Priorizar y redactar el viernes

La línea de tiempo de un caso se ordena por la hora en que ocurrió cada cosa, no por el día en que se encontró. Durante la semana el hallazgo apareció por piezas —un barrido el martes, un latido el miércoles, una subida el jueves— y la cronología las pone en el orden real. El primer evento de la cadena es el que fija el principio de la ventana en la que hay que revisar y el de la exposición del equipo.

Un informe que empieza por lo último que se descubrió cuenta el orden del analista, no el del incidente.

Nueve hallazgos no son nueve casos. Un caso agrupa los hallazgos que son la misma historia: el mismo equipo, un orden en el tiempo y una explicación común. Cuatro hallazgos caen sobre un solo puesto de compras y se encadenan —descarga, latido, barrido, subida—; otros tres tienen su explicación documentada y uno es mantenimiento. Y uno más no es un incidente: es un límite de lo que se puede ver.

Contar bien lo que hay decide a quién se avisa, cuánto trabajo se pide y qué se dice a quien manda.

La prioridad no la decide el analista a ojo: sale de cruzar la criticidad de lo afectado con la confianza en el hallazgo, en la matriz de la casa. La confianza del caso es alta, porque cada pieza está sostenida por evidencia de red. La criticidad no es la del puesto de compras sino la de lo que estuvo en juego: los datos que se leyeron y salieron, que viven en otro equipo. Busca de qué servidor se leyó y mira su criticidad en el inventario de activos.

Una prioridad que se puede explicar con dos columnas de una tabla es una prioridad que otro puede revisar.

Un incidente de red no se cierra en el equipo del analista: afecta a quien responde por los datos que se leyeron. El inventario de activos dice quién es esa persona. Avisarle pronto y por escrito es parte del trabajo, porque es quien puede decir qué contienen esos datos y qué obligaciones tiene su pérdida; el analista no puede saberlo mirando la red.

Una notificación a la persona correcta vale más que diez a todo el mundo.

El informe a gerencia se sostiene en lo que la red mostró y se limita a ello. Se puede afirmar que salieron 166 MB desde el puesto de compras hacia un destino concreto, que antes se leyeron 171 MB de un servidor, que el latido sigue activo y que hay un hueco de visibilidad en el segmento de invitados. No se puede afirmar qué contenían los archivos, porque el canal va cifrado, ni que la causa fue el programa descargado el lunes, mientras no se compruebe en el equipo. Y se recomienda: aislar el puesto, bloquear destinos, preservar evidencia y revisar el servidor.

Un informe que dice solo lo que sabe se defiende solo; uno que adivina deja una frase para que alguien la desmienta.