Saltar al contenido

Caso práctico independiente · Consultor GRC

Un lunes con un envío equivocado: aplicabilidad, riesgos, continuidad y brecha

Una empresa ficticia de análisis clínicos, un lote de resultados enviado a la clínica equivocada y copias que nunca se han restaurado: cinco entregables de consultoría con una rúbrica observable.

  • Laboratorio Rivalcanto Ejemplo, S. L. (ficticia)
  • 5 entregables
  • 6 criterios, niveles 0 a 3
  • Datos 100 % ficticios

Tiempo estimado. Entre 3 y 4 horas. Es una estimación nuestra, todavía sin medir con personas.

Qué podrás demostrar

  • Justificar la aplicabilidad de normas con criterio (sector, tamaño, datos) y marcar lo que está por confirmar.
  • Construir un registro de riesgos con escala escrita, tratamiento, responsable y plazo.
  • Comprobar que MTPD, RTO y RPO son coherentes entre sí y con las copias reales.
  • Gestionar una brecha: cronología, plazo, decisión de notificar y de comunicar, y documentación.
  • Resumir para la dirección en una página con tres decisiones, responsables y fechas.

El escenario

Te contrata la gerencia de Laboratorio Rivalcanto Ejemplo, S. L., una empresa ficticia con 45 personas en dos sedes que hace análisis clínicos para clínicas privadas. Tiene un portal web donde las clínicas descargan resultados (datos de salud), un sistema de laboratorio (LIMS) alojado por un proveedor, una gestoría externa para las nóminas, copias nocturnas en un NAS de la misma sede, doble factor solo en el correo y un concierto con un hospital público. Algunas personas de laboratorio pegan a veces resultados en un asistente de IA público para resumirlos.

El sábado 3 de octubre de 2026 a las 10:15 un técnico envió por correo un lote de 38 resultados a una clínica que no era la destinataria. Se supo el lunes 5 a las 09:00, cuando la clínica correcta llamó para reclamarlo. Los hechos y las horas están en la cronología; qué hora cuenta como «constancia» es una decisión tuya que debes justificar.

Entrega a la gerencia un paquete de consultoría breve: qué normas le aplican (y cuáles no sabes todavía), qué riesgos son los importantes, si sus tiempos de recuperación son coherentes con sus copias, cómo gestionar la brecha y qué tres decisiones tiene que tomar. No es asesoramiento jurídico: lo que dependa de la ley nacional o de un criterio profesional se marca como «a confirmar».

Reglas del caso

  • Todo es ficticio: empresa, sistemas, sedes y proveedores. Las personas aparecen solo por su puesto.
  • Las horas de la cronología son hora de Madrid. Los datos del paquete son los únicos hechos disponibles.
  • Marca como «a confirmar» lo que dependa de la ley nacional o de un criterio profesional.

Qué cursos conviene tener hechos

Usa riesgos (2), RGPD y brechas (6), NIS2 y DORA (7), continuidad (8) y consultoría en la práctica (10). Los cursos 11 y 12 ayudan a descartar con criterio el Reglamento de IA y el CRA.

Necesarios

Recomendados

Los cursos se abren desde su ficha, donde puedes crear una cuenta gratuita si aún no la tienes.

Materiales (ficheros ficticios)

Todo el paquete en un .zip, o los ficheros uno a uno. Descomprímelo en una carpeta vacía y lee primero LEEME.md. No contienen datos reales ni código que ejecutar.

Descargar el paquete (.zip)

Qué tienes que entregar

Escribe tus entregables fuera de esta página (en un documento tuyo). Aquí solo marcas cuáles has terminado; la plantilla ya trae la estructura.

  1. RGPD y LOPDGDD, ENS, NIS2, DORA, CRA y Reglamento de IA: criterio, conclusión y qué queda «a confirmar» con la fuente que consultarías.

    Formato: Tabla (CSV o Markdown)

    Qué debe contener
    • Norma
    • Criterio aplicado (sector, tamaño, datos)
    • Conclusión
    • Estado: confirmado o a confirmar
    • Fuente que consultarías

  2. Al menos 10 escenarios con causa, evento y consecuencia, la escala definida por escrito, tratamiento, responsable, plazo y riesgo residual.

    Formato: Tabla (CSV o Markdown) y definición de la escala

    Qué debe contener
    • Escala escrita (probabilidad e impacto con ejemplos)
    • 10 escenarios: causa, evento, consecuencia
    • Nivel inicial y tratamiento
    • Responsable y plazo en cada riesgo alto
    • Riesgo residual y quién lo acepta

  3. MTPD, RTO y RPO de cuatro actividades, contrastados con la frecuencia y el estado de las copias.

    Formato: Tabla (CSV o Markdown)

    Qué debe contener
    • Actividad y sistemas que la sostienen
    • MTPD, RTO y RPO propuestos
    • Comprobación frente a las copias reales
    • Acciones con fecha para cerrar los huecos

  4. Cronología, hora de constancia que fijas y justificas, plazo, decisión sobre notificar a la autoridad y comunicar a las personas, y borrador de la notificación.

    Formato: Documento breve en Markdown

    Qué debe contener
    • Cronología (hechos conocidos y supuestos por separado)
    • Hora de constancia y por qué
    • Plazo calculado en horas naturales
    • Decisión de notificar a la autoridad, motivada
    • Valoración de comunicar a las personas afectadas
    • Registro de la brecha y borrador de notificación

  5. Una página con situación, hallazgos, riesgo y tres decisiones pedidas, más un plan de seis meses con responsable y fecha.

    Formato: Una página + tabla

    Qué debe contener
    • Situación y hallazgos principales
    • Tres decisiones, cada una con responsable, fecha y consecuencia de no actuar
    • Plan de seis meses (acción, responsable, fecha)
    • Supuestos y lo que no se ha verificado

0 de 5 entregables marcados como terminados

Rúbrica y autoevaluación

Por cada criterio, marca el nivel más alto que puedas demostrar señalando en tu entrega la frase, la fila o el fichero que lo cumple. Si dudas entre dos niveles, marca el más bajo. Es una autoevaluación: nadie corrige tu trabajo.

1.Aplicabilidad justificada

Que cada norma tenga criterio y conclusión, y que lo incierto se marque como tal.

2.Registro de riesgos

Escenarios completos, escala escrita y tratamiento con responsable y plazo.

3.Coherencia de tiempos

Que MTPD, RTO y RPO cuadren entre sí y con las copias.

4.Gestión de la brecha

Plazo bien calculado, decisión motivada y documentación completa.

5.Evidencia y honestidad

Hechos, estimaciones y lo no verificado, siempre separados; sin promesas.

6.Decisión y comunicación

Una página que permita a la gerencia decidir.

Tu puntuación orientativa

Has valorado 0 de 6 criterios. Marca el resto para ver la valoración global.

Criterio de este caso: «sólido» desde 15 de 18 puntos y ningún criterio por debajo de 2; «en camino» desde 12 y sin ningún 0; los criterios eliminatorios deben estar al menos en 2. Es una orientación nuestra, no una nota: no hay corrección ni certificado asociado.

Tus marcas se guardan solo en este navegador (almacenamiento local). No se envían a ningún servidor.

Puntos de control para después de tu intento

No son la solución: son hechos objetivos que puedes comprobar en tu entrega. Ábrelos cuando hayas terminado; si los lees antes, pierdes parte del ejercicio.

Ya he hecho mi intento: mostrar los puntos de control
  • Las horas naturales cuentan también sábados y domingos. Si fijas la constancia a las 09:00 del lunes 5 de octubre de 2026 (la llamada de la clínica), 72 horas naturales terminan el jueves 8 de octubre a las 09:00; si la fijas a las 09:20 (cuando se localiza el correo equivocado), a las 09:20 del mismo jueves. Lo importante es que la hora que elijas esté justificada con los hechos de la cronología y que el plazo salga de ella.
  • En entrevistas-continuidad.csv hay al menos una fila en la que el RTO declarado es mayor que el MTPD: una actividad no puede tardar más en recuperarse de lo que el negocio aguanta parado.
  • El RPO declarado para el LIMS es menor que la frecuencia con la que se hacen las copias. Compara las dos columnas.
  • Una copia que nunca se ha restaurado no se puede dar por buena. Debe aparecer como hueco con una acción y una fecha.
  • No des por confirmado nada que dependa de la ley nacional o de un criterio profesional (por ejemplo, la designación de delegado de protección de datos o cómo se aplica NIS2 a una empresa de este tamaño). Márcalo «a confirmar» y di dónde lo comprobarías.

Cuándo necesitas supervisión

Este caso es un ejercicio con datos ficticios. Lo que aprendas aquí no te habilita para actuar sin revisión en un entorno real. Estos son los límites:

  • No es asesoramiento jurídico. El mapa de aplicabilidad, la decisión de notificar una brecha real y cualquier comunicación a una autoridad o a personas afectadas las revisa un profesional (delegado de protección de datos o abogado) antes de enviarse.
  • No uses datos reales de pacientes, clientes ni empresas en este ejercicio ni en las plantillas.
  • Un informe a la dirección de una empresa real no debe prometer cumplimiento ni certificación.
  • Las aceptaciones de riesgo las firma la dirección, no quien hace la consultoría.

Apoyo para después de tu intento

El Taller GRC resuelve otro caso (Ficticia Norte) con seis entregables y una rúbrica. Ábrelo cuando hayas hecho tu intento: sirve para comparar la forma de trabajar y para ver plantillas trabajadas, no para copiar respuestas de este caso, que no tiene solución publicada.

Curso 13 · Taller GRC: plantillas y proyecto resuelto

Cuando termines: vuelve a la ruta, o repasa los cursos que te marquen los criterios más bajos.