Para qué sirve una taxonomía común

Una taxonomía es una lista de categorías con una definición cada una, pensada para que dos personas distintas clasifiquen igual el mismo hecho. Un vocabulario de incidentes es lo mismo aplicado a registrar lo ocurrido: actor, qué se hizo, qué se afectó.

Sin ese lenguaje común, cada equipo escribe a su manera y cada informe es una isla. Con él se pueden hacer cuatro cosas que la prosa no permite: contar (cuántos), filtrar (solo los de este tipo), comparar (este trimestre contra el anterior, un sector contra otro) e intercambiar (que otra organización entienda tu registro sin llamarte).

Abre la consola. resumenes_libres trae ocho resúmenes, cada uno con la etiqueta que le puso su autor. Una etiqueta sirve si, leyéndola sola, se sabe de qué tipo de incidente se trata. Si no, esa fila queda fuera de cualquier cuenta por tipo aunque el texto sí lo cuente.

Una etiqueta demasiado general es el fallo más común: es verdadera para todos los incidentes y por eso no ayuda a separar ninguno.

La dirección pregunta cuántos incidentes fueron un engaño a una persona (por correo, por teléfono o por cualquier canal). Mira conteo_por_etiqueta: da la cuenta con las palabras de cada miembro. Después lee los textos de resumenes_libres y cuenta por lo que ocurrió.

Cuando cada miembro etiqueta con su propia palabra, la cuenta por etiqueta casi nunca coincide con la cuenta por hecho: la misma clase de incidente queda repartida entre varias etiquetas y se subestima.

Antes de adoptar una lista de categorías conviene probarla con casos reales. Una buena lista cumple tres condiciones: cada categoría tiene definición, ningún hecho cabe en dos categorías a la vez (son excluyentes) y todo hecho cabe en alguna (son exhaustivas, normalmente con una categoría «sin clasificar» para lo que no se sabe).

Alguien propone cuatro categorías para el Observatorio: «Ataque», «Ataque web», «Fraude» y «Otros». El resumen R-04 (el servidor web que dejó de responder por exceso de tráfico) y un hipotético ataque de inyección contra el portal caben a la vez en «Ataque» y en «Ataque web».