Las fuentes que callan — cobertura y huecos

La cobertura de fuentes es cuántas unidades de cada fuente envían registros comparadas con cuántas deberían enviarlos según el inventario. Se mide por tipo de fuente y con una ventana de tiempo reciente, porque una unidad que envió hace una semana y callaba desde entonces no está cubierta.

El fallo típico es leer el silencio como calma. Una pasarela que no envía nada no produce alertas, y un tablero sin alertas se parece mucho a uno de un día tranquilo. Por eso la primera pregunta cuando una fuente «no tiene nada» no es qué significa, sino si sigue enviando datos.

Abre el inventario de fuentes. Cada fila trae cuántas unidades se esperan y cuántas reportaron en las últimas 24 horas. El agente de protección de los puestos de trabajo es la fuente más grande y la más expuesta a que algo falle sin que nadie lo note: equipos apagados, agentes caídos, equipos que ya no existen.

Un porcentaje bajo no pesa igual en todas partes: perder un tercio de una fuente crítica duele más que perder el diez por ciento de una de criticidad media. Entre las fuentes de criticidad alta, busca la que tiene la cobertura más baja. La respuesta es el nombre de la fuente tal como figura en el inventario.

La cobertura de ahora no dice qué pasó antes. Los huecos son tramos en que una fuente que normalmente envía registros no envió ninguno. Suma los de la misma fuente: la ceguera no se mide por tramo sino por el mes. Las horas están en hora de Bogotá, con mes y día; el primer tramo cruza la medianoche.

Si un incidente empieza dentro de un hueco, ninguna regla de esa fuente pudo verlo. El SOC se entera por otra vía, o cuando la fuente vuelve. Piensa qué hace eso a las cifras que calculaste antes y cómo se deja constancia.