Durant sis mòduls has acompanyat la Marta, la Lucía i la resta de l'equip de Nimbus Reservas mentre descobrien els seus actius, patien un incident, prioritzaven riscos amb 18.000 € i decidien què deixaven sense fer. Has llegit les seves decisions. Ara prendràs les teves. El Projecte Final consisteix a produir el dossier de seguretat complet d'una organització petita: el conjunt de documents que permet a algú —la direcció, un client, un auditor, tu mateix d'aquí a un any— entendre què es protegeix, de què, amb quins mitjans i amb quines proves. No és un exercici acadèmic inventat per tancar un curs: és, literalment, la feina que s'encarrega a qui entra en un lloc de seguretat en una pime o en una administració petita, i la feina que un consultor factura quan el contracten «per veure com estem».

Aquesta lliçó és l'enunciat. Aquí decideixes sobre quina organització treballaràs, entens què se't demana de cada mòdul, saps què queda fora i t'emportes una planificació realista. Les plantilles de cada lliurable són a 07-02, els criteris amb què t'autoavaluaràs a 07-03 i una solució de referència comentada a 07-04. No miris 07-04 abans d'haver fet la feina: és l'única part del curs que s'espatlla si es llegeix a deshora.

1. Què produiràs: el dossier de seguretat
2. L'objectiu d'aprenentatge: decidir, prioritzar i justificar
3. Triar el cas: opció A i opció B
4. Opció A: la teva organització real, amb autorització i anonimitzada
5. Cas 1 — Clínica Dental Sonrisa Norte
6. Cas 2 — Ajuntament de Valdellano
7. Cas 3 — Alzabra Outdoor
8. Taula comparativa i com triar el cas que et convé
9. Abast del projecte, mòdul a mòdul
10. Què NO inclou el projecte
11. Planificació suggerida: set fases i 20-30 hores
12. La regla d'or: tot es rastreja fins a un risc i fins a un recurs
13. El curs com a manual de referència: què llegir quan t'encallis
14. Vista prèvia del lliurable final

A 06-04 va aparèixer el concepte de dossier de seguretat: la carpeta que Nimbus prepara un cop i reutilitza cada vegada que un client pregunta, un auditor visita o la direcció vol saber on és el diner de seguretat. El teu projecte és exactament això, aplicat a una altra organització.

Un dossier de seguretat complet, en una organització petita, respon a vuit preguntes en aquest ordre:

Vuit documents. Ni un més. Un dossier de trenta documents en una organització de 25 persones és un senyal d'alarma, no de maduresa: significa que s'ha copiat un cos documental d'una multinacional i que ningú no el mantindrà.

Per què això i no un examen. Un examen de seguretat mesura si recordes que el CVSS puntua la gravetat tècnica i l'EPSS la probabilitat d'explotació. Això ja ho has demostrat a cada lliçó. El que un examen no pot mesurar —i l'única cosa que de debò se't demanarà en un lloc real— és si, amb 9.000 € i 180 hores, ets capaç de dir això sí, això no, i per aquesta raó. Aquest és l'examen de veritat, i no té respostes d'opció múltiple.

Escriu-ho en una nota i deixa'l a la vista mentre treballes:

Les tres competències, desglossades:

Hi ha una quarta competència que el projecte entrena sense anomenar-la: l'honestedat. Un dossier que diu «control implantat» sobre una cosa que ningú no ha provat no és un dossier optimista, és un dossier fals, i a 06-04 vam veure què li passa quan arriba un auditor. Al teu projecte, tot allò que no estigui provat s'escriu com a planificat. Costa un segon i et defineix professionalment.

El primer que decideixes és sobre quina organització treballes. I hi ha una restricció ferma: no treballes sobre Nimbus Reservas. Nimbus ja està resolta al llarg del curs; fer-la servir et portaria a copiar el registre de riscos de 04-01 i el catàleg de 04-03 amb altres paraules, i no hauries decidit res. Nimbus queda com a referència de nivell, no com a cas.

Tens dues opcions:

Cap opció no és millor que l'altra en termes d'aprenentatge. L'opció A té l'avantatge que el resultat serveix de debò i l'inconvenient que hauràs d'investigar dades que no sempre estan disponibles. L'opció B et dona totes les dades servides, cosa que et permet concentrar-te al 100 % a decidir en comptes d'esbrinar, i és la que recomano si és el teu primer dossier.

Si tries treballar sobre una organització real —la teva, la d'un familiar, la d'un client—, hi ha tres regles que no són consells.

⚠️ Nota de validació — autorització i legalitat

Necessites autorització escrita i prèvia d'algú amb capacitat per donar-la abans d'inventariar actius, revisar configuracions o parlar amb empleats sobre seguretat. Repassa 06-06 apartat 2: l'autorització ha de venir de qui té poder per obligar l'organització, amb abast explícit, finestra temporal i per escrit. Que hi treballis no t'autoritza; que un company et digui «i tant, mira el que vulguis», tampoc. I el més important: aquest projecte és d'anàlisi documental, no de proves tècniques. Escanejar la xarxa de la teva empresa «per al projecte» sense autorització expressa per a aquesta activitat concreta pot constituir un accés il·lícit amb independència de la teva intenció (06-06, apartat 1). Si tens qualsevol dubte sobre l'abast del teu permís, treballa amb un cas fictici.

Regla 1 — Autorització per escrit. Un correu del gerent, del soci o del responsable que digui què pots revisar, durant quant de temps i amb quina finalitat. Guarda'l a la carpeta del projecte. És la primera evidència del dossier.

Regla 2 — Anonimitza des del primer minut. No anonimitzis al final: anonimitza en escriure. Substitueix el nom real per un d'inventat, el domini per <alguna-cosa>.example, les IP públiques per rangs de documentació (192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24), els noms de proveïdor per la seva categoria («el proveïdor de l'ERP»), i arrodoneix les xifres econòmiques. Un dossier anonimitzat serveix igual per a l'anàlisi i es pot ensenyar; un amb dades reals no surt mai de l'organització.

Regla 3 — Res de dades personals dins del dossier. Un inventari d'actius no necessita la llista d'empleats amb els seus correus. Necessita «12 portàtils Windows assignats a personal clínic». Si el teu projecte conté dades personals, tu mateix t'has convertit en un risc del projecte.

Encaix mínim. Si la teva organització real és massa gran per a 25 hores de feina, acota: tria una seu, un departament o un servei i declara l'abast per escrit, exactament com va fer Nimbus a 04-01 apartat 4. Un dossier excel·lent sobre un abast petit val molt més que un de superficial sobre tota l'empresa.

Sector i mida. Sanitat privada odontològica. 25 empleats repartits en 3 seus a Astúries: Gijón (seu principal, 5 gabinets), Oviedo (3 gabinets) i Avilés (2 gabinets). Facturació aproximada 2,1 M€/any. Uns 4.800 pacients actius en fitxa.

Plantilla i rols.

Sistemes i dades.

• DentaGest: programari de gestió clínica en un servidor Windows físic a Gijón amb base de dades SQL Server. Història clínica, odontogrames, pressupostos, consentiments i agenda. És un sistema heretat: la versió instal·lada té 6 anys i actualitzar costa una llicència nova.
• Radiologia digital: ortopantomògraf i radiovisiògrafs que escriuen imatges DICOM en una carpeta compartida del mateix servidor, que el fabricant exigeix accessible en escriptura des de tots els gabinets.
• Seus connectades: Oviedo i Avilés accedeixen a Gijón per VPN entre routers d'operador domèstics. Si cau la línia de Gijón, les altres dues seus no veuen la història clínica.
• NAS de còpies a la mateixa sala del servidor. Còpia nocturna del SQL Server i del DICOM. Ningú no ha restaurat mai. Microsoft 365 Business amb 25 bústies i sense MFA obligatori. Web WordPress amb formulari de cita, gestionada per l'agència.
• WhatsApp en dos telèfons de recepció: recordatoris de cita i fotos que els pacients envien de la seva boca. TPV de l'entitat bancària a cada seu i financera externa per a tractaments a terminis.

Tercers.

Marc normatiu aplicable. RGPD i LOPDGDD, amb l'article 9 al centre perquè el negoci sencer gira sobre dades de salut; Llei 41/2002 d'autonomia del pacient, que imposa conservar la història clínica i regula l'accés a aquesta; normativa sanitària autonòmica; LSSI-CE per la web amb formulari; obligacions contractuals de l'entitat bancària pel TPV. Si la clínica arribés a concertar serveis amb una mútua pública o amb el servei de salut, hi entraria a més l'ENS per la via contractual.

Recursos. Pressupost de seguretat: 9.000 €/any. No hi ha personal de sistemes intern: el contracte amb Datacer Norte inclou una bossa de 120 h/any i la Nuria pot dedicar-hi unes 4 h/setmana ≈ 180 h/any. Qualsevol hora addicional de Datacer es factura a 55 €/h contra el pressupost.

Tensions pròpies del cas (les que t'obligaran a decidir):

1. Centralització davant de disponibilitat: la història clínica viu en un servidor d'una seu i dues seus depenen d'una VPN domèstica. Segregar millora la disponibilitat i empitjora el control; centralitzar és el contrari.
2. El proveïdor que no accepta MFA: el fabricant de DentaGest exigeix un compte d'administrador compartit sense segon factor, i sense el seu suport la clínica no pot operar. Aquest és l'equivalent exacte d'A-19 a Nimbus.
3. WhatsApp: prohibir-lo és el correcte sobre el paper i el que ningú no complirà; cal resoldre-ho, no declarar-ho prohibit.
4. Sessions compartides al gabinet: els odontòlegs no faran login entre pacient i pacient. Sense identitat individual no hi ha traçabilitat de l'accés a la història clínica, que és justament el que exigeix la Llei 41/2002.
5. Còpies a la mateixa sala que el servidor: un incendi, un robatori o un ransomware s'endú les dues coses.

Sector i mida. Administració local. Municipi de 7.800 habitants, 62 empleats municipals repartits en quatre edificis: casa consistorial, edifici de serveis socials, poliesportiu i biblioteca-centre cultural.

Plantilla i rols.

Sistemes i dades. Seu electrònica i gestor d'expedients d'un proveïdor únic, allotjats al núvol del proveïdor. Padró municipal (els 7.800 veïns). Comptabilitat i tresoreria del mateix proveïdor. Registre d'entrada i sortida. Expedients de serveis socials amb dades de salut, situació socioeconòmica, menors i violència de gènere. Expedients sancionadors de la policia local, que són dades de l'article 10. Videovigilància al poliesportiu i a la biblioteca, i lector de matrícules al vehicle de la policia. Portal de transparència. 55 PC en quatre edificis units per fibra municipal i un radioenllaç cap al poliesportiu. Wifi pública a la biblioteca i a la plaça. I autòmats de reg i enllumenat connectats a la mateixa xarxa plana.

Tercers.

Marc normatiu aplicable. ENS (Reial decret 311/2022) d'obligat compliment, amb categoria per determinar en el mateix projecte i previsiblement MITJANA pels serveis socials i el padró; RGPD i LOPDGDD; Lleis 39/2015 i 40/2015 de procediment administratiu i règim jurídic; Llei 19/2013 de transparència; Llei 9/2017 de contractes del sector públic, que obliga a ficar els requisits de seguretat als plecs; i la qüestió oberta de si li arriba la NIS2 —depèn de l'àmbit i de la transposició, i és exactament el tipus de dubte que es resol preguntant, no suposant—.

Recursos. Partida de seguretat de 12.000 €/any, subjecta als procediments de contractació pública, cosa que significa que no es pot comprar de pressa. En Jorge pot dedicar unes 300 h/any a seguretat. Existeix la possibilitat d'acollir-se a serveis de la Diputació sense cost directe.

Tensions pròpies del cas.

1. El proveïdor únic: la seu electrònica, el padró i la comptabilitat són a les seves mans. No hi ha sortida realista, així que la feina consisteix a gestionar el risc d'un tercer del qual depens per complet (04-04).
2. L'ENS no és opcional: exigeix anàlisi de riscos formal, categorització, declaració d'aplicabilitat i conformitat. Ningú no ho ha fet mai i no hi ha pressupost per a una consultoria completa.
3. La contractació pública com a restricció de seguretat: no pots «posar la targeta» en un SaaS. Tot el que costa diners triga mesos i ha de cabre en un contracte.
4. Xarxa plana amb OT: els autòmats de reg i enllumenat conviuen amb el padró. Segmentar és barat en material i car en hores d'en Jorge.
5. Regidors amb dispositius i correu personals: càrrecs electes que no són empleats i als quals no es pot aplicar el règim disciplinari del personal municipal.

Sector i mida. Comerç electrònic de material de muntanya i escalada. 8 persones, 100 % en remot, sense oficina. Facturació 2,4 M€/any en unes 35.000 comandes, amb el 30 % concentrat en les sis setmanes de Black Friday i Nadal.

Plantilla i rols.

A més, dos desenvolupadors freelance entren a donar un cop de mà durant la campanya, amb accés al repositori i a producció.

Sistemes i dades. Botiga a Shopify. Una aplicació pròpia d'integració (Python) en un VPS que sincronitza comandes amb l'ERP i amb l'operador logístic. ERP al núvol. Magatzem i logística externalitzats en un 3PL connectat per API. Passarel·la de pagament allotjada: la botiga no emmagatzema targetes, però la pàgina de pagament se serveix des del domini de la botiga. Helpdesk SaaS amb l'historial de converses de clients. Plataforma d'email màrqueting amb 180.000 subscriptors. Comptes publicitaris amb accés delegat a una agència. Full de càlcul compartit amb marges i condicions de proveïdors. Dades tractades: identificatives i de contacte de clients, historial de compra, adreces de lliurament, dades d'empleats i secret comercial al full de marges.

Tercers. Shopify, la passarel·la de pagament, el 3PL, la plataforma d'email màrqueting, l'agència de mitjans, el helpdesk, els dos freelance de campanya i la gestoria. Set dels vuit actius crítics del negoci són d'un altre.

Marc normatiu aplicable. RGPD i LOPDGDD; LSSI-CE pel comerç electrònic i les galetes; normativa de consum i contractes a distància; PCI DSS en el nivell més lleuger (SAQ A) per fer servir una passarel·la allotjada, amb l'obligació de protegir la integritat de la pàgina de pagament —l'atac de skimming de targetes per injecció de JavaScript és el risc característic del sector—; i les condicions contractuals de Shopify i de la passarel·la.

Recursos. Pressupost: 6.000 €/any. En Nacho disposa d'unes 150 h/any per a seguretat, amb una particularitat que ho canvia tot: durant els dos mesos de campanya les seves hores de seguretat són zero i hi ha congelació de canvis.

Tensions pròpies del cas.

1. La finestra de campanya: 6 setmanes en què no es pot tocar res i en què quatre hores de caiguda costen més que el pressupost anual de seguretat sencer. Tot el que s'implanti ha d'estar acabat i provat abans de novembre.
2. Remot total sense domini ni MDM: vuit persones, dispositius mixtos, cap xarxa corporativa. Tot el control és d'identitat, no de xarxa.
3. Els comptes són les joies de la corona: la botiga, l'email màrqueting i les plataformes publicitàries. Uns quants estan compartits amb contrasenyes en un full de càlcul, i una presa de control del compte publicitari pot cremar 20.000 € en un cap de setmana.
4. El 3PL com a caixa negra: té per API les comandes amb les adreces de 35.000 clients i la seva seguretat no la controla ningú d'Alzabra.
5. Freelance de temporada: entren al novembre amb accés a producció i al gener ja no hi són. El cicle d'alta i baixa és el control, i avui no existeix.

Com triar. No triïs el que et sembli més fàcil: tria el que s'assembli a la feina que vols fer.

• Si t'interessen la sanitat, les pimes clàssiques o la consultoria de proximitat, tria la clínica. És el cas més ric en protecció de dades i el que més s'assembla al que trobaràs a la majoria de les empreses espanyoles de menys de 50 empleats.
• Si t'interessa el sector públic, l'ENS o el compliment formal, tria l'ajuntament. És el cas on la norma mana sobre el criteri tècnic, i aprendre a treballar així és una competència amb mercat propi.
• Si t'interessen el núvol, el producte digital o la seguretat d'aplicacions, tria Alzabra. És el cas on gairebé tot el risc és d'identitat i de tercers, que és cap on va el sector.

Un avís útil: el cas més petit no és el més fàcil. Alzabra té 8 persones i el pressupost més baix, però resoldre la dependència de set proveïdors amb 6.000 € obliga a decisions més fines que la clínica.

Aquesta és la taula de referència del projecte: què se't demana de cada mòdul, en quin lliurable acaba i quina lliçó resol els dubtes.

Fixa't que cap mòdul no se't demana com a resum. No hi ha un lliurable «explica la criptografia»: hi ha un lliurable on has de dir «les contrasenyes del portal de pacients s'emmagatzemen amb Argon2id amb aquests paràmetres, i les radiografies es xifren en repòs amb la clau gestionada per X perquè el risc R-03 ho exigeix». Aplicació, no repetició.

Igual d'important que l'abast:

Si vols practicar tècnicament —i ho hauries de fer—, fes-ho a part i sobre un laboratori propi: màquines virtuals teves, aplicacions deliberadament vulnerables, plataformes de pràctica legals. 06-06 apartat 2 té el diagrama que decideix si pots tocar alguna cosa o no, i 07-04 tanca amb una llista de llocs on practicar sense creuar cap línia.

El projecte està pensat per a 20-30 hores de feina real, repartides com vulguis. Treballar en l'ordre del curs no és un caprici: cada fase consumeix la sortida de l'anterior, i saltar-se l'inventari per anar directe als controls produeix l'error més comú de tots, que és protegir el que se sap protegir en comptes del que cal protegir.

Tres consells de planificació que estalvien hores. Primer, no persegueixis la perfecció a F2: un inventari del 80 % et deixa avançar, i hi tornaràs quan F3 t'ensenyi que et faltava un actiu. Segon, escriu els identificadors des del principi (A-01, R-01, C-01): si comences sense ells, la matriu de traçabilitat de F7 et costarà el doble. Tercer, F5 és la fase que fa mal —és on el pressupost no arriba— i és també on s'aprèn de debò; si la fas en vint minuts, l'has fet malament.

Si t'emportes una sola frase d'aquesta lliçó, que sigui aquesta:

Aquesta regla resol sola la majoria dels dubtes que et sorgiran. Hi poso un SIEM? Respon a les dues preguntes: quin risc tracta (probablement la ceguesa detectiva) i d'on surten les hores d'operar-lo. Si la resposta a la segona és «d'enlloc», la resposta a la pregunta és «no, i al seu lloc dues alertes concretes que sí que puc atendre». Aquesta decisió, escrita i justificada, val més que un SIEM sobre el paper.

No tornis a llegir el curs sencer. Ves a la lliçó que resol el teu bloqueig concret.

Això és cap a on vas. Quan acabis, la teva carpeta de projecte contindrà una cosa molt semblant a aquest índex —els detalls de cada peça són a 07-02—:

El resum executiu mereix un comentari: s'escriu al final i és l'única pàgina que molts llegiran. Si després de 25 hores de feina no ets capaç de dir en una pàgina quins són els cinc riscos principals, quant costa tractar-los i quines tres decisions has pres, la feina no està acabada.

• Triar el cas per comoditat i no per interès. Passaràs entre 20 i 30 hores amb aquella organització. Tria la que s'assembli a la feina que vols fer, no la que tingui la taula més curta; l'avorriment és el motiu principal d'abandonament d'un projecte final.
• Començar pels controls. És la temptació número u: se sap què és l'MFA i ve de gust escriure-ho. Un catàleg de controls escrit abans del registre de riscos sempre acaba protegint el que el seu autor sap protegir, i cap de les seves línies no és defensable perquè no apunta a res.
• Canviar l'enunciat perquè hi càpiga el que vols fer. Si el pressupost d'Alzabra és de 6.000 €, no el pugis a 20.000 perquè el teu pla no hi cap. La restricció és l'exercici. Un dossier que apuja el pressupost perquè hi càpiguen els seus controls ha eliminat precisament allò que s'avaluava.
• Treballar sobre una organització real sense autorització. No és una formalitat administrativa: és la diferència entre un projecte i un problema legal. Davant del mínim dubte, cas fictici.
• Consell: obre avui la carpeta i crea els vuit fitxers buits. Amb el seu nom i el seu títol. El projecte comença a existir quan existeix la seva estructura, i el cost d'arrencar cau a zero.
• Consell: porta un registre de supòsits. Cada vegada que assumeixis alguna cosa que l'enunciat no diu —«suposo que el NAS no té immutabilitat»— anota-ho a l'annex. És el que fa un consultor real i converteix una invenció en una hipòtesi declarada.
• Consell: no llegeixis 07-04 encara. Ni «només una ullada». Un cop has vist la solució de referència, ja no pots saber què hauries decidit tu, i aquesta informació és el resultat real del projecte.

Els exercicis d'aquest mòdul són passos reals del projecte. Fes-los sobre el cas que hagis triat; les solucions estan desenvolupades sobre la clínica dental perquè vegis el nivell esperat.

Exercici 1 — Triar el cas i declarar l'abast

Tria el teu cas i redacta la declaració d'abast del projecte, amb els cinc elements de context de 04-01 apartat 4: abast (què hi entra i què no), criteris d'impacte, escales, qui decideix i horitzó temporal. Afegeix-hi una línia amb les restriccions de recursos. Màxim una pàgina.

Exercici 2 — Els tres riscos que ja intueixes

Sense fer encara l'inventari, escriu els tres riscos que ja intueixes del teu cas, redactats amb la fórmula de 04-01 («Si [amenaça] explota [vulnerabilitat] sobre [actiu], llavors [impacte tècnic] amb [conseqüència de negoci]»). Guarda'ls. En acabar l'E2, compara'ls amb el teu registre complet: veuràs què intuïes bé i què t'havies perdut.

Exercici 3 — El calendari personal del projecte

Converteix les set fases de l'apartat 11 en un calendari teu, amb dates reals, sessions de durada concreta i el forat setmanal en què treballaràs. Identifica la fase amb més risc que abandonis i escriu què faràs perquè no passi.

Solució 1 — Declaració d'abast de la Clínica Sonrisa Norte

Fixa't en dues coses. El «queda fora» és tan important com el «hi entra»: sense això, d'aquí a tres mesos discutiràs si l'autoclau era part de l'abast. I el pes reforçat de la dimensió de dades personals no és decoratiu: és el que farà que, quan arribi la matriu 5×5, un risc sobre la història clínica puntuï per sobre d'un d'econòmic d'import similar. Aquest biaix declarat a priori és el que converteix una puntuació en una decisió defensable.

Solució 2 — Tres riscos intuïts de la clínica

Els tres compleixen la fórmula, els tres acaben en conseqüència de negoci —no en «es xifren les dades»— i els tres ja anomenen, implícitament, el control que falta: identitat individual i accés sota demanda per al proveïdor, un canal alternatiu per a les fotos de pacients, i una capacitat d'operació degradada a les seus remotes. Un risc ben escrit gairebé proposa el seu tractament, com deia 04-01.

Solució 3 — Calendari personal (exemple)

29 hores en 8 setmanes. La fase amb més risc d'abandonament és F5, el catàleg de controls, per dos motius: és la primera vegada que el pressupost no arriba i cal renunciar a coses, i és la que exigeix més anada i tornada amb els lliurables anteriors. La contramesura concreta: partir-la en dues sessions separades —una per llistar candidats amb el seu cost, una altra per decidir què hi entra— i prohibir-se tornar enrere a retocar el registre de riscos durant aquesta fase; si apareix un risc nou, s'anota a l'annex de pendents i s'integra a la revisió final. Una segona contramesura, general: donar-se per satisfet amb la versió 1. Un dossier acabat i millorable sempre guanya a un dossier perfecte sense acabar.

Ja tens l'enunciat complet. Saps què produiràs: el dossier de seguretat d'una organització petita, vuit lliurables que responen a les vuit preguntes que se li fan a qualsevol que s'assegui en un lloc de seguretat —què tenim, què pot passar, quines regles ens donem, què fem, què fem quan passi, com sabem que funciona, què ens obliga la llei i com ho sostenim—. I saps per a què: no per demostrar que has entès el curs, sinó per entrenar les tres competències que es paguen —decidir, prioritzar i justificar— més la que les sosté, que és l'honestedat d'escriure «planificat» on res no s'ha provat.

Has triat cas. O bé la teva organització real, amb autorització escrita i prèvia de qui pot donar-la, amb tot anonimitzat des de la primera línia i sense dades personals dins del dossier; o bé un dels tres casos ficticis: la Clínica Sonrisa Norte, 25 persones, tres seus, història clínica en un servidor heretat, un proveïdor que exigeix compte compartit i 9.000 € l'any; l'Ajuntament de Valdellano, 62 empleats, ENS obligatori, un proveïdor únic amo de la seu electrònica i la contractació pública com a restricció de seguretat; o Alzabra Outdoor, vuit persones en remot, set dels seus vuit actius crítics en mans de tercers, 6.000 € i una finestra de campanya en què no es pot tocar res. Tres organitzacions diferents de Nimbus en sector, mida i model, i per això mateix útils: allò que vas aprendre amb Nimbus no es copia, es trasllada.

Coneixes l'abast mòdul a mòdul —M1 inventari i modelatge, M2 amenaces i mesures, M3 decisions criptogràfiques, M4 riscos, polítiques, controls, tercers, resposta i recuperació, M5 verificació tècnica, M6 normativa, evidències i persones— i saps que cap mòdul no es demana com a resum: es demana aplicat a un cas concret. I coneixes el que no es demana: res d'implantar en producció, res d'escanejar ni provar sistemes reals, cap cos documental complet i cap presentació davant de ningú, perquè aquí no hi ha tutor. Si vols practicar tècnicament, laboratori propi i les regles de 06-06.

T'emportes una planificació de set fases i 20-30 hores en l'ordre del curs, amb l'avís que F5 —quadrar els controls amb el pressupost— és la fase que fa mal i la que més ensenya. I t'emportes sobretot la regla d'or: tota decisió ha de poder rastrejar-se cap amunt, fins a un risc o una obligació legal, i cap avall, fins a un euro i una hora que existeixin. Un control que no respon a la primera és un caprici tècnic; un que no respon a la segona és una llista de desitjos; i un dossier ple de tots dos és paper.

A 07-02 tens els vuit lliurables esmicolats: propòsit, requisits mínims i de qualitat, extensió orientativa, la plantilla completa a punt per omplir de cadascun i un fragment d'exemple ja emplenat perquè vegis el nivell esperat. És la lliçó amb què treballaràs oberta en una pestanya durant tot el projecte. Abans de passar-hi, fes l'exercici 1: tria el teu cas i escriu la declaració d'abast. Amb aquella pàgina escrita, el projecte ja ha començat.