Lecciones aprendidas que vuelven al análisis

En el ciclo de la SP 800-61 Rev. 2, las lecciones se recogían en la actividad posterior al incidente y volvían a la preparación. La Rev. 3 (2025) lo cambia: la mejora es la categoría Improvement (ID.IM) dentro de la función Identify de CSF 2.0, y recibe lecciones de todas las funciones, en cualquier momento. El texto de NIST explica el motivo: los incidentes de hoy duran semanas o meses, y una lección que espera al final llega tarde.

La guía SP 800-83 añade un aviso práctico: tras un incidente grande, el equipo está agotado y la revisión tiende a aplazarse o a saltarse, justo cuando más cara fue la lección.

Abre el laboratorio. SELECT * FROM lecciones trae las cuatro lecciones propuestas, con su destino y su responsable. SELECT * FROM preguntas_lentas recuerda las dos respuestas del análisis que pesaron en el resultado.

Una de las lecciones no es del correo ni de la jefatura: le dice al equipo de análisis qué tiene que entregar distinto la próxima vez.

El costo de esa lección se mide en tiempo: cuánto estuvo comprometido un equipo sin que nadie lo supiera. SELECT * FROM hitos trae el primer rastro en el equipo de almacén y el momento en que el barrido lo encontró. Es la cifra que convence a una jefatura de que la lección vale la pena.

Una lección sirve si se puede ejecutar y comprobar: tiene un destino concreto, alguien responsable, una fecha y una forma de saber que se hizo. Las que no tienen nada de eso suenan bien en el acta y no cambian nada. Se reescriben o se descartan.