Lo que se afirma y lo que solo se sospecha

Una afirmación del informe puede estar en uno de tres niveles. Confirmada es la que se observó directamente en dos o más fuentes que no dependen entre sí: el sensor y el registro del equipo son dos fuentes; dos filas del mismo registro, una. Probable es la que se observó en una sola fuente, o la que se deduce de dos o más observaciones. Hipótesis es la que se deduce de una sola observación o no tiene ninguna directa.

Estos niveles son el criterio de la casa en este laboratorio, y lo importante no son sus nombres sino que exista uno escrito: sin criterio, cada autor etiqueta según su ánimo y los informes no se comparan. Fíjate en la diferencia entre observar (un registro lo muestra) e inferir (lo deduces de lo que muestra).

Revisar un borrador es comparar dos columnas: el nivel que el autor puso y el nivel que el criterio permite según la evidencia. Casi siempre la discrepancia es del mismo tipo: una afirmación sobre lo que alguien quiso, sabía o pensó queda escrita como un hecho. Las intenciones de las personas no se observan en una captura ni en un registro de equipo; como mucho se deducen, y de una sola observación.

En la tabla de afirmaciones, una de ellas está en el borrador como confirmada y, con el criterio delante, solo llega a hipótesis.

Una forma de ver cuánto sostiene el informe es contar cuántas de sus afirmaciones son observaciones respaldadas por dos fuentes independientes. Es una medida modesta, y por eso útil: si son pocas, el informe depende de deducciones, y conviene decirlo en la primera página, no en la nota al pie.

Se cuentan las filas que cumplen las dos condiciones a la vez: tipo observado y dos o más fuentes independientes. Las inferidas no entran, aunque tengan dos fuentes, y las observadas con una sola fuente tampoco.

Con el tráfico cifrado no se ve el contenido, pero sí cuántos bytes salieron, hacia dónde y cuándo. Eso permite afirmar un mínimo: lo que sumaron las sesiones que el sensor vio, que son un piso y no un techo, porque puede haber habido tráfico que no se vio, y los bytes de una sesión cifrada incluyen la sobrecarga del protocolo.

La suma se hace sobre los envíos del equipo hacia un único destino. Hay que dejar fuera lo que va a otros destinos aunque sea del mismo equipo y de la misma tarde.

La redacción es parte de la honestidad. La afirmación sobre la nómina junta dos observaciones —la carpeta se leyó y después hubo una subida cifrada hacia un destino nuevo— y de ahí infiere la fuga. La inferencia es razonable, y por eso es probable; pero el contenido de la subida nunca se vio. La forma correcta de escribirla da el hecho, da el mínimo medido y dice lo que no se sabe, sin disfrazar la sospecha de hecho ni tirarla a la basura.

Decir «no se puede saber nada» es tan inexacto como decir «se robó todo»: la evidencia dice bastante, y lo que dice se escribe con sus límites.