Gobernar tu propio vocabulario de etiquetas

Un vocabulario propio es una herramienta que se degrada sola. Sin gobierno aparecen duplicados (dos etiquetas para lo mismo), variantes (mayúsculas, guiones, singular y plural), etiquetas huérfanas (nadie sabe qué significan) y etiquetas que repiten una taxonomía que la plataforma ya traía. Cada una rompe el conteo: la misma clase de incidente queda repartida y se subestima.

Gobernar significa tener reglas pocas y verificables: un formato, una definición y un responsable por etiqueta, una regla de «busca primero lo que ya existe» y un ciclo de revisión.

Abre la consola. etiquetas_en_uso es el inventario de la instancia y politica_de_etiquetas las reglas del Observatorio. La regla «antes de crear» pide buscar en las taxonomías que la plataforma ya trae. Cuando una etiqueta propia hace el mismo trabajo que una de esas taxonomías, la propia sobra: la taxonomía la entienden las demás instancias y la propia no.

Una de las etiquetas propias repite, con otro formato, una etiqueta de una taxonomía existente.

Una regla que no se comprueba no existe. La política exige definición y responsable para toda etiqueta propia. Una etiqueta sin definición no se puede usar con criterio: cada analista la interpreta a su manera, y mientras más se usa, más daño hace.

Ordena el inventario por uso y mira cuáles de las etiquetas más usadas no pasan la regla de la definición.

Una etiqueta no se elimina de un día para otro: miles de eventos pueden llevarla y quien la consuma desde fuera lo notaría tarde. La política dice cuánto se conserva una etiqueta retirada junto a su reemplazo antes de eliminarla. El inventario tiene una etiqueta retirada con su fecha.

Calcula la fecha límite hasta la que debe conservarse.

Las tres etiquetas que nombran el correo que engaña a una persona (phish, Phishing, phishing-correo) suman casi 350 usos y ninguna coincide con la otra. Alguien propone resolverlo borrando las dos que menos se usan y dejando solo la que más.

Borrar sin más rompe los eventos que ya llevan esas etiquetas y deja sin aviso a quien consume la instancia por interfaz de programación.