Qué hace cada nivel y por qué se escala

En un SOC los niveles 1, 2 y 3 se describen por la decisión que le corresponde a cada uno, no por los años de experiencia de quien los ocupa. El nivel 1 trabaja la cola con un procedimiento y decide una cosa: cerrar la alerta o escalarla. El nivel 2 investiga los casos que exigen cruzar varias fuentes y decide si hay un incidente. El nivel 3 atiende lo complejo, caza amenazas y mejora las detecciones. Cada organización los llama a su manera (analista, investigador, ingeniero), y algunas tienen solo dos; lo que importa es que la decisión de cada escalón esté escrita.

Escalar es entregar un caso a quien puede decidir algo que el nivel actual no puede. Por eso un buen escalado se justifica con un criterio escrito: «hay inicio de sesión exitoso desde un país nuevo y luego un cambio de regla de bandeja». Un escalado por intuición («esto me da mala espina») cuesta tiempo al nivel que recibe y, repetido, hace que nadie confíe en lo que sube.

Abre la cola de escalados del mes. La columna «motivo» dice si el que escaló cumplía un criterio escrito, y «resultado» dice lo que concluyó quien recibió el caso. Un escalado «sin criterio» que terminó como «benigno» es trabajo que el nivel de destino hizo sin necesidad.

Los escalados sin criterio no se reparten parejo: casi siempre vienen de una o dos reglas cuya alerta se ve peligrosa y casi nunca lo es. Encontrar esa regla dice dónde falta un criterio escrito.

El manual del SOC de Papagayo describe cada nivel con lo que atiende y con la decisión que le pertenece. La decisión exclusiva de un nivel es la que ningún otro puede tomar sin saltarse el procedimiento.

Ya sabes qué regla genera escalados sin criterio y cuántas veces terminaron en nada. Escribir «escalen menos» no cambia nada: el equipo no sabe cuándo subir y cuándo cerrar. La corrección está en el procedimiento, no en la actitud de nadie.