Puntuaciones de riesgo por entidad

La puntuación de riesgo da a cada señal unos puntos y los suma por entidad (la cuenta) dentro de una ventana. Ninguna señal alerta sola: alerta la entidad que llega al umbral. Es una correlación por agregación, y su gran ventaja es que se puede añadir una señal nueva sin tocar las demás: solo hay que darle su peso.

Su gran riesgo es de aritmética: si una señal puede repetirse sin límite, su suma domina todo lo demás.

Abre el escenario. pesos da los puntos de cada señal y senales_24h cuántas veces ocurrió cada una por cuenta en las últimas 24 horas. La última consulta hace la suma simple (veces por puntos). El umbral de alerta es 60.

Mira de dónde vienen los puntos de cada cuenta. Una acumula decenas de fallos de inicio, otra, varias denegaciones de un segundo factor: señales ruidosas y repetidas. Un tope por señal limita lo que una misma señal puede aportar en la ventana (la tercera columna de pesos). Calcula de nuevo la puntuación de cada cuenta con el tope: para cada señal, el menor entre veces por puntos y su tope.

La tabla senales_rquintero tiene cuatro señales de una cuenta repartidas en varios días. Con ventana de 24 horas, hay que buscar el tramo de 24 horas, de una señal a otra, que más puntos reúne. No es el total de las cuatro: es el mejor tramo.

Un colega propone ventana de 72 horas: con ella, rquintero sí cruza el umbral. Pero una ventana más larga también junta señales de la misma persona que no tienen nada que ver entre sí, y cada cuenta acaba con más puntos. La ventana es una decisión de negocio sobre cuánto tiempo puede tardar alguien en hacer lo que se quiere detectar, y debe medirse con casos conocidos, no elegirse por costumbre.