Taxonomías de panorama de amenazas

Un informe de panorama no registra incidentes uno a uno: agrupa lo observado en categorías gruesas (una decena) para que la dirección y los responsables de política vean hacia dónde va el conjunto. Es una taxonomía de lectura estratégica, distinta de las que sirven para registrar un caso (VERIS) o para describir una técnica (CAPEC).

Y cambia: la lista de categorías de un informe no es una norma fija. Las ediciones recientes del informe europeo han reorganizado sus categorías de una edición a otra, de modo que hay que comprobar, en la edición que se use, qué lista aplica antes de comparar con años anteriores.

Abre la consola. equivalencia_entre_ediciones pone lado a lado las categorías de dos ediciones de un informe de ejemplo, A y B, con el número de incidentes del Observatorio clasificados en cada una y una nota de qué cambió. Es un extracto con la forma de un informe de panorama, no una edición real.

Cuando se compara entre ediciones, lo primero es listar lo que no tiene pareja: una categoría nueva no tiene serie histórica con la que comparar.

En la edición B, varias categorías de la A se han fundido en una. Para saber cuánto vale esa categoría «hacia atrás», hay que sumar lo que la A repartía en varias. La nota de cambio dice cuáles se juntaron.

Calcula cuántos incidentes de la edición A entran en la categoría de código malicioso de la B.

Un analista presenta: «En la edición A, el malware tenía 6 incidentes; en la B, el código malicioso tiene más del doble. Se ha disparado». Lo que cambió fue la lista: la B incluye lo que la A llamaba ransomware.

Una comparación entre ediciones solo vale si los dos extremos miden lo mismo. Si no, el cambio puede venir del vocabulario y no de los hechos.

El cambio más traicionero no es el que cambia el nombre, sino el que lo conserva. Una categoría puede llamarse igual en dos ediciones y haber ampliado lo que incluye; la serie parece continua y no lo es.

Lee la columna de notas de cambio con ese ojo: una categoría tiene el mismo nombre en las dos ediciones pero la B incluye algo que la A contaba en otro sitio.