Cómo piensa el simulador: riesgo, latencia y evidencia

En la parte superior del simulador hay tres tarjetas. Son las tres palancas que mueve cada decisión que tomas:

• Riesgo operativo (0–100). Mide cuánto se aleja tu actuación del umbral de diligencia exigible en ciberseguridad. Cuanto más alto, peor. Etiquetas: ≤25 Bajo, ≤50 Medio, ≤75 Alto, >75 Muy alto.
• Latencia operativa (minutos). Suma el tiempo que consumes en decidir. No tiene techo: cuantas más decisiones lentas tomes, más sube. Penaliza la puntuación final.
• Solidez probatoria (0–100 %). Mide cuánta evidencia documental aportas. Cuanto más alta, mejor. Es la métrica que más peso tiene en la nota final.

Las tres se actualizan en tiempo real con cada clic y con cada documento que adjuntas o retiras. No hay métricas ocultas: lo que ves es exactamente lo que el simulador usa para calcular el resultado.

Cada simulacro arranca con estos valores:

• Riesgo = 25 (Bajo). No empiezas en 0 porque el mero hecho de tener un incidente, un requerimiento o un proyecto nuevo ya genera una exposición inicial. Tampoco en 50, porque no se te presume negligente. 25 refleja una situación neutra: hay algo que gestionar, pero aún no has empeorado ni mejorado nada.
• Latencia = 0. El cronómetro de penalización empieza a contar cuando tomas la primera decisión. Antes del briefing, no penaliza.
• Evidencia = 10. No empiezas en 0 porque siempre hay una documentación base mínima (la propia solicitud, el hecho notificado, el correo recibido). 10 es el “punto de partida documental” antes de que adjuntes nada.

Estos tres valores son iguales en los diez simulacros. Lo que cambia es el escenario, las opciones y los impactos.

Cada opción de cada nodo lleva asociado un impacto con tres números. No se ve en la interfaz, pero es lo que mueve las métricas cuando haces clic. Por ejemplo, en el Simulacro 1 (categorización de un sistema de información):

• Realizar la valoración de las cinco dimensiones con criterios documentados → riesgo −10, latencia +5 min, evidencia +20. Por qué: valorar las dimensiones cuesta tiempo (latencia), pero reduce el riesgo porque actúas con diligencia y aumenta la evidencia porque produces documentación de valoración.
• Asignar categoría BÁSICA por defecto para agilizar el despliegue → riesgo +20, latencia +1 min, evidencia −15. Por qué: la categoría no se deriva de la conveniencia, sino del análisis. Asignarla sin valoración sube el riesgo y destruye evidencia porque no aportas nada que sostenga la decisión.
• Copiar la categorización de un sistema similar sin analizar el nuevo → riesgo +15, latencia +3 min, evidencia −10. Por qué: cada sistema requiere su propia valoración. Copiar sin análisis sube el riesgo (el sistema copiado puede no tratar datos personales y el nuevo sí), consume algo de tiempo y no genera evidencia válida.

La lógica es siempre la misma: una decisión diligente baja el riesgo y sube la evidencia a costa de algo de latencia; una decisión evasiva sube el riesgo y baja la evidencia aunque consuma poco tiempo. El simulador no premia la rapidez, premia la diligencia.

Debajo de las opciones hay un desplegable llamado Expediente de evidencia documental. Contiene los documentos que el escenario pone a tu disposición: la valoración de dimensiones, el informe de categorización, el análisis de riesgos, la Declaración de Aplicabilidad, el perfil de cumplimiento, etc.

Cada vez que pulsas Adjuntar en un documento, la solidez probatoria sube +8. Cada vez que pulsas Retirar, baja −8. No hay límite: puedes adjuntar todos los documentos del escenario si quieres.

Por qué +8 y no +10 o +5: el número está calibrado para que adjuntar todos los documentos de un escenario (normalmente 5 o 6) sume entre 40 y 48 puntos de evidencia, que es aproximadamente la mitad de la métrica. La otra mitad la aportan las decisiones que generan documentación (las opciones con impacto positivo en evidencia). Es decir: la evidencia se construye combinando decisiones diligentes y documentos adjuntos. Ninguna de las dos por separado te lleva al 100 %.

Por qué la evidencia pesa tanto en la nota: en el ámbito de la ciberseguridad, no basta con implantar medidas; hay que poder demostrar que están implantadas y son eficaces. El simulador traslada esa idea al juego: un riesgo bajo sin evidencia no es un buen resultado, porque no puedes acreditarlo.

El cronómetro arranca cuando sales del briefing y tomas la primera decisión. Tienes 15 minutos en modo estándar y 10 minutos en modo experto. Cuando quedan 2 minutos, el cronómetro se pone en rojo como aviso visual.

Si el tiempo llega a cero, el simulacro termina automáticamente con un informe de “Plazo agotado” que se considera desfavorable. No hay opción de pausar ni de recuperar tiempo.

Por qué importa el tiempo: en la gestión real de un incidente de ciberseguridad, los plazos son estrictos. La NIS2 establece una alerta temprana en 24 horas, una notificación en 72 horas y un informe final en un mes. El ENS exige auditorías bienales y revisión periódica. El cronómetro no reproduce esos plazos literalmente, pero sí reproduce su lógica: llegar tarde tiene consecuencias. Por eso la latencia penaliza la puntuación final.

Diferencia entre estándar y experto: en estándar, cada opción muestra un detalle que te orienta sobre la norma aplicable y tienes 15 minutos. En experto, las opciones ocultan ese detalle y solo tienes 10 minutos. Es decir: el modo experto te da menos información y menos tiempo. Está pensado para quien ya conoce el marco y quiere ponerse a prueba sin red.

Cuando llegas a un nodo final, el simulador calcula una puntuación de 0 a 100 con esta fórmula:

score = (evidencia × 0,45) + ((100 − riesgo) × 0,35) + (tiempoScore × 0,20)

Donde tiempoScore = max(0, 100 − latencia × 4). Es decir: cada minuto de latencia resta 4 puntos al componente de tiempo, y si la latencia supera los 25 minutos, ese componente se queda en 0.

Por qué esos pesos:

• Evidencia 45 %: es el factor más importante porque el cumplimiento en ciberseguridad se mide por lo que puedes demostrar (auditorías, declaraciones de aplicabilidad, registros), no por lo que dices que haces.
• Riesgo invertido 35 %: cuanto menor sea tu riesgo final, más puntos aporta. No es el factor principal porque un riesgo bajo sin evidencia no es un buen resultado.
• Tiempo 20 %: pesa menos porque el simulador premia la diligencia sobre la velocidad. Llegar rápido a una decisión equivocada no es mejor que llegar despacio a la correcta.

Ejemplo: si terminas con evidencia 80, riesgo 20 y latencia 5 minutos, el cálculo es (80 × 0,45) + (80 × 0,35) + (80 × 0,20) = 36 + 28 + 16 = 80. Ese resultado entra en el rango “Cumplimiento adecuado”.

La puntuación final se traduce en uno de estos cuatro rangos:

• ≥ 90 · Cumplimiento robusto. Has tomado decisiones diligentes, has generado evidencia suficiente y has gestionado el tiempo con solvencia. Es el resultado que se espera de un responsable de seguridad experimentado.
• ≥ 70 · Cumplimiento adecuado. Has hecho lo correcto en lo esencial, pero hay margen de mejora (normalmente en evidencia o en tiempo). Es un resultado válido.
• ≥ 50 · Necesita mejoras. Has evitado los errores graves, pero tu actuación no es suficientemente sólida. Hay decisiones que podrías haber tomado mejor o evidencia que podrías haber aportado.
• < 50 · Riesgo elevado. Has tomado decisiones que incrementan el riesgo o no has generado evidencia suficiente. El resultado es desfavorable.

El rango no depende de una sola métrica: puedes acabar en “Cumplimiento robusto” con riesgo medio si tu evidencia y tu tiempo son muy buenos, o en “Riesgo elevado” con riesgo bajo si no aportaste evidencia. La combinación es lo que importa.

En cada nodo, debajo del expediente de evidencia, aparece un gráfico que muestra la evolución de dos líneas a lo largo de tus decisiones:

• Línea verde continua: la solidez probatoria (evidencia). Debería subir con el tiempo si estás tomando decisiones diligentes.
• Línea roja discontinua: el riesgo operativo. Debería bajar con el tiempo si estás actuando correctamente.

El gráfico no es decorativo: te permite ver de un vistazo si tu tendencia es buena o mala. Si la línea verde sube y la roja baja, vas bien. Si ambas suben o ambas bajan, hay un problema: o estás generando evidencia mientras el riesgo también crece (señal de que la evidencia no está compensando las malas decisiones), o estás reduciendo el riesgo sin generar evidencia (señal de que actúas bien pero no lo documentas).

El gráfico se reinicia con cada simulación y se actualiza también cuando adjuntas o retiras documentos, no solo cuando tomas decisiones.

• Tres métricas: riesgo operativo (0–100, mejor bajo), latencia (minutos, mejor poca), evidencia (0–100, mejor alta).
• Estado inicial igual en todos los simulacros: 25 / 0 / 10.
• Cada opción mueve las tres métricas con un impacto {r, l, e} que no se ve pero se aplica.
• Cada documento adjuntado sube +8 de evidencia; retirarlo baja −8.
• 15 minutos en estándar, 10 en experto. A los 2 minutos, el cronómetro se pone en rojo.
• En estándar, las opciones muestran el detalle de la norma aplicable. En experto, ese detalle se oculta.
• Score = evidencia × 0,45 + (100 − riesgo) × 0,35 + tiempoScore × 0,20.
• Ranking: ≥90 robusto, ≥70 adecuado, ≥50 necesita mejoras, <50 riesgo elevado.
• El gráfico verde/rojo muestra la tendencia; úsalo para corregir a tiempo.

En la siguiente lección verás cómo leer un escenario: qué información es relevante, qué plazo aplica, qué documentos tienes y qué te están preguntando realmente. Es el paso previo a decidir. Sin una buena lectura del escenario, las métricas no te salvarán.