Leer reglas y alertas, y el costo de los falsos positivos

Una regla que solo busca un patrón, por ejemplo «diez dígitos seguidos», coincide con números de cuenta y también con números de orden, de teléfono, de factura y de lote. Las reglas mejoran al añadir contexto, y cada pieza de contexto reduce el ruido: una palabra cercana («cuenta»), un mínimo de coincidencias (no una, sino cinco), una condición de destino (solo hacia fuera de la empresa) y la etiqueta del archivo.

Lee las seis reglas de Faroval y fíjate qué datos usa cada una.

La tabla de alertas de la semana tiene, por regla, cuántas se generaron y cuántas confirmó un analista como salidas indebidas. La diferencia son los falsos positivos de esa regla: trabajo humano gastado en lo que no era un problema. Su proporción es lo que decide si una regla se queda como está, se afina o se apaga.

Calcula los falsos positivos de la regla de números largos.

No todas las reglas ruidosas cuestan lo mismo. Una que solo avisa gasta tiempo de analista. Una que bloquea y falla, además, frena trabajo legítimo: un correo de recursos humanos que no sale, una oferta que un cliente espera. Y lo más costoso: las personas aprenden que el control se equivoca y buscan cómo evitarlo.

Busca la regla que bloquea y no tiene ninguna alerta confirmada en toda la semana.

Una regla con muchos falsos positivos se afina; no se apaga sin más ni se deja así. Afinar significa cambiar la condición para que use más contexto o pasar la acción de bloquear a avisar mientras se corrige, y siempre con tres cosas: un cambio aprobado por quien tiene la responsabilidad, una fecha y una medición posterior que demuestre que bajó el ruido sin perder las alertas buenas.

La regla del asunto con palabras clave no mira el destino ni la etiqueta. En la alerta AL-4472 bloqueó una circular de cursos enviada a una dirección interna de recursos humanos.

Una alerta bien leída responde cinco cosas: quién, qué archivo, qué nivel de etiqueta tenía, a dónde iba y qué regla la disparó. Con eso se decide si es una salida indebida, un descuido sin consecuencias, una falsa alarma o algo que falta por investigar. Ninguna se decide mirando solo el nombre del archivo.

La alerta AL-4471 es la de una etiqueta Restringido que iba hacia fuera de los dominios aprobados.