De la evidencia a la regla y al informe

Cada hallazgo de un informe necesita una fuente y una certeza. Demostrado significa que una herramienta lo muestra en la evidencia y que otra persona puede repetir la lectura; sospechado significa que se cree, se infiere o se oyó. Mezclarlos es el error más caro de un informe: la dirección toma decisiones sobre afirmaciones que nadie puede comprobar.

Una hipótesis no se esconde: se escribe como hipótesis, con lo que la apoyaría y lo que la refutaría. Consulta SELECT * FROM hallazgos.

Una regla de detección (en un formato como Sigma, que describe condiciones sobre registros independientemente del producto) se juzga con dos números: cuántas veces acierta y cuántas veces grita por algo legítimo. Una regla muy ancha atrapa todo y no sirve: genera tanto ruido que el equipo deja de mirarla. Consulta SELECT * FROM reglas.

La tentación es elegir la regla con más aciertos. La pregunta correcta es cuántas alertas hay que revisar para encontrar un acierto.

El volumen de una regla es el total de alertas que produce: los aciertos más los falsos positivos. Es el trabajo que cae sobre el equipo, y no figura en ninguna columna, sino que se calcula. Una regla con pocos aciertos y pocos falsos puede ser perfecta; una con pocos aciertos y muchos falsos es una carga. Un analista que propone una regla debe poder decir cuántas alertas va a generar a la semana.

Un informe se revisa sección por sección con una pregunta: ¿en qué hallazgos demostrados se apoya esto? La sección donde se dice quién está detrás es la que más a menudo afirma de más, porque suena a conclusión y casi nunca la evidencia técnica de un adjunto la sostiene: una máquina de origen, un dominio o un estilo de nombre de archivo son pivotes, no firmas.

Consulta SELECT * FROM borrador y contrasta cada sección con la tabla de hallazgos.

El resumen ejecutivo lo lee quien no es técnico y decide con él: qué pasó, qué se sabe, qué no se sabe y qué se pide. No lleva nombres de herramientas ni listas de indicadores (esos van en el anexo). Debe separar con claridad los hechos de las hipótesis. En equipos que trabajan con proveedores o autoridades de otros países, un buen resumen también se puede dar en inglés técnico breve, con la misma regla: hechos primero, hipótesis marcadas.