El reporte de un minuto

El reporte de un minuto tiene cuatro partes y siempre en el mismo orden, para que quien lo recibe sepa dónde mirar sin leerlo entero:

1. Qué pasó: los hechos con su hora, del más antiguo al más reciente. Cuenta, dirección, archivo, cifra.
2. A qué afecta: todos los equipos, cuentas y datos que el incidente tocó, también los que tocó sin llevarse nada.
3. Qué se hizo: cada acción ya tomada, con su hora.
4. Qué se pide: la acción concreta que no puedes tomar tú y a quién le corresponde aprobarla.

Un minuto de lectura son unas ciento cincuenta palabras. Lo que no cabe —el detalle de cada consulta, la línea de tiempo completa— va enlazado en el ticket, no dentro del reporte.

El borrador R2 es casi bueno: tiene horas, cifras y la acción pedida. Pero un reporte se compara con los hechos antes de enviarlo, parte por parte, porque el error más caro no es una palabra de más sino un equipo de menos. Si «a qué afecta» se queda corto, la contención se queda corta con él: nadie revisa lo que el reporte no nombra.

«Qué se pide» no es un deseo («que alguien lo mire»); es una acción concreta y el nombre de quien puede autorizarla. Aislar un servidor de producción es una parada: deja a una parte del negocio sin su aplicación. El SOC puede recomendarlo con argumentos, pero quien lo aprueba es el dueño del sistema, y si el reporte no lo nombra, la guardia de IR pierde diez minutos buscándolo en el inventario.

Otro caso, el martes por la mañana, para practicar el formato con otros datos. A las 11:02 la cuenta cbedoya abrió el adjunto cotizacion_dic.xlsm en del-cot-pc14, un puesto de la sede de Cota. A las 11:03 el puesto se conectó a 198.51.100.143, y a las 11:05 el antivirus puso en cuarentena el programa que había bajado. A las 11:12 el SOC aisló el puesto. Ningún otro equipo de Delta habló con esa dirección. Hay tres reportes escritos; solo uno sirve.

Un adjetivo —grave, masivo, sofisticado, crítico— no le da a quien lee nada que pueda comprobar o usar; le da tu estado de ánimo. Una cifra con su hora sí. Y una suposición escrita como hecho —«el proveedor lleva semanas comprometido»— es peor que un adjetivo, porque alguien decidirá sobre ella. Lo que no se sabe se dice que no se sabe: es un dato tan útil como los demás, porque dice dónde seguir buscando.

El borrador R1 se escribió a las 02:15, con la alerta recién abierta, y se nota. Hay que reescribir su primera línea.