Has hecho el proyecto y te has autoevaluado. Ahora toca la comparación. Esta lección desarrolla una solución de referencia —sobre la Clínica Dental Sonrisa Norte, el caso más rico por sus datos de salud y el más alejado de Nimbus— con extractos suficientes de los ocho entregables y, sobre todo, con el razonamiento explícito de cada decisión: por qué este riesgo va primero, por qué este control y no el caro, qué se deja fuera y con qué argumento. No es el dosier entero: es la parte que fija el estándar.

Después vienen las decisiones difíciles comentadas, que es donde de verdad se ve el criterio profesional; los errores típicos que se repiten en los dosieres de quien empieza; y la comparación honesta contigo. Y luego, el cierre: por dónde seguir. El mapa de especialidades de la profesión, las certificaciones comentadas sin adornos, cómo seguir aprendiendo en la práctica, los hábitos de los primeros meses, una última mirada a Nimbus y el final del curso.

1. Cómo leer esta solución
2. E1 — Contexto, inventario, DFD y STRIDE
3. E2 — Los riesgos principales, con ALE y ROSI
4. E3 y E4 — Políticas y el catálogo que cabe en 9.000 €
5. E5 — Runbook del escenario más probable, RTO y RPO
6. E6 — Las detecciones mínimas
7. E7 — RGPD con datos de salud, EIPD y la cuestión del ENS
8. E8 — Trazabilidad y hoja de ruta trimestral
9. Las decisiones difíciles, comentadas
10. Errores típicos y cómo se corrigen
11. La comparación honesta con tu dosier
12. Mapa de especialización de la profesión
13. Certificaciones, comentadas con honestidad
14. Cómo seguir aprendiendo en la práctica
15. Nimbus: antes y después

Tres advertencias antes de empezar, porque de ellas depende que esta lección te sirva.

No es la respuesta correcta, es una respuesta defendible. Otro profesional con los mismos datos podría llegar a un orden de riesgos distinto y a un catálogo diferente, y ambos serían válidos si están justificados. Lo que no admite variación es el método: que cada control apunte a un riesgo, que cada riesgo tenga propietario, que las sumas cuadren y que cada decisión tenga su porqué escrito.

No la copies encima de tu trabajo. Si tu solución difiere, tu trabajo es entender por qué difiere y decidir cuál argumento es mejor: ese ejercicio de comparación vale más que el propio dosier. Y ten en cuenta que está deliberadamente incompleta —verás 5 riesgos de 11, 7 controles de 16 y una parte de la matriz—: lo que se muestra es lo que fija el nivel, y el resto es más de lo mismo con menos densidad de decisión.

El alcance ya lo viste en 07-01: los sistemas de información clínica y administrativa de las tres sedes, la conectividad, el correo, la web, los canales con pacientes y los terceros con acceso; fuera, la seguridad física más allá de la sala técnica y el equipamiento que no trata datos. Restricciones: 9.000 €/año, 180 h de Nuria, 120 h contratadas a Datacer Norte y ninguna persona técnica interna.

Inventario (extracto de 22 activos). La clasificación usa cuatro niveles y la criticidad se justifica por impacto asistencial, no por coste del equipo.

Por qué A-11 y A-18 están en el inventario. Porque el ejercicio de inventariar no consiste en listar cacharros. A-11, la cuenta compartida del fabricante, es el activo del que cuelga el riesgo número uno; si no está inventariada, nadie es su propietario y nadie decide sobre ella. A-18, la reputación, es el activo del que depende la facturación en un negocio local de recomendación, y sin él ningún impacto reputacional se puede puntuar. Y A-21, los contratos de encargado, es un activo intangible cuya ausencia es directamente una infracción del artículo 28.

El DFD y las fronteras de confianza. El flujo modelado es la consulta de una historia clínica desde un gabinete de la sede de Oviedo.

Las tres fronteras y lo que significan. FC-1 separa una sede de otra a través de una VPN sobre equipos domésticos: el tráfico clínico cruza una frontera que nadie audita. FC-2 es la peor de las tres: un tercero entra con una identidad que no es de nadie. FC-3 es un acceso permanente que no requiere justificación. Nótese lo que no es una frontera: la copia al NAS ocurre dentro de la misma zona, y ese es exactamente el problema —no hay ninguna frontera entre lo que se cifra y su respaldo—.

STRIDE del flujo (extracto).

Fíjate en que la R (repudio) es la que más duele aquí y es la que casi todo el mundo despacha. En un entorno sanitario, la trazabilidad del acceso a la historia clínica no es una buena práctica: es un requisito de la Ley 41/2002. La sesión compartida convierte un requisito legal en imposible por diseño.

Once riesgos en el registro. Estos son los cinco primeros, en el orden decidido.

Por qué R-01 va el primero, y no R-02 que tiene más probabilidad. Porque es el único riesgo del registro cuyo peor escenario es irreversible. R-02 ocurre a diario y su impacto es sancionador y reputacional: grave, caro y reparable. R-01 ocurre con menos frecuencia, pero su peor escenario —cifrado del servidor y del NAS, sin copia externa— es la desaparición de la historia clínica de 4.800 pacientes y el cierre de la clínica. Cuando un riesgo es irreversible, la irreversibilidad pesa más que la frecuencia. Ese principio, escrito en el dosier, es lo que hace defendible el orden.

Cuantificación de R-01.

Lo que este cálculo hace en la práctica. No sirve para saber cuánto se va a perder: sirve para poner en la misma frase «19.080 € al año de riesgo esperado» y «780 € de copia externa», y esa frase es la que consigue que Elena firme en treinta segundos. El ALE no es una predicción, es un argumento. Y por eso lleva sus supuestos escritos: en cuanto alguien discute el ARO, la conversación ya es la correcta.

El riesgo aceptado. R-10 (falta de contratos de encargado con dos terceros menores: la empresa de destrucción documental y el laboratorio protésico) se acepta formalmente hasta el cuarto trimestre, con aprobación de Elena Vázquez fechada, porque C-07 está planificado para T3 y regularizarlos antes exige asesoría jurídica que no está contratada. Aceptar con fecha, aprobador y plan es una decisión; no mencionarlo es un olvido.

Las dos políticas redactadas enteras son POL-02 (Control de Accesos e Identidad Clínica) y POL-03 (Comunicación con Pacientes y Canales), y la elección se justifica en una línea: POL-02 ataca R-01 y R-04 —los dos problemas de identidad— y es condición previa de la trazabilidad que exige la Ley 41/2002; POL-03 es la única vía realista para R-02, porque ninguna medida técnica resuelve sola un hábito. Las otras seis políticas quedan mapeadas con propietario y prioridad, para publicarse en los doce meses siguientes.

El catálogo completo: 16 controles, 7.190 € y 168 h de Nuria.

Tres lecturas del catálogo, que valen más que la tabla. Primera: siete de los dieciséis controles cuestan cero euros y son los que atacan el riesgo número uno. En esta clínica, como en Nimbus, el problema no era el presupuesto: era que nadie tenía asignadas las horas. Segunda: hay cuatro controles detectivos y tres recuperativos, no solo preventivos, porque la ceguera detectiva es lo que convierte un incidente en una catástrofe. Tercera: el margen de horas de Nuria es cero, y eso se declara explícitamente en el dosier junto con la decisión de qué se cae primero si aparece un imprevisto —C-08 se pospone un trimestre, porque R-02 tiene mitigación administrativa provisional mientras tanto y ningún otro control la tiene—.

Lo que se deja fuera.

RB-01 — Cifrado de ficheros en el servidor de Gijón (extracto de las fases 0 a 2, que son las que se ejecutan con prisa y por eso las que hay que escribir mejor):

Lo que hace bueno a este runbook: dice qué boca del rack, da un teléfono, ordena desconectar el NAS antes que ninguna otra cosa —el paso que decide si el incidente es recuperable— y sitúa el arranque del reloj de 72 h en una decisión concreta con criterio, no en una intuición.

BIA y estrategia de copias.

«Última restauración con éxito: NUNCA» va en el resumen ejecutivo, literal. Es una sola línea y es la que aprueba los 780 €.

Ocho detecciones, todas operables con las horas disponibles y todas con su prueba.

La detección más rentable del catálogo es D-03, y no vigila a ningún atacante: vigila que la copia se hizo. Cuesta cero euros, y es lo que impide que el día del incidente se descubra que la copia lleva cinco semanas fallando. La segunda es D-01, que cubre el vector de R-01 y que además prueba el cumplimiento de C-01: la misma alerta sirve de control detectivo y de evidencia de auditoría.

Plan de verificación. Escaneo externo de la superficie expuesta y revisión de configuración con Datacer, semestral, 8 h/año. Pentest: no este año (descarte argumentado). Y cada detección se prueba al implantarla y una vez al año, con la prueba escrita en la propia ficha: es lo que evita el hallazgo clásico de que la alerta existía y no disparaba.

Roles. La clínica es responsable del tratamiento de los datos de sus pacientes y de sus empleados. Es a su vez quien contrata encargados: Datacer Norte, el fabricante de DentaGest, el laboratorio protésico, la gestoría, la agencia de marketing y la empresa de destrucción documental. Los seis necesitan contrato del artículo 28 (C-07), y dos no lo tienen (R-10, aceptado con fecha).

RAT: cuatro tratamientos. T-01 historia clínica; T-02 gestión de personal; T-03 imágenes radiológicas; T-04 captación y marketing. El que importa:

Dos detalles que se escapan siempre. El primero: la base jurídica de la historia clínica no es el consentimiento. Pedir consentimiento para tratar la historia sería incluso incorrecto, porque no se puede retirar sin dejar a la clínica en incumplimiento de la Ley 41/2002. El segundo: el artículo 9.2.h exige además el deber de secreto del 9.3, que es lo que convierte la trazabilidad de acceso —y por tanto C-05— en una obligación y no en una mejora.

EIPD: sí, para T-01 y T-03. Concurren dos criterios: tratamiento a gran escala de datos del artículo 9 (4.800 pacientes activos, tres sedes, actividad continuada) y datos de personas vulnerables (menores). Uno solo ya la recomienda; dos la hacen exigible en la práctica. Para T-04, marketing, la decisión es NO, y se documenta el porqué: sin datos del artículo 9, sin elaboración de perfiles y sin decisiones automatizadas. Documentar la negativa es tan importante como la afirmativa.

Y el ENS. Hoy no aplica: la clínica es privada y no presta servicios a la Administración. Aplicaría por vía contractual si concertase con una mutua colaboradora de la Seguridad Social o con el servicio público de salud, porque el pliego trasladaría los requisitos del Real Decreto 311/2022 —previsiblemente categoría básica— junto con la obligación de declarar conformidad. Está anotado en el dosier como riesgo de negocio con plazo: si Elena firma un concierto, hay entre seis y doce meses de trabajo por delante y hay que negociarlo en el contrato, no descubrirlo después.

Nota de validación profesional. La calificación de «gran escala», la exigibilidad concreta de la EIPD, los plazos de conservación de la historia clínica —que tienen desarrollo autonómico— y el alcance real del ENS en un concierto dependen de normativa vigente y del criterio de la autoridad de control. Verifica el BOE, las listas publicadas por la AEPD y la normativa sanitaria de tu comunidad, y consulta con un delegado de protección de datos o un asesor jurídico antes de cerrar estas decisiones en una organización real.

Matriz de trazabilidad (extracto de 14 filas).

Hoja de ruta de 12 meses. Orden por riesgo, no por facilidad, y con el trimestre 1 entero a coste cero para que el plan arranque sin esperar a que se apruebe una factura.

Cómo se defiende ante Elena. No como dieciséis tareas técnicas, sino así: «el riesgo peor puntuado tiene un coste esperado de 19.000 € al año y lo dejamos en un residual manejable con 1.170 € en el segundo trimestre; el primer trimestre no cuesta nada; y lo más caro —la identidad en gabinete— va al final porque es lo que más molesta a los odontólogos y necesito los tres trimestres anteriores de credibilidad para pedirlo». Esa última frase no es técnica y es la más importante del plan.

Aquí está el criterio profesional. Cinco disyuntivas reales, con lo que se eligió, por qué, y qué habría cambiado la respuesta.

1. WhatsApp: ¿prohibir o sustituir? Opciones: prohibirlo en POL-03 con efecto inmediato, o sustituirlo por un canal integrado y retirarlo en nueve meses. Elegido: sustituir. Prohibir el día uno es gratis, es correcto sobre el papel y no se va a cumplir: recepción seguiría usándolo desde sus móviles personales, con lo que el dato saldría igual y además dejaría de verse. El indicador 6 mide una curva de 120 fotos al mes a cero, no un interruptor. Qué habría cambiado la respuesta: si ya existiera una inspección abierta o una reclamación de un paciente, la prohibición inmediata sería obligatoria pese al incumplimiento previsible, porque entonces el riesgo legal domina al operativo.

2. Identidad en gabinete: ¿tarjetas de 1.450 € o usuario y contraseña gratis? Elegido: tarjetas. La opción gratuita es técnicamente equivalente y prácticamente inútil: los odontólogos no van a teclear una contraseña entre paciente y paciente, y lo que ocurriría es que apuntarían la contraseña en el monitor —volviendo al punto de partida con una capa de documentación falsa encima—. La tarjeta hace que el camino correcto sea el camino fácil, que es el principio de diseño seguro que 01-03 llamaba «psicológicamente aceptable». Qué lo habría cambiado: si los gabinetes tuvieran un profesional fijo cada uno y no rotación, el usuario y contraseña bastaría.

3. ¿Descentralizar los datos o mantenerlos en Gijón? Elegido: mantener centralizado y añadir modo degradado (C-15). Un servidor por sede resolvería R-09 pero triplicaría la superficie de ataque, el número de copias que proteger y las horas de mantenimiento, que es el recurso escaso. C-15 —exportar cada tarde la agenda y las fichas del día siguiente a un fichero local cifrado— cuesta cero euros y cuatro horas y convierte una caída de línea en una molestia. Qué lo habría cambiado: si las sedes fueran cinco en vez de tres, o si el enlace cayera semanalmente, la aritmética se invertiría.

4. ¿EDR gestionado o identidad más copias? Elegido: identidad más copias. Es la decisión que más cuesta defender porque el EDR «suena a seguridad de verdad». Pero el vector de R-01 es una credencial legítima usada por un tercero comprometido, y un EDR ve procesos anómalos, no una sesión administrativa autorizada. Con 3.600 € se compra visibilidad sobre un escenario que no es el principal; con 780 € y doce horas se elimina la condición que lo hace posible. Qué lo habría cambiado: si los 25 puestos navegaran libremente por internet y descargaran adjuntos —un perfil de riesgo de puesto mucho más alto—, el EDR subiría varios puestos.

5. ¿Y si el fabricante se niega a las cuentas nominativas? Es la decisión que casi ningún dosier de alumno contempla, y es la que puede tumbar el plan entero, porque C-01 es la pieza central de R-01 y depende de un tercero. Plan B documentado: mantener la cuenta compartida pero deshabilitada por defecto, activada por Nuria solo durante la incidencia, con grabación de sesión y con la alerta C-11 sobre cualquier uso fuera de ventana. Es un control compensatorio, es peor, y se documenta como tal con una excepción EXC-2027-002 caducada a seis meses y con la instrucción explícita de que la capacidad del fabricante de soportar cuentas nominativas se incluya como requisito en la próxima renovación del contrato. Convertir un problema técnico irresoluble en una cláusula de la próxima renovación es, muchas veces, la única jugada disponible —y es una jugada.

El más grave, y no está en la tabla porque merece su propia frase: copiar el registro de riesgos de Nimbus. Un dosier que traslada sus riesgos a una clínica dental produce frases como «riesgo de exposición de la API multi-tenant» en una organización que no tiene API. Se detecta a la primera lectura y anula la credibilidad del resto. El antídoto es empezar por el DFD del caso propio: las amenazas salen del flujo, no de la memoria.

Coge tu dosier y compara. Vas a encontrar tres tipos de diferencia, y solo uno importa.

Diferencias de forma —tus tablas tienen otras columnas, tus identificadores otro prefijo, tu inventario 18 activos en vez de 22—: irrelevantes. Ninguna afecta a la calidad del trabajo.

Diferencias de criterio —tú pusiste el riesgo de phishing el primero, o elegiste el EDR, o descentralizaste los datos—: estas son las valiosas. Ninguna es incorrecta por sí misma. La pregunta no es «¿coincide con la solución?», sino «¿está mi decisión igual de argumentada?». Si tu razón para poner phishing el primero es «porque es lo más frecuente», tienes media respuesta; si es «porque en esta organización el 80 % de la superficie es humana y la irreversibilidad de R-01 ya está mitigada por una copia externa que aquí sí existía», tienes una respuesta mejor que la mía para tu caso. Y diferencias de método —tu catálogo no suma, tus riesgos no tienen propietario, tu matriz cita controles que no existen—: estas sí son errores, y la solución de referencia sirve exactamente para detectarlas.

Porque esa es la tesis de todo el proyecto: no hay una única respuesta correcta, pero sí hay respuestas indefendibles. Es indefendible un plan que no cabe en el presupuesto. Es indefendible un riesgo sin dueño. Es indefendible declarar recuperación con una copia jamás restaurada. Es indefendible un control que no se puede demostrar. Todo lo demás es criterio, y el criterio se discute, se argumenta y se revisa —que es justamente lo que hace un profesional en una reunión de dirección—.

Este curso te ha dado la base transversal. La profesión se ramifica, y conviene saber en qué.

Dos avisos sobre este mapa. Primero: este proyecto es, literalmente, el trabajo de un perfil GRC, así que si te ha gustado hacerlo, ya sabes algo importante sobre ti. Y si lo has sufrido pero disfrutaste con el módulo 5, tu camino probablemente sea técnico. Segundo: en una PYME no eliges. En una empresa de 40 personas serás las ocho cosas a la vez, y eso —lejos de ser un defecto— es la mejor escuela que existe para descubrir cuál te gusta.

Empecemos por la parte incómoda: una certificación no sustituye a la experiencia, la acompaña. Sirve para tres cosas concretas —pasar filtros automáticos de currículum, ordenar el estudio y cumplir requisitos de pliegos o de clientes— y para ninguna más. Nadie con criterio contrata a alguien por un acrónimo, pero muchos filtros descartan a quien no lo tiene.

Cómo elegir, en una frase: la certificación correcta es la que acredita lo que ya estás haciendo o lo que vas a hacer el mes que viene, no la que suena mejor. Y un consejo con valor práctico: antes de pagar ninguna, termina y publica el proyecto de este curso. Un dosier completo, razonado y disponible demuestra más criterio que la mayoría de los acrónimos, y cuesta cero euros.

Y la regla que ordena todo esto: elige poco y sostenlo. Media hora tres veces por semana durante un año enseña más que un mes de doce horas diarias seguido de seis meses de nada. Es la misma tesis de 06-01 aplicada a ti: la seguridad —y la formación— no se consiguen, se sostienen.

Antes de cerrar, mira lo que ha cambiado en la empresa que te ha acompañado 36 lecciones. Esta tabla es el viaje completo del curso.

Nimbus no es hoy una empresa segura. Es una empresa que sabe lo que tiene, lo que le puede pasar, qué está haciendo al respecto, qué ha decidido no hacer y cómo se va a enterar de que algo va mal. Esa diferencia —no la ausencia de riesgo, sino la presencia de método— es todo lo que este curso ha intentado transmitirte.

• Leer esta solución antes de haber hecho el proyecto. Si has llegado aquí sin dosier propio, para y vuelve a 07-01. Una vez has visto una respuesta, ya no puedes saber cuál habrías dado, y esa información era el resultado real del ejercicio.
• Reescribir tu dosier para que se parezca a este. Si tus decisiones difieren y están argumentadas, defiéndelas. Cambiar de opinión porque el material del curso dice otra cosa —sin un argumento mejor— es exactamente el hábito contrario al que el proyecto entrena.
• Quedarse solo con la tabla y saltarse los porqués. Las tablas son la parte fácil de copiar y la parte inútil de copiar: lo que se aprende está en los párrafos que explican por qué el pentest se descarta por prematuro, por qué las tarjetas de proximidad ganan a la contraseña gratuita y por qué hace falta un plan B para C-01.
• Coleccionar certificaciones para tapar la falta de experiencia. Se nota siempre, y en la primera pregunta práctica. Una certificación acompaña a lo que sabes hacer; sola, es un acrónimo.
• Consejo: publica el proyecto, anonimizado o sobre el caso ficticio, en un repositorio con su historial. Es la pieza de portfolio más difícil de improvisar y la que mejor demuestra criterio.
• Consejo: ponle fecha a la siguiente revisión. Del dosier y de tu propio plan de aprendizaje. Lo que no tiene fecha no vuelve a ocurrir.

Ejercicio 1 — La comparación estructurada

Compara tu dosier con esta solución en tres dimensiones concretas: el orden de los tres primeros riesgos, el control más caro que has incluido y lo que has dejado fuera. Para cada una, escribe si es una diferencia de forma, de criterio o de método, y en las de criterio decide con un argumento cuál de las dos posiciones es mejor para tu caso.

Ejercicio 2 — Tu propia decisión difícil

Elige una disyuntiva real de tu proyecto que no aparezca en el apartado 9 y redáctala con la misma estructura: opciones, lo elegido, por qué, y qué habría cambiado la respuesta. Ese último apartado es el que demuestra que has entendido el criterio y no solo la conclusión.

Ejercicio 3 — Tu plan de 90 días

Diseña tu plan de aprendizaje de los próximos tres meses: perfil hacia el que te orientas, dos vías de práctica del apartado 14 con su hueco semanal concreto, una lectura recurrente y una cosa que vas a producir y publicar. Ponle fecha de revisión.

Solución 1 — Comparación estructurada (ejemplo real de un alumno)

Lo instructivo es el reparto: dos diferencias de criterio, que se discuten con argumentos y de las que se aprende, y una de método, que simplemente se corrige. Y fíjate en que una de las de criterio se resuelve a favor del alumno parcialmente: el EDR no era una mala idea, era una idea para un riesgo que estaba el octavo. Esa precisión —«no es incorrecto, es prematuro»— es el mismo razonamiento del descarte del pentest.

Solución 2 — Una decisión difícil propia (ejemplo)

Solución 3 — Plan de 90 días (ejemplo)

Tres detalles que lo hacen un plan y no una lista de deseos: tiene huecos concretos en el calendario, produce algo publicable en lugar de solo consumir contenido, y tiene fecha de revisión con un criterio de éxito observable. Es, en pequeño, exactamente la estructura de la hoja de ruta del E8: dueño, plazo y resultado medible. El método que has aprendido para una organización funciona igual para una carrera.

Has llegado al final. Empezaste con la tríada CIA y el vocabulario del riesgo, entendiste el panorama de amenazas y cómo se defiende una organización, aprendiste a proteger la información con criptografía que se usa de verdad, a decidir con un registro de riesgos, políticas, controles y un plan de respuesta, a ejecutar con herramientas, detección, pentest, redes, aplicaciones, endpoint y nube, y a sostener y demostrar lo hecho con hábitos, normativas, RGPD, evidencias, personas y ética. Y luego dejaste de leer sobre Nimbus y lo hiciste tú: elegiste una organización, la inventariaste, identificaste y priorizaste sus riesgos, redactaste sus políticas, ajustaste un catálogo de controles a un presupuesto que no daba para todo, preparaste su respuesta y su recuperación, planificaste su verificación, encajaste su marco normativo, montaste su trazabilidad y su hoja de ruta, y te evaluaste con honestidad.

En esta última lección has visto una solución de referencia completa sobre la clínica dental —con el inventario donde una cuenta compartida y la reputación son activos, el DFD cuyas fronteras explican dónde está el peligro, el riesgo número uno justificado por irreversible y no por frecuente, el ALE que no predice nada pero convence, el catálogo de dieciséis controles donde siete cuestan cero euros, el runbook que dice qué boca del rack, la EIPD que motiva también su negativa, el ENS que hoy no aplica pero puede aplicar mañana, y la hoja de ruta que deja lo más molesto para el trimestre en que ya hay credibilidad—. Has visto las decisiones difíciles: sustituir en vez de prohibir, pagar por que el camino correcto sea el fácil, no descentralizar, elegir identidad antes que EDR, y tener plan B cuando el control depende de que un tercero diga que sí. Y has visto la línea que separa lo opinable de lo inaceptable: no hay una única respuesta correcta, pero sí hay respuestas indefendibles —un plan que no cabe, un riesgo sin dueño, una recuperación nunca probada, un control que no se puede demostrar—.

Te llevas también el mapa de lo que viene: ocho especialidades con lo que hace cada una y a quién le encaja; certificaciones situadas en su momento y con su límite, porque acompañan a la experiencia y no la sustituyen; vías de práctica legales —laboratorio propio, plataformas guiadas, CTF, contribuir, leer avisos de INCIBE-CERT y del CCN-CERT y el catálogo KEV, y post mortems ajenos—; y una regla que vale más que cualquier lista: elige poco y sostenlo. Porque esa es, al final, la única conclusión de este curso. La seguridad no es un estado que se alcanza: no existe el día en que una organización está segura y puede dejar de mirar. Es una práctica que se sostiene, con inventarios que se actualizan, riesgos que se reevalúan, copias que se restauran para comprobar que funcionan, alertas que se prueban, personas que se forman y decisiones que se revisan cuando cambia lo que las justificaba. Nimbus no acabó el curso siendo una empresa segura; acabó siendo una empresa que sabe lo que tiene, lo que le puede pasar, qué hace al respecto, qué ha decidido no hacer y cómo se enterará de que algo va mal.

Tú ya tienes ese método. Sabes inventariar, modelar amenazas, redactar y puntuar un riesgo, escribir una política que se pueda cumplir, elegir controles que quepan en el dinero y en las horas, preparar una respuesta que otro pueda ejecutar, verificar que lo implantado funciona, cumplir lo que obliga la ley y demostrarlo con evidencias, formar a la gente y defender cada decisión ante quien tenga que aprobarla. No sabes todo lo que hay que saber —nadie lo sabe, y quien te diga lo contrario te está vendiendo algo—, pero sabes cómo se decide con información incompleta y recursos insuficientes, que es exactamente el trabajo.

Ahora abre tu dosier, ponle fecha a la próxima revisión y empieza.