Escenario — una ejecutiva a punto de renunciar

La renuncia fue por escrito, y su fecha y hora vienen de recursos humanos, no del SOC. Lo que sí es del SOC es cuánto se descargó a partir de ese momento. Un día de trabajo normal, en horario, desde la oficina, puede ser rutina; lo que cuenta es el volumen frente a la línea base de la cuenta.

Se aprobó un traspaso de cartera por una reasignación de zona, con una ventana de dos días, un recurso y un límite de archivos. Las descargas que caben en esa autorización son rutina. Hay una descarga del mismo recurso que cae fuera de la ventana y supera por mucho el límite.

El proxy cuenta las subidas por servicio. Hay una subida a un servicio aprobado por la empresa, que se cuenta aparte. Las demás van a servicios que la empresa no aprobó.

El DLP vigila lo que está etiquetado. Una de las alertas del mes terminó con un archivo confidencial saliendo hacia un servicio no aprobado; otra lo detuvo; una tercera es de rutina. Y hay una subida de más de trescientos archivos que no generó ninguna alerta, por una razón que está en la tabla de etiquetas.

Jurídico y recursos humanos esperan el informe. Hay hechos medidos, un traspaso aprobado que cubre una parte, una subida grande sin alerta y límites claros de lo que el proxy y el DLP permiten saber. La jefatura quiere una frase que diga que la ejecutiva se llevó la cartera para la competencia.