El traspaso al turno de tarde

Un traspaso empieza por lo que no está terminado, no por lo que sí. Dos de los tres casos del turno se cerraron con su motivo escrito; el tercero sigue vivo y es el que el turno de tarde tiene que poder abrir sin preguntarte nada.

El recuento de falsos positivos es lo que el equipo de detección lee al día siguiente para decidir qué reglas arregla, así que tiene que ser exacto y no puede incluir lo que la regla acertó. Salen de tres avisos distintos y de tres reglas distintas, así que ninguna columna de la cola te lo da sola.

El equipo regional recibe una línea por incidente, y esa línea la lee alguien que no estuvo en tu turno ni conoce a nadie de Delta. Vale lo mismo que en español: hechos con su hora, separados de la interpretación, y la acción concreta que ya se hizo. Lo que no vale es rellenar con tranquilizadores ni con la narración de tu mañana. Elige la línea que mandas.

El equipo regional sigue cada caso con un vocabulario de estados corto y acordado, y cada palabra significa algo distinto para quien la lee: una hace que el otro lado se movilice, otra hace que archive. En este caso la acción que detiene el daño ya está hecha —cuenta deshabilitada, sesiones revocadas, método del atacante retirado, contraseña de la cuenta de servicio rotada— y la investigación sigue abierta con respuesta a incidentes. Busca en el vocabulario la que describe exactamente eso.

Un turno que solo cierra alertas deja el mismo trabajo para mañana. La alerta que importó hoy entró en P4, el escalón de partida más bajo de la matriz, y compartía regla y severidad con tres que no eran nada; y la pasarela EDI saltó porque una lista se actualiza dos días tarde. Las dos cosas se arreglan en el SIEM, no en el turno. Decide qué le pides al equipo de detección.