Sala 4 · una semana de guardia

El plazo de acuse de una alerta depende de su severidad y se mide desde la hora en que saltó hasta la hora en que alguien la tomó. Un acuse que llega exactamente en el límite cumple; el que lo pasa, por poco que sea, no. La cuenta se hace alerta por alerta con el plazo de su propia severidad, no con uno general.

Una alerta de cambio de configuración no siempre es un ataque: a veces es el cambio que alguien aprobó. Para descartarla hay que cruzar tres cosas, el sistema, la hora y la ventana aprobada. Un cambio en el mismo sistema fuera de su ventana, o en otro sistema dentro de ella, no la explica.

Una cuenta administrativa usada fuera de horario se explica o se investiga. La custodia de credenciales permite saberlo: cada retirada lleva una persona, un ticket y un intervalo. La persona es quien tenía retirada esa cuenta, y no otra, en el instante exacto de la alerta.

Cuando un investigador externo avisa de una vulnerabilidad, el acuse de recibo es el gesto que mantiene la conversación abierta. El plazo de la política corre desde la llegada del reporte, en horas corridas, sin descontar noches ni fines de semana. El retraso son las horas que pasaron entre el momento en que vencía el plazo y el momento en que se envió el acuse.

La guardia cansa, y una política que limita las horas por persona protege la calidad de las decisiones de madrugada. Se suman las horas de todos los turnos de cada persona; un total igual al máximo cumple y uno mayor no.