Clasificar y decidir si hace falta análisis profundo

El nombre de una muestra, o la puntuación de un servicio automático, no deciden el nivel de tratamiento. Lo deciden pocas preguntas concretas: ¿se ejecutó dentro de la empresa o se quedó en la pasarela?, ¿hay antecedente conocido?, ¿toca datos o sistemas sensibles?, ¿hay conducta que nadie explica? Una muestra espantosa que nadie ejecutó se cierra rápido; una discreta que corre en el servidor de clientes y habla hacia fuera sin motivo, no.

Los criterios escritos tienen otra ventaja: dos analistas distintos llegan a la misma decisión, y quien revise el caso puede ver por qué se tomó.

Se decide aplicando la política a los datos, fila por fila, sin reinterpretar. La política dice qué combinación de hechos lleva a cada nivel. La cola dice, de cada muestra, si se ejecutó, si tiene familia en el catálogo y si toca algo sensible. Cruzar las dos tablas da el nivel; la intuición del analista sirve para sospechar que hace falta otra regla, no para saltarse la que hay.

Una heurística puede marcar como sospechosa una utilidad legítima: la que usa a diario el equipo de infraestructura, por ejemplo. Cerrarla «porque seguro es de infraestructura» sin comprobarlo es lo mismo que ignorar una alerta. Lo que se hace es comprobar contra una fuente: su huella está en el catálogo como benigna, con un propietario conocido, y se deja anotado el cierre y la fecha de revisión.

El falso positivo bien cerrado también es una decisión con registro; la próxima vez será más barata.

La decisión del nivel no agota el trabajo: hay que saber dónde corrió. Para la contención y para el informe interesa el número de equipos distintos donde se ejecutó alguna muestra, sin contar dos veces el mismo ni confundir «recibida» con «ejecutada». La cola trae el dato en una columna, y el recuento es suyo.