Evidencia para un proceso, sin juicio técnico

Una frase de un informe puede ser de tres clases. Un hecho dice lo que un registro muestra, con su fuente y su hora: «a las 22:14 el DLP registró…». Una deducción es lo que el analista concluye de varios hechos y debe presentarse como tal («lo más probable es…, por…»). Un juicio valora personas o intenciones («fue negligente», «lo hizo un grupo extranjero») y casi nunca le corresponde al analista, porque ningún registro lo sostiene.

La regla práctica: cada frase debe poder acompañarse de la fila del registro que la respalda. Si no hay fila, no es un hecho.

Abre la consola y lee el borrador junto a los registros. La atribución, es decir, decir quién está detrás de un ataque, es una de las afirmaciones más difíciles de sostener. Una dirección IP o una hora no dicen la nacionalidad ni el respaldo de quien actuó, y un informe que lo afirma sin evidencia puede contaminar el resto.

Los informes que culpan a una persona son los que más daño hacen: pueden terminar en una sanción laboral basada en un juicio que nadie comprobó. Aquí hay una línea que atribuye una falta a un compañero, y un registro de la cola de alertas que la contradice. Cuando una frase choca con la evidencia, el analista la señala, no la limpia por su cuenta.

Otra manera de afirmar más de lo que se sabe es la cifra. «Todos los clientes» es una frase fácil de escribir, pero si el registro de la base de datos cuenta un número concreto, ese es el número. Si el informe dice una cifra mayor, jurídico puede notificar a miles de personas que no tenían por qué enterarse, o comprometerse con un número que luego se desmiente.

Reescribir una línea problemática no es borrarla: es sustituir el juicio por lo que sí se sabe y dejar lo demás como pendiente. La línea se queda anclada al registro, y lo que falta se declara como pendiente.

La reescritura buena conserva el dato útil, quita la valoración y no oculta lo que se sabe.