Escenario — el banco regional con dos SIEM

Antes de decidir qué apagar, hay que saber qué no se ve hoy. Una fuente que no llega a ninguno de los dos SIEM es un hueco de visibilidad previo a cualquier migración. Mira cobertura.

Apagar el SIEM heredado deja sin ver todo lo que solo llega allí. Hay una fuente que solo está en el SIEM de la cooperativa y no en el del banco. Búscala en cobertura.

Las dos plataformas disparan reglas parecidas sobre fuentes en común, y lo mismo se cuenta dos veces. Para saber cuánto trabajo real hay detrás de una regla, se suman las alertas de cada SIEM y se resta lo que ambos generaron sobre el mismo hecho. Hazlo para la regla de transferencias repetidas bajo el umbral de revisión.

La política exige conservar 365 días y tener 90 de consulta inmediata. El SIEM heredado conserva menos de lo exigido. Si la fuente que solo vive allí sigue ahí, sus registros no cumplen. Calcula cuántos días de déficit tiene ese SIEM frente a la conservación exigida, con siems y exigencias.

Hay una fuente que solo vive en el heredado, otra que no llega a ninguno, alertas duplicadas por mitad y una licencia que vence en semanas. Un sí o un no a secas dejaría un hueco. La respuesta se sostiene si dice qué se apaga, qué antes hay que mover y qué queda pedido a quién.