Escenario — tres fichas, un solo equipo, cinco criterios

El responsable del SOC pregunta si alguna de las tres fichas depende de datos que el SIEM no recibe hoy. Cruza la fuente que cita cada ficha con lo que llega de verdad.

Una de las estrategias ya se ensayó sobre treinta días de historial. El turno revisaría cada disparo durante los minutos que indica el ensayo. El responsable quiere saber cuánto se llevaría solo ese ensayo, para compararlo con el presupuesto de las detecciones nuevas.

El equipo revisa con cinco criterios. Al contrastar cada ficha con sus datos, hay uno que las tres incumplen, y es el que más tarde se nota: cuando la alerta salta, nadie sabe quién responde ni en cuánto tiempo.

El equipo ordena sus fichas por impacto por confianza. El responsable quiere saber cuál encabeza la cola de trabajo, sin perder de vista que el orden de la cola no es lo mismo que el orden de publicación.

Tienes el cuadro completo: una ficha cuya fuente no llega, otra que dice no conocer falsos positivos cuando su ensayo la desmiente y que carga con casi todo el presupuesto, y una bien probada a la que le falta el plazo de respuesta. Las tres incumplen el criterio de la respuesta.