Monitoreo continuo y señales de alarma

El monitoreo continuo de terceros junta datos de fuentes muy distintas: un sitio donde un grupo de extorsión publica nombres de víctimas, un dominio nuevo parecido al del proveedor, un indicador de campaña que aparece en una dirección suya. Cada uno es una señal: una hipótesis sobre el proveedor, no un hecho. Los grupos de extorsión exageran o se equivocan de víctima, y un dominio parecido puede ser del propio proveedor.

Por eso cada señal lleva un estado que pone el analista después de verificar, y la verificación se hace por el canal del contrato con el contacto de seguridad del proveedor, no por la prensa ni descargando lo publicado.

Abre la consola y ejecuta SELECT * FROM reglas_de_senales, SELECT * FROM umbral y SELECT * FROM senales. El umbral existe para que la reevaluación extraordinaria no dependa del humor del mes: dos señales graves y confirmadas sobre el mismo proveedor en 30 días bastan. Cuenta solo lo que cumple las tres condiciones: clase, estado y ventana.

Las señales descartadas son tan útiles como las confirmadas: enseñan qué fuente se equivoca y cómo. Una de las señales del mes se descartó porque el supuesto riesgo resultó ser una acción legítima del propio proveedor, comprobada con su contacto de seguridad.

Una señal en verificación no cuenta para el umbral, pero sí dice dónde mirar. Si la mesa sectorial confirma la mención en el sitio de filtraciones que sigue abierta, otro proveedor de nivel 1 sumaría su segunda señal grave del mes.

Mientras S-23 sigue abierta, la cooperativa no puede afirmar nada, pero sí puede prepararse sin esperar. Lo que no puede hacer es buscar los archivos publicados para «verlos con sus propios ojos»: descargarlos expone a la casa a material robado, quizá con datos personales de terceros, y no está en su papel.