El ruido que cuesta tiempo — falsos positivos con minutos

Cada alerta se cierra con uno de tres veredictos. Falso positivo: lo que la regla describe no ocurrió. Benigno verdadero: ocurrió y estaba autorizado. Escalada: ocurrió y nada lo autoriza. La tasa de falsos positivos es el número de falsos positivos entre todas las alertas cerradas del mismo periodo, expresada en porcentaje.

Mezclar los dos primeros cajones estropea la medición, porque piden arreglos distintos: un falso positivo se arregla corrigiendo la regla; un benigno verdadero, con una excepción acotada o una lista de lo autorizado, sin tocar lo que la regla vigila. Si los sumas, no sabes qué pedirle al equipo de detección. Los dos cuestan lo mismo al turno, y por eso es útil ver también cuánto de la cola no era incidente, pero como cifra aparte.

Abre las reglas del mes. Cada fila trae los disparos de una regla y cuántos se cerraron en cada veredicto. La tasa global se calcula con los totales, no promediando los porcentajes de cada regla: una regla de 50 alertas no pesa lo mismo que una de 1.400.

La regla que más falsos positivos da no es necesariamente la que más tiempo de turno gasta en ellos. Cada alerta tarda un número distinto de minutos en triarse según la regla: unas se cierran con un vistazo y otras piden abrir tres consolas. El coste de una regla ruidosa es falsos positivos × minutos por alerta. Lo primero cuenta al equipo; lo segundo, el turno.

Ya sabes qué regla cuesta más tiempo. Antes de pedir nada, mira su fila entera: de sus alertas, la inmensa mayoría no fue incidente y se reparte entre falsos positivos y benignos verdaderos. Lo que se pide depende de a cuál de los dos cajones pertenece el ruido, y esa información la tiene el cierre de cada alerta, no el nombre de la regla.