Revisión posterior del incidente

La revisión posterior busca lo que el sistema permitió, no a quién culpar. Si la conclusión es «alguien se descuidó», el siguiente descuido ocurrirá igual: no cambió nada. Si es «nada avisaba de una descarga a las tres de la madrugada», se puede construir esa alerta y el cambio queda.

Esto no quita responsabilidades: decide dónde se pone el esfuerzo. Se corrige el proceso, y las decisiones individuales se tratan en otro sitio.

La cifra más reveladora de la línea de tiempo es el tiempo entre el primer acceso no autorizado y la alerta. Cuanto más largo, más datos pudieron salir sin que nadie lo supiera. Se cuenta en horas corridas, con las horas exactas de las dos filas.

Abre linea-de-tiempo.csv y mide el tiempo entre el primer acceso de la sesión no reconocida y la alerta del monitoreo.

Un plan de acciones sin dueño no se ejecuta. Una acción sin resultado medible no se puede dar por terminada. La regla 2 de la revisión pide dueño, fecha y resultado, y las tres cosas deben estar en cada fila.

Revisa acciones.csv y busca la que no cumple.

No todas las acciones del plan atacan la misma brecha. Unas reducen lo que se guarda, otras mejoran la verificación de cuentas y otras, el tiempo de detección. La brecha que midiste en la tarea 2 se cierra con una sola de ellas: la que detecta antes una descarga extraña.

Lee la columna accion de acciones.csv.

«Mejorar el monitoreo» no es un resultado: nadie sabe cuándo está hecho. Un resultado medible dice qué se observa, con qué prueba y con qué umbral. En el plan, la acción A-2 lo hace bien porque propone una descarga de prueba y un tiempo máximo de 15 minutos.

Un buen resultado se puede comprobar un martes cualquiera por alguien que no estuvo en la reunión.