Medir si el indicador dio una detección

Una coincidencia es que un evento contenga un valor de la lista. Una detección es una coincidencia que el SOC confirmó como actividad real. Una detección única es la que ninguna otra regla ni otra fuente había visto antes: es lo que la casa habría perdido si esa fuente no existiera.

Las tres cifras van de mayor a menor y miden cosas distintas. Las coincidencias miden carga de trabajo; las detecciones, acierto; las detecciones únicas, lo que la fuente aporta de verdad.

Ejecuta SELECT * FROM fuentes_ti y SELECT * FROM resultado. La precisión de una fuente es la parte de sus coincidencias que el SOC confirmó: confirmadas entre coincidencias. Una precisión baja no condena a una fuente, pero dice cuántas alertas inútiles revisa el turno por cada una que sirve.

El costo de una fuente se compara mejor con lo que aporta de forma exclusiva. Si una fuente pagada confirma muchas cosas que otra regla ya había detectado, lo que se paga es una segunda opinión, no una detección. Divide lo que cuesta la fuente comercial en el trimestre entre sus detecciones únicas.

Una fuente sin costo de contrato no es gratis: cada coincidencia que dispara la revisa una persona del turno. Hay una fuente que cargó más indicadores que las otras dos juntas, abrió más alertas que nadie y no dio ni una detección que el SOC no tuviera ya por otro camino.

Con las cifras del trimestre la recomendación se escribe sola, siempre que se lea la columna correcta. La fuente sectorial es la más barata y la que más aporta por sí sola. La comercial aporta poco propio a un precio alto. La abierta no cuesta dinero, pero cuesta mucho tiempo del turno y no aportó nada que no se tuviera ya.