Lecciones y métricas

«Tiempo hasta detectar», «tiempo hasta contener», «tiempo sin servicio»: suenan claras, pero cada una depende de dos puntos, el de inicio y el de fin, y si no se fijan antes, cada quien los elige a su favor. La misma casa puede presentarse rápida o lenta según desde dónde cuente.

Por eso la métrica se escribe con su definición al lado, se mide igual en todos los incidentes y se compara contra sí misma en el tiempo. La guía de respuesta a incidentes de NIST (SP 800-61 Rev. 3, de abril de 2025) la organiza como un perfil del marco CSF 2.0, es decir, como parte de la gestión de riesgo y de la mejora continua, no como un ejercicio aparte.

Abre la consola y ejecuta SELECT * FROM hitos y SELECT * FROM metricas_borrador. Una de las métricas está pendiente; su definición dice entre qué hitos se mide.

Compara la columna como_se_calculo con la columna definicion_de_la_casa en cada fila. Cuando no coinciden, la cifra puede ser correcta como resta y falsa como métrica.

Ejecuta SELECT * FROM acciones_de_mejora. Una acción de mejora sirve si tiene responsable, fecha y una forma de comprobar que se hizo; si le falta eso, es un deseo y vuelve en el próximo incidente igual que vino.

Una lección explica la causa en términos de sistema (qué faltaba: un dato, un criterio, un dueño) y lleva a una acción de la lista. No señala a una persona ni absuelve a la casa con un adjetivo. Ejecuta SELECT * FROM hallazgos_de_la_revision para ver la causa que la revisión estableció.