Tienes el dosier terminado —o una primera versión completa, que es lo que importa— y ahora aparece el problema estructural de un curso autodidacta: no hay nadie que te lo corrija. Esta lección resuelve ese problema convirtiéndolo en una ventaja, porque autoevaluarse con criterio no es un sucedáneo de la corrección ajena: es exactamente la misma competencia que ejerce un auditor interno cuando revisa su propia organización sabiendo que el hallazgo incómodo le va a tocar a él (06-04, apartado 9). Quien sabe mirar su trabajo y decir «esto está flojo y esta es la razón» es la persona a la que se le encarga revisar el trabajo de los demás.

Aquí tienes la rúbrica completa con siete dimensiones y cuatro niveles, con descriptores observables y no adjetivos; la rúbrica aplicada a un mismo entregable mostrado en sus cuatro niveles, que es la parte más formativa de la lección; las señales de alarma que invalidan un dosier por bueno que parezca; cómo pedir revisión por pares si quieres; la prueba del algodón, cinco preguntas que debes poder responder sin mirar tus documentos; una hoja de autoevaluación lista para rellenar; y qué hacer después con el resultado, dentro y fuera del curso.

1. Por qué la autoevaluación es una competencia profesional
2. Tres reglas para autoevaluarse con honestidad
3. La rúbrica: dimensiones, pesos y umbral
4. Los descriptores, dimensión por dimensión
5. La rúbrica aplicada: un riesgo del E2 en sus cuatro niveles
6. La rúbrica aplicada: un control del E4 en sus cuatro niveles
7. Señales de alarma que invalidan un dosier
8. Revisión por pares: cómo pedirla y cómo recibirla
9. La prueba del algodón: cinco preguntas de defensa
10. Hoja de autoevaluación lista para rellenar
11. Qué hacer con el resultado: la segunda pasada
12. Cómo usar el proyecto profesionalmente

En el trabajo real casi nadie te va a corregir el dosier. Tu jefe no tiene tiempo, tus compañeros no son especialistas y el cliente no sabe distinguir un buen registro de riesgos de uno malo. La primera —y muchas veces la única— revisión de calidad la haces tú. Los momentos en los que sí llega una corrección externa son los caros: una auditoría, un cuestionario de cliente que se pierde, o un incidente que demuestra que el plan no servía.

Por eso la autoevaluación aparece en todas las profesiones donde el error se paga tarde. Y tiene una trampa conocida: el sesgo del autor. Uno evalúa la intención de lo que escribió, no lo que está escrito; recuerda el razonamiento que no llegó al papel; y puntúa alto lo que le costó mucho trabajo aunque el resultado sea mediocre. Las tres reglas del apartado siguiente existen para neutralizar ese sesgo.

Hay además una razón práctica: la rúbrica te dice dónde invertir la segunda pasada. Un dosier no se mejora «un poco por todas partes»; se mejora atacando las dos dimensiones más flojas, que suelen concentrar el 80 % de la distancia hasta un trabajo defendible.

Regla 1 — Puntúa lo escrito, no lo que sabes. Si tu razonamiento sobre por qué R-01 va primero está en tu cabeza y no en el documento, no cuenta. Es la misma regla de 06-04: lo que no se puede enseñar, no existe. Léelo como si lo hubiera escrito otra persona y solo tuvieras el papel.

Regla 2 — Deja reposar el dosier y cambia de soporte. Entre terminar y evaluar, 48 horas mínimo. Y léelo en un formato distinto de aquel en que lo escribiste: exportado a PDF, impreso, en el móvil. El cambio de soporte rompe la familiaridad y hace visibles las incoherencias que tu ojo ya había normalizado.

Regla 3 — Exige evidencia para cada punto que te das. No te puntúas «competente en riesgos» porque te lo parezca: te lo puntúas señalando la línea, la tabla o el párrafo que lo demuestra. La hoja de autoevaluación del apartado 10 tiene una columna para eso, y es la columna que impide inflar la nota.

Y una regla negativa: no te castigues por lo que decidiste dejar fuera, si lo dejaste fuera con argumento y fecha de revisión. Un descarte justificado suma; un olvido resta. La diferencia entre los dos está escrita, o no está.

Siete dimensiones, cada una con cuatro niveles: insuficiente (1), básico (2), competente (3), excelente (4).

Cómo se calcula. Cada dimensión puntúa de 1 a 4; la nota es Σ (nivel / 4 × peso), sobre 100.

Umbral de aprobado: 60 sobre 100, con dos condiciones adicionales que no se compensan. Primera: ninguna dimensión por debajo de «básico» (2) —un dosier excelente en riesgos y nulo en recuperación no es un dosier aprobado, es medio dosier—. Segunda: D2 y D3 en «competente» (3) como mínimo, porque priorizar riesgos y ajustar controles a un presupuesto real son el núcleo del oficio; sin eso lo demás es documentación.

D2 y D3 suman el 40 % del peso por la misma razón por la que 04-01 es la lección más determinante del curso: son las dos únicas dimensiones donde se decide. Las demás describen, documentan o comunican decisiones ya tomadas.

Esta es la parte que más enseña de toda la lección: el mismo riesgo de la clínica dental, escrito cuatro veces. Léelos en orden y localiza en cuál de los cuatro está el tuyo.

Qué separa cada nivel del siguiente. De insuficiente a básico: aparece la valoración. De básico a competente: aparece la cadena causal completa con activos identificados y el impacto se expresa en consecuencias de negocio. Y de competente a excelente hay tres saltos, los tres imitables: la consecuencia de segundo orden —el NAS en la misma sala, que es lo que convierte el incidente en catástrofe—, la cuantificación con sus supuestos explícitos, y el párrafo que justifica la posición en la lista comparándolo con otro riesgo. Ese último párrafo es lo que un director quiere leer y lo que casi ningún dosier de alumno tiene.

Fíjate en el detalle que más distingue al nivel excelente y que casi nadie escribe: el plan B. Un control que depende de que un tercero acepte algo puede no ocurrir, y un dosier que no ha pensado ese escenario deja el riesgo número uno colgando de una negociación. Documentar el compensatorio, marcarlo como peor y ponerle una excepción con caducidad es exactamente lo que 04-02 y 04-03 enseñaron a hacer, aplicado donde duele.

Estas seis se detectan en cinco minutos y anulan la impresión general por buena que sea. Búscalas en el tuyo antes de puntuarte.

Hay una séptima, más sutil y muy frecuente: que todos los controles estén en estado «implantado». En una organización que acaba de hacer su primer análisis de riesgos, eso es estadísticamente imposible y hace sospechar del resto del documento. Un dosier honesto tiene mayoría de planificados.

Aquí no hay tutor, así que esto es opcional. Pero si tienes a mano a un compañero de estudio, alguien con experiencia o una comunidad técnica, una revisión externa te dará en media hora lo que a ti te costaría dos pasadas.

Cómo pedirla bien. No envíes «échale un vistazo». Envía el dosier con tres preguntas concretas y un límite de tiempo, porque una petición acotada se responde y una abierta se pospone:

Las tres preguntas atacan D3, D4 y D7, que son las dimensiones donde un lector externo ve más que tú. D2 y D5 no las preguntes: requieren conocer el caso a fondo y no se responden en veinte minutos.

Cómo recibir la crítica. Tres reglas: no defiendas el documento mientras te lo comentan —si necesitas explicarlo oralmente, es que le falta al papel—; pregunta «¿qué te hizo pensar eso?» en lugar de «pero es que...», porque lo que buscas es el punto donde la lectura se torció; y anota todo y decide después, en frío, qué incorporas. No toda crítica es correcta, pero toda crítica señala un sitio donde el texto no era evidente.

Si no tienes con quién, hay un sustituto razonable: relee el dosier interpretando un papel —el gerente que paga, la persona de sistemas que ejecuta, el auditor que pide evidencias— y anota en cada pasada lo que ese personaje te preguntaría. Es peor que un lector real, pero es mucho mejor que nada.

Cierra el dosier. Aparta el ordenador. Responde en voz alta. Si necesitas mirar, la respuesta es «no lo tengo interiorizado», y eso es información sobre el trabajo, no sobre tu memoria.

Cómo interpretar el resultado. Cinco respuestas fluidas: el dosier es tuyo y podrías defenderlo en una entrevista o ante una dirección. Tres o cuatro: normal en una primera versión; las que fallan te marcan la segunda pasada. Dos o menos: no es que hayas estudiado poco, es que el dosier está escrito como documentación y no como decisión, y la segunda pasada tiene que ir a por el porqué de cada cosa.

La pregunta que más gente falla es la 4. Casi todo el mundo sabe decir qué controles ha puesto; muy poca gente sabe decir qué papel enseñaría para demostrar que funcionan. Es exactamente el hueco que 06-04 vino a llenar.

Cópiala a autoevaluacion.yaml en la carpeta del proyecto y rellénala. La columna que importa no es la nota: es evidencia, la línea concreta de tu dosier que justifica ese nivel.

Fíjate en el ejemplo: 65 sobre 100 y aun así «no apto», porque D2 se queda en básico y la condición de D2/D3 no se compensa con nota. Es deliberado: un dosier con buena media y un análisis de riesgos flojo es un dosier que no sirve para decidir, que es para lo que existe.

No reescribas el dosier entero. La segunda pasada es quirúrgica: ataca las dos o tres dimensiones más flojas y nada más, en un tiempo acotado —tres o cuatro horas—, y con la lista de accion_de_mejora como guion.

Dos advertencias sobre el bucle. Primera: ponle un límite. Dos iteraciones y cierras. Un proyecto que se reescribe cinco veces no está mejorando, está evitando terminar, y la tercera pasada aporta menos que empezar a mantenerlo.

Segunda: un dosier vivo vale más que uno perfecto. Un documento imperfecto con fecha, versión y una revisión programada es un sistema de gestión; un documento impecable que nadie volverá a abrir es una redacción. Lo que se evalúa en el mundo real no es la versión 1.0: es que exista una 1.1 seis meses después con las cosas que cambiaron. Por eso el último paso del diagrama vuelve al principio en tres supuestos —un cambio relevante, un incidente o el aniversario—, exactamente los disparadores de reevaluación de 04-01.

El dosier no muere aquí. Tiene tres usos reales:

Por qué funciona tan bien en una entrevista. La mayoría de los candidatos junior responden a «háblame de seguridad» recitando conceptos. Tú puedes responder: «te cuento un caso: una clínica de 25 personas, tres sedes, historia clínica en un servidor heredado, 9.000 € al año. Mi riesgo número uno era el acceso del proveedor del software con cuenta compartida, y descarté el EDR porque el vector era una credencial legítima». Esa respuesta no se memoriza: solo la tiene quien ha hecho el trabajo. Y las cinco preguntas del apartado 9 son, con altísima probabilidad, cinco de las preguntas que te harán a continuación.

Un último apunte de honestidad profesional: no infles lo que es. Si en tu currículum aparece «responsable de seguridad de una clínica dental», estás mintiendo y se descubre a la tercera pregunta. Si aparece «proyecto de análisis y diseño de un programa de seguridad para una PYME sanitaria (caso de estudio)», estás diciendo la verdad y sigue siendo impresionante.

• Puntuarse alto por el esfuerzo. «Le he dedicado veinticinco horas» no es una dimensión de la rúbrica. Lo que se puntúa es lo que un lector encuentra en el papel, no lo que te costó ponerlo ahí. La columna evidencia de la hoja de autoevaluación existe justamente para desactivar este sesgo.
• Evaluar en caliente, el mismo día de terminar. Estás leyendo tu intención, no tu texto. Las 48 horas de reposo son la intervención más barata y más eficaz de toda la lección.
• Confundir extensión con calidad. Un E2 de quince páginas con treinta riesgos mal redactados puntúa por debajo de uno de cuatro con diez riesgos bien construidos y un orden justificado. En D2 y D3 se evalúa el criterio, no el volumen.
• Reescribirlo todo tras una crítica. Una revisión externa señala síntomas; tú decides el tratamiento. Anota, deja reposar y decide en frío qué incorporas: no toda crítica es correcta, pero toda crítica marca un punto donde el texto no era evidente.
• Consejo: evalúa con la hoja delante y el dosier detrás. Ve dimensión por dimensión, y para cada una busca la evidencia antes de poner el número. Si tardas más de un minuto en encontrarla, ya sabes que ese nivel no es el que ibas a escribir.
• Consejo: guarda la autoevaluación con el dosier. Que la v1.0 lleve pegada su propia crítica es una señal de madurez profesional, y si algún día enseñas el proyecto, el evaluador leerá antes tu autoevaluación que tu resumen ejecutivo.

Ejercicio 1 — Puntúa una dimensión con evidencia

Elige D3 (controles y realismo económico) en tu dosier. Sin mirar la rúbrica, decide qué nivel te darías. Ahora ve al descriptor, busca la línea concreta que demuestra cada exigencia del nivel que te has puesto, y corrige la nota si no la encuentras. Escribe la entrada completa de autoevaluacion.yaml para esa dimensión, con evidencia y accion_de_mejora.

Ejercicio 2 — Sube un entregable un nivel

Toma el riesgo peor escrito de tu E2 —el que menos te guste— y reescríbelo para subirlo un escalón de la rúbrica: de básico a competente, o de competente a excelente. Marca en el texto qué has añadido exactamente para cambiar de nivel.

Ejercicio 3 — La prueba del algodón grabada

Responde a las cinco preguntas del apartado 9 en voz alta y grabándote, sin mirar el dosier. Escucha la grabación con la tabla de «qué es una buena respuesta» delante. Anota qué preguntas fallaste y traduce cada fallo en una acción sobre un entregable concreto.

Solución 1 — D3 puntuada con evidencia (clínica dental)

Lo relevante de la solución no es la nota: es que la intuición decía 4 y la evidencia dijo 3, y que la diferencia se convirtió en una acción de mejora de tres líneas que además obliga a tomar una decisión nueva —cuál es el control que se cae primero—. Ese es el rendimiento real de una rúbrica bien usada: no clasifica, produce trabajo concreto.

Solución 2 — Subir un riesgo de básico a competente

Solución 3 — Lectura de la prueba del algodón

Un resultado típico y muy informativo de una primera versión: P1 correcta (se nombra el riesgo pero no se compara con el segundo: media respuesta), P2 correcta, P3 correcta, P4 fallada, P5 dudosa.

La lectura de conjunto es la que vale: fallar P4 y dudar en P5 es el patrón más común, y significa que el dosier está bien en la parte de decidir y flojo en la de demostrar. Es exactamente el salto de 06-04, y la buena noticia es que se corrige en dos horas de trabajo sobre el E7 sin tocar ningún otro entregable.

Ya sabes evaluarte, que en un curso sin profesor es la última pieza que faltaba. Sabes por qué la autoevaluación es una competencia profesional y no un apaño: en el trabajo real casi nadie corrige tu dosier, y quien sabe mirar el suyo y decir «esto está flojo y esta es la razón» es la persona a la que acaban encargándole revisar el de los demás. Y sabes neutralizar el sesgo del autor con las tres reglas: puntúa lo escrito y no lo que sabes, deja reposar 48 horas y léelo en otro soporte, y exige evidencia para cada punto que te das.

Tienes la rúbrica completa: siete dimensiones con sus pesos —D2 análisis de riesgos y D3 realismo de los controles suman el 40 %, porque son las dos únicas donde se decide—, cuatro niveles con descriptores observables, y un umbral que no se compensa: 60 sobre 100, ninguna dimensión por debajo de básico y D2 y D3 en competente como mínimo. Y tienes la rúbrica aplicada, que es la parte que de verdad enseña: el mismo riesgo escrito cuatro veces —donde el salto a excelente son la consecuencia de segundo orden, la cuantificación con sus supuestos y el párrafo que justifica la posición en la lista— y el mismo control escrito cuatro veces, donde el salto a excelente es explicar por qué este y no el caro, y sobre todo tener plan B cuando el control depende de que un tercero acepte algo.

Conoces las seis señales de alarma que anulan un dosier por bueno que parezca —controles que no caben, riesgos sin propietario, políticas incumplibles, recuperación nunca probada presentada como capacidad, cero detectivos y RAT sin base jurídica—, más la séptima, sutil y frecuente: que todo figure como «implantado» el primer año. Sabes pedir revisión por pares con tres preguntas acotadas sobre D3, D4 y D7, y recibirla sin defender el documento. Y tienes la prueba del algodón: cuál es tu riesgo número uno y por qué antes que el segundo, qué pasa a las tres de la mañana, qué has dejado fuera, cómo demuestras que el control funciona —la que casi todo el mundo falla— y qué notificas en 72 horas.

Te llevas la hoja de autoevaluación con su columna de evidencia y su cálculo, el bucle de la segunda pasada —quirúrgica, sobre las dos o tres dimensiones más flojas, con límite de dos iteraciones— y la tesis que lo ordena todo: un dosier vivo vale más que uno perfecto, porque lo que se evalúa en el mundo real no es la v1.0 sino que exista una v1.1 con lo que cambió. Y sabes qué hacer con el proyecto después: portfolio anonimizado, base real si la organización es tuya, y guion de entrevista técnica —diciendo exactamente lo que es, un ejercicio de análisis y diseño, que sigue siendo mucho más de lo que la mayoría puede contar—.

En 07-04 llega la última lección del curso. Encontrarás una solución de referencia completa desarrollada sobre la clínica dental, con el razonamiento explícito de cada decisión y las disyuntivas difíciles comentadas; la comparación honesta con lo que tú hayas hecho —no hay una única respuesta correcta, pero sí respuestas indefendibles—; y después, el mapa de por dónde seguir: especialidades de la profesión, certificaciones comentadas con honestidad, cómo seguir aprendiendo en la práctica y una última mirada a Nimbus. Ve solo cuando tu dosier esté terminado y autoevaluado: leerla antes te ahorra trabajo y te quita el aprendizaje.