Capítulo 12 — Portafolio de práctica y revisión final
Mapa de la lección
Lección 12 publicada. Mapa, ejemplo, EX060.
flowchart TD
N0["Resultados de aprendizaje y conexión"]
N1["12.1 El portafolio"]
N2["12.2 La sesión informativa para el consejo"]
N3["12.3 El plan de 90 días"]
N4["12.5 Revisión final"]
N5["12.6 Actividad práctica"]
N6["Síntesis del capítulo"]
N7["Capítulo 1"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX060"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje y conexión"]
N1["12.1 El portafolio"]
N2["12.2 La sesión informativa para el consejo"]
N3["12.3 El plan de 90 días"]
N4["12.5 Revisión final"]
N5["12.6 Actividad práctica"]
N6["Síntesis del capítulo"]
N7["Capítulo 1"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX060"]
[Resultados de aprendizaje y conexión]
|
v
[12.1 El portafolio]
|
v
[12.2 La sesión informativa para el consejo]
|
v
[12.3 El plan de 90 días]
|
v
[12.5 Revisión final]
|
v
[12.6 Actividad práctica]
|
v
[Síntesis del capítulo]
|
v
[Capítulo 1]
|
v
[Ejemplo resuelto] --> [Ejercicio EX060]
Resultados de aprendizaje y conexión
Al terminar este capítulo debería ser capaz de:
- reunir un portafolio profesional que muestre, con evidencia, lo que sabe hacer como coordinador;
- informar a un consejo sobre la seguridad de las infraestructuras críticas en diez minutos, con decisiones solicitadas;
- redactar un plan realista de 90 días para un nuevo puesto de coordinación;
- evaluar su propio trabajo frente al resultado del curso e identificar lo que aún necesita aprender.
Este capítulo cierra el curso: reúne los productos de los capítulos 1–11 y comprueba si es capaz de operar un flujo de trabajo repetible y comunicar los hallazgos.
12.1 El portafolio
El portafolio de un coordinador no es un certificado; es un conjunto de productos de trabajo que otra persona podría comprobar. Constrúyalo a partir de los ejercicios que completó, depurados y marcados con claridad como trabajo del curso sobre datos sintéticos:
| Producto | Del capítulo | Qué muestra |
|---|---|---|
| Mapa de dependencias y de partes interesadas | 2 | Ve el servicio y a sus personas |
| Autorización y registro de decisión | 3 | Hace que el trabajo y las decisiones rindan cuentas |
| Extracto del registro de riesgos con la regla de clasificación | 4 | Sabe clasificar por consecuencia y mantener la higiene |
| Conjunto de métricas con umbrales | 5 | Mide lo que impulsa las decisiones |
| RACI corregida y tarjeta de escalado | 6 | Hace inequívocas las funciones |
| Fichas de control y plan de verificación | 7 | Conoce la diferencia entre declarado y probado |
| Sesión informativa del caso de acceso de proveedores | 8 | Sabe analizar y presentar un caso con equidad |
| Registro de notificaciones y declaración provisional | 9 | Sabe mirar hacia fuera con honestidad y a tiempo |
| Tabla de diagnóstico y registro de acciones | 10 | Mejora el programa, no solo informa de él |
| Diseño del ejercicio de mesa, AAR y plan de mejora | 11 | Sabe poner a prueba todo el sistema con seguridad |
Añada una reflexión de una página: qué haría de otra manera y un área sobre la que necesita aprender más (por ejemplo, los fundamentos técnicos de la TO del curso técnico, o las obligaciones legales de su jurisdicción).
12.2 La sesión informativa para el consejo
Los consejos de los operadores de servicios esenciales asumen cada vez más una responsabilidad explícita sobre la gestión de los riesgos de ciberseguridad (por ejemplo, los requisitos de la NIS2 sobre los órganos de dirección, Directive (EU) 2022/2555, Article 20). Una sesión informativa de diez minutos tiene cinco partes:
- Contexto: el servicio, la consecuencia que importa y el panorama de amenazas al nivel de los avisos públicos.
- Dónde estamos: los principales riesgos clasificados por consecuencia, con dueños y fechas; los niveles de aseguramiento de los controles clave.
- Qué aprendimos: el último ejercicio o incidente, en dos o tres hallazgos.
- Qué estamos haciendo: el plan, con el avance logrado.
- Qué necesitamos de ustedes: decisiones: aceptaciones de riesgo, presupuesto, declaraciones de apetito, prioridades.
Evite la jerga, las puntuaciones únicas y el miedo. Los consejos actúan a partir de consecuencias claras, planes creíbles y peticiones concretas.
12.3 El plan de 90 días
Los primeros 90 días de un coordinador nuevo, destilados de este libro:
- Días 1–30: escuchar y cartografiar. Reunirse con todas las partes interesadas que «deciden» y que «deben ser informadas»; esbozar el mapa de dependencias; leer el registro de riesgos, el historial de incidentes y la lista de proveedores; registrar lo que se supone.
- Días 31–60: resolver la titularidad. Dueños para todos los riesgos de nivel 5; una RACI de incidentes; una tarjeta de escalado; un registro de notificaciones; una primera revisión del acceso de proveedores.
- Días 61–90: probar e informar. Un primer ejercicio de mesa sobre el escenario de alta consecuencia más probable; un AAR y un plan de mejora; una primera sesión informativa para el consejo con decisiones solicitadas.
Resista la tentación de empezar con un marco nuevo, una herramienta nueva o una política larga. Primero, la titularidad, la información y el ensayo.
12.4 Ejemplo resuelto: la sesión informativa al consejo de octubre (sintético)
La sesión informativa de diez minutos de la coordinadora ante la comisión de auditoría y riesgos de Kestrel Water, presidida por T. Lindqvist, en resumen:
- Contexto. «Nuestro trabajo es el agua segura para 180.000 personas, entre ellas el Kestrel General Hospital. Los avisos públicos describen ataques a controladores de agua expuestos a internet (CISA AA23-335A); lo hemos comprobado y no tenemos ninguno expuesto, confirmado en septiembre».
- Dónde estamos. «Tres riesgos podrían afectar a la salud o al hospital; todos tienen ya dueño. La MFA de proveedores está implantada en cinco de seis proveedores y verificada mediante prueba en dos; la restauración del historiador se probó en agosto en 19 horas, frente a un objetivo de 24 horas».
- Qué aprendimos. «El ejercicio DRY CREEK mostró que no sabíamos quién llama al hospital y que suspender a un proveedor es lento cuando no sabemos quién depende de él. Ambas cosas están corregidas; volveremos a probarlas en enero».
- Qué estamos haciendo. «Cinco de las siete acciones del ejercicio están cerradas y verificadas; dos vencen en noviembre».
- Qué necesitamos. «Primero, aceptar la excepción del controlador de KW-10 hasta marzo, con medidas compensatorias. Segundo, aprobar las cláusulas contractuales de proveedores para todas las renovaciones. Tercero, fijar una declaración de apetito: ningún riesgo de nivel 5 sin un tratamiento financiado durante más de 12 meses».
Cada cifra tiene una fuente en el portafolio. Nada es una puntuación única.
12.5 Revisión final
El resultado del curso le pide operar un flujo de trabajo repetible y comunicar los hallazgos. Compruébese frente al ciclo:
- Enmarcar e identificar: ¿sabe describir un servicio por su consecuencia y encontrar riesgos en la conversación?
- Analizar y decidir: ¿sabe escribir riesgos que alguien pueda asumir, clasificarlos de forma reproducible y registrar decisiones y aceptaciones?
- Organizar: ¿sabe asignar funciones, gobernar los cambios y escalar?
- Verificar: ¿sabe distinguir lo declarado de lo probado y diseñar comprobaciones proporcionadas?
- Comunicar: ¿sabe cumplir los relojes e informar con honestidad a los clientes, al público y al consejo?
- Mejorar: ¿sabe poner a prueba con un ejercicio y cerrar acciones con evidencia?
Cuando la respuesta sea «todavía no», el número de capítulo le indica adónde volver.
12.6 Actividad práctica
Reúna su portafolio a partir de sus respuestas a los ejercicios. Pida a un colega que lo revise frente a la rúbrica final (EX060) y que intente verificar tres afirmaciones solo a partir de su evidencia. Elija afirmaciones que importen, como «MFA de proveedores verificada mediante prueba en dos proveedores» o «historiador restaurado en 19 horas», y compruebe si su colega puede encontrar, solo con el portafolio, el registro, la fecha y el responsable que hay detrás de cada una. Cuando no pueda, corrija la evidencia, no la redacción. Marque cada elemento con claridad como trabajo del curso sobre datos sintéticos y elimine todo lo que pudiera identificar a una organización o a una persona reales antes de compartirlo.
12.7 Errores comunes y límites
- Portafolios de certificados en lugar de productos de trabajo.
- Sesiones informativas para el consejo sin peticiones.
- Planes de 90 días que empiezan por las herramientas.
- Presentar el trabajo sintético del curso como hallazgos reales de una organización.
-
Este curso no le convierte en especialista técnico en TO ni en abogado; sepa cuándo llamar a uno.
-
Comunicar una afirmación al consejo sin una fuente en el portafolio, de modo que nadie pueda comprobarla después.
- Pedir una decisión al consejo sin decir qué ocurre si la rechaza, como cuánto tiempo seguiría vigente, en caso contrario, la excepción de KW-10.
- Actualizar el portafolio una vez y dejar que se quede obsoleto cuando termina el curso.
Ejercicios — capítulo 12
EX056 — Índice del portafolio. Objetivo: reunir la evidencia. Insumos: sus respuestas a los ejercicios. Pasos: elaborar el índice del portafolio con el producto, el capítulo y la afirmación que respalda cada uno. Evidencia esperada: índice de al menos ocho productos. Rúbrica: 3 = cada producto vinculado a una afirmación y a un ejercicio concretos, depurado y etiquetado como sintético; 2 = índice sin afirmaciones; 1 = lista de capítulos; 0 = nada.
EX057 — Sesión informativa para el consejo. Objetivo: comunicar a los órganos de gobierno. Insumos: 12.2 y su portafolio. Pasos: redactar el guion de la sesión informativa (máximo 600 palabras). Evidencia esperada: el guion. Rúbrica: 3 = cinco partes, consecuencias en lenguaje llano, cifras con fuente, niveles de aseguramiento indicados, tres peticiones concretas; ninguna puntuación única; 2 = sin peticiones; 1 = informe técnico; 0 = nada.
EX058 — Plan de 90 días. Objetivo: planificar un puesto. Insumos: un nuevo puesto de coordinador en una red hospitalaria regional. Pasos: redactar el plan de 90 días con tres fases y entregables. Evidencia esperada: el plan. Rúbrica: 3 = se adapta a la sanidad (la dirección clínica como responsable de las decisiones, los dispositivos médicos, la seguridad del paciente, las dependencias internas críticas), la titularidad antes que las herramientas, ejercicio e informe al consejo antes del día 90; 2 = genérico; 1 = empieza por las herramientas; 0 = nada.
EX059 — Verifique una afirmación. Objetivo: poner a prueba la evidencia. Insumos: la afirmación «la restauración del historiador se probó en agosto en 19 horas». Pasos: enumerar la evidencia que esperaría encontrar en el portafolio para respaldarla y dos preguntas que haría un auditor escéptico. Evidencia esperada: lista y preguntas. Rúbrica: 3 = plan de prueba, autorización, registro cronometrado, registro del resultado, comprobación de la integridad de los datos; preguntas sobre el alcance (restauración completa o parcial) y el entorno (aislado o similar a producción); 2 = solo la evidencia; 1 = «confiar en el ingeniero»; 0 = nada.
EX060 — Autoevaluación. Objetivo: reflexionar frente al resultado del curso. Insumos: 12.5. Pasos: puntuarse de 0 a 3 en las seis áreas del ciclo, con evidencia para cada una, y un plan de aprendizaje para las dos más bajas. Evidencia esperada: seis puntuaciones y un plan. Rúbrica: 3 = puntuaciones honestas, cada una respaldada por un producto del portafolio, plan de aprendizaje concreto con recursos y fechas; 2 = puntuaciones sin evidencia; 1 = todo 3; 0 = nada.
Síntesis del capítulo
Un coordinador profesional demuestra su competencia mediante productos de trabajo comprobables: mapas, registros, RACI, fichas de control, sesiones informativas de casos, registros de notificaciones, informes de ejercicios y planes de mejora. Informe a los consejos con consecuencias, evidencia y peticiones concretas; empiece un puesto nuevo con titularidad, información y ensayo; y evalúese con honestidad frente al ciclo completo: enmarcar, decidir, organizar, verificar, comunicar, mejorar.
Siga estudiando — capítulo 12 de 12
← Capítulo 11 · Índice de capítulos del curso · Siguiente curso desde el índice de capítulos →
Este es el último capítulo de este curso; el índice enlaza con el siguiente curso del itinerario completo de estudio.