Escenario — el informe de 40 páginas y tres semanas de presupuesto

La dirección no quiere un listado de todo lo que dice el informe, sino una primera conducta: observada y con evidencia citada, de relevancia alta según la valoración de riesgo de la empresa, cuya fuente de datos llega hoy al SIEM y para la que el catálogo no tiene ninguna regla, ni siquiera apagada.

El proveedor adjunta diez valores en el apéndice con la fecha hasta la que los da por válidos. Antes de cargar nada, la dirección quiere saber cuántos de esos valores siguen vigentes hoy, lunes 26 de octubre de 2026. Un valor cuya fecha es anterior a hoy está vencido.

El plan que propones hace todo lo que cumple las condiciones de la primera tarea, incluido reactivar o probar las reglas que ya existen si falta algo: conducta observada con evidencia, relevancia alta, fuente que llega. Con ese plan, queda un margen de los quince días.

En el informe hay dos atribuciones: una declara baja confianza y la otra, media. La que declara confianza media es la que más fácil se cuela en una presentación para la dirección, porque suena razonable. No sostiene ninguna detección.

Con el plan armado y ocho días libres, queda una conducta relevante que no cabe en el plan base porque su fuente no llega y depende de otro equipo. Ocho días alcanzarían, en el papel, para su trabajo, pero la fuente no está en tus manos.