Comparar con los pares — normal para quién

La línea de base global dice cuánto es normal para toda la empresa, y esa cifra no le sirve a nadie en particular: las cuentas de administración de sistemas tocan decenas de servidores por oficio, y las de finanzas, tres o cuatro. Una regla de «cuentas que tocan muchos servidores» aplicada a todos marca a los administradores cada semana y no ve a la cuenta de finanzas que de pronto toca veinte.

Comparar con los pares cambia la pregunta: no es «¿toca muchos servidores?» sino «¿toca más servidores de los que tocan las demás cuentas que hacen lo mismo?». El grupo de pares se define antes, con un criterio que se pueda explicar, como el rol, el área o la función.

Dentro de cada grupo se calcula la mediana de los servidores distintos por cuenta. Es el centro robusto del grupo: no se deja arrastrar por la cuenta que más se aleja, que es la que se busca.

Abre la tabla de accesos por cuenta, quédate con las cinco cuentas de soporte y halla la mediana de sus servidores distintos.

Con la mediana de cada grupo y el MAD se aplica la regla robusta de los parámetros: la puntuación modificada mayor de 3.5 dentro del grupo marca a la cuenta atípica. En un grupo pequeño el MAD es chico y cualquier desviación notable se nota, mientras que dentro de los grupos de administración o de finanzas ninguna cuenta se aparta de verdad.

Calcula la puntuación del valor más alto de cada grupo y quédate con la que supera el umbral.

La segunda consulta ordena todas las cuentas por volumen sin mirar el rol: es la lista que produce la regla global. Arriba de esa lista hay cuentas que, vistas junto a sus pares, son completamente normales: tocan muchos servidores porque su oficio es administrarlos.

Este es el falso positivo que la comparación con pares evita, y es tan valioso como el hallazgo: documentarlo ahorra horas al próximo turno.

La comparación con pares depende de que el grupo sea honesto. Si el grupo tiene solo dos cuentas, la mediana y el MAD no significan nada. Si mezcla oficios distintos, el centro del grupo no representa a nadie. Y si la cuenta comprometida está en un grupo donde todas hacen lo mismo anómalo, la comparación no la ve.

Por eso el grupo se revisa como se revisa un umbral: se escribe, se justifica, se prueba y se corrige cuando el negocio cambia.