Recibir la semana

Antes de creer en el silencio de las alertas hay que saber qué mira el sensor. Una red se parte en segmentos y no todos tienen captura: donde no hay sensor no hay alertas, y eso no significa que todo esté bien. El traspaso afirma que la cobertura es total; esa frase es una afirmación del turno anterior, no un dato, y se comprueba contra la tabla de lo que el sensor realmente cubre.

Una brecha de visibilidad no se arregla esta mañana, pero se anota desde el primer día, porque cada hallazgo de la semana tendrá el límite de lo que se pudo ver.

El turno saliente entrega cuatro afirmaciones: cobertura total, alertas explicadas, copia nocturna conocida y escáner programado para el martes. Un traspaso es un punto de partida y no una conclusión heredada. La regla de trabajo es que cada afirmación se contrasta con la tabla donde esa evidencia vive, y se anota lo que no cuadra sin tirar a la basura lo que sí.

Contrastar no es desconfiar de todo: es dejar escrito qué se verificó y qué no.

Hay tres alertas de subida grande desde el mismo equipo, a la misma hora y hacia el mismo destino, tres noches seguidas. Una repetición exacta es una pista en los dos sentidos: puede ser una tarea programada o puede ser un canal. Lo que decide no es el tamaño, sino cuatro comprobaciones: si está escrita en un cambio vigente, si cae en su ventana, si el destino es el contratado y si el volumen está dentro de lo que la línea base dice que es normal para ese equipo.

Un número grande, por sí solo, no condena ni absuelve.

De las seis alertas, cinco tienen una tabla que las explica: un cambio aprobado, un aviso sobre una firma o la línea base. Una sola llega sin ninguna de esas tres cosas. Esa es la que hay que mirar primero, no por ser la más grave —la severidad es la de la regla— sino porque es la única cuya existencia no se ha contrastado con nada.

La pregunta de siempre: lo que la regla describe, ¿ocurrió, y estaba autorizado?

Una alerta de severidad media, sin explicación y de un equipo con dueño no se cierra ni se sube a la máxima por intuición. Se abre un caso con lo que se sabe, se identifica a quién responde por el equipo y se decide qué evidencia pedir primero: lo que ese equipo hizo antes y después de la alerta. Es el mismo método de los módulos anteriores aplicado a una sola fila.

Abrir un caso no es acusar a nadie: es dejar el rastro para que la siguiente persona continúe sin repetirlo.