Entrega 5 · Informe de datos y seguridad¶
La empresa de tu proyecto ya tiene un mapa de sus sistemas IT y OT, un informe de tecnologías, una arquitectura en la nube y un plan de IA. Todo ello funciona con datos. La Entrega 5 responde cuatro preguntas sobre esos datos: qué datos tiene la empresa y cómo viven, qué podría aprender de ellos, dónde se guardan seguros y lo bien cerrada que está su puerta de entrada pública. Después, el grupo decide qué leyes se aplican y lo reúne todo en una tabla de riesgos.
En el juego de construir ciudades, este es el capítulo en el que haces la lista de cada vista de información de la que depende la ciudad, compruebas que el archivo tiene copias en otra ciudad, das la vuelta a las murallas buscando puertas abiertas (sin abrir ninguna) y lees las leyes que la ciudad tiene que cumplir.
Qué entregas
- Un PDF por grupo en Google Classroom, antes del lunes 03/05/2027 a las 23:59
- Cuatro secciones individuales y firmadas (A, B, C y D) y una parte de grupo
- Una defensa individual de 2–3 minutos en la sesión 24 (03/05/2027)
Las normas¶
- Los hechos se citan. Todo lo que afirmes como un hecho sobre la empresa (qué datos recoge, qué nube usa, qué envía su web) debe tener una fuente: la web o la política de privacidad de la empresa, una memoria anual, la prensa, el Ibestat, el BOE, una captura de pantalla con fecha y hora. Lo que no puedas encontrar se etiqueta como hipótesis, y explicas por qué es razonable.
- Solo pasiva. La auditoría de seguridad solo mira lo que la web pública muestra a cualquier visitante: cabeceras, certificado, cookies, aviso, política de privacidad. Nunca escanees puertos, pruebes accesos ni envíes entradas extrañas a los sistemas de una empresa real.
- Sin IA generativa en ninguna parte de esta entrega, salvo que el profesor la autorice para una tarea concreta. Usar IA sin autorización o plagiar significa un 0.
- Solo datos reales en la sección B: un conjunto de datos abiertos real, citado, con su fecha de descarga. Nada de números inventados.
Secciones¶
Cada miembro se encarga de una sección y la firma (pon tu nombre debajo del título). Elige una que no hayas hecho antes en otras entregas. Con 3 miembros, la sección D pasa a la parte de grupo.
| Sección | Criterios | Qué escribir | Responsable |
|---|---|---|---|
| A · Inventario y ciclo de vida de los datos | a, b | Una tabla con al menos seis tipos de datos que maneja la empresa (oficina y planta): qué es, de dónde viene, si es personal o no, qué información o decisión permite, encontrado o hipótesis. Después, las seis etapas del ciclo de vida del conjunto de datos más importante, desde la captura hasta la eliminación, con el plazo de conservación si la política de privacidad lo indica. Marca dónde los datos se convierten en información y la etapa con más riesgo. | Individual |
| B · Miniproceso de ciencia de datos | c, d, e, h | Una pregunta que importe a la empresa, respondida con un conjunto de datos abiertos real relacionado con su sector (Ibestat, datos abiertos del Govern de las Illes Balears, datos.gob.es, INE...). Muestra cada etapa: pregunta, fuente y fecha de descarga, problemas y decisiones de limpieza, el análisis (una tabla dinámica o fórmulas), un gráfico, una conclusión y una limitación. Después: a qué objetivo de la ciencia de datos responde, si la empresa tiene un problema de big data (justificado con al menos dos V) y si el ML aportaría algo. Enlaza la hoja de cálculo. | Individual |
| C · Almacenamiento en la nube y copias de seguridad | f, g | Para tres de los conjuntos de datos de la empresa (de la sección A): qué tipo de almacenamiento (de objetos, de bloques, de archivos, base de datos gestionada, almacén de datos, lago de datos), qué modelo de despliegue (Unidad 3) y qué región, y por qué. Un plan de copias de seguridad 3-2-1: dónde está cada copia, cada cuánto se hace, cuánto tiempo se guarda, quién puede restaurarla y cómo se prueba una restauración. Explica por qué la nube es importante para esta empresa, con un precio o una característica real de la página de un proveedor como prueba. | Individual |
| D · Auditoría de seguridad pasiva de la web (4.º miembro) | i | La auditoría de la web pública de la empresa: certificado, nota en securityheaders.com y cabeceras que faltan, puntuación en Mozilla HTTP Observatory y dos pruebas fallidas, cookies guardadas antes del consentimiento, el aviso y la lista de comprobación de la política de privacidad. Capturas de pantalla con fecha y hora. Para cada hallazgo: qué pilar (confidencialidad, integridad, disponibilidad) afecta y una medida recomendada. Redacción educada: hallazgos, no acusaciones. | Individual (de grupo si sois 3) |
| Grupo · Regulación | i | Cuáles de RGPD, LOPDGDD y NIS2 se aplican a la empresa y por qué (sector, tamaño, datos personales), con las referencias oficiales. El estado de la transposición de NIS2 en España, comprobado en el BOE en la fecha en que lo escribís. Dos consecuencias concretas para las aplicaciones de la empresa. | Grupo |
| Grupo · Tabla de riesgos | i, b | Al menos cinco riesgos que salgan de las secciones A–D: el riesgo, el activo (datos o sistema), el pilar que amenaza, el nivel (dispositivo, sistema, global), la medida y quién de la empresa se haría cargo. | Grupo |
| Grupo · Integración | todos | Una introducción breve, un diagrama o tabla que conecte las cuatro secciones (el conjunto de datos de A, analizado en B, guardado en C, expuesto a través de la web en D), conclusiones, la lista de fuentes, formato y ortografía. | Grupo |
| Grupo · Acta de grupo | — | Quién se encargó de cada sección, quién tuvo cada rol, qué se decidió y cuándo. | Grupo |
Roles¶
Rotadlos: nadie repite el rol que tuvo en la Entrega 4. Con 3 miembros, el rol de Editor se une al de Coordinador.
| Rol | En esta entrega |
|---|---|
| Coordinador | Planifica el trabajo hacia atrás desde el 03/05, persigue los plazos, entrega el PDF |
| Verificador de fuentes | Abre cada enlace, comprueba que cada hecho tenga fuente y que cada hipótesis esté etiquetada; consulta el BOE para NIS2 |
| Técnico | Ayuda con las partes prácticas: la hoja de cálculo de la sección B, los pasos con DevTools de la sección D |
| Editor | Un solo formato y una sola voz, ortografía, figuras numeradas, la lista de fuentes en un único estilo |
Evaluación¶
La Entrega 5 es el 70 % de la nota del RA5. El otro 30 % son las actividades de clase de las sesiones 20 a 24.
| Parte | Peso | Qué se evalúa |
|---|---|---|
| Tu propia sección | 40 % | La sección que has firmado, con la rúbrica de abajo |
| Tu defensa | 20 % | Tus respuestas en la conversación de 2–3 minutos de la sesión 24 |
| Parte de grupo | 40 % | Regulación, tabla de riesgos, integración y coherencia, fuentes, formato, acta de grupo |
Rúbrica de las secciones¶
| Sección | Excelente (9–10) | Adecuado (5–6) | Insuficiente (0–4) |
|---|---|---|---|
| A | Seis o más tipos de datos, claramente separados de la información que dan, la mayoría encontrados y citados; un ciclo de vida propio de la empresa, con la eliminación y la conservación resueltas | El inventario y las seis etapas están, pero son genéricos o tienen pocas fuentes | Confunde datos con información, le faltan etapas o no habla de esta empresa |
| B | Una pregunta de negocio real, un conjunto de datos citado, decisiones de limpieza explicadas, un gráfico correcto, una conclusión y una limitación honestas; V y objetivo bien argumentados | El proceso está completo, pero la pregunta es vaga o la limpieza no se explica | Datos inventados o sin citar, etapas que faltan o un gráfico que no responde la pregunta |
| C | Una elección de almacenamiento razonada para cada conjunto de datos, un plan 3-2-1 completo con frecuencia, conservación y prueba de restauración, importancia de la nube respaldada con pruebas | Elecciones correctas con poca justificación; el plan 3-2-1 tiene huecos | Sin plan de copias de seguridad, o elecciones de almacenamiento que no encajan con los datos |
| D | Todas las comprobaciones hechas de forma pasiva, con pruebas fechadas, hallazgos relacionados con la tríada y una medida sensata para cada uno | La mayoría de las comprobaciones hechas, pruebas o medidas parciales | Faltan comprobaciones, no hay pruebas o se ha hecho algo más que una comprobación pasiva |
| Parte de grupo | Aplicación correcta y justificada de las tres leyes, una tabla de riesgos que usa las cuatro secciones, un documento coherente, cada hecho citado, acta completa | Leyes identificadas pero poco justificadas, tabla de riesgos genérica, algunas incoherencias | Leyes erróneas o ausentes, sin tabla de riesgos, secciones que no encajan entre sí |
Las notas intermedias (7–8 y 3–4) son para trabajos entre dos columnas.
Plazo y cómo entregar¶
- Un PDF por grupo, que sube el Coordinador a la tarea de Classroom antes del lunes 03/05/2027 a las 23:59. Incluye el enlace a la hoja de cálculo de la sección B, compartida con el profesor.
- Entregas con retraso: nota máxima 5; con más de 48 horas de retraso, 0.
- Conserva el historial de versiones del documento compartido: muestra quién ha escrito qué.
La defensa¶
En la sesión 24 el grupo trabaja en la versión final mientras el profesor os llama de uno en uno durante 2–3 minutos. Sin papel ni ordenador: una conversación. Te hará dos preguntas sobre tu propia sección (por qué elegiste ese conjunto de datos, qué hace una cabecera, por qué esa copia está fuera de las instalaciones) y una sobre la sección de otro miembro, para comprobar que el grupo ha montado de verdad el documento entre todos. Si has escrito tú tu sección, te irá bien.
Comprobación final antes de entregar¶
| Comprobación | ¿Hecho? |
|---|---|
| Cada sección tiene el nombre de su responsable | |
| Cada hecho sobre la empresa tiene fuente; cada hipótesis está etiquetada | |
| La sección B usa un conjunto de datos abiertos real, citado con su fecha de descarga, y el enlace a la hoja de cálculo funciona | |
| La sección C tiene las tres copias del plan 3-2-1 y una prueba de restauración | |
| La sección D tiene capturas de pantalla fechadas y solo comprobaciones pasivas | |
| La parte de grupo dice qué leyes se aplican y por qué, con el estado de NIS2 comprobado en el BOE | |
| La tabla de riesgos tiene al menos cinco riesgos sacados de las cuatro secciones | |
| El acta de grupo dice quién hizo qué y qué rol tuvo cada persona | |
| No se ha usado IA generativa |