Has fet el projecte i t'has autoavaluat. Ara toca la comparació. Aquesta lliçó desenvolupa una solució de referència —sobre la Clínica Dental Sonrisa Norte, el cas més ric per les seves dades de salut i el més allunyat de Nimbus— amb extractes suficients dels vuit lliurables i, sobretot, amb el raonament explícit de cada decisió: per què aquest risc va primer, per què aquest control i no el car, què es deixa fora i amb quin argument. No és el dossier sencer: és la part que fixa l'estàndard.

Després vénen les decisions difícils comentades, que és on de debò es veu el criteri professional; els errors típics que es repeteixen als dossiers de qui comença; i la comparació honesta amb tu. I després, el tancament: per on continuar. El mapa d'especialitats de la professió, les certificacions comentades sense adorns, com seguir aprenent a la pràctica, els hàbits dels primers mesos, una última mirada a Nimbus i el final del curs.

1. Com llegir aquesta solució
2. E1 — Context, inventari, DFD i STRIDE
3. E2 — Els riscos principals, amb ALE i ROSI
4. E3 i E4 — Polítiques i el catàleg que cap en 9.000 €
5. E5 — Runbook de l'escenari més probable, RTO i RPO
6. E6 — Les deteccions mínimes
7. E7 — RGPD amb dades de salut, EIPD i la qüestió de l'ENS
8. E8 — Traçabilitat i full de ruta trimestral
9. Les decisions difícils, comentades
10. Errors típics i com es corregeixen
11. La comparació honesta amb el teu dossier
12. Mapa d'especialització de la professió
13. Certificacions, comentades amb honestedat
14. Com seguir aprenent a la pràctica
15. Nimbus: abans i després

Tres advertiments abans de començar, perquè d'ells depèn que aquesta lliçó et serveixi.

No és la resposta correcta, és una resposta defensable. Un altre professional amb les mateixes dades podria arribar a un ordre de riscos diferent i a un catàleg diferent, i tots dos serien vàlids si estan justificats. El que no admet variació és el mètode: que cada control apunti a un risc, que cada risc tingui propietari, que les sumes quadrin i que cada decisió tingui el seu perquè escrit.

No la copiïs a sobre de la teva feina. Si la teva solució difereix, la teva feina és entendre per què difereix i decidir quin argument és millor: aquell exercici de comparació val més que el dossier mateix. I tingues en compte que està deliberadament incompleta —veuràs 5 riscos d'11, 7 controls de 16 i una part de la matriu—: el que es mostra és el que fixa el nivell, i la resta és més del mateix amb menys densitat de decisió.

L'abast ja el vas veure a 07-01: els sistemes d'informació clínica i administrativa de les tres seus, la connectivitat, el correu, la web, els canals amb pacients i els tercers amb accés; fora, la seguretat física més enllà de la sala tècnica i l'equipament que no tracta dades. Restriccions: 9.000 €/any, 180 h de la Nuria, 120 h contractades a Datacer Norte i cap persona tècnica interna.

Inventari (extracte de 22 actius). La classificació fa servir quatre nivells i la criticitat es justifica per impacte assistencial, no per cost de l'equip.

Per què A-11 i A-18 són a l'inventari. Perquè l'exercici d'inventariar no consisteix a llistar andròmines. A-11, el compte compartit del fabricant, és l'actiu del qual penja el risc número u; si no està inventariat, ningú no n'és propietari i ningú no hi decideix. A-18, la reputació, és l'actiu del qual depèn la facturació en un negoci local de recomanació, i sense ell cap impacte reputacional no es pot puntuar. I A-21, els contractes d'encarregat, és un actiu intangible l'absència del qual és directament una infracció de l'article 28.

El DFD i les fronteres de confiança. El flux modelat és la consulta d'una història clínica des d'un gabinet de la seu d'Oviedo.

Les tres fronteres i el que signifiquen. FC-1 separa una seu d'una altra a través d'una VPN sobre equips domèstics: el trànsit clínic creua una frontera que ningú no audita. FC-2 és la pitjor de les tres: un tercer hi entra amb una identitat que no és de ningú. FC-3 és un accés permanent que no requereix justificació. Fixa-t'hi en el que no és una frontera: la còpia al NAS passa dins de la mateixa zona, i aquest és exactament el problema —no hi ha cap frontera entre allò que es xifra i el seu respatller—.

STRIDE del flux (extracte).

Fixa't que la R (repudi) és la que més fa mal aquí i és la que gairebé tothom despatxa. En un entorn sanitari, la traçabilitat de l'accés a la història clínica no és una bona pràctica: és un requisit de la Llei 41/2002. La sessió compartida converteix un requisit legal en impossible per disseny.

Onze riscos al registre. Aquests són els cinc primers, en l'ordre decidit.

Per què R-01 va el primer, i no R-02 que té més probabilitat. Perquè és l'únic risc del registre el pitjor escenari del qual és irreversible. R-02 passa cada dia i el seu impacte és sancionador i reputacional: greu, car i reparable. R-01 passa amb menys freqüència, però el seu pitjor escenari —xifratge del servidor i del NAS, sense còpia externa— és la desaparició de la història clínica de 4.800 pacients i el tancament de la clínica. Quan un risc és irreversible, la irreversibilitat pesa més que la freqüència. Aquest principi, escrit al dossier, és el que fa defensable l'ordre.

Quantificació de R-01.

El que aquest càlcul fa a la pràctica. No serveix per saber quant es perdrà: serveix per posar a la mateixa frase «19.080 € l'any de risc esperat» i «780 € de còpia externa», i aquesta frase és la que aconsegueix que l'Elena signi en trenta segons. L'ALE no és una predicció, és un argument. I per això porta els seus supòsits escrits: tan bon punt algú discuteix l'ARO, la conversa ja és la correcta.

El risc acceptat. R-10 (falta de contractes d'encarregat amb dos tercers menors: l'empresa de destrucció documental i el laboratori protètic) s'accepta formalment fins al quart trimestre, amb aprovació de l'Elena Vázquez datada, perquè C-07 està planificat per al T3 i regularitzar-los abans exigeix assessoria jurídica que no està contractada. Acceptar amb data, aprovador i pla és una decisió; no esmentar-ho és un oblit.

Les dues polítiques redactades senceres són POL-02 (Control d'Accessos i Identitat Clínica) i POL-03 (Comunicació amb Pacients i Canals), i l'elecció es justifica en una línia: POL-02 ataca R-01 i R-04 —els dos problemes d'identitat— i és condició prèvia de la traçabilitat que exigeix la Llei 41/2002; POL-03 és l'única via realista per a R-02, perquè cap mesura tècnica no resol sola un hàbit. Les altres sis polítiques queden mapades amb propietari i prioritat, per publicar-se en els dotze mesos següents.

El catàleg complet: 16 controls, 7.190 € i 168 h de la Nuria.

Tres lectures del catàleg, que valen més que la taula. Primera: set dels setze controls costen zero euros i són els que ataquen el risc número u. En aquesta clínica, com a Nimbus, el problema no era el pressupost: era que ningú no tenia assignades les hores. Segona: hi ha quatre controls detectius i tres de recuperatius, no només preventius, perquè la ceguesa detectiva és el que converteix un incident en una catàstrofe. Tercera: el marge d'hores de la Nuria és zero, i això es declara explícitament al dossier juntament amb la decisió de què cau primer si apareix un imprevist —C-08 es posposa un trimestre, perquè R-02 té mitigació administrativa provisional mentrestant i cap altre control no la té—.

El que es deixa fora.

RB-01 — Xifratge de fitxers al servidor de Gijón (extracte de les fases 0 a 2, que són les que s'executen amb pressa i per això les que cal escriure millor):

El que fa bo aquest runbook: diu quina boca del rack, dona un telèfon, ordena desconnectar el NAS abans que cap altra cosa —el pas que decideix si l'incident és recuperable— i situa l'arrencada del rellotge de 72 h en una decisió concreta amb criteri, no en una intuïció.

BIA i estratègia de còpies.

«Última restauració amb èxit: MAI» va al resum executiu, literal. És una sola línia i és la que aprova els 780 €.

Vuit deteccions, totes operables amb les hores disponibles i totes amb la seva prova.

La detecció més rendible del catàleg és D-03, i no vigila cap atacant: vigila que la còpia s'ha fet. Costa zero euros, i és el que impedeix que el dia de l'incident es descobreixi que la còpia fa cinc setmanes que falla. La segona és D-01, que cobreix el vector de R-01 i que a més prova el compliment de C-01: la mateixa alerta serveix de control detectiu i d'evidència d'auditoria.

Pla de verificació. Escaneig extern de la superfície exposada i revisió de configuració amb Datacer, semestral, 8 h/any. Pentest: no aquest any (descart argumentat). I cada detecció es prova en implantar-la i un cop l'any, amb la prova escrita a la mateixa fitxa: és el que evita la troballa clàssica que l'alerta existia i no disparava.

Rols. La clínica és responsable del tractament de les dades dels seus pacients i dels seus empleats. És alhora qui contracta encarregats: Datacer Norte, el fabricant de DentaGest, el laboratori protètic, la gestoria, l'agència de màrqueting i l'empresa de destrucció documental. Tots sis necessiten contracte de l'article 28 (C-07), i dos no en tenen (R-10, acceptat amb data).

RAT: quatre tractaments. T-01 història clínica; T-02 gestió de personal; T-03 imatges radiològiques; T-04 captació i màrqueting. El que importa:

Dos detalls que s'escapen sempre. El primer: la base jurídica de la història clínica no és el consentiment. Demanar consentiment per tractar la història seria fins i tot incorrecte, perquè no es pot retirar sense deixar la clínica en incompliment de la Llei 41/2002. El segon: l'article 9.2.h exigeix a més el deure de secret del 9.3, que és el que converteix la traçabilitat d'accés —i per tant C-05— en una obligació i no en una millora.

EIPD: sí, per a T-01 i T-03. Hi concorren dos criteris: tractament a gran escala de dades de l'article 9 (4.800 pacients actius, tres seus, activitat continuada) i dades de persones vulnerables (menors). Un de sol ja la recomana; dos la fan exigible a la pràctica. Per a T-04, màrqueting, la decisió és NO, i se'n documenta el perquè: sense dades de l'article 9, sense elaboració de perfils i sense decisions automatitzades. Documentar la negativa és tan important com l'afirmativa.

I l'ENS. Avui no s'aplica: la clínica és privada i no presta serveis a l'Administració. S'aplicaria per via contractual si concertés amb una mútua col·laboradora de la Seguretat Social o amb el servei públic de salut, perquè el plec traslladaria els requisits del Reial decret 311/2022 —previsiblement categoria bàsica— juntament amb l'obligació de declarar conformitat. Està anotat al dossier com a risc de negoci amb termini: si l'Elena signa un concert, hi ha entre sis i dotze mesos de feina per endavant i cal negociar-ho al contracte, no descobrir-ho després.

Nota de validació professional. La qualificació de «gran escala», l'exigibilitat concreta de l'EIPD, els terminis de conservació de la història clínica —que tenen desplegament autonòmic— i l'abast real de l'ENS en un concert depenen de normativa vigent i del criteri de l'autoritat de control. Verifica el BOE, les llistes publicades per l'AEPD i la normativa sanitària de la teva comunitat, i consulta amb un delegat de protecció de dades o un assessor jurídic abans de tancar aquestes decisions en una organització real.

Matriu de traçabilitat (extracte de 14 files).

Full de ruta de 12 mesos. Ordre per risc, no per facilitat, i amb el trimestre 1 sencer a cost zero perquè el pla arrenqui sense esperar que s'aprovi una factura.

Com es defensa davant de l'Elena. No com a setze tasques tècniques, sinó així: «el risc pitjor puntuat té un cost esperat de 19.000 € l'any i el deixem en un residual manejable amb 1.170 € al segon trimestre; el primer trimestre no costa res; i el més car —la identitat al gabinet— va al final perquè és el que més molesta els odontòlegs i necessito els tres trimestres anteriors de credibilitat per demanar-ho». Aquella última frase no és tècnica i és la més important del pla.

Aquí hi ha el criteri professional. Cinc disjuntives reals, amb el que es va triar, per què, i què hauria canviat la resposta.

1. WhatsApp: prohibir o substituir? Opcions: prohibir-lo a POL-03 amb efecte immediat, o substituir-lo per un canal integrat i retirar-lo en nou mesos. Triat: substituir. Prohibir el dia u és gratis, és correcte sobre el paper i no es complirà: recepció continuaria fent-lo servir des dels seus mòbils personals, amb la qual cosa la dada sortiria igual i a més deixaria de veure's. L'indicador 6 mesura una corba de 120 fotos al mes a zero, no un interruptor. Què hauria canviat la resposta: si ja existís una inspecció oberta o una reclamació d'un pacient, la prohibició immediata seria obligatòria malgrat l'incompliment previsible, perquè llavors el risc legal domina l'operatiu.

2. Identitat al gabinet: targetes de 1.450 € o usuari i contrasenya gratis? Triat: targetes. L'opció gratuïta és tècnicament equivalent i pràcticament inútil: els odontòlegs no teclejaran una contrasenya entre pacient i pacient, i el que passaria és que apuntarien la contrasenya al monitor —tornant al punt de partida amb una capa de documentació falsa a sobre—. La targeta fa que el camí correcte sigui el camí fàcil, que és el principi de disseny segur que 01-03 anomenava «psicològicament acceptable». Què ho hauria canviat: si els gabinets tinguessin un professional fix cadascun i no rotació, l'usuari i contrasenya n'hi hauria prou.

3. Descentralitzar les dades o mantenir-les a Gijón? Triat: mantenir centralitzat i afegir mode degradat (C-15). Un servidor per seu resoldria R-09 però triplicaria la superfície d'atac, el nombre de còpies per protegir i les hores de manteniment, que és el recurs escàs. C-15 —exportar cada tarda l'agenda i les fitxes de l'endemà a un fitxer local xifrat— costa zero euros i quatre hores i converteix una caiguda de línia en una molèstia. Què ho hauria canviat: si les seus fossin cinc en comptes de tres, o si l'enllaç caigués setmanalment, l'aritmètica s'invertiria.

4. EDR gestionat o identitat més còpies? Triat: identitat més còpies. És la decisió que més costa defensar perquè l'EDR «sona a seguretat de veritat». Però el vector de R-01 és una credencial legítima feta servir per un tercer compromès, i un EDR veu processos anòmals, no una sessió administrativa autoritzada. Amb 3.600 € es compra visibilitat sobre un escenari que no és el principal; amb 780 € i dotze hores s'elimina la condició que el fa possible. Què ho hauria canviat: si els 25 llocs naveguessin lliurement per internet i descarreguessin adjunts —un perfil de risc de lloc de treball molt més alt—, l'EDR pujaria uns quants llocs.

5. I si el fabricant es nega als comptes nominatius? És la decisió que gairebé cap dossier d'alumne no contempla, i és la que pot tombar el pla sencer, perquè C-01 és la peça central de R-01 i depèn d'un tercer. Pla B documentat: mantenir el compte compartit però deshabilitat per omissió, activat per la Nuria només durant la incidència, amb enregistrament de sessió i amb l'alerta C-11 sobre qualsevol ús fora de finestra. És un control compensatori, és pitjor, i es documenta com a tal amb una excepció EXC-2027-002 caducada a sis mesos i amb la instrucció explícita que la capacitat del fabricant de suportar comptes nominatius s'inclogui com a requisit en la propera renovació del contracte. Convertir un problema tècnic irresoluble en una clàusula de la propera renovació és, moltes vegades, l'única jugada disponible —i és una jugada.

El més greu, i no és a la taula perquè mereix la seva pròpia frase: copiar el registre de riscos de Nimbus. Un dossier que trasllada els seus riscos a una clínica dental produeix frases com «risc d'exposició de l'API multi-tenant» en una organització que no té API. Es detecta a la primera lectura i anul·la la credibilitat de la resta. L'antídot és començar pel DFD del cas propi: les amenaces surten del flux, no de la memòria.

Agafa el teu dossier i compara. Hi trobaràs tres tipus de diferència, i només una importa.

Diferències de forma —les teves taules tenen altres columnes, els teus identificadors un altre prefix, el teu inventari 18 actius en comptes de 22—: irrellevants. Cap no afecta la qualitat de la feina.

Diferències de criteri —tu vas posar el risc de phishing el primer, o vas triar l'EDR, o vas descentralitzar les dades—: aquestes són les valuoses. Cap no és incorrecta per si mateixa. La pregunta no és «coincideix amb la solució?», sinó «està la meva decisió igual d'argumentada?». Si la teva raó per posar el phishing el primer és «perquè és el més freqüent», tens mitja resposta; si és «perquè en aquesta organització el 80 % de la superfície és humana i la irreversibilitat de R-01 ja està mitigada per una còpia externa que aquí sí que existia», tens una resposta millor que la meva per al teu cas. I diferències de mètode —el teu catàleg no suma, els teus riscos no tenen propietari, la teva matriu cita controls que no existeixen—: aquestes sí que són errors, i la solució de referència serveix exactament per detectar-les.

Perquè aquesta és la tesi de tot el projecte: no hi ha una única resposta correcta, però sí que hi ha respostes indefensables. És indefensable un pla que no cap al pressupost. És indefensable un risc sense amo. És indefensable declarar recuperació amb una còpia mai restaurada. És indefensable un control que no es pot demostrar. Tota la resta és criteri, i el criteri es discuteix, s'argumenta i es revisa —que és justament el que fa un professional en una reunió de direcció—.

Aquest curs t'ha donat la base transversal. La professió es ramifica, i convé saber en què.

Dos avisos sobre aquest mapa. Primer: aquest projecte és, literalment, la feina d'un perfil GRC, així que si t'ha agradat fer-lo, ja saps una cosa important sobre tu. I si l'has patit però vas gaudir amb el mòdul 5, el teu camí probablement sigui tècnic. Segon: en una pime no tries. En una empresa de 40 persones seràs les vuit coses alhora, i això —lluny de ser un defecte— és la millor escola que existeix per descobrir quina t'agrada.

Comencem per la part incòmoda: una certificació no substitueix l'experiència, l'acompanya. Serveix per a tres coses concretes —passar filtres automàtics de currículum, ordenar l'estudi i complir requisits de plecs o de clients— i per a cap més. Ningú amb criteri no contracta algú per un acrònim, però molts filtres descarten qui no en té.

Com triar, en una frase: la certificació correcta és la que acredita el que ja estàs fent o el que faràs el mes que ve, no la que sona millor. I un consell amb valor pràctic: abans de pagar-ne cap, acaba i publica el projecte d'aquest curs. Un dossier complet, raonat i disponible demostra més criteri que la majoria dels acrònims, i costa zero euros.

I la regla que ordena tot això: tria poc i sosté-ho. Mitja hora tres vegades per setmana durant un any ensenya més que un mes de dotze hores diàries seguit de sis mesos de res. És la mateixa tesi de 06-01 aplicada a tu: la seguretat —i la formació— no s'aconsegueixen, se sostenen.

Abans de tancar, mira el que ha canviat a l'empresa que t'ha acompanyat 36 lliçons. Aquesta taula és el viatge complet del curs.

Nimbus no és avui una empresa segura. És una empresa que sap el que té, el que li pot passar, què està fent al respecte, què ha decidit no fer i com s'assabentarà que alguna cosa va malament. Aquesta diferència —no l'absència de risc, sinó la presència de mètode— és tot el que aquest curs ha intentat transmetre't.

• Llegir aquesta solució abans d'haver fet el projecte. Si has arribat aquí sense dossier propi, atura't i torna a 07-01. Un cop has vist una resposta, ja no pots saber quina hauries donat, i aquella informació era el resultat real de l'exercici.
• Reescriure el teu dossier perquè s'assembli a aquest. Si les teves decisions difereixen i estan argumentades, defensa-les. Canviar d'opinió perquè el material del curs diu una altra cosa —sense un argument millor— és exactament l'hàbit contrari al que el projecte entrena.
• Quedar-se només amb la taula i saltar-se els perquès. Les taules són la part fàcil de copiar i la part inútil de copiar: el que s'aprèn és als paràgrafs que expliquen per què el pentest es descarta per prematur, per què les targetes de proximitat guanyen a la contrasenya gratuïta i per què cal un pla B per a C-01.
• Col·leccionar certificacions per tapar la falta d'experiència. Es nota sempre, i a la primera pregunta pràctica. Una certificació acompanya el que saps fer; sola, és un acrònim.
• Consell: publica el projecte, anonimitzat o sobre el cas fictici, en un repositori amb el seu historial. És la peça de porfoli més difícil d'improvisar i la que millor demostra criteri.
• Consell: posa data a la propera revisió. Del dossier i del teu propi pla d'aprenentatge. El que no té data no torna a passar.

Exercici 1 — La comparació estructurada

Compara el teu dossier amb aquesta solució en tres dimensions concretes: l'ordre dels tres primers riscos, el control més car que hi has inclòs i el que has deixat fora. Per a cadascuna, escriu si és una diferència de forma, de criteri o de mètode, i en les de criteri decideix amb un argument quina de les dues posicions és millor per al teu cas.

Exercici 2 — La teva pròpia decisió difícil

Tria una disjuntiva real del teu projecte que no aparegui a l'apartat 9 i redacta-la amb la mateixa estructura: opcions, el que s'ha triat, per què, i què hauria canviat la resposta. Aquest últim apartat és el que demostra que has entès el criteri i no només la conclusió.

Exercici 3 — El teu pla de 90 dies

Dissenya el teu pla d'aprenentatge dels propers tres mesos: perfil cap al qual t'orientes, dues vies de pràctica de l'apartat 14 amb el seu forat setmanal concret, una lectura recurrent i una cosa que produiràs i publicaràs. Posa-hi data de revisió.

Solució 1 — Comparació estructurada (exemple real d'un alumne)

El que és instructiu és el repartiment: dues diferències de criteri, que es discuteixen amb arguments i de les quals s'aprèn, i una de mètode, que simplement es corregeix. I fixa't que una de les de criteri es resol a favor de l'alumne parcialment: l'EDR no era una mala idea, era una idea per a un risc que estava al vuitè lloc. Aquesta precisió —«no és incorrecte, és prematur»— és el mateix raonament del descart del pentest.

Solució 2 — Una decisió difícil pròpia (exemple)

Solució 3 — Pla de 90 dies (exemple)

Tres detalls que en fan un pla i no una llista de desitjos: té forats concrets al calendari, produeix una cosa publicable en lloc de només consumir contingut, i té data de revisió amb un criteri d'èxit observable. És, en petit, exactament l'estructura del full de ruta de l'E8: amo, termini i resultat mesurable. El mètode que has après per a una organització funciona igual per a una carrera.

Has arribat al final. Vas començar amb la tríada CIA i el vocabulari del risc, vas entendre el panorama d'amenaces i com es defensa una organització, vas aprendre a protegir la informació amb criptografia que es fa servir de debò, a decidir amb un registre de riscos, polítiques, controls i un pla de resposta, a executar amb eines, detecció, pentest, xarxes, aplicacions, endpoint i núvol, i a sostenir i demostrar el que s'ha fet amb hàbits, normatives, RGPD, evidències, persones i ètica. I després vas deixar de llegir sobre Nimbus i ho vas fer tu: vas triar una organització, la vas inventariar, en vas identificar i prioritzar els riscos, vas redactar-ne les polítiques, vas ajustar un catàleg de controls a un pressupost que no donava per a tot, vas preparar-ne la resposta i la recuperació, vas planificar-ne la verificació, vas encaixar-ne el marc normatiu, vas muntar-ne la traçabilitat i el full de ruta, i et vas avaluar amb honestedat.

En aquesta última lliçó has vist una solució de referència completa sobre la clínica dental —amb l'inventari on un compte compartit i la reputació són actius, el DFD les fronteres del qual expliquen on és el perill, el risc número u justificat per irreversible i no per freqüent, l'ALE que no prediu res però convenç, el catàleg de setze controls on set costen zero euros, el runbook que diu quina boca del rack, l'EIPD que motiva també la seva negativa, l'ENS que avui no s'aplica però pot aplicar-se demà, i el full de ruta que deixa el més molest per al trimestre en què ja hi ha credibilitat—. Has vist les decisions difícils: substituir en comptes de prohibir, pagar perquè el camí correcte sigui el fàcil, no descentralitzar, triar identitat abans que EDR, i tenir pla B quan el control depèn que un tercer digui que sí. I has vist la línia que separa l'opinable de l'inacceptable: no hi ha una única resposta correcta, però sí que hi ha respostes indefensables —un pla que no hi cap, un risc sense amo, una recuperació mai provada, un control que no es pot demostrar—.

T'emportes també el mapa del que ve: vuit especialitats amb el que fa cadascuna i a qui encaixa; certificacions situades al seu moment i amb el seu límit, perquè acompanyen l'experiència i no la substitueixen; vies de pràctica legals —laboratori propi, plataformes guiades, CTF, contribuir, llegir avisos d'INCIBE-CERT i del CCN-CERT i el catàleg KEV, i post mortems aliens—; i una regla que val més que qualsevol llista: tria poc i sosté-ho. Perquè aquesta és, al final, l'única conclusió d'aquest curs. La seguretat no és un estat que s'assoleix: no existeix el dia en què una organització està segura i pot deixar de mirar. És una pràctica que se sosté, amb inventaris que s'actualitzen, riscos que es reavaluen, còpies que es restauren per comprovar que funcionen, alertes que es proven, persones que es formen i decisions que es revisen quan canvia allò que les justificava. Nimbus no va acabar el curs sent una empresa segura; va acabar sent una empresa que sap el que té, el que li pot passar, què fa al respecte, què ha decidit no fer i com s'assabentarà que alguna cosa va malament.

Tu ja tens aquest mètode. Saps inventariar, modelar amenaces, redactar i puntuar un risc, escriure una política que es pugui complir, triar controls que càpiguen en els diners i en les hores, preparar una resposta que un altre pugui executar, verificar que el que s'ha implantat funciona, complir el que obliga la llei i demostrar-ho amb evidències, formar la gent i defensar cada decisió davant de qui l'hagi d'aprovar. No saps tot el que cal saber —ningú no ho sap, i qui et digui el contrari t'està venent alguna cosa—, però saps com es decideix amb informació incompleta i recursos insuficients, que és exactament la feina.

Ara obre el teu dossier, posa-li data a la propera revisió i comença.