Leer un flujo de eventos y decidir la respuesta

El flujo llega ordenado por hora, y las horas mezclan a todos. El primer paso para decidir es reagrupar por sujeto: filtrar los eventos de cada persona y leerlos en orden. Entonces aparecen las historias: quién tuvo un solo cambio sin consecuencias y quién acumuló varios en poco rato.

La política de la cooperativa añade una regla de acumulación (P4): tres o más eventos del mismo sujeto en una ventana de 30 minutos, contando desde el primero al último incluidos, se escalan a una persona aunque ninguno exija cerrar sesión.

Un sujeto puede escalarse por dos caminos distintos: porque un evento suyo llegó a riesgo alto (P1) o porque acumuló eventos (P4). El segundo es más fácil de perder, porque ningún evento aislado alarma. Para encontrarlo hay que contar por sujeto y medir el tiempo entre el primero y el último evento de la ventana.

Revisa flujo.txt, agrupa por sujeto y descarta a quien ya se escala por P1 y a quien no cabe en 30 minutos.

Cerrar sesiones es la acción más costosa para la persona y la más urgente para la empresa. La política la manda en tres casos: riesgo alto (P1), contraseña actualizada (P2) y dispositivo que deja de cumplir (P3). Un sujeto puede cumplir varias reglas y se cierra una vez: se cuentan personas, no reglas.

Recorre flujo.txt y cuenta los sujetos distintos a los que alguna de P1, P2 o P3 les manda cerrar sesiones.

En respuesta, el tiempo cuenta. Para el sujeto con más eventos de la mañana, el cierre de sesiones pudo haberse pedido antes de que llegara el riesgo alto: bastó un evento anterior. Saber cuál fue el primero es lo que permite decir, en el informe, cuánto se tardó en actuar y qué faltó para hacerlo antes.

Entre los eventos del sujeto que más eventos acumula en flujo.txt, busca el primero que ya pedía cerrar sesiones según la política.

La recomendación a quien opera debe decir qué se hace, a quién y por qué regla, sin mezclar lo que la política manda con lo que alguien supone. «Cerrar sesiones de ogaravito por P3 tras el paso de su dispositivo a no cumplir» es una recomendación; «parece sospechoso» no lo es. Tampoco se recomienda bloquear la cuenta si la política solo manda cerrar sesiones.