 horas de trabajo real, repartidas como quieras. Trabajar en el orden del curso no es un capricho: cada fase consume la salida de la anterior, y saltarse el inventario para ir directo a los controles produce el error más común de todos, que es proteger lo que se sabe proteger en vez de lo que hay que proteger.

Tres consejos de planificación que ahorran horas. Primero, no persigas la perfección en F2: un inventario del 80 % te deja avanzar, y volverás a él cuando F3 te enseñe que te faltaba un activo. Segundo, escribe los identificadores desde el principio (A-01, R-01, C-01): si empiezas sin ellos, la matriz de trazabilidad de F7 te costará el doble. Tercero, F5 es la fase que duele —es donde el presupuesto no llega— y es también donde se aprende de verdad; si la haces en veinte minutos, la has hecho mal.

Si te llevas una sola frase de esta lección, que sea esta:

Esta regla resuelve sola la mayoría de las dudas que te van a surgir. ¿Meto un SIEM? Responde a las dos preguntas: qué riesgo trata (probablemente la ceguera detectiva) y de dónde salen las horas de operarlo. Si la respuesta a la segunda es «de ninguna parte», la respuesta a la pregunta es «no, y en su lugar dos alertas concretas que sí puedo atender». Esa decisión, escrita y justificada, vale más que un SIEM en el papel.

No vuelvas a leer el curso entero. Ve a la lección que resuelve tu bloqueo concreto.

Esto es a lo que vas. Cuando termines, tu carpeta de proyecto contendrá algo muy parecido a este índice —los detalles de cada pieza están en 07-02—:

El resumen ejecutivo merece un comentario: se escribe al final y es la única página que muchos van a leer. Si tras 25 horas de trabajo no eres capaz de decir en una página cuáles son los cinco riesgos principales, cuánto cuesta tratarlos y qué tres decisiones has tomado, el trabajo no está terminado.

• Elegir el caso por comodidad y no por interés. Vas a pasar entre 20 y 30 horas con esa organización. Elige la que se parezca al trabajo que quieres hacer, no la que tenga la tabla más corta; el aburrimiento es el principal motivo de abandono de un proyecto final.
• Empezar por los controles. Es la tentación número uno: se sabe qué es MFA y apetece escribirlo. Un catálogo de controles escrito antes del registro de riesgos siempre acaba protegiendo lo que su autor sabe proteger, y ninguna de sus líneas es defendible porque no apunta a nada.
• Cambiar el enunciado para que quepa lo que quieres hacer. Si el presupuesto de Alzabra son 6.000 €, no lo subas a 20.000 porque tu plan no cabe. La restricción es el ejercicio. Un dosier que sube el presupuesto para que quepan sus controles ha eliminado precisamente lo que se evaluaba.
• Trabajar sobre una organización real sin autorización. No es una formalidad administrativa: es la diferencia entre un proyecto y un problema legal. Ante la mínima duda, caso ficticio.
• Consejo: abre hoy la carpeta y crea los ocho ficheros vacíos. Con su nombre y su título. El proyecto empieza a existir cuando existe su estructura, y el coste de arrancar cae a cero.
• Consejo: lleva un registro de supuestos. Cada vez que asumas algo que el enunciado no dice —«supongo que el NAS no tiene inmutabilidad»— anótalo en el anexo. Es lo que hace un consultor real y convierte una invención en una hipótesis declarada.
• Consejo: no leas 07-04 todavía. Ni «solo un vistazo». Una vez has visto la solución de referencia, ya no puedes saber qué habrías decidido tú, y esa información es el resultado real del proyecto.

Los ejercicios de este módulo son pasos reales del proyecto. Hazlos sobre el caso que hayas elegido; las soluciones están desarrolladas sobre la clínica dental para que veas el nivel esperado.

Ejercicio 1 — Elegir el caso y declarar el alcance

Elige tu caso y redacta la declaración de alcance del proyecto, con los cinco elementos de contexto de 04-01 apartado 4: alcance (qué entra y qué no), criterios de impacto, escalas, quién decide y horizonte temporal. Añade una línea con las restricciones de recursos. Máximo una página.

Ejercicio 2 — Los tres riesgos que ya intuyes

Sin hacer todavía el inventario, escribe los tres riesgos que ya intuyes de tu caso, redactados con la fórmula de 04-01 («Si [amenaza] explota [vulnerabilidad] sobre [activo], entonces [impacto técnico] con [consecuencia de negocio]»). Guárdalos. Al terminar el E2, compáralos con tu registro completo: verás qué intuías bien y qué te habías perdido.

Ejercicio 3 — El calendario personal del proyecto

Convierte las siete fases del apartado 11 en un calendario tuyo, con fechas reales, sesiones de duración concreta y el hueco semanal en el que vas a trabajar. Identifica la fase con más riesgo de que abandones y escribe qué vas a hacer para que no ocurra.

Solución 1 — Declaración de alcance de la Clínica Sonrisa Norte

Fíjate en dos cosas. El «queda fuera» es tan importante como el «entra»: sin él, dentro de tres meses discutirás si el autoclave era parte del alcance. Y el peso reforzado de la dimensión de datos personales no es decorativo: es lo que hará que, cuando llegue la matriz 5×5, un riesgo sobre la historia clínica puntúe por encima de uno económico de importe similar. Ese sesgo declarado a priori es lo que convierte una puntuación en una decisión defendible.

Solución 2 — Tres riesgos intuidos de la clínica

Los tres cumplen la fórmula, los tres terminan en consecuencia de negocio —no en «se cifran los datos»— y los tres nombran ya, implícitamente, el control que falta: identidad individual y acceso bajo demanda para el proveedor, un canal alternativo para las fotos de pacientes, y una capacidad de operación degradada en las sedes remotas. Un riesgo bien escrito casi propone su tratamiento, como decía 04-01.

Solución 3 — Calendario personal (ejemplo)

29 horas en 8 semanas. La fase con más riesgo de abandono es F5, el catálogo de controles, por dos motivos: es la primera vez que el presupuesto no llega y hay que renunciar a cosas, y es la que exige más ida y vuelta con los entregables anteriores. La contramedida concreta: partirla en dos sesiones separadas —una para listar candidatos con su coste, otra para decidir qué entra— y prohibirse volver atrás a retocar el registro de riesgos durante esa fase; si aparece un riesgo nuevo, se anota en el anexo de pendientes y se integra en la revisión final. Una segunda contramedida, general: darse por satisfecho con la versión 1. Un dosier terminado y mejorable siempre gana a un dosier perfecto sin terminar.

Ya tienes el enunciado completo. Sabes qué vas a producir: el dosier de seguridad de una organización pequeña, ocho entregables que responden a las ocho preguntas que se le hacen a cualquiera que se siente en un puesto de seguridad —qué tenemos, qué puede pasar, qué reglas nos damos, qué hacemos, qué hacemos cuando pase, cómo sabemos que funciona, qué nos obliga la ley y cómo lo sostenemos—. Y sabes para qué: no para demostrar que has entendido el curso, sino para entrenar las tres competencias que se pagan —decidir, priorizar y justificar— más la que las sostiene, que es la honestidad de escribir «planificado» donde nada se ha probado.

Has elegido caso. O bien tu organización real, con autorización escrita y previa de quien puede darla, con todo anonimizado desde la primera línea y sin datos personales dentro del dosier; o bien uno de los tres casos ficticios: la Clínica Sonrisa Norte, 25 personas, tres sedes, historia clínica en un servidor heredado, un proveedor que exige cuenta compartida y 9.000 € al año; el Ayuntamiento de Valdellano, 62 empleados, ENS obligatorio, un proveedor único dueño de la sede electrónica y la contratación pública como restricción de seguridad; o Alzabra Outdoor, ocho personas en remoto, siete de sus ocho activos críticos en manos de terceros, 6.000 € y una ventana de campaña en la que no se puede tocar nada. Tres organizaciones distintas de Nimbus en sector, tamaño y modelo, y por eso mismo útiles: lo que aprendiste con Nimbus no se copia, se traslada.

Conoces el alcance módulo a módulo —M1 inventario y modelado, M2 amenazas y medidas, M3 decisiones criptográficas, M4 riesgos, políticas, controles, terceros, respuesta y recuperación, M5 verificación técnica, M6 normativa, evidencias y personas— y sabes que ningún módulo se pide como resumen: se pide aplicado a un caso concreto. Y conoces lo que no se pide: nada de implantar en producción, nada de escanear ni probar sistemas reales, ningún cuerpo documental completo y ninguna presentación ante nadie, porque aquí no hay tutor. Si quieres practicar técnicamente, laboratorio propio y las reglas de 06-06.

Te llevas una planificación de siete fases y 20-30 horas en el orden del curso, con el aviso de que F5 —cuadrar los controles con el presupuesto— es la fase que duele y la que más enseña. Y te llevas sobre todo la regla de oro: toda decisión debe poder rastrearse hacia arriba, hasta un riesgo o una obligación legal, y hacia abajo, hasta un euro y una hora que existan. Un control que no responde a la primera es un capricho técnico; uno que no responde a la segunda es una lista de deseos; y un dosier lleno de ambos es papel.

En 07-02 tienes los ocho entregables desmenuzados: propósito, requisitos mínimos y de calidad, extensión orientativa, la plantilla completa lista para rellenar de cada uno y un fragmento de ejemplo ya relleno para que veas el nivel esperado. Es la lección con la que vas a trabajar abierta en una pestaña durante todo el proyecto. Antes de pasar a ella, haz el ejercicio 1: elige tu caso y escribe la declaración de alcance. Con esa página escrita, el proyecto ya ha empezado.