# Caso práctico · Una arquitectura de seguridad con presupuesto limitado

Ruta: Arquitecto de CiberSeguridad. Empresa (ficticia): Clínica Marealta Ejemplo, S. L. P.

## Antes de empezar

- Todo es ficticio: clínica, personas (solo por su puesto), proveedores, dominios (.example) y direcciones (192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24).
- El presupuesto se expresa en coste relativo (bajo, medio, alto), sin importes.
- Lo que el encargo no dice son supuestos tuyos: escríbelos con dueño y fecha.
- Es una autoevaluación: no hay corrección ni certificado asociado, y este caso no tiene solución publicada.

## Encargo

Clínica Marealta Ejemplo, S. L. P. (ficticia) tiene 38 personas: 14 profesionales sanitarios, 8 de administración, 2 de dirección y 14 de apoyo asistencial y servicios. Una sede principal y un consultorio satélite a 30 km. Usa la historia clínica en un servicio SaaS, un servidor local con las imágenes de un equipo de rayos, una web propia de citas en un hosting, telemedicina por videollamada con un tercero, Wi-Fi para pacientes, copias en un NAS, una persona de TI a media jornada y un proveedor externo con acceso remoto. No hay equipo de seguridad y el presupuesto es limitado.

La dirección te pide una propuesta de arquitectura de seguridad con dos opciones de presupuesto (coste relativo bajo, medio o alto, sin importes) y una hoja de ruta por fases. El encargo no dice qué normas aplican ni qué hacer con el consultorio satélite o con el proveedor: son supuestos que debes resolver y escribir.

Entregas un dossier defendible: requisitos, diagramas con fronteras de confianza, tres decisiones documentadas, un registro de riesgos, la trazabilidad de riesgo a control a evidencia y una página para la dirección con respuestas a cinco preguntas de defensa.

## Qué hay que entregar

1. **Alcance, requisitos y supuestos.** Máximo dos páginas: al menos ocho requisitos con su origen y cómo se comprueban, y los supuestos con dueño y fecha. (Máx. 2 páginas)
2. **Diagramas de contexto, contenedores y despliegue.** Contexto y contenedores (modelo C4) con fronteras de confianza y flujos etiquetados con el tipo de dato y el cifrado; diagrama de despliegue con zonas. (Imágenes o diagramas como texto (Mermaid, PlantUML, draw.io))
3. **Tres decisiones documentadas (ADR).** Acceso remoto del proveedor y del consultorio, identidad y acceso a la historia clínica, y recuperación ante ransomware. Cada una con al menos dos alternativas. (Tres fichas (plantilla-adr.md))
4. **Registro de 8 riesgos.** Con la escala escrita, respuesta, propietario, exposición inicial y residual. (Tabla)
5. **Matriz riesgo, decisión, control y evidencia.** Sin riesgos sin control ni controles huérfanos, y cada control situado en un contenedor o zona del diagrama. (Tabla)
6. **Una página para la dirección y cinco respuestas de defensa.** Situación, tres riesgos principales, decisiones que se piden, dos opciones con coste relativo, hoja de ruta por fases con dependencias y qué se recorta si baja el presupuesto. Más respuestas escritas a las cinco preguntas de encargo.md. (Una página + respuestas)

Usa `plantilla-entrega.md` como punto de partida.

## Ficheros de este paquete

| Fichero | Qué es |
|---|---|
| `LEEME.md` | Encargo, reglas del caso y lista de ficheros. |
| `plantilla-entrega.md` | Plantilla vacía con la estructura de los seis entregables. |
| `encargo.md` | Texto completo del encargo y de las cinco preguntas de defensa. |
| `inventario-activos.csv` | Sistemas, datos que manejan, ubicación y responsable. |
| `flujos-actuales.csv` | Flujos de datos actuales entre personas, sistemas y terceros. |
| `personal-y-accesos.csv` | Quién accede a qué y con qué método. |
| `plantilla-requisitos.csv` | Plantilla vacía de requisitos. |
| `plantilla-adr.md` | Plantilla de registro de decisión (ADR). |
| `plantilla-registro-riesgos.csv` | Plantilla vacía del registro de riesgos. |
| `plantilla-matriz-trazabilidad.csv` | Plantilla vacía de la matriz riesgo, decisión, control y evidencia. |

Tiempo estimado: Entre 4 y 6 horas, repartidas en varias sesiones. Es una estimación nuestra, todavía sin medir con personas.

## Autoevaluación

La rúbrica con niveles de 0 a 3 y la autoevaluación guardada en tu navegador están en la página del caso (/rutas/ruta-arquitecto-ciberseguridad/caso).