Roadmap
Cargando…
Auditoria PSCAuditoria PSCCargando…
29 riesgos identificados · 3 en zona crítica A×A
| ID | Riesgo | P | I | Mitigación | Owner |
|---|---|---|---|---|---|
| R-A01 | Dry-run interno revela no conformidades mayores | M | A | Hacer dry-run en T+14 a más tardar (no T+15). Reservar 1 mes para correcciones. | CISO |
| R-A02 | El CAR del CAB es negativo o con no conformidades mayores | B | A | Selección cuidadosa del CAB con experiencia previa en QTSP. Sesiones de pre-auditoría informales. | CISO + CAB |
| R-A03 | Documentación normativa publicada con errores que requieren reedición | M | M | Revisión legal externa antes de publicar. Plantillas robustas en `04-plantillas-documentales/`. | CISO + Legal |
| R-A04 | El auditor identifica que la TSU no genera TSTs conformes a perfil ETSI 319 422 | B | A | Test automatizado de conformidad de TSTs antes del CAB. | CTO |
| ID | Riesgo | P | I | Mitigación | Owner |
|---|---|---|---|---|---|
| R-S01 | Pérdida del sponsor ejecutivo o cambio de prioridades | M | A | Comunicar formalmente avance al comité de dirección con periodicidad. Tener "lista de hechos consumados" (HSMs, contratos firmados) que aumente el coste de cancelación. | Sponsor |
| R-S02 | Cambio de alcance a mitad de proyecto (añadir/quitar QTSA o QERDS, añadir REM) | A | A | Cerrar alcance por escrito en M0 con firma del sponsor. Cualquier cambio tras T+3m es "fase 2" del proyecto, no del actual. | Sponsor + PM |
| R-S03 | Decisión de no continuar tras Discovery por inviabilidad de business case | M | A | Hacer business case realista en T0 con cifras de [`presupuesto-estimado.md`](presupuesto-estimado.md). Validar con CFO antes de comprometer recursos. | Sponsor + CFO |
| R-S04 | Competencia comercial saca primero el servicio | M | M | El proyecto es de 18 meses; no hay mucha defensa frente a esto. Diferenciación por nicho, precio, integración. | Comercial |
| ID | Riesgo | P | I | Mitigación | Owner |
|---|---|---|---|---|---|
| R-X01 | Proveedor crítico (datacenter, identificación remota, CA externa) deja de operar | B | A | Tener proveedor de respaldo identificado. Cláusulas de exit en contratos. | Operaciones + Legal |
| R-X02 | Incidente reputacional del sector (gran QTSP comprometido) que cambia exigencias | B | M | Monitorización de incidentes del sector. Capacidad de adaptación. | CISO |
| R-X03 | Crisis económica que obliga a recortar el proyecto | M | A | Revisar trimestralmente la viabilidad financiera. Tener fases de "minimum viable QTSP". | Sponsor + CFO |
| ID | Riesgo | P | I | Mitigación | Owner |
|---|---|---|---|---|---|
| R-F01 | CAPEX se desvía > 20% sobre el aprobado | M | A | Revisión mensual de presupuesto vs. ejecutado. Holgura presupuestaria del 10-15%. | CFO + PM |
| R-F02 | OPEX recurrente más alto que lo proyectado en business case | M | M | Validar costes recurrentes con ofertas firmadas, no estimaciones. Renegociar con proveedores antes de comprometer. | CFO |
| R-F03 | Aseguradora rechaza póliza RC o cuantía mínima por perfil de riesgo | B | A | Consultar mercado RC para QTSP en T+0, no en T+13. | Legal + Finanzas |
| R-F04 | Tipo de cambio si software/HSM en USD | B | M | Cobertura de divisa para grandes inversiones. | CFO |
| ID | Riesgo | P | I | Mitigación | Owner |
|---|---|---|---|---|---|
| R-O01 | Persona clave (CISO, CTO, custodios) deja la organización | M | A | Designar backup desde T+0. Cross-training documentado. Rotación de roles para evitar concentración. | Sponsor + RR.HH. |
| R-O02 | El equipo no llega al tamaño dimensionado (4-6 FTE dedicados) | A | A | Si no se puede internalizar, externalizar a consultora especializada. Decidir en T+1m. | Sponsor |
| R-O03 | Resistencia interna a procesos de seguridad (formación, controles) | M | M | Comunicación temprana con equipos. Patrocinio visible de la dirección. Sin excepciones para "casos especiales". | CISO + RR.HH. |
| R-O04 | Conflictos entre Producto/Comercial y Seguridad sobre features | M | M | Comité de seguridad con poder de veto sobre features que afecten a la cualificación. | Sponsor |
| ID | Riesgo | P | I | Mitigación | Owner |
|---|---|---|---|---|---|
| R-R01 | Cambio normativo (eIDAS 2 acto delegado, ENS, NIS 2 desarrollo) que invalide trabajo hecho | M | M | Watch normativo desde T+0. Diseñar componentes desacoplados de versiones específicas. Reservar 5-10% de holgura presupuestaria. | CISO + Legal |
| R-R02 | Supervisor (SETELECO/SEDIA) cambia interpretación o exige nuevos requisitos | B | A | Conversación informal temprana con el supervisor (no obligatoria pero recomendable). Asistir a foros del sector. | CISO |
| R-R03 | El supervisor agota los 6 meses del Ley 6/2020 §16.2 | M | M | Buffer de 3 meses en el cronograma comercial. No comunicar fecha exacta de lanzamiento hasta que esté en TSL. | Sponsor |
| R-R04 | El CAB elegido pierde acreditación ENAC | B | A | Tener segundo CAB candidato preseleccionado. | CISO |
| ID | Riesgo | P | I | Mitigación | Owner |
|---|---|---|---|---|---|
| R-T01 | HSMs entregan tarde (lead time típico 8-16 semanas + a veces escasez) | A | A | Comprar en T+2/T+3 a más tardar (no T+5). Tener un HSM intermedio en alquiler para empezar pruebas. | Operaciones |
| R-T02 | El software TSA o QERDS tiene bugs en aspectos cualificadores | M | A | Implementar test de conformidad ETSI antes del dry-run. Si software de terceros, exigir certificación previa o referencia de QTSP que ya lo use. | CTO |
| R-T03 | Sincronización UTC poco fiable / drift fuera de margen | M | A | Doble fuente independiente (GNSS + NTP estrato 1). Monitor desde día 1. Probar leap seconds en lab. | Operaciones |
| R-T04 | Pérdida de clave privada durante ceremonia | B | A | Procedimiento de ceremonia con doble custodia, ensayado, registrado. HSM offline para backup de claves raíz. Plan de recuperación documentado. | CISO + Custodios |
| R-T05 | Cuello de botella de rendimiento en QERDS al subir volumen | M | M | Pruebas de carga en M+5 con volumen 5-10x el comercial estimado. | CTO |
| R-T06 | Vulnerabilidad descubierta en infraestructura tras pen test | A | M | Pen test pre-CAB obligatorio. Buffer de 1 mes para cierre de findings. | CISO |