Escenario — el informe con 40 % «no visto»

El borrador dice que cuatro de diez pruebas no se vieron. Antes de discutir la cifra, comprueba si todas las pruebas contadas como «no visto» se ejecutaron. Una celda vacía no es lo mismo que un resultado negativo.

Quitada esa prueba, la base cambia. Con las pruebas que sí se ejecutaron, cuenta cuántas no se vieron en el SIEM. Ese número, y su base, son los que el informe puede sostener con la matriz.

Dos de las pruebas no vistas son de la misma técnica y ocurrieron en equipos distintos. Cruza sus notas con el estado de las fuentes: una misma causa de origen explica a las dos y se resuelve con una sola tarea. La tercera no vista tiene otra causa.

Tienes tres ingredientes: una prueba que no se pudo ejecutar y por qué, tres no vistas con dos causas diferentes, y una regla en modo de prueba que explica una alerta que no salió. Falta decidir cómo lo resume el resumen de apertura del informe.

El comité pregunta qué hace falta. Hay una fuente que dejó de llegar, una auditoría que no está activa, una regla que lleva el estado de prueba y una prueba pendiente. No todo pide una regla nueva y no toda tarea se cierra con el cambio: algo debe repetirse.