Cerrar el caso — qué tiene que tener y quién lo aprueba

En el módulo de triaje cerraste alertas: una nota con qué saltó, qué consultaste, qué encontraste y el cajón. Un caso de incidente pide más, porque alguien lo leerá dentro de seis meses para saber si el mismo problema vuelve:

• Causa: por qué pasó. Si no se pudo determinar, se escribe así, con lo que se revisó y lo que faltó.
• Alcance: lo confirmado, no lo supuesto: qué equipos, cuentas y datos tocó y qué salió.
• Acciones: contención, erradicación y recuperación, cada una con su dueño y su estado.
• Lecciones: qué cambia para que no se repita o para verlo antes, con dueño y fecha. «Ninguna nueva» vale si se dice por qué.

Una acción de recuperación abierta significa que el sistema no ha vuelto a su estado limpio: un puesto que aún no se ha reinstalado sigue siendo un puesto en el que alguien tuvo un programa malicioso. Un caso así no está cerrado, está resuelto y en seguimiento, y la diferencia importa: lo cerrado sale de todas las listas y nadie vuelve a mirarlo.

Las lecciones son otra cosa. Una mejora con fecha dentro de un mes no deja el caso abierto: se sigue en su propio registro, con su dueño.

El analista de nivel 1 prepara el cierre: revisa que estén los cuatro campos, enlaza la evidencia y lo propone. No lo aprueba. La aprobación es de un rol con autoridad sobre el caso, y nunca de quien lo propone: es el control de cuatro ojos, el mismo que se pide para un cambio en producción. Un cierre aprobado por quien lo propuso no lo ha revisado nadie.

Una lección sirve si dentro de un mes alguien puede comprobar si se cumplió. Para eso necesita una acción concreta, un dueño y una fecha. «Tener más cuidado» no se puede comprobar. Y una lección que señala a una persona —«el analista tardó»— enseña al equipo a esconder los retrasos en lugar de contarlos: si la cadena de guardia tardó, la lección es sobre la cadena.

IR-931 tiene la causa confirmada por el proveedor, el alcance completo —incluido el equipo del que no salió nada—, las tres acciones hechas y una lección con dueño y fecha. Pero tocó datos personales de los clientes de un banco, y la política de Delta pide para esos casos una firma más: la de legal, que confirma que los avisos que correspondían —al cliente y, si legal lo decidió, a la autoridad— se dieron.