Informes a la autoridad, qué avisar y cuándo

La primera comunicación a una autoridad se hace cuando se sabe poco. Eso es normal y esperado: la alerta temprana existe para avisar de que algo ocurre, no para explicarlo. Lleva lo que se sabe, lo que se ignora, el servicio afectado y las medidas en curso. Lo que no se sabe, se dice como tal.

La causa suele ser lo último que se conoce. Adelantarla en una alerta tiene dos riesgos: acusar de algo que no ocurrió y, si resulta falsa, perder credibilidad en los informes siguientes. Los informes de situación y final son los lugares para afirmar una causa, cuando hay evidencia.

No todo lo que pasa se notifica. La resolución del ejercicio fija dos criterios: el evento afecta o puede afectar a más de 5000 usuarios, o toca un sistema de control. Y deja fuera los avisos de fabricante sin actividad observada, que son vulnerabilidades en gestión, no eventos.

Aplicar el criterio exige mirar tres columnas a la vez: usuarios potenciales, si toca control y qué es realmente lo que pasó. Un apagón sin causa informática puede ser notificable por el número de usuarios; un malware en una impresora no lo es.

El plazo corre desde la detección, no desde que el comité se entera ni desde que se confirma la causa. Es una de las confusiones más comunes: se espera a tener «todo claro» y el reloj ya pasó. Por eso conviene que el registro de eventos guarde la hora de detección y la hora de envío en columnas separadas, y que una persona las compare.

Compara detectado con alerta_enviada en eventos.csv y aplica el plazo de la regla 3.

El evento E-06 sigue pendiente: la sesión remota no reconocida contra la estación de operación. Contar el plazo bien es parte del trabajo: se suma el número de horas a la hora exacta de detección, sin redondear al día. Si el plazo cae de noche, no se aplaza a la mañana: la autoridad no se mueve con el horario de la oficina.

Escribe la hora límite con el formato de las demás fechas: año, mes, día, hora y minuto.

El borrador de alerta de E-06 ya existe. Tu trabajo es revisarlo antes de que alguien lo envíe. Los campos de servicio, hechos, medidas y contacto describen lo que ya se sabe. Hay un campo en que alguien se adelantó, nombrando un responsable sin que ninguna evidencia lo respalde en los archivos.

Lee borrador-alerta-e06.txt y recuerda lo que la resolución dice sobre qué no se escribe en la alerta.