Severidad, impacto y tiempos comprometidos

La prioridad de partida de una alerta sale de cruzar dos cosas. La criticidad del activo es cuánto duele si ese equipo cae o se filtra lo que guarda; la fija el negocio, no el SOC, y vive en el inventario. La confianza de la detección es cuánto se equivoca la regla que saltó, y sale de su historia: de cuántos de sus disparos de los últimos meses resultaron ser algo de verdad. Una regla que acierta dieciocho de cada veinte veces merece más crédito que una que acierta seis de cada doscientas.

Cruzadas en una tabla dan una prioridad —en Delta, de P1 a P4—. La matriz no reemplaza al analista: le da a todo el turno el mismo punto de partida, para que la prioridad no dependa de quién abrió la alerta ni de lo alarmante que suene el nombre de la regla.

Para cada alerta de la cola: busca la criticidad de su activo, busca la confianza de su regla y lleva las dos a la matriz. En la matriz de Delta, P1 exige las dos cosas en alto a la vez. Ojo con el atajo de siempre: la alerta cuyo nombre más asusta no es por fuerza la que la matriz pone arriba, porque una regla que salta todos los días con el soporte de TI tiene poca confianza aunque su nombre suene mal.

Cada prioridad lleva un tiempo de respuesta comprometido: los minutos que el SOC promete tardar, como mucho, en empezar a atender una alerta de esa prioridad. Es un compromiso con el negocio, escrito, y se mide. Dos detalles que se olvidan: el tiempo es para empezar a atender, no para resolver; y cuenta desde que llega la alerta, no desde que alguien la abre. Una alerta que esperó en la cola durante el cambio de turno ya gastó parte de su tiempo.

Así que al empezar el turno no basta con ordenar: hay que calcular a qué hora vence cada una. Prioridad, minutos de la tabla de tiempos, hora de llegada.

Ahora tienes dos frentes: una P1 que llegó hace ocho minutos y vence en siete, y una alerta de menor prioridad que ya está fuera de plazo. La tabla de tiempos dice además qué hacer cuando algo vence: a quién se avisa. Decide por dónde empiezas.

La matriz pone una prioridad antes de investigar, con lo único que se sabe en ese momento: qué activo y qué regla. Lo que encuentras después puede cambiarla. Si al enriquecer una alerta P3 aparece una dirección con historial de ataques y una sesión que ya tocó datos sensibles, quedarse en P3 «porque lo dice la matriz» es esconderse detrás de la tabla. Y al revés: si una P2 resulta ser un cambio aprobado, no sigue siendo P2.

Lo que no se hace es cambiarla en silencio. Se sube o se baja, y en el ticket queda escrito qué se encontró y por qué cambió: así quien audite el turno entiende la decisión, y el equipo de detección sabe que esa regla merece otra casilla.