Datos en riesgo, tocados y confirmados

Hay tres cifras distintas y las tres son verdaderas a la vez. En riesgo son los datos que estaban en la plataforma mientras estuvo expuesta; es el techo, la cifra más grande. Tocado es lo que una sesión no habitual alcanzó, según el registro. Confirmado es lo que el registro muestra descargado por completo.

Cada cifra se usa para algo diferente: la primera dimensiona el peor caso; la segunda decide a quién se avisa en primer lugar; la tercera es la que se puede afirmar sin reservas. Mezclarlas es el error habitual: se anuncia el techo como si fuera lo confirmado, o se afirma lo confirmado como si fuera todo.

Un registro de descargas no dice por sí solo qué es raro. Hace falta compararlo con lo habitual: desde dónde se conecta normalmente cada cuenta de servicio. Una cuenta que siempre entra desde la misma dirección y un día entra desde otra, de madrugada y recorriendo varias carpetas, es una señal clara. La hora y el recorrido ayudan, pero el criterio más firme es el origen.

Cruza registro-descargas.csv con origenes-habituales.csv.

Para saber a cuántas personas afecta lo tocado, se suman las personas de las carpetas que la sesión extraña alcanzó. La regla del laboratorio dice que cada persona figura en una sola carpeta, así que la suma no cuenta a nadie dos veces. En la realidad esa regla casi nunca se cumple y hay que deduplicar por identificador; aquí está simplificada para que te centres en el criterio.

Una carpeta de cero personas contiene datos de empresas, no de individuos, y no suma.

carpetas.csv indica si cada carpeta está cifrada en reposo. Esa columna importa para calcular el daño, pero conviene leerla con cuidado: hay carpetas tocadas con cifrado y carpetas tocadas sin él, y en las segundas el contenido, si se descargó, está en claro para quien lo tenga.

Entre las carpetas tocadas por el origen extraño, busca la que no está cifrada en reposo.

El cifrado en reposo protege contra un tipo concreto de pérdida: que alguien se lleve el disco, una copia de seguridad o la máquina virtual y la lea fuera de la plataforma. No protege contra una sesión que la propia plataforma considera válida, porque la plataforma descifra el archivo para entregárselo a quien se lo pide con credenciales aceptadas.

Por eso las carpetas de pólizas y siniestros, aunque estaban cifradas, siguen contando como tocadas: la sesión las alcanzó a través de la plataforma, no del disco.