Integración con el SOC, la respuesta, el riesgo y las vulnerabilidades

El SOC necesita indicadores y reglas candidatas con su contexto y su caducidad. La respuesta a incidentes necesita una ficha corta del actor en el momento en que lo necesita. La gestión de riesgo necesita escenarios con probabilidad y efecto en el negocio. La gestión de vulnerabilidades necesita saber cuáles de las vulnerabilidades que aparecen se están explotando de verdad contra empresas parecidas, porque con esa señal se ordena el parchado.

Abre necesidades-de-cada-area.txt en la terminal del escritorio (cat necesidades-de-cada-area.txt) y lee lo que dijo cada área. Lo que une las cuatro peticiones es que ninguna pide «toda la inteligencia»: cada una pide un recorte.

Un traspaso es un acuerdo con cuatro piezas: de quién a quién, qué viaja, quién responde y en cuánto tiempo. Si falta el responsable, el traspaso funciona mientras alguien se acuerde, y se detiene el día que esa persona está de vacaciones. Los programas que se rompen casi siempre se rompen en un traspaso sin dueño, no en un análisis malo.

Abre traspasos.txt y recorre la columna del dueño.

Un plazo acordado solo vale si se mide. La bitácora de TR-1 anota, para cuatro indicadores, el día en que se publicaron y el día en que la regla quedó activa en el SOC. El retraso de cada uno es la diferencia en días corridos, y la media de los cuatro dice cuánto tarda el traspaso en la práctica.

Abre bitacora-del-trimestre.txt y calcula el retraso de cada item antes de promediar.

La media tapa los casos extremos, y los casos extremos son los que hay que revisar uno a uno. El plazo acordado de TR-1 es de tres días. Un item que lo supera por poco puede ser casualidad; el que lo supera por mucho tiene una causa que se puede encontrar, por ejemplo una revisión pendiente o un fin de semana sin guardia.

El traspaso TR-5 va en sentido contrario: del SOC hacia inteligencia, con lo que dispararon los indicadores y lo que no. Es el traspaso más fácil de olvidar porque nadie lo reclama, y es el que cierra el ciclo. Sin él, el programa no sabe qué indicadores sirven en esta casa y sigue entregando los mismos que nunca disparan.