Qué es normal para un puesto

En un caso de acceso interno la persona tiene permisos legítimos: nada de lo que hace es «un ataque» por sí mismo. Lo que cambia es la cantidad, la hora o el destino respecto de lo que es habitual para ella. Por eso la pregunta que se hace primero no es «¿es mucho?» sino «¿es mucho para quién?».

Lo normal tiene dos referencias. La primera es el puesto: una contadora en cierre contable descarga cientos de archivos y un operario de despacho, unos pocos. La segunda es el historial de la misma cuenta, que se resume con una mediana y un máximo de las últimas semanas. Una cifra única para toda la empresa ignora las dos.

Abre la consola. Ejecuta SELECT * FROM puestos para ver quién es quién y SELECT * FROM linea_base para ver, por cuenta, la mediana y el máximo de las últimas doce semanas de archivos descargados y la cifra de la semana del 7 al 11 de septiembre. Compara cada semana actual con el máximo de la misma cuenta, no con el de las demás.

Un máximo superado dice que algo cambió, pero no cuánto. Una medida útil es cuántas veces su cifra típica es la semana actual: se divide la semana actual entre la mediana. Dos veces su normal no es lo mismo que cincuenta veces, aunque ambas superen el máximo.

Mira SELECT * FROM regla_actual: el SOC avisa cuando una cuenta descarga más de cierta cifra en la semana, igual para todas. Piensa qué pasaría con esa regla en esta semana, con las cifras de linea_base, y con el puesto de cada cuenta.

Ejecuta SELECT * FROM calendario. Ese calendario no es una excusa: es contexto. Una desviación que coincide con un evento del área merece una comprobación, y esa comprobación mira qué se descargó y si corresponde al evento, no solo que hay un evento. Decide qué se hace con la cuenta que superó su máximo.