Qué inteligencia habría ayudado

Después de un incidente todo parece obvio: el aviso que encaja, la cuenta que aparecía en una filtración. Ese es el sesgo de retrospectiva, y es el mayor riesgo de esta parte del informe. La pregunta honesta no es «¿estaba el dato?», sino «¿con lo que se sabía ese día, había forma razonable de verlo y actuar?», y si no la había, qué faltaba: un responsable, un criterio, una conexión entre dos buzones.

Un elemento solo cuenta como oportunidad perdida si llegó a tiempo, era específico para la casa y señalaba una acción concreta.

Abre la consola y ejecuta SELECT * FROM hechos_del_caso y SELECT * FROM recibido_antes. Cruza la cuenta de entrada con lo que llegó a la bandeja.

El margen entre el aviso y la entrada dice cuánto tiempo tuvo la casa para cerrar la puerta. Cuéntalo en días de calendario con la fecha local de la entrada, que está en los hechos del caso.

Ejecuta SELECT * FROM controles_del_aviso. El aviso del CSIRT llegó a la gerencia de TI y se archivó con una frase. Comparar sus recomendaciones con el estado real de cada control muestra si esa frase se sostenía.

La lección para inteligencia no es «leer más», sino tener un requisito que haga que esos elementos lleguen a alguien con la obligación de actuar. Un buen requisito se puede contestar con fuentes y dice a quién le sirve la respuesta. El aviso del CSIRT, el del monitoreo de credenciales y el del grupo de intercambio hablaban de la misma puerta y llegaron a tres buzones distintos.