Escuela de Ciencias Aplicadas e Ingeniería · 2026-2
Un curso sobre la parte del dato que no se resuelve con código: quién responde, quién decide, quién pierde cuando algo sale mal.
NuevoLa sesión del DMBOK como presentaciónSantiago Jiménez Londoño · Universidad EAFIT
Elige por lo que necesitas hacer
No hace falta recorrerla en orden. Entra por una pregunta, una decisión o un problema real.
16 sesiones guiadas: concepto, dilema, caso y comprobación.
Empezar el curso
Mueve variables y observa cómo cambia una decisión de gobierno.
Abrir el laboratorio
Analiza una base pública con una IA, verifica el resultado y defiende la decisión.
Resolver el taller
Conecta regulación, incidentes y mercado con lo visto en clase.
Consultar el radar
Decisiones con evidencia
Cada número incluye contexto, fuente primaria y fecha. La cifra sola nunca es el argumento.
USD 4,44 M
Cayó 9% frente a los USD 4,88 M de 2024: la primera baja en cinco años. No cayó porque haya menos ataques, sino porque las organizaciones contienen más rápido. La variable que se puede presupuestar es el tiempo, no el ataque.
IBM — Cost of a Data Breach Report 2025 ↗241 días
Son 181 días para identificarla y 60 para contenerla. El dato incómodo es el primero: durante medio año alguien estuvo dentro y nadie lo supo. En salud el ciclo llega a 279 días.
IBM — Cost of a Data Breach Report 2025 ↗31%
Por primera vez en la historia del reporte, explotar una vulnerabilidad desplazó al robo de credenciales como vector inicial número uno. El phishing queda en 16% y el abuso de credenciales como vector inicial, en 13%. Parchear dejó de ser higiene: es la primera línea.
Verizon — Data Breach Investigations Report 2026 ↗Corte de verificación: 27 de julio de 2026.
Mapa conceptual
El curso no avanza por temas sino por preguntas. Cada módulo existe porque hay una que todavía no sabemos responder.
¿Por qué un dato bueno no produce, por sí solo, una decisión buena?
La distancia entre tener datos y crear valor. Estrategia, modelo operativo, portafolio y el costo real de la deuda de datos.
¿Cómo se construye una autoridad sobre el dato que la organización acepte?
Marcos (DAMA-DMBOK, ISO/IEC 38505, COBIT), políticas que sí se cumplen, calidad medible, contratos de datos, metadatos y linaje.
¿Cuánto vale, en pesos, el riesgo que estamos aceptando sin nombrarlo?
Clasificación y control de acceso, NIST CSF 2.0, riesgo cuantitativo (FAIR), privacidad, Ley 1581 y respuesta a incidentes.
¿Se puede gobernar un sistema cuyo comportamiento nadie puede explicar del todo?
NIST AI RMF, ISO/IEC 42001, EU AI Act. Datos para IA, agentes, sesgo y la pregunta política: quién queda del otro lado del algoritmo.
Ruta del semestre
Se publican semana a semana. Lo que está en gris todavía no tiene contenido: su tema puede cambiar según la coyuntura.
El cementerio de las iniciativas de datos
¿Qué falla cuando nada falla técnicamente?
1 interactivo
Estrategia de datos y valoración del activo
¿Cuánto vale un dato y quién paga por él?
1 interactivo
Modelo operativo: quién decide sobre qué
¿Dónde debe vivir la autoridad sobre el dato?
3 interactivos
Portafolio, priorización y deuda de datos
¿Cómo se decide qué NO hacer?
1 interactivo
Anatomía de un programa de gobernanza
¿Qué se gobierna exactamente cuando se gobierna el dato?
6 interactivos
Políticas que se cumplen
¿Por qué las políticas de datos se firman y no se aplican?
Calidad medible y contratos de datos
¿Qué significa que un dato sea de buena calidad?
2 interactivos
Metadatos, linaje y catálogo
Si un regulador pregunta de dónde salió esta cifra, ¿cuánto tardamos en responder?
Clasificación y control de acceso
¿Cómo se decide qué merece protección y cuánta?
1 interactivo
NIST CSF 2.0, ISO 27001 y el catálogo de controles
¿Qué cambia cuando la ciberseguridad deja de ser un asunto técnico?
Riesgo cuantitativo: del semáforo a la distribución
¿Cómo se defiende un presupuesto de seguridad ante un comité financiero?
1 interactivo
Privacidad, cumplimiento y las primeras 72 horas
¿Qué se hace en la primera hora, y quién tiene autoridad para hacerlo?
1 interactivo
Gobernar la inteligencia artificial
¿Se gobierna el modelo, el dato o la decisión?
1 interactivo
Datos para IA: RAG, datos sintéticos y agentes
¿Quién responde cuando el que consulta la base de datos es un agente?
Sesgo, opacidad y poder
¿Se puede auditar una decisión que nadie tomó?
Sala de junta
¿Puede defender su programa ante quien no habla su idioma?
Taller individual · datos reales + IA + verificación
Doce contratos, una decisión que debe poder defender
Cada estudiante descarga 6.696 contratos públicos reales del Oriente antioqueño, los analiza con Claude, Gemini, ChatGPT u otro asistente y construye una lista de doce para revisión. Después cuestiona el resultado, verifica identificadores y deja escrito quién valida y quién decide.
Abrir la guía individual paso a paso →
Taller en equipo · ciberseguridad + rastreo pasivo + IA
«Rastro»: de un hallazgo a una propuesta
En equipos de tres, cada grupo encuentra una exposición pública de una organización con rastreo pasivo, la entiende, la lee en clave de gobernanza de datos y arma una propuesta comercial para subsanarla. Entregan una presentación. Todo es público; nada se toca.
Abrir el taller de rastreo →
Taller en grupo · lago de datos + gobierno + IA
El sistema de información de una ciudad
En grupos de tres o cuatro, cada equipo elige una ciudad y construye con IA su sistema de información: rastrea fuentes públicas, decide qué mostrar, comprueba si puede usarlas, lo protege y escoge con qué visualizarlo, probando por lo menos dos herramientas en cada tramo. El ejemplo es el Cerebro Lima.
Abrir el taller de datos →
Lección interactiva · agentes + modelos locales + MLflow
Ver lo que hace un agente
Un agente que consulta una base de datos, con un modelo en el propio equipo o en la nube, construido paso a paso y observado con MLflow: trazas reales, un examen en código, la opinión humana y lo mejor del Caso 1 de Automatización Inteligente. Con repositorio propio para clonar.
Abrir la lección →
Lección de herramientas · Databricks + linaje
De dónde sale una cifra, y cómo se prueba
Qué es Databricks y cómo funciona, leído desde la gobernanza. Cada estudiante crea su cuenta gratuita, monta bronce, plata y oro con los contratos del SECOP del Oriente, sigue una cifra hasta su origen en el grafo de linaje, mide el impacto de un cambio y decide qué tablas gobernar primero según su uso.
Abrir la lección →
Lo que cambió afuera mientras estudiábamos adentro.
El 2 de agosto de 2026 hay que avisar que la máquina es una máquina
El artículo 50 es la parte del reglamento que casi nadie leyó y la que toca a casi todo el mundo: un chatbot de servicio al cliente, una pieza de marketing generada, un filtro de hojas de vida. No exige un sistema de gestión de riesgos ni un organismo notificado; exige una etiqueta y un aviso. Es la obligación más barata de cumplir y la más visible de incumplir.
2 de agosto de 2026
Ecopetrol: el ransomware se bloqueó, los datos ya se habían ido
El caso separa dos cosas que en las juntas se confunden: contener el cifrado no es contener la brecha. El control funcionó contra el ransomware y aun así hubo exfiltración, extorsión y un problema de datos personales. La pregunta de gobernanza no es "¿nos cifraron?" sino "¿qué había en esa carpeta de la nube, quién la clasificó y quién autorizó ese acceso?".
17 de julio de 2026
Bogotá: el dato salió por la puerta del proveedor
Una base histórica es el activo más olvidado del inventario: ya no sirve para operar, nadie la mira, nadie la clasifica y casi siempre sigue completa. La pregunta que este caso deja sobre la mesa es de retención, no de firewall: ¿por qué seguía existiendo ese dato, y por qué lo custodiaba un tercero?
7 de julio de 2026Sin confirmar
Se entiende moviendo las perillas, no leyendo la definición.
Autopsia de una iniciativa de datos
Los cuatro modos de fracaso están encadenados: la causa de muerte es el primer eslabón roto, no el síntoma más ruidoso.
Cuánto vale este dato
Costo, mercado y valor económico sobre el mismo activo. Tres cifras que no se parecen, y un caso de negocio que sí se defiende.
¿Gestión o gobernanza?
Diez frases de comité. Lo grande y visible suele ser gestión; lo que parece un trámite suele ser la decisión.
El ciclo de vida del dato, en dos capas
Siete fases leídas dos veces: qué se hace y qué se decide. Los dos extremos del ciclo son los que nadie gobierna.
Selector de modelo operativo
Centralizado, federado o malla: la estructura no es una preferencia, es una consecuencia.
Portafolio bajo capacidad finita
Priorizar no es ordenar una lista: es firmar la línea de corte. Y abajo, la deuda de datos cobra interés.
Reglas de calidad sobre un lote real
Sin reglas todo pasa y el tablero miente; con todas, se rechaza tanto que alguien las apaga el martes.
La rueda del DMBOK, con y sin centro
Apague la gobernanza y las otras diez áreas no se apagan: siguen funcionando, cada una bien por su lado. Esa es la escena.
Radar de madurez DAMA-DMBOK
Diagnostica las 11 áreas de conocimiento y descubre dónde está el cuello de botella real.
Once síntomas, once dominios
Ninguno viene etiquetado y todos suenan a «problema de datos». El marco sirve para no atender once problemas distintos como si fueran uno.
Comité de crisis: quién decide qué
Cinco roles y seis decisiones sobre personas con nombre propio. Una sola regla dura: exactamente un aprobador por decisión.
Detective de datos
Diez errores en 72 celdas: índice del 86 %. Uno de los diez es válido, único y completo — y falso. Ninguna herramienta lo encuentra.
Anatomía de un capítulo del DMBOK
El diagrama de contexto sobre un caso real. Tres trampas: la compra anotada como actividad, la reunión como métrica, la RACI como exigencia del marco.
El orden de armado de un programa
Diez movimientos con dependencias. No hay un orden correcto: hay miles válidos, y dos que se ven todos los días y no lo son.
Clasificador de activos de datos
Confidencialidad × criticidad. Clasificar de más es tan costoso como clasificar de menos.
Monte Carlo de pérdida esperada
Traduce "riesgo alto" a una distribución de pérdidas anuales en pesos. Estilo FAIR.
Sala de crisis: brecha de datos
Las primeras 72 horas. Ninguna decisión mejora los tres medidores a la vez, y no hay forma de volver atrás.
Triage de riesgo de un sistema de IA
Clasifica un caso de uso según el enfoque por niveles de riesgo del EU AI Act.