El informe de cierre y el plan de corrección

El cierre de TIBER-EU sigue una secuencia con plazos que cuentan desde el fin de la fase activa:

1. El equipo rojo entrega su informe (lo que intentó, lo que logró, las banderas alcanzadas y no alcanzadas, los apoyos recibidos, los hallazgos con su causa de fondo) en un máximo de cuatro semanas.
2. Con ese informe, el equipo azul, ya informado de la prueba, escribe el suyo: qué detectó de cada paso, con qué registros, y qué lecciones saca. Plazo: diez semanas.
3. Dentro de esas mismas diez semanas, los dos equipos repasan juntos la prueba paso a paso (la repetición) y luego hacen un ejercicio púrpura sobre lo que quedó pendiente: caminos alternativos, defensas que faltaron. Desde la actualización de 2025 el ejercicio púrpura es obligatorio.

Después el gestor de la prueba evalúa los dos informes y lo notifica. Desde ese aviso el banco tiene ocho semanas para entregar el informe resumen y el plan de corrección. El cierre termina con la atestación.

Los plazos se cuentan en semanas desde el fin de la fase activa, no desde la entrega del informe anterior. Abre el laboratorio y mira las fechas del cierre de Lebeche.

El plan de corrección no es una lista de deseos. Para cada debilidad dice qué se va a hacer, con qué prioridad y para cuándo, cuál es la causa de fondo, quién en el banco es responsable de hacerlo, y qué riesgo se corre si no se hace. Una medida sin responsable es la que, un año después, nadie ha hecho, y la autoridad lo sabrá cuando pida cuentas.

El informe resumen describe cómo se llegó a las funciones críticas del banco: qué caminos funcionaron, qué no se detectó y qué falta corregir. En malas manos, es un manual para atacar a ese banco. El marco pide controlar quién lo recibe, cuánto tiempo se guarda y cómo se destruye, y el gestor de la prueba puede pedir una versión sin los datos más sensibles, como nombres de máquinas o direcciones.