Aislar o seguir observando

El equipo de respuesta de la planta decide con tres preguntas, todas medibles en el registro. Cuánta certeza hay: si una sola fuente lo dice o dos independientes coinciden. Si ya hay propagación: si el equipo contactó a otros con los que no hablaba antes, porque entonces cada minuto suma equipos al caso. Y cuál es el costo de aislar: si hay un servicio que depende del equipo y se detiene con el corte.

La severidad de la regla que saltó, en cambio, no sirve para decidir: la calcula quien escribió la regla pensando en lo que detecta, no en el equipo concreto que hoy la disparó. Un servidor de producción con una alerta baja y un puesto con una alerta baja tienen costos de aislar muy distintos.

La compañía tiene sus criterios escritos: la columna del medio dice cuándo se aísla ya y la de la derecha cuándo se observa antes. Los tres casos abiertos tienen la misma severidad en la cola, de modo que la cola no los separa; los criterios, sí.

Lee cada caso contra los tres criterios. El que cumple todos los de la columna «aislar ya» es el que se corta; los otros dos tienen algún criterio que apunta a esperar, y esa razón se escribe en su ticket.

Aislar un puesto lo decide el analista del turno, con su procedimiento. Aislar un servidor es otra decisión, porque se llevan consigo las personas o los procesos que dependen de él, y por eso el procedimiento nombra quién la aprueba y cuánto se espera su respuesta antes de escalar. Ese nombre no se inventa en medio del incidente; ya está escrito.

Mira de qué tipo es el equipo del caso que sostiene un servicio de producción y busca en la tabla de autorizaciones el rol que aprueba su aislamiento.

El servidor de la báscula tiene un intento denegado hacia un puerto inusual, una sola vez, y de una sola fuente. No ha contactado a otros equipos. Si se le corta la red, el despacho de camiones del turno se pasa a papel. Los criterios lo mandan a «observar antes», y observar no es dejarlo.

Observar bien tiene un plazo, un dueño y una condición de salto: se avisa a quien aprueba, se prepara el corte para ejecutarlo en minutos si aparece un contacto nuevo o una segunda fuente lo sostiene, y se vigila el equipo con una consulta que alerte. Dejar el caso abierto sin nada de eso es lo mismo que cerrarlo.

Antes de aislar, se mide el alcance: a cuántos equipos nuevos llegó el que se va a cortar. No para frenar la decisión, sino para que el ticket diga qué más hay que revisar cuando el equipo ya esté sin red. Cada contacto nuevo es un equipo con su propio caso abierto hasta que se demuestre lo contrario.

Cuenta, en la última hora, los equipos con los que el puesto del caso nunca había hablado en los 90 días anteriores.