Prioridad y severidad — por cuál empiezas

La severidad de una alerta es una primera estimación de cuánto daño podría haber detrás: una «posible fuga de credenciales» pesa más que un «inicio de sesión fuera de horario». No es el veredicto final —eso lo da el triaje—, sino una etiqueta para ordenar por dónde empezar cuando hay varias esperando. El turno que atiende por orden de llegada trata igual lo grave y lo trivial; el que ordena por severidad llega antes a lo que puede doler.

La severidad es una hipótesis de impacto, no una certeza. Sirve para priorizar la mirada, no para saltarse el análisis: una alerta de severidad alta puede acabar siendo un falso positivo, pero merece mirarse primero.

Dos alertas con la misma severidad no pesan igual si una toca un puesto de usuario y la otra el servidor de finanzas. La criticidad del activo —cuánto importa la máquina o el dato que hay detrás— es el segundo eje de la prioridad. Un compromiso en el servidor que guarda la contabilidad de toda la empresa se atiende antes que el mismo compromiso en un portátil cualquiera, porque lo que está en juego no es comparable. El activo convierte «dos alertas iguales» en «una primero».

Saber qué activos son críticos es conocer el terreno que defiendes. Sin ese mapa, el analista trata todas las máquinas como iguales y gasta su tiempo donde menos rinde.

La alerta que más veces salta tienta a atenderse primero por puro volumen, pero el número de disparos no es la prioridad: una regla amplia dispara mucho con cosas inofensivas. Priorizar por ruido es el mismo atajo que el triaje enseña a evitar, ahora aplicado a la cola. Lo que ordena no es cuántas veces sonó, sino la combinación de severidad e importancia del activo. La alerta callada sobre un servidor crítico va por delante de la ruidosa sobre un puesto cualquiera.

El analista que persigue el contador de disparos quema el turno en lo que más ruido hace y llega tarde a lo que importaba. La prioridad se calcula, no se deja llevar por el que grita más fuerte.

En la cola de Delta hay cuatro alertas a la vez. Ordénalas por severidad y por la criticidad del activo que tocan: solo una junta severidad alta y un servidor crítico. Esa es la que abres primero, y su nota trae un código que las demás no tienen.