Priorizar qué cazar

El equipo de caza tiene horas contadas y el catálogo de técnicas es enorme. Intentar cubrirlo entero a la vez reparte el esfuerzo tan fino que ninguna caza llega al fondo. Priorizar es decidir, con criterio, qué hipótesis se persigue primero —y el criterio no es cuál es más entretenida ni cuál se cazó la última vez en otra empresa, sino cuál importa más aquí y ahora—.

Sin priorizar, la caza se vuelve una lista que nunca baja: se empiezan diez hilos y no se cierra ninguno. Elegir pocas hipótesis y cerrarlas rinde más que abrir muchas y dejarlas a medias.

El primer criterio es qué protege la empresa. Brío Logística vive de su sistema de pedidos y de los datos de sus clientes; una técnica que amenace esos activos pesa más que una que tocaría un recurso sin valor. Priorizar por el activo crítico —lo que de verdad dolería perder— alinea la caza con el daño real, no con la novedad técnica. Se caza primero cerca de la corona.

Esto exige saber qué es la corona antes de cazar. Un equipo que no tiene claro qué activos son críticos prioriza a ciegas y acaba cazando donde es cómodo, no donde importa.

El segundo criterio es quién está activo contra empresas como la tuya. La inteligencia de amenazas dice qué grupos operan en el sector de la logística y qué técnicas prefieren; priorizar esas técnicas sobre las que nadie está usando aquí concentra la caza en lo probable. No es adivinar: es leer qué conductas aparecen en los informes del sector y buscarlas primero.

Combinado con el activo crítico, esto afina mucho: no «cualquier técnica contra cualquier cosa», sino «la técnica que el grupo activo en logística usaría contra nuestro sistema de pedidos». Ahí es donde una caza rinde.

El tercer criterio resta: lo que una regla del SOC ya detecta bien no es la mejor inversión de una caza, porque ahí no hay ceguera. La caza rinde donde la vigilancia no llega —técnicas sin regla, o con una regla que se sabe floja—. Antes de lanzar una caza conviene preguntar «¿esto ya lo veríamos si pasara?»; si la respuesta honesta es sí, el tiempo rinde más en otra hipótesis.

Esto evita el trabajo que se siente productivo y no lo es: recazar lo que ya está cubierto da la tranquilidad de «no encontré nada» sin cerrar ningún hueco nuevo. La caza va al hueco, no a lo cómodo.

Abre el laboratorio de priorización. El equipo de Brío dejó tres hipótesis candidatas para el próximo turno, cada una con una ficha que dice qué activo toca, si hay inteligencia de un grupo activo que la use, y si ya existe una regla que la cubra. Aplica los tres criterios y quédate con la que debería cazarse primero —la que amenaza el activo crítico, la usa un grupo activo en el sector y no está cubierta por ninguna regla—. La ficha de esa hipótesis lleva el código.